envio massivo de SMS — também chamado de Tráfego Artificialmente Inflado (AIT, na sigla em inglês) — é uma fraude na qual bots disparam grandes volumes de SMS com palavras-passe de uso único e mensagens de verificação para faixas de números controladas por um cúmplice, que recebe uma parte da taxa de terminação. Operadoras e empresas combatem essa prática com limitação de taxa, validação de números de telefone e um firewall de SMS baseado em aprendizagem automática.
Como funcionam, na prática, o bombeamento SMS e o AIT.
Cada formulário de inscrição público, solicitação de OTP ou botão "reenviar código" é uma forma de fazer uma empresa pagar para enviar um SMS. Num ataque AIT, um fraudador automatiza essa ação milhares de vezes, direcionando o tráfego para faixas de números de destino que ele controla — ou que um operador cúmplice controla. Nenhum ser humano jamais lê o código. A mensagem de verificação é o produto que está a ser vendido, e a empresa proprietária do formulário paga por cada envio.
As mensagens de OTP (palavra-passe de uso único) e de verificação representam aproximadamente 89% do tráfego A2P internacional, de acordo com uma análise do setor de mensagens publicada pelo Mobile Ecosystem Forum — e é exatamente por isso que as palavras-passe de uso único são a principal superfície de ataque para o pumping. O formato é universal, o envio é cobrado e o pagamento é automático.
A economia: porque existe o bombeamento
AIT é um esquema de partilha de receita disfarçado de tráfego. Um operador desonesto ou cúmplice recebe taxas de terminação A2P pelas mensagens que chegam aos seus endereços IP; o fraudador que gera o tráfego fica com uma parte. Como a taxa é cobrada por mensagem e a fraude não gera nenhuma redução legítima nos custos de entrega, o incentivo é puramente o volume. A tabela abaixo mostra quem se beneficia em cada etapa.
| Festa | Papel no ataque | Incentivo |
|---|---|---|
| Burlão/operador de bot | Automatiza acionamentos de OTP (palavra-passe de uso único) em formulários de um alvo. | Redução da participação nos lucros das taxas de terminação |
| Operador conivente/desonesto | Encerra o tráfego artificial nos seus intervalos. | Receita inflacionada de terminação A2P |
| Empresa (a vítima) | É o proprietário do formulário de inscrição ou do formulário OTP que está a ser usado indevidamente. | Nenhum — paga por cada envio fraudulento. |
| Operadoras de trânsito legítimas | Encaminham o tráfego de boa-fé | Taxas de trânsito normais, risco reputacional |
Os números macroeconómicos explicam a urgência. A Juniper Research projeta que as perdas globais com fraudes relacionadas a SMS chegarão a aproximadamente US$ 71 mil milhões em 2026. Estima-se que o AIT especificamente tenha atingido um pico próximo a US$ 2,1 mil milhões em 2023 e esteja em tendência de queda à medida que os sistemas de deteção se tornam mais sofisticados — mas essa "tendência de queda" é consequência da implementação de controlos, e não da perda de interesse dos atacantes.
Sinais de deteção que revelam uma operação de bombeamento.
A inteligência artificial não se assemelha ao comportamento humano, e essa é a sua fraqueza. Um firewall ou um modelo antifraude que monitoriza os sinais corretos distingue rapidamente uma base de utilizadores reais de uma fazenda de bots.
- Colapso de conversão — um aumento repentino no envio de códigos OTP com uma taxa próxima de zero de códigos sendo efetivamente inseridos ou validados.
- Concentração de destino — agrupamento de tráfego num pequeno conjunto de faixas de números, prefixos ou uma única operadora estrangeira que não tem motivo comercial para visualizar o seu volume de verificação.
- Sincronização automática — intervalos entre solicitações muito regulares ou picos de atividade que seguem a programação de um bot em vez dos padrões diários humanos.
- Aparecimento de novos intervalos de tráfego — tráfego de verificação repentinamente direcionado para intervalos que o seu produto nunca alcançou legitimamente antes.
- Desvio de custo por conversão — a métrica que conecta tudo: os seus gastos por verificação bem-sucedida aumentam enquanto o número de verificações bem-sucedidas permanece estável.
Como impedir isso: uma defesa em camadas
Nenhum controlo isolado é suficiente. O bombeamento é interrompido pela aplicação de medidas de higiene no nível empresarial, além dos controlos de rede de nível de operadora.
- Limite a taxa de requisições no formulário e na API — por IP, por dispositivo, por conta e por intervalo de destino. Limite o reenvio de palavras-passe de uso único (OTP) e adicione um mecanismo de espera exponencial para que um único agente não possa gerar envios ilimitados.
- Valide o número antes de enviar — use uma consulta de número em tempo real/verificação HLR para descartar intervalos inválidos, não alocados ou de alto risco antes que se tornem mensagens faturáveis.
- Adicione um desafio para registos suspeitos — uma verificação simples por bot no formulário remove a automação da qual o AIT depende.
- Implante um firewall de SMS no lado da operadora — veja o firewall de SMS da BroadNet, que avalia cada envio com base na reputação do ID do remetente, na reputação da rota e nas linhas de base comportamentais.
- Execute deteção contínua de fraudes por aprendizagem automática — os modelos de SMS antifraude da BroadNet correlacionam taxa de transferência, similaridade de conteúdo e sobreposição de destinatários entre remetentes e rotas para detetar ataques adaptativos que as regras estáticas não conseguem identificar.
A Juniper Research prevê que a participação de rotas legítimas no tráfego A2P doméstico aumentará de 80,6% em 2024 para 86,5% em 2029 — resultado direto de firewalls e registos que bloqueiam o tráfego ilegal e fraudulento das redes. O bombeamento de tráfego diminui quando a rede é monitorizada.
O que as empresas podem fazer esta semana
Você não precisa ser um operador para se proteger. Primeiro, modele a sua exposição: use o estimador de custo de OTP para ver quanto custaria um pico de tráfego inflado em relação aos seus volumes atuais. Em seguida, reduza os limites de reenvio e adicione validação de números antes do envio. Ao enviar códigos de verificação, encaminhe-os por meio de um fornecedor que execute firewall e verificação de fraude em linha — o serviço de entrega de OTP da BroadNet aplica ambos antes que a mensagem saia da plataforma. Se você quiser o conceito numa página, a nossa resposta sobre o que é AIT é uma boa introdução para partilhar internamente.
Perguntas frequentes
Qual a diferença entre o bombeamento SMS e o AIT?
Ambos os termos descrevem a mesma fraude. "SMS pumping" enfatiza a ação — automatizar o envio de OTPs ou verificações para inflar o volume faturável. "Tráfego Artificialmente Inflado (AIT)" é o termo usado no setor para o tráfego resultante. Na prática, as expressões são usadas indistintamente para se referir a mensagens de verificação geradas por bots cujo único propósito é gerar receita de terminação de chamadas.
Porque as palavras-passe de uso único são o principal alvo do AIT?
Como as mensagens de OTP e verificação representam aproximadamente 89% do tráfego A2P internacional (Mobile Ecosystem Forum), o formulário de OTP é o gatilho de cobrança mais comum que um estranho pode aceder a sem autenticação. Um botão público de "enviar código" permite que um atacante gere mensagens pagas a pedido, que é exatamente o elemento básico necessário para um esquema de pumping.
Será que a limitação de taxa por si só consegue impedir o bombeamento de SMS?
Isso ajuda, mas não é suficiente. A limitação de taxa reduz a velocidade de um único agente, enquanto ataques distribuídos espalham solicitações por vários IPs, dispositivos e contas para se manterem dentro dos limites por origem. Para impedir ataques de inteligência artificial (AIT) de forma confiável, é necessário combinar limitação de taxa, validação de números, firewall na rede e pontuação de fraude comportamental que correlacione a atividade entre as diferentes origens.
A fraude AIT vai piorar ou melhorar em 2026?
As perdas específicas relacionadas à AIT (Autenticação, Infraestrutura e Telecomunicações) estão em tendência de queda, após atingirem um pico de aproximadamente US$ 2,1 mil milhões em 2023 (Juniper Research), à medida que firewalls e registos se disseminam, mas as perdas totais com fraudes via SMS ainda estão projetadas em cerca de US$ 71 mil milhões em 2026. A categoria está a ser controlada onde os controlos são implementados e continua a ser dispendiosa onde não são.
Referências
- Juniper Research — Pesquisa sobre fraudes e segurança em telecomunicações: juniperresearch.com
- Fórum do Ecossistema Móvel — Mensagens A2P e denúncias de fraude: mobileecosystemforum.com
- GSMA — Recursos sobre segurança de mensagens e fraude A2P: gsma.com