# Fraude por SMS e AIT em 2026: como funciona e como impedir

> O tráfego artificialmente inflado drena os orçamentos de OTP (palavra-passe de uso único) e aumenta as contas das operadoras. Aqui está a anatomia de um ataque de "SMS pumping" (inflação de SMS), os sinais que o expõem e os controlos da operadora e da empresa que o interrompem.

- URL canônico: https://www.broadnet.me/pt/blog/sms-pumping-ait-fraud-2026
- Idioma: pt
- Última atualização: 2026-08-08
- Editor: BroadNet (https://www.broadnet.me)

- Publicado em: 2026-07-17
- Autor: BroadNet Operator Solutions

O envio massivo de SMS — também chamado de Tráfego Artificialmente Inflado (AIT, na sigla em inglês) — é uma fraude na qual bots disparam grandes volumes de SMS com palavras-passe de uso único e mensagens de verificação para faixas de números controladas por um cúmplice, que recebe uma parte da taxa de terminação. Operadoras e empresas combatem essa prática com limitação de taxa, validação de números de telefone e um firewall de SMS baseado em aprendizagem automática.

## Como funcionam, na prática, o bombeamento SMS e o AIT.

Cada formulário de inscrição público, solicitação de OTP ou botão "reenviar código" é uma forma de fazer uma empresa pagar para enviar um SMS. Num ataque AIT, um fraudador automatiza essa ação milhares de vezes, direcionando o tráfego para faixas de números de destino que ele controla — ou que um operador cúmplice controla. Nenhum ser humano jamais lê o código. A mensagem de verificação é o produto que está a ser vendido, e a empresa proprietária do formulário paga por cada envio.

As mensagens de OTP (palavra-passe de uso único) e de verificação representam aproximadamente 89% do tráfego A2P internacional, de acordo com uma análise do setor de mensagens publicada pelo Mobile Ecosystem Forum — e é exatamente por isso que as palavras-passe de uso único são a principal superfície de ataque para o pumping. O formato é universal, o envio é cobrado e o pagamento é automático.

## A economia: porque existe o bombeamento

AIT é um esquema de partilha de receita disfarçado de tráfego. Um operador desonesto ou cúmplice recebe taxas de terminação A2P pelas mensagens que chegam aos seus endereços IP; o fraudador que gera o tráfego fica com uma parte. Como a taxa é cobrada por mensagem e a fraude não gera nenhuma redução legítima nos custos de entrega, o incentivo é puramente o volume. A tabela abaixo mostra quem se beneficia em cada etapa.

| Festa | Papel no ataque | Incentivo |
|---|---|---|
| Burlão/operador de bot | Automatiza acionamentos de OTP (palavra-passe de uso único) em formulários de um alvo. | Redução da participação nos lucros das taxas de terminação |
| Operador conivente/desonesto | Encerra o tráfego artificial nos seus intervalos. | Receita inflacionada de terminação A2P |
| Empresa (a vítima) | É o proprietário do formulário de inscrição ou do formulário OTP que está a ser usado indevidamente. | Nenhum — paga por cada envio fraudulento. |
| Operadoras de trânsito legítimas | Encaminham o tráfego de boa-fé | Taxas de trânsito normais, risco reputacional |

Os números macroeconómicos explicam a urgência. A Juniper Research projeta que as perdas globais com fraudes relacionadas a SMS chegarão a aproximadamente US$ 71 mil milhões em 2026. Estima-se que o AIT especificamente tenha atingido um pico próximo a US$ 2,1 mil milhões em 2023 e esteja em tendência de queda à medida que os sistemas de deteção se tornam mais sofisticados — mas essa "tendência de queda" é consequência da implementação de controlos, e não da perda de interesse dos atacantes.

## Sinais de deteção que revelam uma operação de bombeamento.

A inteligência artificial não se assemelha ao comportamento humano, e essa é a sua fraqueza. Um firewall ou um modelo antifraude que monitoriza os sinais corretos distingue rapidamente uma base de utilizadores reais de uma fazenda de bots.

- Colapso de conversão — um aumento repentino no envio de códigos OTP com uma taxa próxima de zero de códigos sendo efetivamente inseridos ou validados.
- Concentração de destino — agrupamento de tráfego num pequeno conjunto de faixas de números, prefixos ou uma única operadora estrangeira que não tem motivo comercial para visualizar o seu volume de verificação.
- Sincronização automática — intervalos entre solicitações muito regulares ou picos de atividade que seguem a programação de um bot em vez dos padrões diários humanos.
- Aparecimento de novos intervalos de tráfego — tráfego de verificação repentinamente direcionado para intervalos que o seu produto nunca alcançou legitimamente antes.
- Desvio de custo por conversão — a métrica que conecta tudo: os seus gastos por verificação bem-sucedida aumentam enquanto o número de verificações bem-sucedidas permanece estável.

## Como impedir isso: uma defesa em camadas

Nenhum controlo isolado é suficiente. O bombeamento é interrompido pela aplicação de medidas de higiene no nível empresarial, além dos controlos de rede de nível de operadora.

1. Limite a taxa de requisições no formulário e na API — por IP, por dispositivo, por conta e por intervalo de destino. Limite o reenvio de palavras-passe de uso único (OTP) e adicione um mecanismo de espera exponencial para que um único agente não possa gerar envios ilimitados.
2. Valide o número antes de enviar — use uma consulta de número em tempo real/verificação HLR para descartar intervalos inválidos, não alocados ou de alto risco antes que se tornem mensagens faturáveis.
3. Adicione um desafio para registos suspeitos — uma verificação simples por bot no formulário remove a automação da qual o AIT depende.
4. Implante um firewall de SMS no lado da operadora — veja o [firewall de SMS](https://www.broadnet.me/operators/sms-firewall) da BroadNet, que avalia cada envio com base na reputação do ID do remetente, na reputação da rota e nas linhas de base comportamentais.
5. Execute deteção contínua de fraudes por aprendizagem automática — os modelos de SMS antifraude da BroadNet correlacionam taxa de transferência, similaridade de conteúdo e sobreposição de destinatários entre remetentes e rotas para detetar ataques adaptativos que as regras estáticas não conseguem identificar.

> A Juniper Research prevê que a participação de rotas legítimas no tráfego A2P doméstico aumentará de 80,6% em 2024 para 86,5% em 2029 — resultado direto de firewalls e registos que bloqueiam o tráfego ilegal e fraudulento das redes. O bombeamento de tráfego diminui quando a rede é monitorizada.

## O que as empresas podem fazer esta semana

Você não precisa ser um operador para se proteger. Primeiro, modele a sua exposição: use o [estimador de custo de OTP](https://www.broadnet.me/tools/otp-cost-estimator) para ver quanto custaria um pico de tráfego inflado em relação aos seus volumes atuais. Em seguida, reduza os limites de reenvio e adicione validação de números antes do envio. Ao enviar códigos de verificação, encaminhe-os por meio de um fornecedor que execute firewall e verificação de fraude em linha — o [serviço de entrega de OTP](https://www.broadnet.me/products/otp) da BroadNet aplica ambos antes que a mensagem saia da plataforma. Se você quiser o conceito numa página, a nossa resposta sobre [o que é AIT](https://www.broadnet.me/answers/what-is-ait) é uma boa introdução para partilhar internamente.

## Perguntas frequentes

### Qual a diferença entre o bombeamento SMS e o AIT?

Ambos os termos descrevem a mesma fraude. "SMS pumping" enfatiza a ação — automatizar o envio de OTPs ou verificações para inflar o volume faturável. "Tráfego Artificialmente Inflado (AIT)" é o termo usado no setor para o tráfego resultante. Na prática, as expressões são usadas indistintamente para se referir a mensagens de verificação geradas por bots cujo único propósito é gerar receita de terminação de chamadas.

### Porque as palavras-passe de uso único são o principal alvo do AIT?

Como as mensagens de OTP e verificação representam aproximadamente 89% do tráfego A2P internacional (Mobile Ecosystem Forum), o formulário de OTP é o gatilho de cobrança mais comum que um estranho pode aceder a sem autenticação. Um botão público de "enviar código" permite que um atacante gere mensagens pagas a pedido, que é exatamente o elemento básico necessário para um esquema de pumping.

### Será que a limitação de taxa por si só consegue impedir o bombeamento de SMS?

Isso ajuda, mas não é suficiente. A limitação de taxa reduz a velocidade de um único agente, enquanto ataques distribuídos espalham solicitações por vários IPs, dispositivos e contas para se manterem dentro dos limites por origem. Para impedir ataques de inteligência artificial (AIT) de forma confiável, é necessário combinar limitação de taxa, validação de números, firewall na rede e pontuação de fraude comportamental que correlacione a atividade entre as diferentes origens.

### A fraude AIT vai piorar ou melhorar em 2026?

As perdas específicas relacionadas à AIT (Autenticação, Infraestrutura e Telecomunicações) estão em tendência de queda, após atingirem um pico de aproximadamente US$ 2,1 mil milhões em 2023 (Juniper Research), à medida que firewalls e registos se disseminam, mas as perdas totais com fraudes via SMS ainda estão projetadas em cerca de US$ 71 mil milhões em 2026. A categoria está a ser controlada onde os controlos são implementados e continua a ser dispendiosa onde não são.

## Referências

- Juniper Research — Pesquisa sobre fraudes e segurança em telecomunicações: [juniperresearch.com](https://www.juniperresearch.com/)
- Fórum do Ecossistema Móvel — Mensagens A2P e denúncias de fraude: [mobileecosystemforum.com](https://mobileecosystemforum.com/)
- GSMA — Recursos sobre segurança de mensagens e fraude A2P: [gsma.com](https://www.gsma.com/solutions-and-impact/technologies/security/)