Всё, что стоит знать, и ничего лишнего.
Как работает атака с использованием насоса
AIT злоупотребляет любой формой на веб-сайте или в приложении, которая отправляет SMS по запросу — регистрация, вход в систему, подтверждение номера телефона, «код повторной отправки». Мошенник создает ботов, которые запрашивают эти SMS тысячи или миллионы раз, выбирая номера телефонов в контролируемых им диапазонах или номера, которые проходят через посредника в цепочке доставки (агрегатор или оператор, получающий долю дохода). Каждое сообщение, отправленное провайдером бренда, генерирует платную комиссию за завершение, часть которой поступает мошеннику.
- Точка входа: любая неаутентифицированная конечная точка для отправки SMS (OTP, проверка, повторная отправка).
- Боты генерируют массовые запросы к номерам телефонов, контролируемым мошенниками или находящимся в сговоре.
- Сговор о распределении доходов в цепочке поставок превращает объемы в прибыль.
- За это платит бренд; реальный пользователь никогда не получает от этого никакой пользы.
Экономика мошенничества — почему AIT — это бизнес.
AIT — это мошенничество с разделением доходов. Оно работает только тогда, когда кто-то в цепочке обработки запросов — недобросовестный агрегатор или оператор, готовый закрыть на это глаза, — делит завышенную плату за обработку запроса со стороной, генерирующей трафик. Высокозатратные международные диапазоны номеров особенно привлекательны, поскольку каждое отправленное сообщение влечет за собой большую плату для разделения. Серые маршруты являются естественным каналом, поскольку санкционированные маршруты прямого соединения с оператором отслеживаются и согласовываются.
- Для монетизации требуется сговор в конечной цепочке.
- Использование дорогостоящих диапазонов адресов позволяет мошеннику максимизировать свою долю прибыли с каждого сообщения.
- «Серые» маршруты — это предпочтительный, но более сложный для согласования канал связи.
- В промышленных масштабах — по оценкам Juniper Research, в 2023 году доля известных AIT-сервисов в международном A2P SMS-сообщениях составляла примерно 18%.
Во сколько это обходится отрасли
Оценки различаются в зависимости от масштаба проблемы, поэтому цитируйте внимательно. Компания Juniper Research (опубликовано в марте 2024 года совместно с VOX Solutions) оценила глобальные потери предприятий от кибермошенничества и рассылки спама по SMS примерно в 8,5 млрд долларов США в 2023 году, прогнозируя, что к 2027 году эти потери составят около 23,4 млрд долларов США. Для сравнения, согласно глобальному исследованию CFCA о потерях от мошенничества за 2023 год, общий объем мошенничества в телекоммуникационной отрасли оценивается примерно в 38,95 млрд долларов США.
- Juniper Research: затраты для предприятий в 2023 году составили примерно 8,5 млрд долларов США; к 2027 году — примерно 23,4 млрд долларов США.
- CFCA 2023: общий объем мошенничества в сфере телекоммуникаций ~ 38,95 млрд долларов США.
- Укажите источник и год для каждого числа — масштабы могут различаться.
Признаки обнаружения — как понять, что вас накачивают.
AIT оставляет характерный след, потому что трафик ориентирован на получение комиссий, а не на пользователей. Самый очевидный признак — это всплеск запросов на OTP/верификацию, которые не приводят к регистрации, входу в систему или какой-либо последующей активности — большой объем отправлений, практически нулевая вовлеченность. Завышенные показатели часто отсутствуют в сети, поэтому уведомления о доставке возвращаются как недоставленные с кодами отсутствующих подписчиков. Отслеживание конверсии по получателям часто является наиболее показательным показателем.
- Резкий рост запросов на одноразовые пароли (OTP) без конверсий при регистрации/входе в систему.
- Трафик внезапно сконцентрировался в необычных странах или диапазонах номеров.
- Автоматизированные модели поведения в зависимости от времени суток и характера всплесков активности.
- Низкий уровень успешности DLR (коды отсутствующих абонентов) на используемых диапазонах.
Защита отправителя — то, что контролирует бренд.
Поскольку AIT начинается с собственной конечной точки бренда, первая линия защиты уже там. Установите ограничения на количество запросов и добавьте CAPTCHA или обнаружение ботов к конечным точкам OTP. Примените географические и скоростные ограничения — блокируйте или проверяйте запросы на подтверждение для адресатов, которые вы не обслуживаете. Проверяйте номер получателя с помощью HLR Lookup перед отправкой; на номера, на которые начисляются дополнительные SMS-сообщения, часто возникают ошибки. По возможности перенесите потоки с высоким риском в приложения-аутентификаторы или используйте скрытую проверку сети, что полностью исключает возможность отправки таких SMS-сообщений.
- Ограничение скорости запросов плюс обнаружение CAPTCHA/ботов на конечных точках OTP.
- Географические/скоростные ограничения; блокируйте направления, которые вы не обслуживаете.
- Предварительная проверка HLR и списки блокировки диапазонов номеров.
- Переведите процессы высокого риска на экспресс-проверку или скрытую проверку сети.
Защита на стороне сети — то, что контролируется оператором и межсетевым экраном.
На сетевом уровне межсетевой экран для SMS-сообщений и мониторинг маршрутов выявляют то, что бренд упускает из виду. Межсетевой экран обнаруживает аномальную концентрацию запросов OTP и аномалии в пунктах назначения, а также может ограничивать или блокировать подозрительные потоки, в то время как сверка маршрутов выявляет серые маршруты и высокозатратные диапазоны, на которые полагается AIT. Работа по санкционированным прямым маршрутам операторов, а не по серым маршрутам, устраняет предпочтительный канал для мошенников и обеспечивает точные, подтвержденные мобильным устройством отчёты о доставке, что упрощает выявление мошенничества.
- Обнаружение аномалий на уровне межсетевого экрана в шаблонах OTP и адресов назначения.
- Согласование маршрутов с использованием поверхностных «серых» маршрутов и диапазонов высоких затрат.
- Маршрутизация напрямую от оператора устраняет неэффективный канал связи, на который полагается AIT.
- Точные DLR-рассылки позволяют увидеть нагнетаемый, никогда не прочитанный трафик.
Как BroadNet помогает
Продукт BroadNet OTP (/products/myotp) поставляется с включенной по умолчанию защитой от AIT: ограничение скорости для каждого MSISDN, IP-адреса и устройства; предварительная проверка HLR; автоматическая блокировка диапазонов MCC/MNC, для которых в вашей учетной записи нет истории успешных доставок; и модель обнаружения AIT, обученная на моделях атак между разными клиентами. В сочетании с маршрутизацией напрямую от оператора это сужает пространство, в котором может скрываться и монетизироваться трафик, накачиваемый системой.
- По умолчанию устанавливается ограничение скорости для каждого MSISDN, IP-адреса и устройства.
- Предварительная проверка HLR + автоматическая блокировка диапазонов, в которых доставка невозможна.
- Модель обнаружения AIT на основе межклиентских шаблонов.
- Маршрутизация напрямую от оператора + честные DLR для выявления искусственно завышенного трафика.
Защита от AIT: сторона отправителя против стороны сети
| На стороне отправителя (бренд) | На стороне сети (оператор / файрвол) | |
|---|---|---|
| Ограничение скорости запросов + CAPTCHA на конечных точках OTP | — | |
| Гео/интенсивность + блокировка диапазонов номеров | ||
| Предварительная проверка HLR перед отправкой | — | |
| Выявление аномалий SMS-файрволом + ограничение | — | |
| Прямая маршрутизация через оператора + честные DLR | — | |
| Перевод сценария с SMS (аутентификатор / бесшумная проверка) | — |