скусственно завышенный трафик — это мошенническая схема, которая превратила закупку корпоративных мессенджеров в конфликтную ситуацию. Механизм прост: скрипт запрашивает подтверждение OTP у публичного канала регистрации предприятия, направленного на диапазоны мобильных номеров, где какая-либо сторона в цепочке доставки — агрегатор, недобросовестный реселлер, иногда инсайдер небольшого оператора — получает долю от платы за завершение соединения. Предприятие платит за реальные, доставленные, совершенно бесполезные сообщения. Масштабы немаловажны: одна глобальная социальная платформа публично оценила свои ежегодные потери от искусственно завышенного трафика примерно в 60 миллионов долларов, когда в 2023 году отключила этот трафик, и с тех пор отраслевые организации относят искусственно завышенный трафик к числу главных угроз доходам в сфере A2P-мессенджеров. Теперь каждый отправитель большого количества OTP-кодов использует это в своих целях; ожидается, что каждый оператор и провайдер в цепочке будет иметь ответ.
Как работает насос
- Злоумышленник находит неаутентифицированный интерфейс, запускающий отправку SMS-сообщений — форму регистрации, процесс входа в систему с помощью телефона, конечную точку для повторной отправки кода — и автоматизирует запросы к нему.
- Целевые числа выбираются из диапазонов, которые злоумышленник монетизирует: сговорившаяся сторона получает доход от завершения каждого сообщения, который затем распределяется между теми, кто генерирует этот объем.
- Коды никогда не вводятся. Конверсия в затронутых диапазонах фактически равна нулю, но каждое сообщение оплачивается, и большинство из них действительно доставляются.
- Объём трафика формируется таким образом, чтобы выглядеть правдоподобно — распределяется по часам, смешивается с органическим трафиком, ротируется в разных диапазонах — именно для того, чтобы обмануть наивные сигналы о всплесках трафика.
Экономические факторы объясняют устойчивость ботнета. За завершение международных A2P-запросов в затронутых коридорах взимается достаточно большая плата, так что даже небольшая доля откатов многократно покрывает расходы на ботнет, а длинные цепочки агрегаторов позволяют каждой промежуточной стороне отрицать происхождение запросов.
Сигналы обнаружения, которые работают
- Крах конверсии в зависимости от диапазона назначения — определяющий признак. Конверсия органического OTP составляет 70–95% в зависимости от потока; диапазоны AIT близки к нулю. Конверсию необходимо измерять для каждого префикса, для каждого оператора, для каждого коридора, а не как глобальное среднее значение, которое ослабляет сигнал.
- Кластеризация диапазонов номеров — всплески активности, сконцентрированные в узких префиксах MSISDN, часто в диапазонах, которые практически не имеют или имели органическую историю взаимодействия с пользовательской базой предприятия.
- Отпечатки запросов — попытки регистрации с использованием IP-адресов центров обработки данных, подписи безголовых браузеров, невозможная география (запросы из одной страны, количество запросов из другой без пересечения пользователей) и скорость обработки запросов с каждого IP-адреса или устройства, которую не может обеспечить человек.
- Отсутствие дальнейших действий — ни создания сессии, ни установки приложения, ни какой-либо последующей активности с «подтвержденного» номера. Подтвержденный пользователь, которого никогда не существовало, — это мошенничество, которое видно в аналитике продукта.
- Аномалии HLR — это номера, которые не проходят проверку HLR lookup, остаются постоянно недоступными или относятся к диапазонам, переназначенным службам, а не абонентам.
Для обнаружения необходимы обе стороны провода.
Предприятие видит данные о конверсиях и телеметрию на стороне запроса; провайдер и оператор видят маршрутизацию, поведение диапазонов и межклиентские закономерности — диапазон AIT, использованный одним предприятием, появляется у другого в течение нескольких дней. Ни один из этих способов не является достаточным сам по себе, поэтому эффективные решения объединяют их: предприятие передает результаты конверсий для каждого сообщения или диапазона, а модели провайдера сопоставляют эти данные с сигналами на уровне маршрута для оценки пунктов назначения перед отправкой следующей кампании. Это задача машинного обучения в узком, полезном смысле — контролируемая оценка помеченных результатов конверсий — а не модное слово: модель ранжирует диапазоны пунктов назначения по вероятности мошенничества, а уровень маршрутизации ограничивает или оспаривает «хвост» диапазона.
Коммерческая защита, которая удерживает
- В первую очередь следует ограничить скорость запросов и проверить их подлинность — установить лимиты скорости для каждого IP-адреса, устройства и количества запросов, а также добавить этап CAPTCHA или подтверждения работы при повторной отправке. Самые дешевые миллион сообщений — это те, которые никогда не будут отправлены.
- В договоре предусмотрены ограничения по количеству направлений — суточные лимиты для каждого префикса и страны с автоматическим отключением, поэтому диапазон передаваемых данных ограничивается автоматически, а не работает в течение всего расчетного периода.
- Условия коммерческого предложения, зависящие от конверсии — пункты о возврате средств за трафик в диапазоне конверсий ниже согласованного минимума или оплата за конверсию для верификационного трафика, если провайдер будет его предлагать.
- Прозрачность маршрута и права на аудит — договорное право знать, какие партнеры, работающие с данными о трафике на спорном участке, превращают возможность отрицания в ответственность.
- Задержка платежей по аномальным коридорам — условия расчетов, которые откладывают оплату объемов, отмеченных моделями любой из сторон, до получения данных о конверсии.
Почему операторам следует уделять этому столько же внимания, сколько и предприятиям.
Оператору может показаться заманчивым рассматривать AIT как чужую проблему — трафик оплачивается, а доход от завершения соединения реален. Однако среднесрочные показатели говорят об обратном. AIT является прямой причиной перехода крупнейших отправителей OTP на мгновенные звонки, скрытую сетевую аутентификацию и электронную почту; он провоцирует споры по счетам, которые ухудшают отношения с оптовыми поставщиками услуг; а регулирующие органы все чаще рассматривают допустимый AIT как провал в защите прав потребителей. Оператор, чьи входящие маршруты известны как каналы AIT, обменивает свою A2P-франшизу на несколько кварталов завышенного объема. Решение находится там же, где и остальная часть системы борьбы с мошенничеством: поведенческие модели на границе, которые оценивают входящий A2P-трафик по диапазонам и по отправителям, и дисциплинарные меры по проверке партнеров на межсетевых соединениях, через которые поступает трафик.
BroadNet использует коррелированную с конверсией оценку мошенничества на всех обслуживаемых ею маршрутах и внедряет те же модели в программы противодействия мошенничеству операторов. Предприятия могут использовать ее в сочетании с доставкой OTP, которая отслеживает не только доставку, но и конверсию.