Bilmeniz gereken her şey, gereksiz hiçbir şey yok.
Pumping saldırısı nasıl çalışır?
AIT, talep üzerine SMS gönderen tüm web veya uygulama formlarını suistimal eder — kayıt olma, giriş yapma, telefon doğrulama, "kodu tekrar gönder." Bir dolandırıcı, kontrol ettikleri telefon numaralarını veya teslimat zincirindeki iş birliği yapan bir taraf (gelir payı alan bir agregatör veya sonlandırıcı operatör) üzerinden yönlendirilen numaraları hedefleyerek, bu SMS talebi için botlar yazarak binlerce veya milyonlarca kez istek gönderir. Markanın sağlayıcısının gönderdiği her mesaj, bir kısmının dolandırıcıya aktığı faturalandırılabilir bir sonlandırma ücreti oluşturur.
- Giriş noktası: kimlik doğrulaması gerektirmeyen herhangi bir "bana bir SMS gönder" uç noktası (OTP, doğrulama, yeniden gönder).
- Botlar, dolandırıcılar tarafından kontrol edilen veya iş birliği yapan numara aralıklarına toplu istekler gönderir.
- Teslimat zincirindeki gelir paylaşımı anlaşmaları, hacmi ödemeye dönüştürür.
- Marka ödeme yapar; gerçek kullanıcı hiçbir değer elde edemez.
Dolandırıcılık ekonomisi — AIT neden bir iş modelidir?
AIT, bir gelir paylaşımı dolandırıcılığıdır. Yalnızca sonlandırma zincirindeki biri — kural dışı bir agregatör veya görmezden gelmeye istekli bir operatör — şişirilmiş sonlandırma ücretini trafiği oluşturan tarafla paylaşırsa işe yarar. Yüksek maliyetli uluslararası numara aralıkları özellikle caziptir çünkü şişirilen her mesaj, paylaşılacak daha büyük bir ücret taşır. Onaylı doğrudan operatör rotaları izlendiği ve mutabakat yapıldığı için gri rotalar doğal bir kanal görevi görür.
- Gelir elde etmek için sonlandırıcı zincirde iş birliği gerektirir.
- Yüksek maliyetli hedef aralıkları, dolandırıcının mesaj başına aldığı payı maksimize eder.
- Gri rotalar, tercih edilen ve mutabakatı daha zor olan kanallardır.
- Endüstriyel ölçek — Juniper Research, 2023 yılında uluslararası A2P SMS miktarının yaklaşık %18'inin bilinen AIT olduğunu tahmin etti.
Sektöre maliyeti nedir?
Tahminler kapsamına göre değişiklik gösterdiğinden, dikkatli bir şekilde belirtilmelidir. Juniper Research (Mart 2024'te VOX Solutions ile birlikte yayınlanan) tarafından yapılan çalışmaya göre, AIT ve SMS kaynaklı küresel maliyetin işletmeler için 2023 yılında yaklaşık USD 8,5 milyar olduğu ve 2027 yılına kadar USD 23,4 milyar civarında seyredeceği öngörülmektedir. Bağlam sağlamak gerekirse, CFCA Global Fraud Loss Survey 2023, toplam telekom dolandırıcılığını yaklaşık USD 38,95 milyar olarak tahmin etmiştir.
- Juniper Research: 2023'te işletmeler için ~8,5 milyar USD maliyet; 2027'ye kadar ~23,4 milyar USD.
- CFCA 2023: toplam telekom dolandırıcılığı ~38,95 milyar USD.
- Her numarayı kaynağına ve yılına göre sınıflandırın — kapsamlar farklılık gösterir.
Tespit sinyalleri — SMS pumping'in nasıl anlaşılacağı
AIT, trafik kullanıcılar için değil, ücretler için tasarlandığından belirgin bir iz bırakır. En net belirti, yeni üyeliklere, girişlere veya herhangi bir alt akış faaliyetine dönüşmeyen OTP/doğrulama taleplerindeki ani artıştır; yani yüksek gönderim hacmi, sıfıra yakın etkileşim. Şişirilmiş numaralar genellikle ağda mevcut değildir, bu nedenle iletim raporları (delivery receipt) abonenin bulunmadığına dair kodlarla birlikte iletilemedi olarak döner. Hedef bölgeye göre gönderimden dönüşüme (send-to-conversion) oranını izlemek, genellikle en belirleyici metriktir.
- Kayıt/giriş dönüşümü olmayan OTP istek artışı.
- Trafiğin aniden olağandışı ülkelerde veya numara aralıklarında yoğunlaşması.
- Otomasyon kaynaklı günün saati ve ani artış (burst) modelleri.
- Yapay olarak artırılmış aralıklarda düşük DLR başarısı (bulunmayan abone kodları).
Gönderici tarafı savunmaları — markanın kontrol edebildiği alanlar
AIT markanın kendi uç noktasından başladığı için, ilk savunma hattı oradadır. OTP uç noktalarına hız sınırı (rate-limit) uygulayın ve CAPTCHA veya bot algılama ekleyin. Coğrafi ve hız kontrolleri uygulayın — hizmet vermediğiniz destinasyonlara gelen doğrulama isteklerini engelleyin veya zorlayın. Göndermeden önce hedef numarayı HLR Lookup ile doğrulayın; şişirilmiş numaralar genellikle başarısız olur. Mümkün olan yerlerde, yüksek riskli akışları, şişirilebilir SMSyi tamamen ortadan kaldıran kimlik doğrulama uygulamalarına veya sessiz ağ doğrulama yöntemlerine taşıyın.
- OTP uç noktalarında hız sınırlama (rate limiting) ve CAPTCHA/bot tespiti.
- Coğrafi/hız limitleri; hizmet vermediğiniz destinasyonları engelleyin.
- HLR ön doğrulama ve numara aralığı engelleme listeleri.
- Yüksek riskli akışları flash-call veya sessiz ağ doğrulamasına taşıyın.
Ağ tarafı savunmaları — operatörün ve güvenlik duvarının kontrol ettiği unsurlar
Ağ tarafında, SMS güvenlik duvarı ve rota izleme, markanın gözden kaçırdığı durumları yakalar. Güvenlik duvarı, anormal OTP talebi yoğunlaşmasını ve hedef anomalilerini tespit ederek şüpheli akışları kısıtlayabilir veya engelleyebilir; rota mutabakatı ise AIT'nin bağımlı olduğu gri rotaları ve yüksek maliyetli aralıkları açığa çıkarır. Gri rotalar yerine onaylı operatör doğrudan rotaları üzerinden çalışmak, dolandırıcıların tercih ettiği kanalı ortadan kaldırır ve sahte trafik (pumping) tespitini kolaylaştıran, cihaz tarafından onaylanmış doğru iletim raporları sağlar.
- OTP ve hedef desenleri üzerinde güvenlik duvarı düzeyinde anomali tespiti.
- Gri rotaları ve yüksek maliyetli aralıkları ortaya çıkarmak için rota mutabakatı.
- Operatör doğrudan rotalama, AIT'nin güvendiği gri rota kanalını ortadan kaldırır.
- Doğru DLR'ler, şişirilmiş ve hiç okunmayan trafiği görünür kılar.
BroadNet nasıl yardımcı olur
BroadNet'in OTP ürünü (/products/myotp), varsayılan olarak AIT korumasıyla birlikte gelir: MSISDN başına, IP başına ve cihaz başına hız sınırlama; HLR ön doğrulama; hesabınızda geçmiş teslimat başarısı olmayan MCC/MNC aralıklarının otomatik olarak engellenmesi; ve farklı müşterilere yönelik saldırı modelleri üzerine eğitilmiş bir AIT tespit modeli. Doğrudan operatör bağlantıları ile birleştiğinde, yapay trafiğin gizlenebileceği ve kazanç sağlanabileceği alanı daraltır.
- Varsayılan olarak MSISDN, IP ve cihaz başına hız sınırlama.
- HLR ön doğrulama + teslim edilemeyen aralıkların otomatik engellenmesi.
- Müşteriler arası desenler üzerinde AIT tespit modeli.
- Yapay trafiği açığa çıkarmak için operatör-doğrudan rota + dürüst DLR'ler.
AIT savunmaları: gönderici tarafı ve ağ tarafı karşılaştırması
| Gönderici tarafı (marka) | Ağ tarafı (operatör / güvenlik duvarı) | |
|---|---|---|
| OTP uç noktalarında (endpoints) hız sınırlama + CAPTCHA | — | |
| Coğrafi/hız + numara aralığı engelleme listeleri | ||
| Gönderim öncesi HLR ön doğrulama | — | |
| Güvenlik duvarı anomali tespiti + sınırlama (throttling) | — | |
| Doğrudan operatör rotaları + güvenilir DLR'ler | — | |
| Akışı SMS dışına taşıyın (doğrulayıcı / sessiz doğrulama) | — |