Fraude por envío masivo de SMS: cómo funciona la AIT y cómo las empresas pueden detenerlo.

En un proceso OTP normal, un usuario real introduce un número de teléfono, solicita un código de verificación, recibe el SMS e introduce el código para continuar. El envío masivo de SMS utiliza el mismo mecanismo con un propósito diferente.

Bots o scripts automatizados envían repetidamente solicitudes de SMS. En lugar de representar a usuarios reales, estas solicitudes envían mensajes a números de teléfono seleccionados o controlados para el esquema de fraude. Dichos números pueden aparecer en rangos, grupos u otros patrones que difícilmente reflejan la captación normal de clientes.

Lo importante es la intención: el atacante no busca principalmente obtener un código de verificación útil. El objetivo es generar tráfico SMS facturable.

Por eso, el envío masivo de SMS se suele clasificar como tráfico inflado artificialmente. Desde la perspectiva del sistema de mensajería, el tráfico es real (una aplicación solicitó mensajes y la red los procesó), pero la demanda subyacente del usuario es artificial.

Los puntos de entrada más expuestos son los flujos automatizados que permiten que un número de teléfono active un SMS con poca fricción, entre los que se incluyen:

- Verificación de cuenta y OTP

- Formularios de inscripción y registro

- Restablecimiento de contraseña y recuperación de cuenta

- Flujos de código promocional o descarga de la aplicación

- Activadores de notificaciones y otros puntos finales de mensajería automatizada

AIT está estrechamente relacionado con el tráfico de verificación, pero las empresas no deben asumir que la OTP es el único objetivo posible. Cualquier flujo de trabajo público que pueda generar automáticamente tráfico de SMS de pago puede resultar atractivo para un atacante.

Comprender los aspectos económicos del ataque facilita la interpretación de las señales de alerta.

El propietario de la aplicación paga por el tráfico SMS que genera. En un esquema de manipulación de SMS, el atacante dirige ese tráfico hacia destinos donde los ingresos generados por mensajería pueden beneficiar a terceros conectados al rango de números o a la ruta de telecomunicaciones descendente.

En la práctica, los acuerdos de reparto de ingresos pueden involucrar a propietarios de rangos de números, agregadores de SMS, operadores móviles virtuales (OMV) u otros participantes en la cadena de distribución. No todos los proveedores u operadores de una ruta participan conscientemente; algunos pueden ser víctimas de fraude sin ser conscientes de ello. Por lo tanto, una empresa debe evitar asumir que un operador, agregador o destino recurrente es automáticamente cómplice.

Desde la perspectiva de la aplicación, sin embargo, el resultado es el mismo: paga por mensajes que no representan a usuarios reales ni a una demanda legítima.

Esto también explica por qué un ataque de manipulación de direcciones IP puede favorecer destinos o bloques numéricos específicos en lugar de enviar datos aleatoriamente a toda la base de clientes. Un rango concentrado puede resultar económicamente ventajoso para el estafador, incluso cuando parezca sospechoso desde la perspectiva del propietario de la aplicación.

El envío masivo de SMS puede manifestarse como una ráfaga repentina, pero el tráfico de mensajes de texto automatizado (AIT) moderno también puede distribuirse con la suficiente lentitud como para integrarse en el tráfico habitual. Por lo tanto, la monitorización debe centrarse en combinaciones de señales en lugar de un umbral fijo.

1. Rangos de números agrupados o secuenciales. Un grupo de solicitudes dirigidas a números de teléfono adyacentes o muy relacionados es una clara señal de alerta. Los usuarios legítimos suelen presentar una variación más natural. Una concentración en un prefijo, rango, operador o país de destino específico merece ser investigada. Sin embargo, los equipos no deben basarse únicamente en números secuenciales, ya que los atacantes más sofisticados pueden generar destinos aleatorios entre diferentes familias de números.

2. Patrones de solicitud regulares o automáticos. La demanda humana suele ser irregular. Los bots pueden generar un comportamiento inusualmente consistente: solicitudes de verificación que llegan a intervalos regulares, volúmenes similares que se repiten durante períodos definidos o la activación del mismo flujo de trabajo con poca variación. La automatización de bajo volumen puede ser especialmente difícil de detectar porque es posible que nunca genere un pico drástico.

3. Actividad durante períodos de baja supervisión. Los intentos de fraude pueden programarse para momentos en que menos personas estén monitoreando activamente los paneles de control operativos, como durante la noche o en otras horas con poco personal. El tráfico nocturno no es sospechoso en sí mismo, pero este patrón es una de las razones por las que los controles de fraude deben funcionar de forma continua en lugar de depender de que una persona observe un panel de control.

4. Tráfico sin verificación ni resultados comerciales coincidentes. Si el volumen de SMS aumenta, pero las verificaciones, registros, inicios de sesión, compras u otras acciones esperadas del usuario no aumentan al mismo ritmo, es necesario prestar atención a este tráfico. Una brecha cada vez mayor entre los mensajes enviados y las acciones exitosas del usuario suele ser más útil que el volumen de envíos en sí.

5. Geografía, operadores o rutas inesperadas. Un aumento repentino de países, prefijos o rutas que no coinciden con la base de clientes habitual de la empresa puede indicar un abuso. Las anomalías geográficas cobran mayor relevancia cuando se presentan junto con una baja tasa de conversión, un número agrupado de solicitudes o una periodicidad inusual.

Estas señales deben considerarse evidencia para investigar, no prueba concluyente. Los nuevos patrones AIT también pueden completar una mayor parte del flujo normal del usuario o distribuir el tráfico entre varias familias de números, lo que reduce la fiabilidad de la detección mediante una sola regla.

El daño más evidente es el coste de los mensajes directos. Cada solicitud fraudulenta puede generar un SMS facturable sin que provenga de un cliente real.

Pero el impacto operativo va más allá.

AIT puede distorsionar las métricas de adquisición y verificación al añadir solicitudes falsas al embudo. Las tasas de conversión pueden disminuir incluso cuando el comportamiento legítimo del cliente no ha cambiado. El costo por usuario verificado puede aumentar. Los informes de mensajería se vuelven más confusos, lo que dificulta que los equipos de producto y operaciones comprendan lo que realmente está sucediendo.

Los ataques a gran escala también pueden ejercer presión sobre la infraestructura de verificación y el servicio de atención al cliente. Si una empresa reacciona con reglas de bloqueo demasiado amplias, los usuarios legítimos pueden verse afectados y experimentar solicitudes rechazadas, retrasos en los códigos OTP o la imposibilidad de recuperar sus cuentas.

Esto genera la disyuntiva fundamental en la prevención del fraude: los controles deben ser lo suficientemente sólidos como para reducir el tráfico artificial sin convertir la verificación normal en un proceso frustrante.

No existe un único control que detenga de forma fiable todos los patrones de AIT. Una defensa práctica combina restricciones en la capa de aplicación con la monitorización del tráfico y los datos de mensajería.

1. Limita la frecuencia de las acciones que activan los SMS. Es necesario establecer límites de frecuencia para evitar que un atacante pueda activar repetidamente el tráfico de pago. No te fijes solo en el número de teléfono. Según la aplicación, los límites también pueden considerar la cuenta, la sesión, el dispositivo, la dirección IP, el prefijo de destino u otros atributos de la solicitud. Contar con múltiples controles dificulta que un bot eluda una regla simplemente cambiando los números.

Los límites también deben reflejar la experiencia real del usuario. Un cliente legítimo puede necesitar un segundo intento, pero docenas de solicitudes de código en un breve lapso rara vez representan una experiencia de verificación normal.

2. Añada obstáculos cuando el comportamiento se vuelva riesgoso. El tráfico normal puede seguir el flujo habitual, mientras que un comportamiento sospechoso puede activar un desafío adicional, un período de espera o un límite de solicitudes más estricto. Esto evita aplicar controles de emergencia a todos los clientes legítimos.

3. Supervise el comportamiento de envío a conversión. Un SMS de verificación normalmente debería conducir a un siguiente paso significativo. Realice un seguimiento de la relación entre las solicitudes de OTP, la verificación exitosa del código, los registros completados y otras acciones posteriores.

Un pico de tráfico con una alta tasa de conversión puede reflejar una campaña o un evento de producto real. Un pico similar con casi ninguna verificación completada cuenta una historia muy diferente.

Para flujos basados ​​en OTP, el API de verificación de TopMessage Puede gestionar la generación y entrega de OTP, la validación del código, los reintentos controlados y la generación de informes de verificación dentro de un único proceso de verificación.

4. Utilice la verificación de números de forma selectiva. La validación de números puede ayudar a identificar algunos destinos de calidad claramente deficiente o inadecuados, pero no debe considerarse una solución completa de AIT.

La validación básica del formato no permite determinar si un número con formato correcto pertenece a un esquema fraudulento. La información más avanzada sobre accesibilidad, operador o tipo de línea puede proporcionar señales útiles, pero estas comprobaciones tienen su propio coste y los atacantes sofisticados pueden adaptarse.

La pregunta correcta es si el control adicional proporciona una reducción de riesgo suficiente para el tráfico que se está protegiendo. Para un análisis más profundo de esta disyuntiva, consulte Validación de números de teléfono para SMS: ¿Cuándo tienen sentido las comprobaciones previas al envío?.

5. Restrinja el tráfico que no tenga una razón comercial para existir. Si una empresa no tiene usuarios ni necesidades operativas en un destino en particular, permitir un tráfico de verificación ilimitado allí crea una exposición innecesaria.

Las restricciones geográficas, de operador, de prefijo o de flujo de trabajo pueden ser útiles cuando se basan en requisitos comerciales reales y se revisan periódicamente. Evite los bloqueos generales permanentes basados ​​en un solo incidente, a menos que el análisis de viabilidad lo justifique.

Cuando aparece tráfico sospechoso, la primera tarea es contenerlo sin destruir pruebas útiles.

Comience por identificar qué flujo de trabajo genera los mensajes. Compare el período afectado con el tráfico de referencia reciente, la tasa de conversión, los países de destino, los prefijos, los operadores y la sincronización de las solicitudes. Busque grupos de números, patrones de solicitud regulares y atributos compartidos por las solicitudes sospechosas.

Luego, reduzca la exposición utilizando el control efectivo más limitado. Esto puede implicar disminuir temporalmente los límites de solicitudes, restringir una ruta o área geográfica, agregar un desafío al formulario afectado o pausar un activador automatizado específico.

Conserve los registros antes de realizar cambios importantes. Los equipos de seguridad, producto, operaciones y finanzas podrían necesitar esos mismos datos más adelante para comprender cuándo comenzó el ataque, cuánto tráfico generó y si las medidas de mitigación funcionaron.

Tras la contención, evite simplemente restaurar la configuración anterior. Identifique qué control faltaba y añada monitorización para el mismo modo de fallo. El objetivo no es solo detener un incidente, sino también acortar el tiempo entre el comportamiento anómalo y la respuesta automatizada la próxima vez.

Los patrones de envío masivo de SMS antiguos solían ser fáciles de reconocer: picos de tráfico evidentes y bloques de números similares. Estas señales siguen siendo útiles, pero no son suficientes por sí solas.

El fraude informático puede propagarse a través del tiempo, los destinos, los operadores, los dispositivos y las sesiones. Los atacantes también pueden imitar partes del comportamiento legítimo. Por lo tanto, un programa eficaz contra el fraude debe comparar varias señales: volumen de tráfico, velocidad de las solicitudes, patrones numéricos, ubicación geográfica, tasa de conversión, datos históricos y el contexto del flujo de trabajo que se está utilizando indebidamente.

Los controles más útiles también se implementan por capas. Los límites de velocidad reducen la rapidez con la que puede propagarse el abuso. La fricción basada en el riesgo dificulta la automatización. Los informes de verificación revelan la brecha entre los mensajes enviados y los usuarios que realmente completan el proceso. La información sobre el destino y el número puede proporcionar contexto adicional cuando la economía lo justifica.

El fraude por envío masivo de SMS es, en última instancia, un problema de demanda artificial. La empresa paga por mensajes que parecen lo suficientemente válidos como para entrar en el sistema, pero que no representan a un cliente real.

Por lo tanto, la mejor defensa no es una lista de bloqueo perfecta. Se trata de un flujo de trabajo de mensajería que reconoce el comportamiento normal del usuario, detecta cuándo el tráfico deja de coincidir con ese comportamiento y puede responder antes de que las solicitudes artificiales se conviertan en una factura elevada.