La frode chiamata SMS pumping si verifica quando i frodatori sfruttano un campo di inserimento del numero di telefono della tua applicazione per ricevere codici inviati via SMS.
La frode consiste nel far inviare alla tua applicazione (web o mobile) migliaia di SMS a numeri controllati da un operatore di rete mobile (ORM) specifico, che permette ai frodatori di ricevere una parte dei ricavi generati dall'invio di questi SMS.
L'impatto principale per te e la tua azienda è finanziario, perché devi pagare per l'invio massivo di questi SMS.
L'ORM è complice e ha un accordo di condivisione dei ricavi con i frodatori.
L'ORM è sfruttato a sua insaputa dai frodatori. Ad esempio, i frodatori creano una falsa azienda, che conclude una partnership con l'ORM con lo scopo di portargli abbonati e traffico. L'ORM potrebbe non preoccuparsi della provenienza del traffico e sostenere la frode a sua insaputa.
In entrambe le situazioni, questo tipo di frode è più probabile che si verifichi con ORM relativamente piccoli.
È importante implementare un meccanismo di allerta costi sul servizio che utilizzi per inviare SMS, in modo da poterti accorgere rapidamente che i tuoi costi di invio SMS sono anormalmente elevati.
Per supportare l'ipotesi di un attacco di tipo SMS pumping, due criteri principali sono da considerare:
Da notare che il SMS pumping non si verifica necessariamente con numeri di paesi molto lontani. Attacchi di SMS pumping tramite numeri basati nel Regno Unito sono ad esempio spesso riscontrati.
Nel 2023, Twitter ha rimosso
l'autenticazione a due fattori via SMS al fine di evitare gli attacchi di SMS pumping. Non è quindi banale proteggersi contro questo tipo di attacchi. Diverse misure possono tuttavia essere implementate e, insieme, permetterti di diminuire considerevolmente la frode:
Bloccare l'invio degli SMS ai paesi che non dovrebbero utilizzare la tua applicazione
Aggiungere un captcha al tuo modulo e convalidare il captcha al momento di inviare il codice SMS
Utilizzare un servizio di protezione contro le frodi offerto dal tuo servizio di invio SMS, come
Verify Fraud Guard nel caso in cui utilizzi Twilio
Limitare il numero di SMS che possono essere inviati a uno stesso numero di telefono (tuttavia, è probabile che gli attaccanti utilizzino un gran numero di numeri diversi)
In bocca al lupo nella tua lotta contro il SMS pumping!
_ZRNfyf.webp)
