SMS-fraude: hoe AIT werkt en hoe bedrijven het kunnen stoppen

Bij een normale OTP-procedure voert een echte gebruiker een telefoonnummer in, vraagt ​​een verificatiecode aan, ontvangt de sms en voert de code in om verder te gaan. SMS-pomping gebruikt hetzelfde mechanisme, maar voor een ander doel.

Bots of geautomatiseerde scripts versturen herhaaldelijk sms-berichten. In plaats van echte gebruikers te vertegenwoordigen, worden de berichten verzonden naar telefoonnummers die zijn geselecteerd of beheerd voor de frauduleuze praktijken. Deze nummers kunnen voorkomen in reeksen, clusters of andere patronen die waarschijnlijk niet overeenkomen met normale klantwerving.

Het belangrijkste is de intentie: de aanvaller probeert niet primair een bruikbare verificatiecode te bemachtigen. Het doel is om factureerbaar sms-verkeer te genereren.

Daarom wordt SMS-pomping vaak gegroepeerd onder kunstmatig opgeblazen verkeer. Het verkeer is reëel vanuit het perspectief van het berichtensysteem – een applicatie heeft berichten aangevraagd en het netwerk heeft deze verwerkt – maar de onderliggende vraag van de gebruiker is kunstmatig.

De meest kwetsbare toegangspunten zijn geautomatiseerde processen waarmee een telefoonnummer op een zeer eenvoudige manier een sms-bericht kan versturen, waaronder:

- OTP en accountverificatie

- aanmeld- en registratieformulieren

- Wachtwoord opnieuw instellen en account herstellen

- processen voor promotiecodes of app-downloads

- notificatietriggers en andere geautomatiseerde berichten-eindpunten

AIT wordt sterk geassocieerd met verificatieverkeer, maar bedrijven moeten er niet van uitgaan dat OTP het enige mogelijke doelwit is. Elke publiek toegankelijke workflow die automatisch betaald sms-verkeer kan genereren, kan interessant worden voor een aanvaller.

Door de economische aspecten van de aanval te begrijpen, worden de waarschuwingssignalen gemakkelijker te interpreteren.

De eigenaar van de applicatie betaalt voor het sms-verkeer dat deze genereert. Bij een sms-pompschema stuurt de aanvaller dat verkeer naar bestemmingen waar de gegenereerde inkomsten uit berichten ten goede kunnen komen aan partijen die verbonden zijn met het nummerbereik of het downstream telecomnetwerk.

In de praktijk kunnen afspraken over winstdeling betrekking hebben op eigenaren van nummerreeksen, sms-aggregators, mobiele virtuele netwerkoperators (MVNO's) of andere deelnemers in de leveringsketen. Niet elke provider of operator in een route is bewust betrokken; sommige kunnen worden uitgebuit zonder dat ze zich bewust zijn van de fraude. Een bedrijf moet er daarom niet van uitgaan dat een provider, aggregator of bestemming die herhaaldelijk wordt gebruikt, automatisch medeplichtig is.

Vanuit het perspectief van de applicatie is het resultaat echter hetzelfde: er wordt betaald voor berichten die niet afkomstig zijn van echte gebruikers of een legitieme vraag.

Dit verklaart ook waarom een ​​pump-and-drop-aanval zich kan richten op specifieke bestemmingen of nummersblokken in plaats van willekeurig berichten te versturen naar alle klanten. Een geconcentreerd bereik kan economisch voordelig zijn voor de fraudeur, zelfs als het er vanuit het perspectief van de applicatie-eigenaar onnatuurlijk uitziet.

SMS-berichten kunnen plotseling en heftig verspreid worden, maar moderne AIT-systemen kunnen ook zo langzaam verspreid worden dat ze opgaan in het gewone verkeer. Monitoring moet zich daarom richten op combinaties van signalen in plaats van op één vaste drempelwaarde.

1. Gegroepeerde of opeenvolgende nummerreeksen. Een groep verzoeken naar aangrenzende of nauw verwante telefoonnummers is een sterk alarmsignaal. Legitieme gebruikers komen normaal gesproken met meer natuurlijke variatie. Een concentratie in één voorvoegsel, reeks, provider of bestemmingsland verdient nader onderzoek. Teams moeten echter niet alleen op opeenvolgende nummers vertrouwen, omdat meer geavanceerde aanvallers bestemmingen kunnen randomiseren over verschillende nummerreeksen.

2. Regelmatige of machinale aanvraagpatronen. De menselijke vraag is meestal onregelmatig. Bots kunnen ongebruikelijk consistent gedrag vertonen: verificatieverzoeken die met regelmatige tussenpozen binnenkomen, vergelijkbare volumes die zich gedurende bepaalde perioden herhalen, of dezelfde workflow die met weinig variatie wordt geactiveerd. Automatisering met een laag volume kan bijzonder moeilijk te herkennen zijn, omdat er mogelijk nooit een dramatische piek optreedt.

3. Activiteit tijdens perioden met weinig toezicht. Fraudepogingen kunnen worden gepland op momenten dat minder mensen de operationele dashboards actief in de gaten houden, zoals 's nachts of op andere momenten met weinig personeel. Nachtelijk verkeer is op zich niet verdacht, maar dit patroon is een van de redenen waarom fraudebestrijdingsmaatregelen continu moeten werken in plaats van afhankelijk te zijn van één persoon die een dashboard opmerkt.

4. Verkeer zonder overeenkomende verificaties of zakelijke resultaten. Als het sms-volume stijgt, maar het aantal voltooide verificaties, registraties, logins, aankopen of andere verwachte gebruikersacties niet meestijgt, verdient het verkeer aandacht. Een groeiende kloof tussen verzonden berichten en succesvolle gebruikersacties is vaak nuttiger dan alleen het ruwe verzendvolume.

5. Onverwachte geografische spreiding, vervoerders of routes. Een plotselinge toename vanuit landen, voorvoegsels of routes die niet overeenkomen met het normale klantenbestand van het bedrijf kan duiden op misbruik. Geografische afwijkingen worden betekenisvoller wanneer ze samengaan met een lage conversieratio, geclusterde aantallen of ongebruikelijke timing van aanvragen.

Deze signalen moeten worden beschouwd als bewijsmateriaal voor verder onderzoek, niet als op zichzelf staand bewijs. Nieuwere AIT-patronen kunnen bovendien een groter deel van de normale gebruikersstroom voltooien of verkeer over meerdere nummerreeksen verspreiden, waardoor detectie op basis van één enkele regel minder betrouwbaar is.

De meest voor de hand liggende schade is de kosten voor directe berichten. Elk frauduleus verzoek kan een gefactureerd sms-bericht genereren zonder dat er een echte klant aan te pas komt.

Maar de operationele impact reikt verder.

AIT kan acquisitie- en verificatiestatistieken vertekenen door nepverzoeken aan de funnel toe te voegen. Conversiepercentages kunnen dalen, zelfs als het legitieme klantgedrag niet is veranderd. De kosten per geverifieerde gebruiker kunnen stijgen. Berichtenrapporten worden onoverzichtelijker, waardoor het voor product- en operationele teams moeilijker wordt om te begrijpen wat er werkelijk gebeurt.

Grootschalige aanvallen kunnen ook de verificatie-infrastructuur en de klantenservice onder druk zetten. Als een bedrijf reageert met te brede blokkeringsregels, kunnen legitieme gebruikers hierdoor worden getroffen en te maken krijgen met afgewezen verzoeken, vertraagde OTP's of ontoegankelijke procedures voor accountherstel.

Dat leidt tot de belangrijkste afweging bij fraudepreventie: de controles moeten sterk genoeg zijn om kunstmatig verkeer te verminderen zonder dat normale verificatie een frustrerend proces wordt.

Er bestaat geen enkele beveiligingsmaatregel die elk AIT-patroon betrouwbaar stopt. Een praktische verdediging combineert beperkingen op applicatieniveau met verkeersmonitoring en berichtgeving.

1. Beperk het aantal acties dat sms-berichten activeert. Er moeten snelheidsbeperkingen worden ingesteld voordat een aanvaller herhaaldelijk betaald verkeer kan genereren. Kijk niet alleen naar het telefoonnummer. Afhankelijk van de toepassing kunnen beperkingen ook rekening houden met het account, de sessie, het apparaat, het IP-adres, het bestemmingsvoorvoegsel of andere aanvraagkenmerken. Meerdere controles maken het voor een bot moeilijker om één regel te omzeilen door simpelweg nummers te wisselen.

De limieten moeten ook de daadwerkelijke gebruikerservaring weerspiegelen. Een echte klant heeft mogelijk een nieuwe poging nodig, maar tientallen codeaanvragen in een korte tijdspanne vertegenwoordigen zelden een normale verificatieprocedure.

2. Voeg wrijving toe wanneer gedrag risicovol wordt. Normaal verkeer kan de standaardprocedure volgen, terwijl verdacht gedrag een extra uitdaging, een afkoelperiode of een strengere aanvraaglimiet kan activeren. Dit voorkomt dat noodmaatregelen worden toegepast op elke legitieme klant.

3. Monitor het conversiegedrag van verzonden berichten. Een verificatie-sms moet normaal gesproken leiden tot een zinvolle vervolgstap. Volg de relatie tussen OTP-verzoeken, succesvolle codeverificatie, voltooide aanmeldingen en andere vervolgacties.

Een verkeerspiek met een hoge conversieratio kan wijzen op een echte campagne of productgebeurtenis. Een vergelijkbare piek met vrijwel geen voltooide verificaties vertelt een heel ander verhaal.

Voor OTP-gebaseerde stromen geldt het volgende:TopMessage Verify API Het systeem kan de generatie, levering, codevalidatie, gecontroleerde herhaalpogingen en verificatierapportage binnen één verificatieproces afhandelen.

4. Gebruik nummercontroles selectief. Nummervalidatie kan helpen bij het identificeren van duidelijk slechte of ongeschikte bestemmingen, maar het mag niet worden beschouwd als een complete AIT-oplossing.

Een eenvoudige validatie van het formaat kan niet vaststellen of een correct geformatteerd nummer bij een frauduleuze constructie hoort. Geavanceerdere analyses, zoals bereikbaarheid, providerinformatie of lijntype, kunnen nuttige signalen toevoegen, maar deze controles brengen kosten met zich mee en geavanceerde aanvallers kunnen zich eraan aanpassen.

De juiste vraag is of de extra controle voldoende risicoreductie biedt voor het te beschermen verkeer. Voor een diepere analyse van deze afweging, zie Telefoonnummervalidatie voor sms: wanneer controles voorafgaand aan verzending daadwerkelijk zinvol zijn.

5. Beperk verkeer dat geen zakelijke noodzaak heeft. Als een bedrijf geen gebruikers of operationele behoefte heeft op een bepaalde bestemming, leidt het toestaan ​​van onbeperkt verificatieverkeer daar tot onnodige risico's.

Geografische, provider-, prefix- of workflowbeperkingen kunnen nuttig zijn als ze gebaseerd zijn op reële bedrijfsbehoeften en regelmatig worden geëvalueerd. Vermijd permanente, algemene blokkeringen op basis van één incident, tenzij de zakelijke argumenten dit rechtvaardigen.

Wanneer verdacht verkeer zich voordoet, is de eerste taak het inperken ervan zonder bruikbaar bewijsmateriaal te vernietigen.

Begin met het identificeren van de workflow die de berichten genereert. Vergelijk de betreffende periode met recent basisverkeer, conversies, bestemmingslanden, prefixen, providers en het tijdstip van de aanvragen. Zoek naar clusters van nummers, regelmatige aanvraagpatronen en kenmerken die verdachte aanvragen gemeen hebben.

Beperk vervolgens de blootstelling met behulp van de meest effectieve beheersmaatregel. Dat kan betekenen dat de aanvraaglimieten tijdelijk worden verlaagd, één route of geografisch gebied wordt beperkt, een extra controle wordt toegevoegd aan het betreffende formulier of een specifieke geautomatiseerde trigger wordt gepauzeerd.

Bewaar logbestanden voordat u grote wijzigingen doorvoert. Beveiligings-, product-, operationele en financiële teams hebben deze gegevens mogelijk later nodig om te begrijpen wanneer de aanval begon, hoeveel verkeer deze genereerde en of de maatregelen effectief waren.

Na het inperken van het probleem, moet u voorkomen dat u simpelweg de oude configuratie herstelt. Identificeer welke controle ontbrak en voeg monitoring toe voor dezelfde foutmodus. Het doel is niet alleen om één incident te voorkomen, maar ook om de tijd tussen abnormaal gedrag en de geautomatiseerde reactie de volgende keer te verkorten.

Oudere patronen in het versturen van sms-berichten waren vaak gemakkelijk te herkennen: duidelijke pieken in het verkeer en blokken met vergelijkbare aantallen. Die signalen zijn nog steeds nuttig, maar ze zijn op zichzelf niet voldoende.

AIT kan zich over tijd, bestemmingen, providers, apparaten en sessies verspreiden. Aanvallers kunnen ook delen van legitiem gedrag imiteren. Dat betekent dat een effectief fraudebestrijdingsprogramma verschillende signalen met elkaar moet vergelijken: verkeersvolume, aanvraagsnelheid, getallenpatronen, geografische locatie, conversie, historische basislijnen en de context van de workflow die wordt misbruikt.

De meest nuttige controlemechanismen zijn ook gelaagd. Snelheidslimieten beperken de snelheid waarmee misbruik kan toenemen. Op risico gebaseerde frictie maakt automatisering lastiger. Verificatierapportage legt de kloof bloot tussen verzonden berichten en gebruikers die het proces daadwerkelijk voltooien. Bestemmings- en nummerinformatie kan extra context bieden wanneer de economie dit rechtvaardigt.

SMS-fraude is uiteindelijk een probleem van kunstmatige vraag. Bedrijven betalen voor berichtenverkeer dat er legitiem genoeg uitziet om in het systeem terecht te komen, maar dat niet afkomstig is van een echte klant.

De beste verdediging is daarom niet één perfecte blokkeerlijst. Het is een berichtenstroom die weet hoe normaal gebruikersgedrag eruitziet, opmerkt wanneer het verkeer niet meer aan dat gedrag voldoet en kan reageren voordat kunstmatige verzoeken tot een hoge rekening leiden.