Frode AIT spiegata: come gli attaccanti prosciugano il tuo budget OTP

Da qualche parte nel tuo funnel di registrazione c'è un endpoint che invia un messaggio di testo a chiunque lo richieda — senza bisogno di login, per design, perché lo scopo è proprio verificare qualcuno prima che abbia un account. È esattamente questo che lo rende redditizio da attaccare. Lo schema si chiama frode da Traffico Artificialmente Gonfiato (AIT), a volte chiamato SMS pumping, e le stime di settore indicano un danno pari a circa 1,6 miliardi di dollari all'anno. La maggior parte dei team non ne ha mai sentito parlare finché la bolletta SMS non schizza senza motivo apparente.

Ecco come funziona davvero, perché è così difficile da individuare e cosa lo ferma sul serio.

Cos'è la frode AIT

La frode AIT non prende di mira i tuoi utenti — prende di mira direttamente il tuo endpoint OTP. Un truffatore controlla, o ha un accordo di condivisione dei ricavi con, una rotta di terminazione a tariffa premium: un intervallo di numeri di telefono dove l'operatore locale (o un reseller di "gray route" posizionato tra il tuo provider SMS e l'operatore) incassa una tariffa di terminazione per ogni messaggio consegnato. Il truffatore usa quindi bot o script per attivare migliaia di volte il tuo endpoint "invia codice di verifica" contro numeri su quella rotta.

Il tuo provider SMS consegna i messaggi — o segnala di averlo fatto — e ti addebita ogni messaggio. Una quota di quanto hai pagato torna a chiunque controlli la rotta di destinazione. Nessuno inserisce mai il codice. Nessuno ne aveva bisogno. La frode è completa nel momento in cui il messaggio viene inviato.

Perché è così difficile da individuare

Una singola richiesta OTP fraudolenta è identica a una vera: un numero di telefono, una chiamata API, nessuna password, nessun account da segnalare come compromesso. Su scala di migliaia di numeri e distribuita su molti IP, si mimetizza quasi perfettamente nel traffico di registrazione normale. Nemmeno le difese di base aiutano molto — il CAPTCHA rallenta gli script ingenui ma non un'operazione finanziata che usa proxy residenziali, e il rate-limiting basato solo sull'IP è facile da aggirare.

Il segnale rivelatore di solito emerge solo a posteriori nei numeri: il volume di invii di verifica che cresce mentre le registrazioni effettive restano piatte, i costi di consegna concentrati su una manciata di prefissi internazionali poco familiari, e i tassi di completamento (codici effettivamente inseriti) che crollano per un sottoinsieme di traffico. Quando questo emerge nella fattura mensile, il danno è già fatto.

Schemi di attacco comuni

• Abuso di registrazione tramite bot — script che martellano un modulo pubblico di registrazione o reimpostazione password solo per attivare invii OTP, senza mai completare il flusso.
• Targeting delle rotte — il traffico è indirizzato in modo sproporzionato verso destinazioni premium o insolite, poiché è lì che il payout di terminazione è più alto.
• Sfruttamento di gray route — la frode è più semplice dove un messaggio SMS passa attraverso più reseller prima di raggiungere un operatore; più passaggi significano più opportunità per qualcuno nella catena di trarre profitto dal volume gonfiato.
• Campagne "low-and-slow" — alcune operazioni restano deliberatamente sotto le soglie evidenti di rate-limit, distribuendo le richieste nel tempo e su più intervalli IP per evitare del tutto il rilevamento.

Cosa lo ferma davvero

Nessuna di queste misure è esotica — sono la stessa igiene di base in cui la maggior parte dei team sotto-investe finché non gliela fa pagare:

• Rate limiting per numero di telefono e dispositivo, non solo per IP — un utente reale non richiede cinque codici in dieci secondi.
• CAPTCHA o proof-of-work prima dell'invio dell'OTP, in particolare sugli endpoint non autenticati come registrazione e reimpostazione password.
• Validazione del numero di telefono prima dell'invio — una verifica carrier/HLR intercetta intervalli di numeri non validi, irraggiungibili o noti per abusi prima che tu paghi per contattarli.
• Monitoraggio di consegne e costi con avvisi di anomalia — segnala picchi improvvisi di volume verso Paesi poco familiari, non solo i totali mensili quando arriva la fattura.
• Meno reseller nel percorso di consegna — ogni passaggio tramite gray route tra il tuo provider e l'operatore di destinazione è un potenziale partecipante alla catena di payout della frode.

Quest'ultimo punto è la correzione strutturale, non solo un palliativo. Ed è anche dove la scelta del canale conta più di quanto la maggior parte dei team si renda conto.

Perché Verify Call elimina il problema alla radice

La frode AIT è fondamentalmente uno sfruttamento della tariffa di terminazione SMS — dipende dal fatto che un messaggio sia fatturabile e instradabile attraverso una catena in cui qualcuno a valle trae profitto dal volume. Verify Call non ha questa economia. Non c'è alcun testo SMS da instradare attraverso gray route rivendibili, né alcuna tariffa di terminazione per messaggio da sottrarre per un truffatore; il "codice" è un ID chiamante su una chiamata vocale diretta sull'infrastruttura dell'operatore, non un payload fatturabile che viaggia attraverso intermediari. Per questo non si limita a rendere l'AIT più difficile — elimina completamente la superficie di attacco.

Per il traffico SMS che continui a inviare — ad esempio tramite rotte di fallback WhatsApp o Telegram — instradare attraverso meno intermediari conta comunque. Novauth si connette direttamente alle reti degli operatori tier-1 tramite SS7 e SIP protetti, invece di rivendere tramite aggregatori gray route, e ogni invio viene registrato con operatore, durata ed esito, così un volume anomalo è visibile nella tua dashboard, non sepolto nella fattura del mese successivo.

In sintesi

La frode AIT prospera su due elementi: un endpoint non autenticato che invia qualcosa di fatturabile, e abbastanza passaggi nel percorso di consegna perché qualcuno tragga profitto dal volume gonfiato. Non puoi eliminare il primo senza rompere il tuo prodotto — la verifica deve funzionare prima che esista un login. Ma puoi eliminare il secondo, sia irrobustendo il percorso SMS che già usi, sia spostando il tuo canale di verifica principale su uno in cui lo sfruttamento semplicemente non si applica.

Confronta i canali su pricing, approfondisci su security, oppure scopri come funziona Verify Call end to end.