احتيال ضخ الرسائل النصية: كيف يمكن لنموذج التحقق من الهاتف أن يستنزف بهدوء ميزانية الرسائل في موقع إعلانات مبوبة
تصل فاتورة الرسائل النصية، وتكون ثلاثة أو أربعة أضعاف المعتاد. لم يتغير شيء آخر: عدد المعلنين الجدد يبدو طبيعيا، لوحة الإعلانات تبدو طبيعية، حساب الدفع لا يظهر أي نشاط غير معتاد. الشك الأول الطبيعي هو خطأ في الفوترة، فيفتح المشغل تذكرة دعم لدى مزود الرسائل وينتظر. الرد الذي يأتي أسوأ من خطأ في الفوترة، لأنه يعني أن كل رسالة من تلك الرسائل قد أُرسلت فعلا، ومزود الخدمة لن يعيد رسوم نص تم تسليمه فعليا.
لما حدث اسم: ضخ الرسائل النصية، ويُعرف أيضا باحتيال رسوم الرسائل النصية أو حركة المرور المضخّمة اصطناعيا. يستهدف بالضبط ذلك النوع من النماذج التي يعتمد عليها دليل الإعلانات المبوبة للحفاظ على مصداقية الإعلانات، حيث يكتب المعلن رقم هاتف ويضغط زرا يقول أرسل الرمز. تحدث هذا المدونة من قبل عن سبب وجود هذا التحقق أصلا، إذ إن التحقق من الهاتف والهوية هو ما يمنع فعليا لوحة الإعلانات من الامتلاء بحسابات وهمية. الاحتيال الموصوف هنا لا يهتم بالإعلان على الإطلاق. كل ما يهمه هو الزر.
كيف يعمل الاحتيال فعليا
ضخ الرسائل النصية هو نسخة من مخطط اتصالات أقدم بكثير يُسمى الاحتيال الدولي بتقاسم الإيرادات، والآلية ليست معقدة بمجرد شرحها. يعقد المحتال اتفاقا، رسميا أو مُستغَلا، مع شركة اتصالات تربح من رسوم إنهاء الرسائل، غالبا في بلد بعيد عن مكان عمل الموقع. يستخدم المحتال بعد ذلك روبوتات لتفعيل إجراء إرسال الرمز في الموقع مرارا وتكرارا، مستهدفا أرقام هواتف حقيقية موجودة على شبكة تلك الشركة. كل رقم من هذه الأرقام هو شريحة اتصال نشطة قادرة على استقبال رسالة نصية، لذا فإن الرسائل لا ترتد ولا تفشل. إنها تصل.
لأن الرسائل تُسلَّم فعليا، لا توجد أي إشارة احتيال من جهة الاتصالات تدفع شركة الاتصالات لرفض إرسالها أو مزود الرسائل لرفض فوترتها. تحصل شركة الاتصالات على رسم إنهاء عن كل رسالة تسلّمها، وبموجب اتفاقية تقاسم الإيرادات، تعود حصة من ذلك الرسم إلى من يدير حركة الروبوتات. الموقع الذي يدفع ثمن الرسائل هو، من منظور الشبكة، مجرد عميل طلب إرسال عدد كبير جدا من الرسائل النصية. لا أحد في أعلى السلسلة لديه سبب لإيقاف ذلك من تلقاء نفسه.
لا يوجد طرف في أعلى السلسلة لديه دافع لإيقاف هذا بمبادرة منه، وهذا تفصيل يستحق التوقف عنده. تُدفع لشركة الاتصالات أموال مقابل رسائل تسلّمها فعليا، لذا لا يبدو في سجلاتها أي خطأ. تقف واجهة برمجة الرسائل بين الموقع وشركة الاتصالات وتفوتر بأمانة ما طُلب منها إرساله. مسؤولية ملاحظة أن حركة المرور الواصلة إلى نموذج التسجيل لا تشبه المعلنين تقع في النهاية على الطرف الوحيد الذي يملك الدافع والرؤية لملاحظتها: الموقع الذي يدفع الفاتورة.
ما يجعل هذا جذابا للمحتالين، ومكلفا لدليل إعلانات، هو أن شيئا من هذا لا يتطلب حسابا حقيقيا. لا يحتاج الروبوت لإكمال التحقق، ولا لنشر إعلان، والرمز لا يحتاج أبدا لأن يُكتب في مربع. كل ما يحتاجه هو أن يقبل نموذج الموقع رقم هاتف ويرسل رسالة. مسار تسجيل لا يُكمل ولو تحققا ناجحا واحدا يمكنه رغم ذلك أن يولّد شهرا كاملا من حركة مرور قابلة للفوترة.
لماذا تصل الفاتورة قبل أي شيء آخر
معظم واجهات برمجة التطبيقات للرسائل والتحقق، ومنها تلك الخاصة بشركة تويليو، تفرض رسوما عن كل رسالة مُرسَلة أو تمت محاولة إرسالها، لا عن التحقق الذي اكتمل فعليا. هذا النموذج في الفوترة ليس عيبا في تصميم مزوّد بعينه: هكذا تفرض شبكة الهاتف الأساسية أصلا رسوما على الموقع مقابل تسليم رسالة، وواجهة البرمجة تمرر هذه التكلفة فحسب. الأثر العملي هو أن حملة احتيال تكلّف المشغل مالا منذ أول رسالة، قبل ساعات أو أيام من أن يلاحظ أحد أن معدل إتمام التسجيل في النموذج قد انهار بهدوء.
الحجم الذي يمكن أن يصل إليه هذا ليس نظريا. في ديسمبر 2022، صرّح إيلون ماسك علنا، خلال جلسة على تويتر سبيسز، بأن تويتر كانت تخسر نحو ستين مليون دولار سنويا بسبب هذا المخطط بالتحديد، وذكر نحو 390 شركة اتصالات قال إنها متورطة في تضخيم حركة مرور احتيالية للتحقق بخطوتين موجهة نحو المنصة. كان هذا الرقم تصريحا خاصا بماسك، وليس إفصاحا شركاتيا مدققا، لكن الاستجابة كانت حقيقية وتم تناولها إعلاميا بعيدا عن تسويق شركات مكافحة الاحتيال: قطعت تويتر علاقاتها مع شركات الاتصالات التي بدت حركة مرورها احتيالية، وبعد بضعة أشهر قصرت التحقق المجاني بخطوتين عبر الرسائل النصية على المشتركين المدفوعين بسبب التكلفة تحديدا. شركة بحجم تويتر وطاقمها التقني احتاجت مع ذلك أشهرا لملاحظة الأمر والتفاعل معه. دليل إعلانات يعمل بحساب رسائل مستقل واحد، بلا فريق مكافحة احتيال يقرأ السجلات كل صباح، لديه إنذار مبكر مدمج أقل بكثير.
الرقم الذي يكشف الاحتيال فعليا ليس حجم الرسائل المُرسَلة، لأن دفعة تسويقية حقيقية أو أسبوعا مزدحما فعلا يمكنهما أيضا أن يرفعا ذلك الرقم. إنها النسبة بين الرموز المُرسَلة والرموز التي أُدخلت بنجاح. معدل إتمام يتراجع بهدوء عن قيمته المعتادة، حتى مع ارتفاع الحجم الكلي، هو الإشارة إلى أن حركة المرور الواصلة إلى النموذج ليست مكونة من أشخاص ينوون إنهاء التسجيل.
لماذا يمثل نموذج الإعلانات المفتوح بالضبط الفئة المستهدفة
لدى دليل الإعلانات المبوبة سبب بنيوي لجعل زر إرسال الرمز سهل الوصول: أي احتكاك يُضاف إلى تسجيل معلن لأول مرة يكلّف تحويلات، وقد شرحت هذه المدونة من قبل لماذا يستحق ذلك الاحتكاك حماية دقيقة عند الباب بالذات حتى قبل أن يدخل الدفع في الصورة. خطوة تحقق هاتفي سريعة ومُرحِّبة لمعلن حقيقي هي، بنفس التصميم، سريعة ومُرحِّبة أيضا لروبوت لا نية لديه إطلاقا لأن يصبح واحدا.
التعرض أيضا أكثر حدة بالنسبة لمشغّل صغير ومستقل مما يبدو من الخارج. تتفاوض منصة كبيرة على أسعار حسب الحجم وعادة ما يكون لديها عقد يتضمن قدرا من مراقبة الاحتيال كجزء من العلاقة. دليل يمرر مسار تسجيله عبر واجهة برمجة رسائل قياسية بالدفع حسب الاستخدام ليس لديه مثل تلك الوسادة: تُفوتر كل رسالة احتيالية بنفس سعر الرسالة الذي تُفوتر به كل رسالة مشروعة، مباشرة على البطاقة المسجلة، من دون شيء يمتص الارتفاع المفاجئ إلى أن يلاحظ إنسان الفاتورة.
لا شيء من هذا يعني أن حظر بادئة دولة قرار يُضبط مرة واحدة ويُنسى. دليل يتوسع إلى مدينة جديدة، أو يجذب معلنين يسافرون، قد يجد مجموعة مشروعة من التسجيلات خلف بادئة حُظرت لسبب وجيه قبل عام. معاملة قائمة البادئات المقيَّدة كشيء يُعاد النظر فيه كل بضعة أشهر، إلى جانب كل ما يُراجَع بنفس الوتيرة، يمنع الدفاع من التحول بهدوء إلى مصدر ثان لتسجيلات مفقودة.
هذا عطل مختلف عن ذلك الذي وصفته هذه المدونة عندما تناولت لماذا لا تصل رسالة التحقق عبر البريد الإلكتروني أحيانا إطلاقا إلى صندوق وارد المعلن. كان ذلك المقال عن رسالة تفشل بصمت، ولا تكلّف شيئا سوى تسجيل مفقود. هذا عن رسالة تنجح بصخب، تصل تماما كما هو مقصود، وتكلّف مالا حقيقيا في كل مرة يحدث فيها ذلك.
ما الذي يوقفه فعليا
الطبقة الأولى هي تحديد المعدل على إجراء إرسال الرمز نفسه، مُطبَّق من جانب الخادم لا موكولا إلى المتصفح: سقف صارم على عدد الرموز التي يمكن لعنوان IP واحد أو جلسة واحدة أو رقم هاتف واحد طلبها خلال نافذة زمنية قصيرة. هذا وحده لن يوقف شبكة روبوتات موزعة تستخدم عناوين IP كثيرة، لكنه يزيل النسخة الأرخص والأكسل من الهجوم ويجبر أي شيء أكثر إصرارا على بذل جهد أكبر.
الطبقة الثانية هي فحص مضاد للروبوتات يوضع قبل إطلاق إجراء الإرسال، لا بعده: شيء يؤكد أن إنسانا هو من أطلق الطلب من دون أن يُطلب من ذلك الإنسان حل أي شيء مزعج، مثل تحدٍّ غير مرئي يقيّم الطلب في الخلفية. لأن الاحتيال بأكمله يعتمد على إطلاق عمليات الإرسال آليا وبكميات كبيرة، فإن أي شيء يبطئ بشكل ملموس الإطلاق الآلي يقلل مباشرة من تكلفة الهجوم، حتى لو سمح لبعض الروبوتات بالمرور.
الطبقة الثالثة هي تطبيق احتكاك، وليس بالضرورة حظرا تاما، على بادئات أرقام الهاتف التي لا تستخدمها قاعدة المعلنين الحقيقية لدليل ما تقريبا أبدا. موقع يخدم مدنا في بلد واحد لديه سبب ضئيل لقبول، من دون فحص ثانٍ، موجة من طلبات التحقق موجهة إلى بادئة دولة لم يكن لقاعدة المعلنين فيها أي حضور يُذكر إطلاقا.
الطبقة الرابعة هي تفعيل أي حماية من الاحتيال يقدّمها مزود الرسائل بالفعل بدلا من افتراض أن الإعدادات الافتراضية تغطي ذلك. تقدّم تويليو، كمثال ملموس، ميزة تُسمى Verify Fraud Guard تحلل أنماط حركة المرور لاكتشاف نشاط الضخ المشتبه به وحظره تلقائيا، وهي مُفعَّلة افتراضيا لعملاء Verify، مع مستويات حماية قابلة للتعديل تستبدل نسبة صغيرة من الإيجابيات الكاذبة بنسبة أعلى من الحظر. التأكد من أن ميزة كهذه مُفعَّلة، ومضبوطة على مستوى مناسب لحركة المرور الحقيقية للموقع، لا يكلّف شيئا ويلتقط ما ستفوّته منطق الموقع الخاص.
الطبقة الخامسة هي تنبيه إنفاق يُضبط مباشرة مع المزود، لا يُكتشف بعد شهر في فاتورة. عتبة تُطلق إشعارا بمجرد أن يتجاوز الإنفاق اليومي على الرسائل مستوى ليس له تفسير عادي تحوّل حملة احتيال كانت ستسير بصمت لأسابيع إلى واحدة تُلاحظ في غضون ساعات.
ما الذي يجب فعله هذا الأسبوع
استخرج سجلات الرسائل من الشهر الماضي واحسب النسبة الفعلية بين الرموز المُرسَلة والرموز التي تم التحقق منها بنجاح، لا الحجم الكلي وحده. رقم يبدو مقبولا إجمالا قد لا يزال يخفي أسبوعا معينا أو بادئة دولة معينة انهارت فيها النسبة. هذا الحساب وحده سيخبر المشغل عن كون هذا الاحتيال يحدث بالفعل أكثر من أي شيء آخر في هذا المقال.
ثم تحقق من ثلاثة إعدادات مباشرة مع مزود الرسائل: هل حماية من الاحتيال مثل Fraud Guard مُفعَّلة وعلى أي مستوى، هل يوجد تنبيه إنفاق وعند أي عتبة، وهل لنقطة نهاية إرسال الرمز حد معدل من جانب الخادم لا يعتمد على أي شيء يمكن إخبار المتصفح بتجاهله. لا يتطلب أي من هذه الفحوصات الثلاثة برمجيات جديدة أو علاقة جديدة مع مزود، فقط الوقت اللازم لسؤال المزود مباشرة وقراءة الرد الذي يأتي.
