SMS पंपिंग धोखाधड़ी: कैसे एक फोन वेरिफिकेशन फॉर्म किसी क्लासिफाइड साइट के मैसेजिंग बजट को चुपचाप खाली कर सकता है

SMS का बिल आता है, और यह सामान्य से तीन या चार गुना ज्यादा है। बाकी कुछ भी नहीं बदला: नए विज्ञापनदाताओं की संख्या सामान्य दिखती है, लिस्टिंग बोर्ड सामान्य दिखता है, पेमेंट अकाउंट में कोई असामान्य गतिविधि नहीं दिखती। सबसे पहला स्वाभाविक शक बिलिंग की गलती का होता है, इसलिए ऑपरेटर मैसेजिंग प्रोवाइडर के पास सपोर्ट टिकट खोलता है और इंतजार करता है। जो जवाब आता है वह बिलिंग गलती से भी बुरा है, क्योंकि इसका मतलब है कि उनमें से हर एक मैसेज वाकई भेजा गया था, और प्रोवाइडर उस टेक्स्ट का चार्ज वापस नहीं करेगा जो सचमुच डिलीवर हुआ था।

जो हुआ उसका एक नाम है: SMS पंपिंग, जिसे SMS टोल फ्रॉड या कृत्रिम रूप से बढ़ाया गया ट्रैफिक भी कहा जाता है। यह ठीक उसी तरह के फॉर्म को निशाना बनाता है जिस पर एक क्लासिफाइड डायरेक्टरी लिस्टिंग को ईमानदार रखने के लिए निर्भर करती है, वह फॉर्म जहां विज्ञापनदाता फोन नंबर टाइप करता है और सेंड कोड लिखे बटन पर टैप करता है। इस ब्लॉग ने पहले ही बताया है कि यह जांच सिरे से क्यों है, क्योंकि फोन और पहचान की जांच ही असल में लिस्टिंग बोर्ड को फर्जी अकाउंट से भरने से रोकती है। यहां बताई गई धोखाधड़ी को लिस्टिंग से कोई मतलब नहीं है। इसे सिर्फ बटन से मतलब है।

यह धोखाधड़ी असल में कैसे काम करती है

SMS पंपिंग एक बहुत पुरानी टेलीकॉम स्कीम का एक रूप है जिसे इंटरनेशनल रेवेन्यू शेयर फ्रॉड कहा जाता है, और एक बार इसे खोलकर देखा जाए तो यह तंत्र कतई पेचीदा नहीं है। एक धोखेबाज किसी ऐसे कैरियर के साथ समझौता करता है, जो चाहे औपचारिक हो या शोषित, जो मैसेज टर्मिनेशन फीस पर कमाता है, अक्सर उस देश से बहुत दूर जहां कारोबार चल रहा है। इसके बाद धोखेबाज बॉट्स का इस्तेमाल करके साइट के सेंड कोड एक्शन को बार-बार ट्रिगर करता है, उन असली फोन नंबरों को निशाना बनाकर जो उस कैरियर के नेटवर्क पर मौजूद हैं। इनमें से हर नंबर एक सक्रिय सिम कार्ड है जो टेक्स्ट पा सकता है, इसलिए मैसेज बाउंस नहीं होते और फेल नहीं होते। वे पहुंच जाते हैं।

क्योंकि मैसेज वाकई डिलीवर होते हैं, टेलीकॉम की तरफ ऐसा कोई फ्रॉड सिग्नल नहीं होता जो किसी कैरियर को उन्हें भेजने से मना करने पर या किसी मैसेजिंग प्रोवाइडर को उनका बिल बनाने से मना करने पर मजबूर करे। कैरियर हर डिलीवर हुए मैसेज पर टर्मिनेशन फीस लेता है, और रेवेन्यू-शेयर समझौते के तहत उस फीस का एक हिस्सा उसी के पास वापस जाता है जो बॉट ट्रैफिक चला रहा है। मैसेज का पैसा देने वाला कारोबार, नेटवर्क की नजर से, बस एक ऐसा ग्राहक है जिसने बहुत बड़ी संख्या में टेक्स्ट भेजने को कहा है। कारोबार के ऊपर की किसी भी कड़ी के पास इसे खुद रोकने की कोई वजह नहीं है।

कारोबार के ऊपर की कोई भी पार्टी अपनी तरफ से यह रोकने के लिए प्रेरित नहीं है, और यह एक ऐसी बात है जिस पर रुककर सोचना जरूरी है। कैरियर को उन मैसेजों के लिए भुगतान मिल रहा है जो वह वाकई डिलीवर कर रहा है, इसलिए उसके रिकॉर्ड में कुछ भी गलत नहीं दिखता। मैसेजिंग API कारोबार और कैरियर के बीच बैठता है और जो भेजने को कहा गया उसका ईमानदारी से बिल बनाता है। साइन-अप फॉर्म पर आ रहे ट्रैफिक का विज्ञापनदाताओं जैसा न दिखना नोटिस करने की जिम्मेदारी आखिरकार उसी अकेली पार्टी पर आ टिकती है जिसके पास ऐसा नोटिस करने की वजह और नजर दोनों हैं: वह कारोबार जो बिल चुकाता है।

जो चीज इसे धोखेबाजों के लिए आकर्षक और किसी डायरेक्टरी के लिए महंगा बनाती है, वह यह है कि इसमें से किसी को भी असली अकाउंट की जरूरत नहीं होती। बॉट को वेरिफिकेशन पूरा करने की जरूरत नहीं, कोई लिस्टिंग पोस्ट करने की जरूरत नहीं, और कोड को कभी किसी बॉक्स में टाइप करने की जरूरत नहीं। उसे बस इतना चाहिए कि साइट का फॉर्म फोन नंबर स्वीकार करे और मैसेज भेज दे। एक साइन-अप फ्लो जो कभी एक भी सफल वेरिफिकेशन पूरा नहीं करता, वह भी पूरे एक महीने का बिल लायक ट्रैफिक बना सकता है।

बिल बाकी हर चीज से पहले क्यों पहुंचता है

ज्यादातर SMS और वेरिफिकेशन API, जिनमें Twilio का भी शामिल है, भेजे गए या कोशिश किए गए मैसेज पर चार्ज लेते हैं, न कि वाकई पूरे हुए वेरिफिकेशन पर। यह बिलिंग मॉडल किसी एक वेंडर की डिजाइन में खामी नहीं है: यह वैसे ही है जैसे अंदर का फोन नेटवर्क पहले से ही मैसेज डिलीवर करने के लिए कारोबार से चार्ज लेता है, और API बस उस लागत को आगे बढ़ा देता है। इसका व्यावहारिक असर यह है कि एक धोखाधड़ी अभियान पहले ही मैसेज से ऑपरेटर का पैसा खर्च करना शुरू कर देता है, उससे कई घंटे या दिन पहले कि किसी को पता चले कि साइन-अप फॉर्म पर पूरा होने की दर चुपचाप गिर चुकी है।

यह जिस पैमाने तक पहुंच सकता है वह काल्पनिक नहीं है। दिसंबर 2022 में, एलन मस्क ने एक Twitter Spaces सेशन के दौरान सार्वजनिक रूप से कहा कि Twitter ठीक इसी स्कीम की वजह से हर साल करीब साठ मिलियन डॉलर गंवा रहा था, और उन्होंने करीब 390 टेलीकॉम ऑपरेटरों के नाम लिए जो उनके मुताबिक प्लेटफॉर्म की तरफ फर्जी टू-फैक्टर ऑथेंटिकेशन ट्रैफिक बढ़ाने में शामिल थे। यह आंकड़ा मस्क का अपना दावा था, न कि कोई ऑडिट की हुई कंपनी की जानकारी, लेकिन जवाब असली था और फ्रॉड-रोकथाम मार्केटिंग से कहीं आगे रिपोर्ट किया गया: Twitter ने उन कैरियरों से संबंध तोड़ दिए जिनका ट्रैफिक धोखाधड़ी जैसा लग रहा था, और कुछ महीनों बाद खर्च की वजह से ही मुफ्त SMS-आधारित टू-फैक्टर ऑथेंटिकेशन को भुगतान करने वाले सब्सक्राइबरों तक सीमित कर दिया। Twitter जैसे वॉल्यूम और तकनीकी स्टाफ वाली कंपनी को भी इसे नोटिस करने और प्रतिक्रिया देने में महीनों लग गए। एक ऐसी डायरेक्टरी जो एक अकेले स्वतंत्र मैसेजिंग अकाउंट पर चलती है, जिसमें हर सुबह लॉग पढ़ने वाली कोई फ्रॉड टीम नहीं है, उसके पास बहुत कम अंतर्निहित चेतावनी होती है।

जो आंकड़ा असल में धोखाधड़ी को उजागर करता है वह भेजे गए मैसेजों की संख्या नहीं है, क्योंकि एक असली मार्केटिंग पुश या सचमुच व्यस्त हफ्ता भी उस संख्या को बढ़ा सकता है। यह भेजे गए कोड और सफलतापूर्वक डाले गए कोड के बीच का अनुपात है। पूरा होने की दर का अपने सामान्य स्तर से चुपचाप गिरना, तब भी जब कुल वॉल्यूम बढ़ रहा हो, यह संकेत है कि फॉर्म पर आ रहा ट्रैफिक उन लोगों का नहीं बना है जो साइन-अप पूरा करने का इरादा रखते हैं।

एक खुला लिस्टिंग फॉर्म ठीक निशाने वाली प्रोफाइल क्यों है

एक क्लासिफाइड डायरेक्टरी के पास सेंड कोड बटन को आसानी से पहुंच में रखने की एक संरचनात्मक वजह है: पहली बार आए विज्ञापनदाता के साइन-अप में जोड़ा गया कोई भी घर्षण कन्वर्जन का नुकसान करता है, और इस ब्लॉग ने पहले ही समझाया है कि वह घर्षण दरवाजे पर ही ध्यान से बचाने लायक क्यों है, वह भी पेमेंट तस्वीर में आने से पहले। एक असली विज्ञापनदाता के लिए तेज और स्वागत करने वाला फोन वेरिफिकेशन स्टेप, उसी डिजाइन की वजह से, उस बॉट के लिए भी उतना ही तेज और स्वागत करने वाला है जिसकी असली बनने की कोई मंशा ही नहीं है।

एक छोटे, स्वतंत्र ऑपरेटर के लिए भी यह जोखिम बाहर से दिखने से कहीं ज्यादा तीखा है। एक बड़ा प्लेटफॉर्म वॉल्यूम प्राइसिंग पर बातचीत करता है और आमतौर पर उसके पास ऐसा कॉन्ट्रैक्ट होता है जिसमें रिश्ते के हिस्से के रूप में कुछ फ्रॉड मॉनिटरिंग शामिल होती है। एक डायरेक्टरी जो अपना साइन-अप फ्लो एक स्टैंडर्ड पे-एज-यू-गो मैसेजिंग API से चलाती है, उसके पास ऐसा कोई कुशन नहीं होता: हर धोखाधड़ी वाले मैसेज का बिल हर असली मैसेज जितनी ही प्रति-मैसेज दर पर बनता है, सीधे रजिस्टर किए गए कार्ड पर, और तब तक कुछ भी उछाल को सोख नहीं पाता जब तक कोई इंसान इनवॉइस पर नजर न डाले।

इसका यह मतलब नहीं कि किसी देश के कोड को ब्लॉक करना एक बार सेट करके भूल जाने वाला फैसला है। एक डायरेक्टरी जो किसी नए शहर में फैल रही है, या ऐसे विज्ञापनदाता पा रही है जो यात्रा करते हैं, उसे ऐसे कोड के पीछे साइन-अप का एक असली समूह मिल सकता है जिसे एक साल पहले अच्छी वजह से ब्लॉक किया गया था। प्रतिबंधित कोड की लिस्ट को हर कुछ महीने में दोबारा देखने लायक चीज मानना, उसी लय में दोबारा देखी जाने वाली बाकी हर चीज के साथ, इस बचाव को चुपचाप खोए हुए साइन-अप के दूसरे स्रोत में बदलने से रोकता है।

यह उस गड़बड़ी से अलग है जिसका जिक्र इस ब्लॉग ने तब किया था जब उसने बताया था कि वेरिफिकेशन ईमेल कभी-कभी विज्ञापनदाता के इनबॉक्स तक पहुंचता ही क्यों नहीं है। वह लेख एक ऐसे मैसेज के बारे में था जो चुपचाप फेल होता है, और जिसकी कीमत बस एक खोए हुए साइन-अप जितनी होती है। यह लेख एक ऐसे मैसेज के बारे में है जो शोर मचाकर कामयाब होता है, ठीक उसी तरह पहुंचता है जैसा इरादा था, और हर बार ऐसा होने पर असली पैसे खर्च करवाता है।

इसे असल में कौन सी चीज रोकती है

पहली परत खुद सेंड कोड एक्शन पर रेट लिमिटिंग है, जो सर्वर पर लागू होती है न कि ब्राउजर पर भरोसा करती है: एक सख्त सीमा कि कोई एक IP पता, सेशन या फोन नंबर कम समय की विंडो में कितने कोड मांग सकता है। यह अकेले कई IP पतों का इस्तेमाल करने वाले डिस्ट्रिब्यूटेड बॉट नेटवर्क को नहीं रोकेगी, लेकिन यह हमले का सबसे सस्ता, सबसे आलसी वर्जन हटा देती है और ज्यादा जिद्दी हमले को ज्यादा मेहनत करने पर मजबूर करती है।

दूसरी परत एक बॉट चेक है जो सेंड एक्शन के ट्रिगर होने से पहले लगाई जाती है, बाद में नहीं: कुछ ऐसा जो पुष्टि करे कि रिक्वेस्ट किसी इंसान ने शुरू की, बिना उस इंसान से कुछ भी परेशान करने वाला हल करवाए, जैसे एक अदृश्य चैलेंज जो बैकग्राउंड में रिक्वेस्ट को स्कोर करता है। क्योंकि पूरी धोखाधड़ी ऑटोमेटिक और बड़े वॉल्यूम में सेंड ट्रिगर करने पर निर्भर करती है, कोई भी चीज जो ऑटोमेटेड ट्रिगरिंग को साफ तौर पर धीमा करती है, वह हमले की लागत सीधे बढ़ा देती है, भले ही कुछ बॉट निकल जाएं।

तीसरी परत उन फोन नंबर प्रीफिक्स पर घर्षण लगाना है, जरूरी नहीं कि सीधा ब्लॉक ही हो, जिन्हें किसी डायरेक्टरी का असली विज्ञापनदाता आधार लगभग कभी इस्तेमाल ही नहीं करता। एक देश के शहरों को सर्व करने वाली साइट के पास दूसरी जांच के बिना उस देश कोड की तरफ आने वाली वेरिफिकेशन रिक्वेस्ट की लहर स्वीकार करने की बहुत कम वजह है जहां विज्ञापनदाता आधार की कभी कोई मायने रखने वाली मौजूदगी नहीं रही।

चौथी परत मैसेजिंग प्रोवाइडर पहले से जो भी फ्रॉड प्रोटेक्शन देता है उसे चालू करना है, यह मान लेने के बजाय कि डिफॉल्ट सेटिंग्स ही इसे संभाल लेंगी। Twilio, एक ठोस उदाहरण के तौर पर, Verify Fraud Guard नाम का एक फीचर देता है जो ट्रैफिक पैटर्न का विश्लेषण करके संदिग्ध पंपिंग एक्टिविटी को पहचानता और अपने आप ब्लॉक करता है, और यह Verify ग्राहकों के लिए डिफॉल्ट रूप से चालू रहता है, साथ ही एडजस्टेबल प्रोटेक्शन लेवल भी देता है जो झूठे पॉजिटिव की एक छोटी दर के बदले ब्लॉकिंग की ज्यादा दर देते हैं। यह पुष्टि करना कि ऐसा फीचर चालू है, और साइट के असली ट्रैफिक के हिसाब से सही लेवल पर सेट है, इसमें कोई खर्च नहीं लगता और यह वह पकड़ लेता है जिसे साइट का अपना लॉजिक छोड़ देगा।

पांचवी परत एक स्पेंड अलर्ट है जो सीधे प्रोवाइडर के साथ सेट किया जाता है, न कि एक महीने बाद इनवॉइस पर मिलता है। एक थ्रेशोल्ड जो नोटिफिकेशन तब भेजता है जब रोजाना का मैसेजिंग खर्च ऐसे स्तर को पार कर जाए जिसकी कोई सामान्य वजह न हो, वह एक ऐसे धोखाधड़ी अभियान को जो वरना हफ्तों तक चुपचाप चलता रहता, कुछ ही घंटों में पकड़े जाने वाले अभियान में बदल देता है।

इस हफ्ते क्या करना है

पिछले महीने के मैसेजिंग लॉग निकालो और भेजे गए कोड बनाम सफलतापूर्वक वेरिफाई हुए कोड का असली अनुपात निकालो, न कि सिर्फ कुल वॉल्यूम। एक ऐसा आंकड़ा जो कुल मिलाकर ठीक लगता है वह भी किसी खास हफ्ते या किसी खास देश कोड को छुपा सकता है जहां अनुपात ढह गया था। यह अकेला हिसाब किसी ऑपरेटर को इस बारे में कि यह धोखाधड़ी पहले से हो रही है या नहीं, इस लेख की बाकी किसी भी चीज से ज्यादा बताएगा।

इसके बाद मैसेजिंग प्रोवाइडर के साथ सीधे तीन सेटिंग्स जांचो: क्या Fraud Guard जैसी कोई फ्रॉड प्रोटेक्शन एक्टिव है और किस लेवल पर, क्या कोई स्पेंड अलर्ट मौजूद है और किस थ्रेशोल्ड पर, और क्या सेंड कोड एंडपॉइंट पर सर्वर-साइड रेट लिमिट है जो ऐसी किसी भी चीज पर निर्भर नहीं करता जिसे ब्राउजर को नजरअंदाज करने के लिए कहा जा सके। इन तीनों जांचों में से किसी के लिए भी नए सॉफ्टवेयर या किसी नए वेंडर रिश्ते की जरूरत नहीं, बस प्रोवाइडर से सीधे पूछने और जो जवाब आए उसे पढ़ने का समय चाहिए।