SMS pumping: как форма подтверждения телефона может незаметно опустошить бюджет сайта объявлений на сообщения
Приходит счет за SMS, и он в три или четыре раза выше обычного. Больше ничего не изменилось: число новых рекламодателей выглядит обычным, доска объявлений выглядит обычной, платежный счет не показывает никакой необычной активности. Первое естественное подозрение, ошибка в биллинге, поэтому оператор открывает заявку у поставщика сообщений и ждет. Ответ, который приходит, хуже, чем ошибка биллинга, потому что он означает, что каждое из этих сообщений действительно было отправлено, а поставщик не собирается отменять оплату за текст, который был по-настоящему доставлен.
То, что произошло, имеет название: SMS pumping, также называемое телефонным тарифным мошенничеством или искусственно накрученным трафиком. Оно нацелено именно на ту форму, на которую справочник объявлений полагается, чтобы объявления оставались честными, ту, где рекламодатель вводит номер телефона и нажимает кнопку с надписью отправить код. Этот блог уже объяснял, зачем вообще нужна эта проверка, поскольку именно проверка телефона и личности реально не дает доске объявлений заполниться фейковыми аккаунтами. Мошенничество, описанное здесь, совершенно не заботится об объявлении. Его волнует только кнопка.
Как мошенничество работает на самом деле
SMS pumping это вариант гораздо более старой телеком-схемы, называемой международным мошенничеством с разделом дохода, и механизм совсем не сложен, если его разложить. Мошенник заключает соглашение, формальное или используемое в обход, с оператором связи, зарабатывающим на тарифах терминации сообщений, часто в стране, далекой от той, где работает бизнес. Затем мошенник использует ботов, чтобы снова и снова запускать действие отправить код на сайте, нацеливаясь на реальные номера телефонов в сети этого оператора. Каждый из этих номеров это активная SIM-карта, способная принять текст, поэтому сообщения не отскакивают и не падают с ошибкой. Они доходят.
Поскольку сообщения действительно доставляются, со стороны телекома нет никакого сигнала мошенничества, который заставил бы оператора отказаться их отправлять, а поставщика сообщений отказаться их выставлять к оплате. Оператор получает тариф терминации за каждое доставленное сообщение, и по соглашению о разделе дохода часть этого тарифа возвращается тому, кто управляет ботовым трафиком. Бизнес, оплачивающий сообщения, с точки зрения сети, это просто клиент, попросивший отправить очень большое число текстов. Ни у кого выше по цепочке нет причин останавливать это самостоятельно.
Ни одна сторона выше по цепочке от бизнеса не заинтересована останавливать это по собственной инициативе, и это деталь, над которой стоит задержаться. Оператору платят за сообщения, которые он реально доставляет, поэтому в его записях ничего не выглядит неправильным. API сообщений находится между бизнесом и оператором и добросовестно выставляет счет за то, что его попросили отправить. Ответственность заметить, что трафик, приходящий на форму регистрации, не похож на рекламодателей, в итоге ложится на единственную сторону, у которой есть и мотив, и видимость, чтобы это заметить: на бизнес, оплачивающий счет.
Что делает это привлекательным для мошенников и дорогим для справочника, так это то, что ничего из этого не требует настоящего аккаунта. Боту не нужно завершать проверку, не нужно публиковать объявление, и код никогда не нужно вводить в поле. Ему достаточно, чтобы форма сайта приняла номер телефона и отправила сообщение. Поток регистрации, который ни разу не завершает ни одной успешной проверки, все равно может создать целый месяц оплачиваемого трафика.
Почему счет приходит раньше всего остального
Большинство API для SMS и верификации, включая Twilio, берут плату за отправленное или предпринятое сообщение, а не за фактически завершенную проверку. Эта модель биллинга не является недостатком дизайна конкретного поставщика: именно так базовая телефонная сеть уже выставляет бизнесу счет за доставку сообщения, а API просто передает эту стоимость дальше. Практический эффект в том, что мошенническая кампания стоит оператору денег начиная с самого первого сообщения, за часы или дни до того, как кто-то заметит, что процент завершения на форме регистрации тихо обрушился.
Масштаб, которого это может достичь, не теоретический. В декабре 2022 года Илон Маск публично заявил во время сессии Twitter Spaces, что Twitter терял около шестидесяти миллионов долларов в год именно из-за этой схемы, и назвал около 390 телеком-операторов, которые, по его словам, были причастны к накрутке мошеннического трафика двухфакторной аутентификации на платформу. Эта цифра была собственным заявлением Маска, а не проверенным корпоративным раскрытием, но реакция была реальной и освещалась далеко за пределами маркетинга поставщиков защиты от мошенничества: Twitter разорвал связи с операторами, чей трафик выглядел мошенническим, а спустя несколько месяцев ограничил бесплатную двухфакторную аутентификацию по SMS платными подписчиками именно из-за стоимости. Компании с объемом и техническим персоналом Twitter все равно потребовались месяцы, чтобы заметить и отреагировать. У справочника, работающего с единственным независимым аккаунтом для сообщений, без команды по борьбе с мошенничеством, читающей логи каждое утро, встроенного предупреждения гораздо меньше.
Число, которое реально выдает мошенничество, это не объем отправленных сообщений, поскольку настоящий маркетинговый всплеск или по-настоящему загруженная неделя тоже могут поднять это число. Это соотношение между отправленными кодами и успешно введенными кодами. Процент завершения, тихо падающий относительно своего обычного значения, даже пока общий объем растет, это сигнал того, что трафик, приходящий на форму, состоит не из людей, намеренных довести регистрацию до конца.
Почему открытая форма объявления это именно тот профиль цели
У справочника объявлений есть структурная причина делать кнопку отправить код легко доступной: любое трение, добавленное к регистрации рекламодателя, который заходит впервые, стоит конверсий, и этот блог уже объяснял, почему это трение стоит тщательно охранять именно на пороге, еще до того как в дело вступает оплата. Шаг проверки телефона, быстрый и приветливый для настоящего рекламодателя, по той же самой конструкции быстрый и приветливый и для бота, у которого нет ни малейшего намерения им становиться.
Уязвимость также острее для небольшого независимого оператора, чем это выглядит со стороны. Крупная платформа договаривается о ценах за объем и обычно имеет контракт, включающий некоторый мониторинг мошенничества как часть отношений. У справочника, пропускающего свой поток регистрации через стандартный API сообщений с оплатой по факту использования, такой подушки нет: каждое мошенническое сообщение выставляется по той же цене за сообщение, что и любое легитимное, прямо на привязанную карту, и ничто не гасит всплеск, пока человек не заметит счет.
Ничто из этого не значит, что блокировка кода страны это решение, которое можно настроить раз и забыть. Справочник, расширяющийся в новый город или привлекающий рекламодателей, которые путешествуют, может обнаружить легитимную группу регистраций за префиксом, заблокированным по веской причине годом ранее. Отношение к списку ограниченных префиксов как к тому, что пересматривают каждые несколько месяцев, вместе со всем остальным, что пересматривается в таком же ритме, не дает защите тихо превратиться во второй источник потерянных регистраций.
Это другой сбой, чем тот, что этот блог описывал, разбирая, почему письмо с подтверждением иногда так и не доходит до почтового ящика рекламодателя. Та статья была о сообщении, которое тихо проваливается, не стоя ничего, кроме потерянной регистрации. Эта о сообщении, которое шумно преуспевает, приходя ровно так, как задумано, и стоя реальных денег каждый раз, когда это происходит.
Что реально это останавливает
Первый слой это ограничение частоты на само действие отправить код, применяемое на сервере, а не доверенное браузеру: жесткий предел на то, сколько кодов может запросить один IP-адрес, сессия или номер телефона в коротком временном окне. Само по себе это не остановит распределенную ботовую сеть, использующую множество IP-адресов, но убирает самую дешевую и ленивую версию атаки и заставляет все более настойчивое работать усерднее.
Второй слой это проверка на бота, размещенная до срабатывания действия отправки, а не после: что-то, подтверждающее, что запрос запустил человек, не прося этого человека решать что-то раздражающее, например невидимая проверка, оценивающая запрос в фоновом режиме. Поскольку все мошенничество зависит от автоматического запуска отправок в большом объеме, все, что заметно замедляет автоматизированный запуск, напрямую снижает стоимость атаки, даже если пропускает часть ботов.
Третий слой это применение трения, не обязательно полной блокировки, к телефонным префиксам, которые реальная база рекламодателей справочника практически никогда не использует. У сайта, обслуживающего города одной страны, мало причин принимать без второй проверки волну запросов на верификацию, нацеленных на код страны, где база рекламодателей никогда не имела заметного присутствия.
Четвертый слой это включение любой защиты от мошенничества, которую поставщик сообщений уже предлагает, вместо предположения, что настройки по умолчанию это уже покрывают. Twilio, для конкретного примера, предлагает функцию под названием Verify Fraud Guard, анализирующую паттерны трафика, чтобы обнаруживать и автоматически блокировать подозреваемую активность pumping, и она включена по умолчанию для клиентов Verify, с настраиваемыми уровнями защиты, меняющими небольшой процент ложных срабатываний на более высокий процент блокировки. Убедиться, что такая функция включена и настроена на уровень, подходящий реальному трафику сайта, ничего не стоит и ловит то, что упустит собственная логика сайта.
Пятый слой это оповещение о расходах, настроенное напрямую у поставщика, а не обнаруженное месяцем позже в счете. Порог, срабатывающий уведомлением, как только дневные расходы на сообщения превышают уровень без обычного объяснения, превращает мошенническую кампанию, которая иначе тихо шла бы неделями, в ту, что замечают в течение часов.
Что сделать на этой неделе
Достаньте логи сообщений за прошлый месяц и посчитайте реальное соотношение отправленных кодов к успешно подтвержденным, а не только общий объем. Число, которое в сумме выглядит нормально, все равно может скрывать конкретную неделю или конкретный префикс страны, где соотношение обрушилось. Одно это вычисление скажет оператору о том, происходит ли уже это мошенничество, больше, чем что-либо еще в этом тексте.
Затем проверьте три настройки напрямую у поставщика сообщений: активна ли защита от мошенничества вроде Fraud Guard и на каком уровне, существует ли оповещение о расходах и при каком пороге, и есть ли у конечной точки отправить код серверное ограничение частоты, не зависящее ни от чего, что можно попросить браузер игнорировать. Ни одна из этих трех проверок не требует нового программного обеспечения или новых отношений с поставщиком, только время спросить напрямую у поставщика и прочитать пришедший ответ.
