منع الاحتيال في ضخ الرسائل القصيرة: اكتشاف وإيقاف IRSF في عام 2026

يُعد الاحتيال في ضخ الرسائل القصيرة - والذي يُطلق عليه أيضًا الاحتيال في مشاركة الإيرادات الدولية أو IRSF - أكبر بند غير معالج في ميزانيات معظم الشركات التي ترسل OTP في الولايات المتحدة. ال مجموعة GSMA للاحتيال والأمن يتتبع الضخ كصناعة بمليارات الدولارات، ويستنزف أموالًا حقيقية من الشركات التي لم تدرك أن نموذج الاشتراك في OTP الخاص بها قد تم تسليحه. هذا الدليل هو المرجع النهائي للمرسلين الأمريكيين: كيف يعمل ضخ الرسائل القصيرة فعليًا، وعلامات التحذير، والدفاعات المعمارية التي تعمل، والدليل التشغيلي لاكتشاف الحملات النشطة وإغلاقها.

ما هو ضخ الرسائل القصيرة (IRSF)؟

يعد ضخ الرسائل القصيرة عملية احتيال حيث يقوم المهاجمون بالبرمجة الخاصة بك تدفق التسجيل أو التحقق من OTP لتشغيل عمليات إرسال الرسائل القصيرة بشكل متكرر إلى أرقام الهواتف الخاضعة لسيطرتهم على المسارات الدولية ذات الأسعار الممتازة - تحصيل إيرادات الرشوة من المشغل على كل رسالة يتم تسليمها. يبدو كل إرسال OTP فرديًا شرعيًا لتطبيقك. الهجوم في مجمله: يتم إرسال الآلاف أو الملايين من OTP إلى مجموعة صغيرة من الأرقام في البلدان التي يؤدي فيها إنهاء الرسائل القصيرة إلى مشاركة الأرباح مع مشغل الوجهة.

العوامل الاقتصادية: يحصل المهاجمون على نطاقات أرقام الهواتف (غالبًا ما تكون رخيصة جدًا) في البلدان التي لديها اتفاقيات تقاسم الإيرادات بين مرسلي الرسائل القصيرة ومشغلي الوجهة. يكتبون البرامج النصية التي تصل إلى نموذج التسجيل الخاص بك بشكل متكرر مع هذه الأرقام كوجهة. ترسل واجهة برمجة تطبيقات OTP الخاصة بك الرسائل القصيرة بإخلاص. يحصل مشغل الوجهة على جزء من إنفاقك لكل رسالة نصية قصيرة (أحيانًا من 0.05 دولار إلى 0.20 دولار لكل رسالة) ويشارك الأرباح مع المهاجم الذي يوجه حركة المرور.

للحصول على شركة أمريكية ترسل OTP بدون حماية، يمكن لحملة ضخ معتدلة العدوانية أن تؤدي إلى احتيال يتراوح بين 10 آلاف دولار و 100 ألف دولار في غضون أسابيع قليلة. مكافأة المهاجم لكل رسالة صغيرة؛ حجمها هائل.

كيف يتم تنفيذ الهجوم

دليل التشغيل القياسي في عام 2026:

1. الاستطلاع. يقوم المهاجم بفحص الويب بحثًا عن نقاط نهاية تسجيل OTP غير المصادق عليها؛ عادةً نماذج الاشتراك أو تدفقات إعادة تعيين كلمة المرور التي لا تتطلب اختبار CAPTCHA.
2. الحصول على الأرقام. يستحوذ المهاجم على نطاقات أرقام الهواتف في البلدان المستهدفة؛ عادةً الدول الأفريقية الصغيرة (+225 كوت ديفوار، +211 جنوب السودان)، وجزر المحيط الهادئ (+678 فانواتو، +691 ولايات ميكرونيزيا الموحدة)، أو بادئات أوروبا الشرقية - حيث يساهم إنهاء الرسائل القصيرة المميزة في تحقيق أرباح كبيرة.
3. اكتب الهجوم. يكتب المهاجم نصًا يقوم بنشره في نموذج الاشتراك الخاص بك، مع توفير أحد أرقامه كحقل الهاتف. يؤدي كل طلب إلى إرسال OTP.
4. مقياس. يقوم المهاجم بتشغيل البرنامج النصي من خلال البروكسيات السكنية أو عناوين IP المخترقة للتهرب من حدود معدل كل عنوان IP، ليصل إلى نقطة نهاية إرسال OTP مئات أو آلاف المرات في الساعة.
5. جمع الإيرادات. يتلقى مشغل الوجهة الرسائل القصيرة وينهيها (أو لا يفعل ذلك؛ غالبًا ما تحدث الرشوة بغض النظر عن التسليم الفعلي)، ويحول العمولة إلى المهاجم.

عادةً ما تستمر الحملة لأسابيع قبل الإشعارات المستهدفة؛ وعند هذه النقطة تكون الفاتورة بالفعل خمسة أو ستة أرقام. لا تتمكن العديد من الشركات من اللحاق بالركب إلا عندما تكون OTP-API الفاتورة الشهرية تتضاعف ثلاث مرات.

إشارات الكشف الثلاثة

تشير ثلاثة أنماط بشكل موثوق إلى الضخ النشط. اضبط المراقبة على الثلاثة.

1. تركيز غير عادي في بلد المقصد

يتم ضخ التكنولوجيا المالية في الولايات المتحدة فقط والتي ترسل فجأة 30٪ من OTP إلى رمز البلد +211 (جنوب السودان) أو +678 (فانواتو). ترسل قاعدة المستخدمين الحقيقية الخاصة بك في الولايات المتحدة فقط 99% + من OTP إلى +1؛ أي رمز بلد آخر غير طبيعي.

حتى تطبيقات US-plus-global لديها توزيعات وجهة مستقرة بمرور الوقت. تعتبر القفزات المفاجئة في حصة بلد معين (خاصة إذا كانت الدولة صغيرة، ولديها شتات أمريكي صغير، ومدرجة في قائمة GSMA المعرضة للاحتيال) علامة فارقة. تتم صيانة خلاصات تهديدات الصناعة بواسطة مجموعة الاحتيال والأمن التابعة لـ GSMA انشر بادئات البلد الأكثر ارتباطًا بإساءة الاستخدام.

2. انهيار نسبة الإرسال للتحقق

في التشغيل العادي، يتم إرسال نسبة OTP إلى عمليات التحقق من OTP هو تقريبًا 1.2:1؛ يقوم معظم المستخدمين بإكمال OTP الذي بدأوه، مع بعض عمليات إعادة المحاولة. أثناء الضخ، تنخفض النسبة: يقوم المهاجمون بتشغيل عمليات الإرسال ولكن لا يكملونها أبدًا (لا يتلقون OTP فعليًا لأنهم لا يتحكمون في هاتف الوجهة، فقط المشغل).

إذا لاحظت ارتفاع نسب الإرسال إلى التحقق إلى 2:1 أو 5:1 أو أعلى، ولا سيما مع التركيز على بادئات بلد معين، فهذا يعني أن الأمر يزداد.

3. لا يرتبط الارتفاع الكبير في حجم الإرسال بالتسويق أو تغييرات المنتج

غالبًا ما تكون الزيادات المفاجئة بمقدار 5 أضعاف في حجم OTP التي لا تتطابق مع إطلاق حملة تسويقية أو إصدار منتج أو نمط حركة مرور موسمي معروف إما (أ) حملة احتيال أو (ب) تراجع في رمز التطبيق الخاص بك يؤدي إلى إرسال رسائل مكررة أو (ج) روبوت يبحث في النماذج الخاصة بك. لا شيء من هؤلاء جيد. تحقق من كل ارتفاع غير مفسر في غضون ساعات.

الدفاعات المعمارية التي تعمل

تم تمكين سبعة دفاعات يجب شحنها افتراضيًا. إذا كان مزود الخدمة الخاص بك يقوم بتوصيل أي من هذه الأجهزة خلف مستوى أعلى، فقم بالتبديل.

1. تحديد المعدل لكل رقم

‍يجب ألا يتمكن أي رقم هاتف واحد من طلب أكثر من 3-5 OTPs في الساعة. غطاء صلب مع تراجع أسي لتكرار حالات الفشل.

2. تحديد معدل لكل IP

‍يجب ألا يتمكن أي عنوان IP واحد من طلب OTPs لأكثر من 10-20 رقم هاتف فريد في الساعة. توقيع الضخ هو عنوان IP واحد يطلب OTPs إلى العديد من الوجهات.

3. حظر البادئة بسعر مميز

‍قم بحظر بادئات البلدان المعروفة والسيئة مسبقًا افتراضيًا. احتفظ بقائمة السماح للوجهات الشرعية. قم بتحديث قائمة الحظر باستمرار من بيانات تغذية التهديدات.

4. اكتشاف الشذوذ في أنماط حركة المرور

‍اكتشاف الأنماط المستند إلى ML فوق القواعد الثابتة. تؤدي التحولات المفاجئة في بلد المقصد، والقفزات في نسبة الإرسال إلى التحقق، وأنماط توزيع IP غير العادية إلى الاختناق التلقائي أو المراجعة البشرية.

5. اختبار CAPTCHA أو تكامل إثبات العمل

‍تؤدي طبقة الاحتكاك قبل تشغيل عمليات إرسال OTP إلى زيادة تكلفة المهاجم بشكل كبير. كلاود فلير تيرنستايل و Google reCaptcha v3 غير مرئيين للمستخدمين الشرعيين من خلال التشغيل القائم على المخاطر.

6. قائمة السماح ببادئة البلد

‍إذا كان نشاطك التجاري في الولايات المتحدة فقط، فاسمح بقائمة +1 فقط. إذا كنت تخدم بلدانًا معينة، فاسمح بإدراج هذه البلدان وحظر الباقي. يعمل هذا الدفاع الفردي على التخلص من 95٪ من محاولات الضخ في تغيير تكوين واحد.

7. إعداد الفواتير لكل نجاح

‍الفواتير لكل رسالة تجعلك مركز ربح المهاجم؛ كل عملية إرسال تكلفك بغض النظر عما إذا كانت ستكمل عملية التحقق أم لا. تعمل فواتير التحقق المسبق على مواءمة التكلفة مع القيمة الفعلية للمستخدم، مما يجعل الضخ غير مربح للمهاجم (نظرًا لأن عمليات التحقق لا تكتمل أبدًا) وللموفر (لا يوجد حافز للسماح بحركة المرور المشبوهة).

دفاعات طبقة التطبيقات

ما وراء ما لديك مزود خدمة OTP هل هناك ثلاث دفاعات من طبقة التطبيقات مجانية بشكل أساسي وترفع تكلفة المهاجم ماديًا:

يتطلب اختبار CAPTCHA بنجاح قبل إرسال OTP

‍بالنسبة إلى نقاط نهاية الاشتراك غير المصادق عليها، قم بتشغيل اختبار CAPTCHA غير المرئي (reCAPTCHA v3 وTurnstile وhCaptcha) عند كل طلب. أطلق تحديًا مرئيًا للحصول على درجات منخفضة الثقة. معظم المستخدمين الشرعيين لا يرونه أبدًا؛ تفشل الروبوتات بمعدلات عالية.

حقول هونيبوت

‍أضف حقل نموذج مخفي لن تملأه المتصفحات الشرعية ولكن البرامج النصية ستقوم بملئه. ارفض أي إرسال يملأ المصيدة. يلتقط البرامج النصية الساذجة بدون تكلفة UX.

التحقق من البريد الإلكتروني قبل الهاتف OTP

‍تتطلب خطوة التحقق من البريد الإلكتروني قبل السماح بإرسال OTP. يضيف 30 ثانية من الاحتكاك بين المستخدم الشرعي ولكنه يزيل أسهل فئة من الضخ (حيث لا يكلف المهاجمون عناء إنشاء حسابات حقيقية، بل يصلون فقط إلى نقطة نهاية OTP).

دليل الكشف (تشغيلي)

عندما تشك في أن الضخ نشط:

1. قم بسحب التوزيع بين بلد الوجهة خلال الـ 24 ساعة الماضية. قارن بتوزيع الأسبوع السابق. حدد رموز البلدان ذات النمو غير الطبيعي للأسهم.
2. اسحب نسبة الإرسال إلى التحقق لكل بادئة وجهة. أي شيء يزيد عن 2:1 في البلدان التي لا تخدمها عادةً هو أمر مشكوك فيه.
3. حدد عناوين IP الخاصة بالمصدر حسب بلد الوجهة. تركز حملات الضخ عادةً على الإرسال عبر مجموعة صغيرة نسبيًا من عناوين IP المصدر أو نطاقات IP. قم بحظرها عند الحافة الخاصة بك.
4. إضافة كتلة بادئة البلد المؤقتة على الوجهة (الوجهات) المتأثرة. إذا كنت لا تخدم المستخدمين بشكل قانوني في +211 جنوب السودان، فقم بحظر جميع رسائل OTP المرسلة إلى تلك البادئة على الفور.
5. افتح تذكرة مع مزود CPaaS الخاص بك. لديهم معلومات إضافية عن التهديدات ويمكنهم التنسيق مع مشغلي الوجهة لوقف تدفق الرشوة.
6. قم بمراجعة نقطة نهاية تسجيل OTP بالنسبة إلى اختبار CAPTCHA المفقود أو حدود الأسعار المفقودة أو قائمة السماح بالبادئة المفقودة التي سمحت بالحملة في المقام الأول.

يجب أن يكون إجمالي وقت الاستجابة من الاكتشاف إلى التخفيف أقل من ساعة للهجمات ذات النمط المعروف. الاستجابة الأطول تعني المزيد من فقدان الاحتيال المباشر.

ما هي تكاليف الضخ (الأرقام الحقيقية)

معايير الصناعة للبنية التحتية غير المحمية مقابل البنية التحتية المحمية لـ OTP في الولايات المتحدة في عام 2026:

• تدفق تسجيل OTP غير المحمي: 5-15٪ من حركة مرور OTP تكون احتيالية أثناء حملات الضخ النشطة. بالنسبة لحجم العمل الذي يبلغ 100 ألف برميل في الشهر، فإن هذا يتراوح بين 500 دولار و 2500 دولار من النفايات النقية - وهذا هو الحد الأدنى. يمكن أن تصل نسبة الاحتيال في الحملات النشطة إلى 30-50٪.
• الحماية الأساسية (لكل رقم + تحديد معدل لكل IP): تخفض نسبة الاحتيال إلى 1-3%. يوفر 250 دولارًا - 2000 دولار شهريًا لنفس عبء العمل البالغ 100 ألف دولار.
• المكدس الكامل (الدفاعات السبعة أعلاه): يخفض حصة الاحتيال إلى أقل من 0.5٪. ترى بعض الفرق الاحتيال في حالة الاستقرار بنسبة 0.05٪ - في الأساس صفر.

تكلفة الحماية الكاملة هي في الأساس صفر (إنها جزء من السعر الأساسي لأي واجهة برمجة تطبيقات للتحقق ذات سمعة طيبة). تتناسب تكلفة تخطيها مع حركة المرور الخاصة بك.

الأسئلة الشائعة

كيف يمكنني معرفة ما إذا كان يتم ضخي حاليًا؟‍

ثلاث فحوصات سريعة: (أ) سحب حجم OTP في الأيام السبعة الأخيرة والبحث عن الزيادات غير العادية التي لا تتطابق مع تغييرات التسويق أو المنتج؛ (ب) التحقق من التوزيع في بلد المقصد والبحث عن التركيزات غير العادية في البلدان التي لا تخدمها عادةً؛ (ج) التحقق من نسبة الإرسال إلى التحقق لكل وجهة - أي شيء أعلى من 2:1 في البلدان ذات الحجم المنخفض مشكوك فيه. تعرض معظم لوحات معلومات cPaaS الثلاثة في غضون خمس نقرات.

هل يمكنني منع الضخ إذا كان طلبي في الولايات المتحدة فقط؟‍

نعم، بسهولة. الدفاع الوحيد الأكثر فعالية للتطبيقات الأمريكية فقط هو قائمة السماح بالبادئة القطرية: قم بتهيئة واجهة برمجة تطبيقات التحقق لإرسال OTPs إلى 1+ وجهات فقط. يؤدي هذا إلى حظر حوالي 95٪ من حملات الضخ في تغيير تكوين واحد. ضع طبقة على الدفاعات الستة الأخرى من أجل المرونة.

هل سيتم حظر المستخدمين الدوليين الشرعيين من خلال الدفاعات المضادة للضخ؟‍

ليس إذا تم تنفيذه بشكل جيد. تتجاوز حدود المعدل لكل رقم ولكل IP أي سلوك عادي للمستخدم (5 OTP في الساعة، 20 وجهة/ساعة). يركز اكتشاف الحالات الشاذة على الأنماط التجميعية، وليس المستخدمين الفرديين. تؤثر قائمة السماح بالبادئة القطرية فقط على البلدان التي لا تخدمها. المكان الوحيد الذي يلاحظ فيه المستخدمون الشرعيون الدفاعات المضادة للضخ هو عندما يتصاعد اختبار CAPTCHA غير المرئي إلى تحدٍ مرئي - ويحدث هذا التصعيد لأقل من 1٪ من المستخدمين الشرعيين.

توقف عن الدفع مقابل الاحتيال الذي يمكنك منعه

يمكن منع معظم عمليات الاحتيال في OTP في الولايات المتحدة من خلال تمكين الدفاعات التي يجب شحنها افتراضيًا. تحقق الآن للولايات المتحدة الأمريكية يتضمن مجموعة الحماية الكاملة من الضخ ذات الدفاعات السبعة بدون تكلفة إضافية: تحديد المعدل لكل رقم، وتحديد معدل لكل عنوان IP، وحظر البادئة المميزة، واكتشاف أعطال ML، وتكامل CAPTCHA، وإدراج السماح لكل بلد، والفواتير لكل نجاح. ائتمانات اختبار مجانية، لا حاجة لبطاقة ائتمان للتحقق من الدفاعات على حركة المرور الخاصة بك قبل الالتزام.