Prevención del fraude por envío de SMS: detecte y detenga el IRSF en 2026

El fraude por envío de SMS, también denominado fraude internacional de reparto de ingresos o IRSF, es la mayor partida no abordada en los presupuestos de la mayoría de las empresas estadounidenses que envían OTP. El Grupo de Fraude y Seguridad de la GSMA sigue funcionando como una industria multimillonaria, agotando dinero real de empresas que no se dieron cuenta de que su formulario de registro OTP estaba siendo utilizado como arma. Esta guía es la referencia definitiva para los remitentes estadounidenses: cómo funciona realmente el envío de SMS, las señales de advertencia, las defensas arquitectónicas que funcionan y el manual operativo para detectar y cerrar las campañas activas.

¿Qué es SMS Pumping (IRSF)?

El envío de SMS es un fraude en el que los atacantes escriben sus scripts Flujo de registro o verificación de OTP para activar repetidamente el envío de SMS a números de teléfono que están bajo su control en rutas internacionales con tarifas especiales, lo que recauda ingresos por sobornos del operador por cada mensaje entregado. Cada envío individual de OTP parece legítimo para su solicitud. El ataque es de forma agregada: miles o millones de envíos OTP a un pequeño grupo de números en países en los que la terminación de SMS comparte los ingresos con el operador de destino.

La economía: los atacantes adquieren rangos de números de teléfono (a menudo a un precio muy bajo) en países con acuerdos de reparto de ingresos entre los remitentes de SMS y los operadores de destino. Escriben guiones que llegan repetidamente a tu formulario de registro con estos números como destino. Tu API OTP envía el SMS de forma diligente. El operador de destino se queda con una parte de lo que gastas por SMS (a veces entre 0,05 y 0,20$ por mensaje) y comparte los ingresos con el atacante que dirige el tráfico.

Para un OTP de envío empresarial en EE. UU. sin protección, una campaña de bombeo moderadamente agresiva puede acumular entre 10 000 y 100 000 dólares en fraude en unas pocas semanas. La recompensa del atacante por mensaje es pequeña; su volumen es enorme.

Cómo se desarrolla un ataque

El manual de estrategias estándar en 2026:

1. Reconocimiento. El atacante escanea la web en busca de terminales de registro OTP no autenticados; por lo general, formularios de registro o flujos de restablecimiento de contraseñas que no requieren CAPTCHA.
2. Adquisición de números. El atacante adquiere rangos de números de teléfono en los países objetivo; por lo general, pequeños países africanos (+225 Costa de Marfil, +211 Sudán del Sur), islas del Pacífico (+678 Vanuatu, +691 Estados Federados de Micronesia) o prefijos de Europa del Este, donde la terminación de SMS premium comparte importantes ingresos.
3. Escribe el ataque. El atacante escribe un script que publica en tu formulario de registro y proporciona uno de sus números como campo de teléfono. Cada solicitud desencadena un envío OTP.
4. Escala. El atacante ejecuta el script a través de proxies residenciales o de direcciones IP comprometidas para evadir los límites de velocidad por IP y llega a su punto final de envío OTP cientos o miles de veces por hora.
5. Recauda ingresos. El operador de destino recibe el SMS, lo cancela (o no lo hace; el soborno suele producirse independientemente de la entrega real) y lo remite al atacante.

La campaña suele durar semanas antes de que el objetivo se dé cuenta, momento en el que la factura ya asciende a cinco o seis cifras. Muchas empresas solo se dan cuenta cuando sus OTP-API la factura mensual se triplica.

Las tres señales de detección

Tres patrones indican de manera confiable el bombeo activo. Configure el monitoreo en los tres.

1. Concentración inusual en los países de destino

Una empresa fintech exclusiva de EE. UU. que de repente envía el 30% de sus OTP al código de país +211 (Sudán del Sur) o +678 (Vanuatu) está siendo promovida. Tu base real de usuarios exclusivamente estadounidenses envía más del 99% de las OTP a +1; cualquier otro código de país es anómalo.

Incluso las aplicaciones estadounidenses y globales tienen distribuciones de destino estables a lo largo del tiempo. Los saltos repentinos en la participación de un país específico (especialmente si el país es pequeño, tiene una pequeña diáspora estadounidense y figura en la lista de países propensos al fraude de la GSMA) son una señal alarmante. Las fuentes de amenazas de la industria son mantenidas por Grupo de Fraude y Seguridad de la GSMA publicar los prefijos de país más asociados con el abuso.

2. Colapso del ratio de envío para verificación

En funcionamiento normal, la proporción de OTP se envía a Verificaciones OTP es aproximadamente 1. 2:1; la mayoría de los usuarios completan la OTP que iniciaron, con algunos reintentos. Durante el proceso, la proporción se reduce: los atacantes activan los envíos pero nunca completan la verificación (en realidad no reciben la OTP, ya que no controlan el teléfono de destino, solo el operador).

Si ves que las proporciones de envío para verificar suben a 2:1, 5:1 o más, especialmente si se concentran en los prefijos de países específicos, está aumentando.

3. El aumento en el volumen de envíos no está correlacionado con el marketing o los cambios en los productos

Los picos repentinos de 5 veces en el volumen de OTP que no coinciden con el lanzamiento de una campaña de marketing, el lanzamiento de un producto o un patrón de tráfico estacional conocido casi siempre son (a) una campaña fraudulenta, (b) una regresión en el código de la aplicación que provoca envíos duplicados o (c) un robot que examina tus formularios. Ninguna de estas opciones es buena. Investiga cada pico inexplicable en cuestión de horas.

Las defensas arquitectónicas que funcionan

Siete defensas que deberían enviarse están activadas de forma predeterminada. Si tu proveedor cierra alguna de estas opciones detrás de un nivel superior, cámbiala.

1. Límite de velocidad por número

‍Ningún número de teléfono debería poder solicitar más de 3 a 5 OTP en una hora. Límite máximo con retroceso exponencial en caso de errores repetidos.

2. Límite de velocidad por IP

‍Ninguna IP debería poder solicitar OTP para más de 10 a 20 números de teléfono únicos en una hora. La firma de bombeo es una IP que solicita OTP a muchos destinos.

3. Bloqueo de prefijos con tarifa premium

‍Bloquee previamente los prefijos de países que se sepa que son incorrectos de forma predeterminada. Mantén una lista de destinos permitidos para destinos legítimos. Actualice la lista de bloqueo de forma continua a partir de los datos de las amenazas.

4. Detección de anomalías en los patrones de tráfico

‍Detección de patrones basada en ML además de reglas estáticas. Los cambios repentinos entre los países de destino, los saltos en la proporción de envíos para verificar y los patrones inusuales de distribución de la IP provocan la limitación automática o la revisión humana.

5. Integración de CAPTCHA o prueba de trabajo

‍Una capa de fricción antes de activar los envíos OTP aumenta drásticamente el costo del atacante. Torniquete Cloudflare y Google reCAPTCHA v3 son invisibles para los usuarios legítimos mediante la activación basada en el riesgo.

6. Lista de países y prefijos permitidos

‍Si tu empresa es exclusiva de EE. UU., incluye solo +1 en la lista de permitidos. Si operas en países específicos, haz una lista de países permitidos y bloquea el resto. Esta defensa única elimina el 95% de los intentos de bombeo con un solo cambio de configuración.

7. Facturación por éxito

‍La facturación por mensaje lo convierte en el centro de beneficios del atacante; cada envío le cuesta, independientemente de si completa una verificación. La facturación por verificación exitosa alinea el costo con el valor real para el usuario, lo que hace que el envío no sea rentable para el atacante (ya que las verificaciones nunca se completan) y para el proveedor (no hay incentivo para permitir el tráfico sospechoso).

Defensas de la capa de aplicación

Más allá de lo que tu Proveedor OTP sí, tres defensas a nivel de aplicación son esencialmente gratuitas y aumentan considerablemente el costo de los atacantes:

Exija un CAPTCHA exitoso antes de enviar OTP

‍En el caso de terminales de registro no autenticados, ejecuta un CAPTCHA invisible (reCAPTCHA v3, Turnstile, hCaptcha) en cada solicitud. Activa un desafío visible para obtener puntuaciones de confianza bajas. La mayoría de los usuarios legítimos nunca lo ven; los bots fallan a un ritmo elevado.

Campos de miel

‍Agregue un campo de formulario oculto que los navegadores legítimos no rellenarán, pero sí los scripts. Rechaza cualquier envío que llene el honeypot. Captura guiones ingenuos sin coste de experiencia de usuario.

Verificación del correo electrónico antes de la OTP del teléfono

‍Exija un paso de verificación del correo electrónico antes de permitir el envío OTP. Añade 30 segundos de fricción con los usuarios legítimos, pero elimina la forma más fácil de bombear (en la que los atacantes ni siquiera se molestan en crear cuentas reales, sino que llegan al punto final de la OTP).

El manual de detección (operativo)

Cuando sospeche que el bombeo está activo:

1. Extraiga la distribución en el país de destino de las últimas 24 horas. Compare con la distribución de la semana anterior. Identifique los códigos de países con un crecimiento bursátil anómalo.
2. Extraiga la proporción de envío a verificación por prefijo de destino. Cualquier valor superior a 2:1 en países en los que normalmente no sirves es sospechoso.
3. Identifique las IP de origen por país de destino. Las campañas de bombeo suelen concentrar el envío en un conjunto relativamente pequeño de IP o rangos de IP de origen. Bloquéalas en tu límite.
4. Añadir bloque temporal de prefijo de país en el (los) destino (s) afectado (s). Si no ofreces servicios legítimos a usuarios de +211 países de Sudán del Sur, bloquea inmediatamente todos los envíos OTP a ese prefijo.
5. Abre un ticket con tu proveedor de CPaaS. Disponen de información adicional sobre amenazas y pueden coordinarse con los operadores de destino para detener el flujo de sobornos.
6. Audite su punto final de registro OTP para el CAPTCHA faltante, los límites de velocidad o la lista de prefijos permitidos que permitió la campaña en primer lugar.

El tiempo total de respuesta desde la detección hasta la mitigación debe ser inferior a una hora para los ataques de patrón conocido. Una respuesta más prolongada significa más pérdidas directas por fraude.

Cuánto cuesta el bombeo (números reales)

Puntos de referencia del sector entre la infraestructura OTP desprotegida y la infraestructura OTP protegida en EE. UU. en 2026:

• Flujo de registro OTP desprotegido: Entre el 5 y el 15% del tráfico OTP es fraudulento durante las campañas de bombeo activas. Para una carga de trabajo de 100 000 OTP al mes, eso equivale a entre 500 y 2500 dólares en residuos puros, y ese es el límite inferior. Las campañas activas pueden alcanzar un porcentaje de fraude del 30 al 50%.
• Protección básica (límite de velocidad por número + por IP): reduce la proporción de fraude al 1-3%. Ahorra entre 250 y 2000 dólares al mes con la misma carga de trabajo de 100 000.
• Pila completa (las siete defensas anteriores): reduce la proporción de fraude a menos del 0,5%. Algunos equipos consideran que el fraude en régimen estacionario es del 0,05%, es decir, prácticamente cero.

El coste de la protección integral es prácticamente nulo (forma parte del precio base de cualquier API de verificación acreditada). El coste de omitirla aumenta en función del tráfico.

Preguntas frecuentes

¿Cómo puedo saber si actualmente me están bombeando?‍

Tres comprobaciones rápidas: (a) consulta el volumen de OTP de los últimos 7 días y busca picos anómalos que no coincidan con los cambios en la comercialización o los productos; (b) comprueba la distribución en el país de destino y busca concentraciones inusuales en los países en los que no sueles prestar servicio; (c) comprobar la ratio de envíos para verificar por destino; cualquier cifra superior a 2:1 en los países con bajo volumen de ventas es sospechosa. La mayoría de los paneles de control de la CPaaS muestran las tres características con solo cinco clics.

¿Puedo evitar el bombeo si mi aplicación es exclusiva para EE. UU.?‍

Sí, con facilidad. La defensa más eficaz para las aplicaciones exclusivas de EE. UU. es la de incluir los prefijos de países permitidos: configura tu API de verificación para que solo envíe OTP a los destinos +1. Esto bloquea aproximadamente el 95% de las campañas de bombeo con un solo cambio de configuración. Combínate con las otras seis defensas para aumentar tu resiliencia.

¿Las defensas antibombeo bloquearán a mis usuarios internacionales legítimos?‍

No si se implementa bien. Los límites de velocidad por número y por IP superan el comportamiento normal de cualquier usuario (5 OTP por hora, 20 destinos por hora). La detección de anomalías se centra en los patrones agregados, no en los usuarios individuales. La inclusión de prefijos de países permitidos solo afecta a los países en los que no operas. Los usuarios legítimos solo notan las defensas antibombeo cuando un CAPTCHA invisible se convierte en un desafío visible, y esa escalada afecta a menos del 1% de los usuarios legítimos.

Deje de pagar por el fraude que puede prevenir

La mayoría de los fraudes OTP en EE. UU. se pueden prevenir con defensas que deberían enviarse activadas de forma predeterminada. VerifyNow para EE. UU. incluye el paquete completo de protección contra bombas de siete defensas sin coste adicional: límite de velocidad por número, límite de velocidad por IP, bloqueo de prefijos premium, detección de anomalías de aprendizaje automático, integración de CAPTCHA, lista de países permitidos y facturación por éxito. Créditos de prueba gratuitos, sin necesidad de tarjeta de crédito para validar las defensas de tu propio tráfico antes de comprometerte.