Prevenção de fraudes por bombeamento de SMS: detecte e interrompa o IRSF em 2026

A fraude de bombeamento de SMS — também chamada de fraude de compartilhamento de receita internacional ou IRSF — é o maior item de linha não endereçado nos orçamentos da maioria das empresas que enviam OTP dos EUA. O Grupo de Fraude e Segurança da GSMA rastreia o bombeamento como uma indústria multibilionária, drenando dinheiro real de empresas que não perceberam que seu formulário de inscrição no OTP estava sendo transformado em arma. Este guia é a referência definitiva para os remetentes dos EUA: como o bombeamento de SMS realmente funciona, os sinais de alerta, as defesas arquitetônicas que funcionam e o manual operacional para detectar e encerrar campanhas ativas.

O que é SMS Pumping (IRSF)?

O bombeamento de SMS é uma fraude em que os invasores roteirizam seu Fluxo de inscrição ou verificação OTP para acionar repetidamente envios de SMS para números de telefone sob seu controle em rotas internacionais com tarifas premium, coletando receita de propina da operadora em cada mensagem entregue. Cada envio individual de OTP parece legítimo para seu aplicativo. O ataque é agregado: milhares ou milhões de envios OTP para um pequeno conjunto de números em países onde a terminação de SMS compartilha a receita com a operadora de destino.

A economia: os atacantes adquirem faixas de números de telefone (geralmente de forma muito barata) em países com acordos de compartilhamento de receita entre remetentes de SMS e operadoras de destino. Eles escrevem scripts que chegam repetidamente ao seu formulário de inscrição com esses números como destino. Sua API OTP envia devidamente o SMS. O operador de destino embolsa uma parte do seu gasto por SMS (às vezes de 0,05 a 0,20 USD por mensagem) e compartilha a receita com o atacante que está direcionando o tráfego.

Para um Empresas dos EUA enviando OTP sem proteção, uma campanha de bombeamento moderadamente agressiva pode acumular de $10 mil a $100 mil em fraudes em algumas semanas. A recompensa do atacante por mensagem é pequena; seu volume é enorme.

Como um ataque se desenrola

O manual padrão em 2026:

1. Reconhecimento. O invasor escaneia a web em busca de endpoints de inscrição OTP não autenticados; normalmente formulários de inscrição ou fluxos de redefinição de senha que não exigem CAPTCHA.
2. Aquisição de números. O atacante adquire faixas de números de telefone nos países-alvo; geralmente pequenos países africanos (+225 Costa do Marfim, +211 Sudão do Sul), ilhas do Pacífico (+678 Vanuatu, +691 Estados Federados da Micronésia) ou prefixos da Europa Oriental, onde a terminação premium de SMS gera uma receita significativa.
3. Roteiro do ataque. O atacante escreve um script que publica em seu formulário de inscrição, fornecendo um de seus números como campo telefônico. Cada solicitação aciona um envio OTP.
4. Escala. O atacante executa o script por meio de proxies residenciais ou IPs comprometidos para contornar os limites de taxa por IP, atingindo seu endpoint de envio OTP centenas ou milhares de vezes por hora.
5. Colete receita. O operador de destino recebe o SMS, o encerra (ou não; a propina geralmente acontece independentemente da entrega real) e remete a propina ao atacante.

A campanha normalmente dura semanas antes que o alvo seja avisado; nesse ponto, a fatura já tem cinco ou seis dígitos. Muitas empresas só se dão conta quando OPT-API a fatura mensal triplica.

Os três sinais de detecção

Três padrões indicam de forma confiável o bombeamento ativo. Defina o monitoramento em todos os três.

1. Concentração incomum no país de destino

Uma fintech exclusiva dos EUA que, de repente, está enviando 30% de suas OTPs para o código de país +211 (Sudão do Sul) ou +678 (Vanuatu) está sendo bombeada. Sua base real de usuários somente nos EUA envia mais de 99% das OTPs para +1; qualquer outro código de país é anômalo.

Até mesmo os aplicativos US-plus-global têm distribuições de destino estáveis ao longo do tempo. Saltos repentinos na participação de um país específico (especialmente se o país for pequeno, tiver uma pequena diáspora americana e estiver na lista de propensos a fraudes da GSMA) são uma assinatura impressionante. Feeds de ameaças do setor mantidos por Grupo de Fraude e Segurança da GSMA publique os prefixos do país mais associados ao abuso.

2. Colapso da taxa de envio para verificação

Em operação normal, a proporção de OTP envia para Verificações OTP é aproximadamente 1, 2:1; a maioria dos usuários conclui a OTP iniciada, com algumas novas tentativas. Durante o bombeamento, a proporção diminui: os invasores acionam os envios, mas nunca concluem a verificação (na verdade, eles não recebem a OTP, pois não controlam o telefone de destino, apenas a operadora).

Se você observar as taxas de envio para verificação subirem para 2:1, 5:1ou mais, especialmente concentradas em prefixos específicos de países, está aumentando.

3. Aumento no volume de envios não correlacionado com mudanças de marketing ou de produto

Aumentos repentinos de 5x no volume de OTP que não correspondem ao lançamento de uma campanha de marketing, lançamento de produto ou padrão de tráfego sazonal conhecido são quase sempre (a) uma campanha fraudulenta, (b) uma regressão no código do seu aplicativo que está acionando envios duplicados ou (c) um bot investigando seus formulários. Nenhum desses é bom. Investigue cada pico inexplicável em poucas horas.

As defesas arquitetônicas que funcionam

Sete defesas que devem ser enviadas ativadas por padrão. Se o seu provedor colocar qualquer um deles atrás de um nível superior, troque.

1. Limitação de taxa por número

‍Nenhum número de telefone deve ser capaz de solicitar mais de 3 a 5 OTPs em uma hora. Tampa rígida com recuo exponencial para falhas repetidas.

2. Limitação de taxa por IP

‍Nenhum IP único deve ser capaz de solicitar OTPs para mais de 10 a 20 números de telefone exclusivos em uma hora. A assinatura do bombeamento é um IP solicitando OTPs para vários destinos.

3. Bloqueio de prefixo de tarifa premium

‍Pré-bloqueie prefixos de países reconhecidamente incorretos por padrão. Mantenha uma lista de permissões para destinos legítimos. Atualize continuamente a lista de bloqueios a partir dos dados do feed de ameaças.

4. Detecção de anomalias em padrões de tráfego

‍Detecção de padrões baseada em ML além de regras estáticas. Mudanças repentinas no país de destino, saltos na taxa de envio para verificação e padrões incomuns de distribuição de IP acionam a limitação automática ou a revisão humana.

5. CAPTCHA ou integração de prova de trabalho

‍Uma camada de atrito antes de acionar os envios OTP aumenta drasticamente o custo do atacante. Cloudflare Turnstile e o Google reCAPTCHA v3 são invisíveis para usuários legítimos por meio de acionamentos baseados em riscos.

6. Lista de permissões com prefixo de país

‍Se sua empresa for somente nos EUA, insira somente +1 na lista de permissões. Se você atende países específicos, liste-os com permissões e bloqueie os demais. Essa defesa única elimina 95% das tentativas de bombeamento em uma mudança de configuração.

7. Faturamento por sucesso

‍O faturamento por mensagem faz de você o centro de lucro do atacante; cada envio custa a você, independentemente de concluir uma verificação. O faturamento por verificação bem-sucedida alinha o custo ao valor real do usuário, tornando o bombeamento não lucrativo para o atacante (já que as verificações nunca são concluídas) e para o provedor (sem incentivo para permitir tráfego suspeito).

Defesas da camada de aplicação

Além do que é seu Provedor OTP Sim, três defesas da camada de aplicação são essencialmente gratuitas e aumentam substancialmente o custo do atacante:

Exija um CAPTCHA bem-sucedido antes do envio OTP

‍Para endpoints de inscrição não autenticados, execute um CAPTCHA invisível (reCAPTCHA v3, Turnstile, hCAPTCHA) em cada solicitação. Acione um desafio visível para pontuações de baixa confiança. A maioria dos usuários legítimos nunca vê isso; os bots falham em altas taxas.

Campos de Honeypot

‍Adicione um campo de formulário oculto que os navegadores legítimos não preencherão, mas os scripts sim. Rejeite qualquer envio que preencha o honeypot. Captura scripts ingênuos com custo zero de UX.

Verificação de e-mail antes da OTP do telefone

‍Exija uma etapa de verificação de e-mail antes de permitir o envio OTP. Adiciona 30 segundos de atrito com o usuário legítimo, mas elimina a classe mais fácil de bombear (em que os invasores nem se preocupam em criar contas reais, eles simplesmente atingem o endpoint OTP).

O manual de detecção (operacional)

Quando você suspeita que o bombeamento está ativo:

1. Obtenha a distribuição do país de destino nas últimas 24 horas. Compare com a distribuição da semana anterior. Identifique códigos de países com crescimento anômalo de ações.
2. Obtenha a taxa de envio e verificação por prefixo de destino. Qualquer coisa acima de 2:1 em países que você normalmente não atende é suspeita.
3. Identifique IPs de origem por país de destino. As campanhas de bombeamento geralmente concentram o envio em um conjunto relativamente pequeno de IPs de origem ou faixas de IP. Bloqueie-os na sua borda.
4. Adicionar bloco temporário de prefixo de país no (s) destino (s) afetado (s). Se você não atende legitimamente usuários no +211 do Sudão do Sul, bloqueie imediatamente todos os envios OTP para esse prefixo.
5. Abra um ticket com seu provedor de CPaaS. Eles têm inteligência adicional sobre ameaças e podem se coordenar com os operadores de destino para interromper o fluxo de propina.
6. Audite seu endpoint de inscrição OTP para o CAPTCHA ausente, os limites de taxa faltantes ou a lista de permissões de prefixos ausentes que permitiram a campanha em primeiro lugar.

O tempo total de resposta, da detecção à mitigação, deve ser inferior a uma hora para ataques de padrão conhecido. Respostas mais longas significam mais perdas diretas por fraude.

Quais custos de bombeamento (números reais)

Referências do setor para infraestrutura OTP desprotegida versus protegida nos EUA em 2026:

• Fluxo de inscrição OTP desprotegido: 5 a 15% do tráfego OTP é fraudulento durante campanhas ativas de bombeamento. Para uma carga de trabalho de 100 mil OTP/mês, são de $500 a $2.500 em puro desperdício — e esse é o limite inferior. Campanhas ativas podem atingir de 30 a 50% de participação em fraudes.
• Proteção básica (limite de taxa por número + por IP): reduz a participação em fraudes para 1— 3%. Economiza de $250 a $2.000 por mês para a mesma carga de trabalho de 100 mil.
• Pilha cheia (as sete defesas acima): reduz a participação em fraudes para menos de 0,5%. Algumas equipes veem a fraude estável em 0,05% — essencialmente zero.

O custo da proteção completa é essencialmente zero (faz parte do preço base de qualquer API de verificação confiável). O custo de ignorá-lo aumenta de acordo com seu tráfego.

Perguntas frequentes

Como posso saber se estou sendo bombeado no momento?‍

Três verificações rápidas: (a) verifique o volume de OTP dos últimos 7 dias e procure picos anômalos que não correspondam às mudanças de marketing ou de produto; (b) verifique a distribuição do país de destino e procure concentrações incomuns em países que você normalmente não atende; (c) verifique a proporção de envio e verificação por destino — qualquer coisa acima de 2:1 em países de baixo volume é suspeita. A maioria dos painéis de CPaaS expõe todos os três em cinco cliques.

Posso evitar o bombeamento se minha aplicação for somente nos EUA?‍

Sim, facilmente. A defesa mais eficaz para aplicativos exclusivos dos EUA é a lista de permissões com prefixo de país: configure sua API de verificação para enviar OTPs apenas para destinos +1. Isso bloqueia ~ 95% das campanhas de bombeamento em uma mudança de configuração. Coloque as outras seis defesas em camadas para obter resiliência.

Meus usuários internacionais legítimos serão bloqueados por defesas antibombeamento?‍

Não se for bem implementado. Os limites de taxa por número e por IP estão acima do comportamento normal de qualquer usuário (5 OTPs/hora, 20 destinos/hora). A detecção de anomalias se concentra em padrões agregados, não em usuários individuais. A listagem de permissões com prefixo de país afeta somente os países que você não atende. O único lugar em que usuários legítimos notam defesas antibombeamento é quando um CAPTCHA invisível se transforma em um desafio visível — e esse aumento acontece com menos de 1% dos usuários legítimos.

Pare de pagar por fraudes que você pode evitar

A maioria das fraudes de OTP nos EUA pode ser evitada com defesas que devem ser enviadas ativadas por padrão. VerifyNow para os EUA inclui o conjunto completo de proteção contra bombeamento de sete defesas sem custo adicional: limitação de taxa por número, limitação de taxa por IP, bloqueio de prefixo premium, detecção de anomalias de ML, integração com CAPTCHA, lista de permissões por país e cobrança por sucesso. Créditos de teste gratuitos, sem necessidade de cartão de crédito para validar as defesas em seu próprio tráfego antes de você se comprometer.