Qué es el SMS pumping (AIT)
El SMS pumping es un fraude de red en el que actores maliciosos —a menudo con la complicidad de operadores o agregadores de telecomunicaciones de ciertas regiones— abusan de los formularios de registro o de verificación OTP de aplicaciones y servicios web para forzar el envío masivo de SMS a rangos de numeración específicos.
El mecanismo es el siguiente: el operador que controla esos números de destino cobra una tarifa de terminación al proveedor SMS por cada mensaje entregado en su red, y el fraudador recibe una parte de ese ingreso. La empresa que lanzó el envío es quien paga la factura, sin haber conseguido ni un solo usuario real a cambio.
El fraude se facilita porque los formularios de OTP permiten introducir cualquier número de teléfono. Sin las protecciones adecuadas, un atacante —o un bot automatizado— puede generar cientos de solicitudes por minuto.
Por qué los OTP por SMS son el principal objetivo
Los SMS de verificación OTP son el vector de ataque favorito por varios motivos:
- Los formularios de solicitud de OTP están expuestos públicamente y son de libre acceso.
- El envío del SMS se produce en el acto, sin fricción para el atacante.
- Muchas implementaciones carecen de límites de velocidad o verificaciones adicionales.
- El coste por SMS es bajo para el atacante —que no paga nada— pero significativo en volumen para la empresa.
Cualquier servicio que envíe SMS OTP sin protección es vulnerable. Cuanto mayor sea el alcance internacional del servicio, mayor será el riesgo, pues los prefijos de destino fraudulentos suelen estar en países con tarifas de terminación elevadas.
Impacto en las empresas
Un ataque de SMS pumping puede tener consecuencias graves y rápidas:
- Facturas disparadas: en pocas horas, un ataque puede generar decenas de miles de SMS no legítimos, multiplicando el coste habitual por un factor de 10, 100 o más.
- Tasa de verificación desplomada: el porcentaje de OTP enviados que efectivamente se verifican cae en picado, señal inequívoca de que los destinatarios no son usuarios reales.
- Datos de conversión distorsionados: las métricas de registro y activación pierden valor, dificultando la toma de decisiones.
- Posibles bloqueos del proveedor: un tráfico anómalo puede activar las protecciones del proveedor SMS y bloquear el servicio legítimo.
Cómo detectar un ataque de SMS pumping
Cuanto antes se detecte el fraude, menor será el daño económico. Las señales de alerta más habituales son:
- Picos súbitos de volumen: un aumento repentino e injustificado en el número de OTP enviados, especialmente fuera del horario habitual.
- Prefijos o países inusuales: concentración de tráfico en prefijos internacionales que no corresponden a tu base de usuarios habitual.
- Tasa de verificación muy baja: muchos SMS enviados pero muy pocos códigos introducidos correctamente en el formulario.
- Mismas IPs o rangos de IPs: múltiples solicitudes de OTP provenientes de la misma dirección IP o de rangos de IP sospechosos en un intervalo corto de tiempo.
- Patrones de número sistemáticos: solicitudes a números correlativos o con patrones claramente artificiales.
Implementar un panel de monitorización con alertas en tiempo real sobre estos indicadores permite reaccionar en minutos en lugar de horas o días.
Cómo prevenir el SMS pumping
La prevención eficaz combina varias capas de protección. Ninguna medida por sí sola es suficiente:
- Límites de tasa (rate limiting): restringe el número de solicitudes de OTP por número de teléfono, por IP y por sesión en un período de tiempo dado (por ejemplo, máximo 3 intentos por número cada 10 minutos).
- CAPTCHA o prueba de humanidad: añade un CAPTCHA —o una alternativa accesible como un reto de interacción— antes de enviar el SMS, para dificultar los ataques automatizados.
- Validación del número de teléfono: verifica el formato E.164 del número antes de enviar; considera una consulta HLR (Home Location Register) para comprobar que el número existe y está activo.
- Geocercado y lista de países permitidos: si tu servicio opera solo en ciertos países, bloquea o requiere aprobación adicional para prefijos fuera de esa lista. Revisa la comparativa de canales para evaluar opciones alternativas según el mercado.
- Monitorización y alertas automáticas: configura alertas que se disparen cuando el volumen de envíos supere umbrales predefinidos o cuando la tasa de verificación caiga por debajo de un mínimo esperado.
- Proveedor SMS con antifraude integrado: elige un proveedor que ofrezca detección de AIT, bloqueo de rangos fraudulentos conocidos y visibilidad sobre el tráfico.
- Considerar canales alternativos o complementarios: para ciertos casos de uso, alternativas como la verificación por llamada de voz, la autenticación silenciosa por red o el uso de apps de autenticación pueden reducir la exposición al SMS pumping.
Para una visión más amplia de los canales disponibles, consulta la comparativa de canales de mensajería.
Preguntas frecuentes
¿Qué es el SMS pumping o AIT?
El SMS pumping (también llamado AIT, tráfico artificialmente inflado) es un fraude en el que actores maliciosos abusan de formularios de registro o de verificación OTP para provocar el envío masivo de SMS a rangos de numeración sobre los que obtienen una comisión del operador. La empresa paga los envíos, pero los números destinatarios no son usuarios reales.
¿Por qué el SMS pumping afecta especialmente a los OTP?
Los formularios de solicitud de OTP permiten introducir cualquier número de teléfono. Sin protecciones como límites de tasa o CAPTCHA, un atacante puede generar miles de solicitudes automáticas en poco tiempo, lo que resulta en miles de SMS de OTP enviados —y facturados— a números bajo su control.
¿Cómo puedo detectar un ataque de SMS pumping?
Las señales más habituales son: picos repentinos en el volumen de envíos de OTP, alta proporción de SMS enviados que nunca se verifican, concentración de tráfico en ciertos prefijos o países inusuales para tu negocio, y múltiples solicitudes desde las mismas IPs o rangos de IPs.
¿Qué medidas concretas protegen frente al SMS pumping?
Las medidas más eficaces son: límites de tasa por número de teléfono, IP y sesión; CAPTCHA antes de enviar el OTP; validación de formato y HLR del número; geocercado para bloquear prefijos no habituales en tu audiencia; alertas automáticas de volumen; y elegir un proveedor SMS con sistemas antifraude integrados.
El fraude de SMS pumping evoluciona constantemente. Las medidas descritas son recomendaciones generales; la implementación adecuada depende de la arquitectura de cada servicio y del proveedor SMS utilizado.
