Cómo una startup API-first frenó el fraude de registro y recortó costes un 62%

Fundada en 2017, SerpApi convierte páginas de resultados de motores de búsqueda no estructuradas en datos estructurados y legibles por máquinas, impulsando casos de uso que van desde el seguimiento de posiciones SEO hasta la investigación académica y el entrenamiento de grandes modelos de lenguaje (LLM). Su equipo de unas 60 personas atiende a desarrolladores y empresas de todo el mundo, desde creadores independientes hasta la mayoría de las empresas de Fortune 500. A diferencia de un mercado de consumo o una aplicación convencional, los clientes de SerpApi no son personas que navegan por un producto, sino cuentas que extraen datos a través de una API, lo que significa que el problema del fraude también se presenta de forma muy diferente.

Para permitir que los desarrolladores prueben el producto antes de comprometerse, SerpApi ofrece un generoso plan gratuito de 250 búsquedas al mes. Esa misma apertura es la que lo hace vulnerable al abuso, ya que generar correos falsos a escala es trivial. Por ello, SerpApi añadió la verificación por teléfono como segundo filtro, bajo la premisa de que exigir un número real bastaría para evitar que alguien creara decenas de cuentas gratuitas para multiplicar su cuota de búsquedas sin coste.

Hablamos con Thilo Rusche, ingeniero sénior en SerpApi, sobre cómo las quejas de usuarios legítimos desencadenaron una investigación que destapó un agujero de seis cifras, y cómo cambió todo al pasarse a Prelude.

La verificación gratuita de SerpApi se convierte en el blanco del fraude por bombeo de SMS (SMS Pumping)

El propio resumen de Thilo sobre lo sucedido va directo al grano y desvela el giro inesperado de esta historia:

"No es que la verificación no funcionara; funcionaba demasiado bien, y había quienes abusaban de ella para enviar mensajes de texto premium sin tener la más mínima intención de crear una cuenta con nosotros."

En otras palabras, el filtro que SerpApi construyó para detener el abuso del plan gratuito no era el obstáculo que los atacantes querían superar. Era el objetivo que querían atacar directamente, enviando tráfico para generar cargos por SMS premium sin ninguna intención de utilizar la API de búsqueda de SerpApi.

Thilo descubrió el problema al investigar un aumento en los fallos de verificación que, al principio, parecía el clásico abuso del plan gratuito:

"Nadie tenía el bombeo de SMS en el radar, incluyéndome a mí. Primero intentamos averiguar por qué fallaban de repente tantas verificaciones; hubo un pico muy concreto. Así que analicé nuestras facturas de Twilio, y las cifras rondaban los 30.000 dólares al mes de media. Eso parecía extremadamente alto."

Al profundizar en el patrón de uso, detectó picos muy marcados concentrados en países específicos, incluyendo, como dijo Thilo, "algún lugar en el centro de África donde no tenemos muchos usuarios, pero las tarifas de terminación son altísimas". Al pasar este patrón por un análisis asistido por IA, se confirmó el diagnóstico: bombeo de SMS clásico, explotando el propio flujo de verificación diseñado para evitar el abuso, no el plan gratuito en sí.

Twilio nunca alertó proactivamente a SerpApi sobre el problema. SerpApi solo encontró el patrón porque su equipo de soporte comenzó a recibir quejas de usuarios legítimos en Europa que no podían verificar sus números de teléfono:

"Resulta que la poca prevención de fraude que hacía Twilio era muy rudimentaria. Cuando detectaban un patrón, bloqueaban prefijos enteros durante doce horas, y esos bloqueos afectaban a usuarios reales que intentaban verificar su número. Así fue como lo descubrimos en primer lugar."

Conseguir ayuda directa de Twilio fue otro dolor de cabeza. A pesar de pagar unos 30.000 dólares al mes, SerpApi estaba en un plan de soporte sin atención dedicada:

"La primera respuesta al ticket tardó semanas, y fue inútil, probablemente automatizada. Tuve que insistir una y otra vez. Después de un año, sin resolución, sin ayuda, nada. Ahí fue cuando nos frustramos lo suficiente como para buscar alternativas."

La propia factura formaba parte del problema: conceptos separados para "Verify" y "Programmable Messaging" con totales que no cuadraban de forma clara con ninguna de las dos cifras, a pesar de que SerpApi solo utilizaba el endpoint de Verify. Este es un desajuste que confunde a más clientes de Twilio, no solo a SerpApi, como ya explicamos en Los 10 principales competidores de Twilio para APIs de OTP y SMS. Thilo había pedido soporte a Twilio para aclararlo directamente y no obtuvo ninguna respuesta clara:

"Hice esta pregunta en un ticket de soporte sobre la diferencia entre la mensajería programable y Verify. Sencillamente, creo que no se explicó muy bien."

SerpApi se pasa a Prelude sin perder el ritmo

SerpApi no necesitó un largo proceso de evaluación de proveedores. Thilo utilizó herramientas de IA para analizar alternativas, encontró Prelude, realizó una prueba y no buscó más:

"Encontré a Prelude entre otras opciones y decidimos probarla. No creo haber probado ninguna otra. La prueba fue muy bien, y aquí estamos."

Lo que destacó de inmediato fue la visibilidad, algo que Twilio hacía casi imposible. Thilo tenía que recurrir a exportar archivos CSV sin procesar (limitados a unos 9.000 registros) y analizarlos él mismo solo para entender qué estaba pasando con su tráfico:

"No hay comparación, incluso sin mencionar el soporte, que es fantástico. Solo como herramientas: los gráficos son espectaculares, permiten desglosar por país, por código de error y por cualquier intervalo de tiempo. Con Twilio, todo estaba artificialmente restringido. Incluso el historial de facturas: solo puedes ver un margen de 12 meses, lo que me parece una limitación totalmente artificial porque los datos están ahí. Parece innecesariamente difícil extraer información."

La integración técnica fue mínima. SerpApi desarrolla directamente sobre la API a través de HTTP en lugar de depender de SDKs, por lo que cambiar los endpoints casi idénticos de Twilio llevó solo unas pocas horas de desarrollo. El resto de la migración consistió únicamente en coordinarse con el equipo de atención al cliente:

"No es un problema especialmente complejo; la API es muy buena y la mayoría de las APIs para envío de SMS son bastante sencillas. Desarrollamos el código de nuestro lado en pocas horas. Básicamente, fue solo una modificación del que ya teníamos con Twilio."

Tener línea directa con el equipo de Prelude también cambió el día a día. SerpApi aplica ese mismo modelo de atención para sus clientes más importantes, por lo que el contraste con el silencio de Twilio fue inmediato:

"Literalmente no hay comparación, porque no tengo con qué comparar. No teníamos soporte con Twilio. Ahora trabajamos de la misma manera que lo hacemos con nuestros clientes más grandes: un canal de Slack dedicado. Estamos muy agradecidos por ello."

Los resultados: costes reducidos, conversión al alza y fraude bloqueado

Al comparar muestras representativas de tráfico entre Twilio y Prelude:

• Factura mensual un 62% más baja

• Cargos por uso de mensajería un 69% menores

• Coste por verificación exitosa un 47% menor

• La conversión general aumentó 14 puntos porcentuales

El caso de Italia mostró el antes y el después más claro de todos los mercados analizados. Era uno de los países donde el bloqueo masivo de prefijos de Twilio dejaba fuera a los usuarios legítimos y donde se ejecutaba un ataque automatizado de bombeo nocturno antes del cambio. Con ambos problemas resueltos, los costes mensuales de mensajería en Italia cayeron un 99,7% y la conversión se disparó del 2,4% al 91,5%.

Thilo describió ese ataque en Italia en detalle como prueba de lo rápido que respondió Prelude tras el cambio. Había estado rastreando el patrón durante un tiempo (que se ejecutaba en un horario nocturno automatizado) y esperaba que volviera a aparecer el mismo día que SerpApi empezara a usar Prelude:

"El primer ataque que esperábamos el día que cambiamos fue el de Italia, porque estaba claro que seguía un script programado. Se ejecutaba todos los días a medianoche, durante una hora o dos. Apareció en cuanto cambiamos a Prelude, pero básicamente se detuvo al día siguiente. No sé si se bloqueó activamente en el lado de Prelude o si los atacantes se dieron cuenta de que ya no funcionaba."

Un ataque más reciente, procedente de Pakistán, surgió pocos días antes de esta conversación, y esta vez el equipo de Prelude lo detectó antes que la propia SerpApi:

"De hecho, me di cuenta por la mañana, pero cuando entré en Slack, el equipo de soporte ya había avisado: 'Oye, estamos viendo un pico aquí'. Tardó unos días, pero ahora está casi en cero. Los atacantes lo siguen intentando, pero se les está bloqueando de forma activa."

Cuando se le pidió que resumiera el cambio global en una sola cifra:

"Básicamente redujimos nuestra factura a la tercera parte de lo que era."

Próximos pasos para SerpApi: incorporar WhatsApp a la fórmula

Con los costes de verificación y el fraude bajo control, SerpApi ahora evalúa WhatsApp como canal adicional. No para reemplazar al SMS en todas partes, sino para mejorar la entrega y los costes en mercados donde WhatsApp es la vía de comunicación dominante:

"Estamos estudiando la integración de WhatsApp como canal debido a ciertos países donde WhatsApp es muy popular y la entrega de SMS no tanto, como Brasil, por ejemplo. Una vez que tengamos configurada una cuenta de WhatsApp Business, realizaremos una prueba piloto en un mercado para ver si mejora la conversión y reduce los costes de entrega. Si funciona, podríamos activarlo a nivel global."

Al preguntarle si recomendaría Prelude a otra empresa de infraestructura o centrada en APIs que se enfrente a problemas similares de fraude o visibilidad, Thilo respondió afirmativamente sin dudarlo, especialmente para cualquier equipo que ya esté buscando una alternativa a Twilio debido a malas experiencias con su soporte técnico.

La experiencia de SerpApi demuestra qué pasa cuando el filtro antifraude se convierte en el blanco directo del ataque, y cómo cambia la situación cuando el proveedor realmente te da visibilidad sobre lo que ocurre. ¿Listo para conseguir resultados similares?

Empieza a optimizar tu flujo de autenticación

Envía mensajes de texto de verificación a cualquier parte del mundo con el mejor precio, la máxima entregabilidad y libre de spam.

Comenzar · Reservar una demo