Fraude por SMS Pumping: qué es, cómo detectarlo y cómo evitarlo.
Si tu aplicación utiliza verificación telefónica, es muy probable que seas víctima del fraude de bombeo de SMS. Aquí tienes todo lo que necesitas saber al respecto.
Rowan Haddad
Responsable de Contenido y SEO
Síntesis
El fraude por SMS pumping explota las verificaciones para inflar el tráfico hacia números prémium: tú pagas cada código, ellos cobran. En 2025, analizamos 205 millones de intentos y descubrimos que el 11,83 % eran ataques. Con Prelude Verify los frenamos antes de que salga un solo mensaje. Aquí te explicamos cómo funciona este fraude, las señales para detectarlo y cómo pararlo en seco.
Si tu app usa verificación por teléfono, tarde o temprano serás blanco de SMS pumping. El análisis de Prelude sobre 205 millones de solicitudes de autenticación en 2025 reveló que el 11,83 % de todo el tráfico de verificación fue fraudulento, evitando 3,26 millones de dólares en costes de SMS (Informe de fraude por SMS pumping de Prelude 2025). En el sector, Juniper Research estimó que las pérdidas empresariales por tráfico inflado artificialmente alcanzaron los 2.100 millones de dólares en 2023.
El SMS pumping es uno de los varios fraudes de OTP dirigidos a los flujos de verificación telefónica. Los atacantes explotan estos flujos para generar tráfico SMS hacia números de tarificación adicional bajo su control, obligando a las empresas a asumir los costes de mensajería. Para conocer el panorama completo, consulta nuestra Guía completa sobre fraude de OTP.
En esta guía explicamos qué es el SMS pumping, cómo funciona y, sobre todo, cómo proteger tu negocio frente a esta amenaza creciente.
¿Qué es el SMS pumping?
El SMS pumping es un fraude en el que los atacantes disparan envíos masivos de mensajes a números bajo su control para cobrar una comisión por cada mensaje entregado. Suelen atacar endpoints de verificación y OTP, ya que cualquier formulario que active un SMS al enviar un número de teléfono puede automatizarse.
Los atacantes suelen asociarse con operadores cómplices o intermediarios que pagan por tráfico terminado. La empresa que envía los mensajes asume el coste total: el impacto financiero recae directo en la víctima.
Conocido también como SMS Toll Fraud o Tráfico Inflado Artificialmente (AIT), es una variante del Fraude de Ingresos Compartidos Internacionales (IRSF). El principio es el mismo (explotar acuerdos de reparto de ingresos en telecomunicaciones), pero el SMS pumping apunta directamente a tus endpoints de OTP y verificación, no a la infraestructura tradicional de telecomunicaciones.
A diferencia del robo de cuentas (ATO) o los ataques de credential stuffing, el objetivo no es entrar en cuentas ni robar datos.
El fin es mucho más simple: generar tráfico facturable a gran escala. Prelude Verify frena esto antes de emitir el primer mensaje: evalúa el riesgo de cada solicitud y bloquea las sospechosas para que los números fraudulentos nunca reciban un código.
Cómo funciona el SMS pumping
El SMS pumping solo requiere dos elementos: acceso a un endpoint de OTP de alto volumen y un acuerdo con una ruta de telecomunicaciones que pague por tráfico terminado.
Paso 1: El atacante asegura el reparto de ingresos. Todo empieza asociándose con operadoras dudosas o accediendo a números de tarificación adicional (IPRN). Les prometen alto volumen de SMS y mayores ingresos enviándoles tráfico directo.
Paso 2: Localizan el endpoint objetivo. Formularios de registro, login, recuperación de contraseña o promociones: cualquier endpoint que dispare un SMS al recibir un teléfono sirve como blanco.
Paso 3: Los bots inundan el endpoint. Los atacantes saturan el sistema con tráfico masivo, probando formatos de número válidos dentro de los rangos objetivo. Tu sistema envía los OTP, ellos cobran su parte por mensaje terminado. Al redirigir el tráfico a números premium internacionales bajo su control, disparan la factura de la empresa víctima.
Paso 4: El daño pasa desapercibido hasta que llega la factura. Cada mensaje que llega a sus números genera una tarifa de terminación que el operador cómplice reparte con el atacante. Por eso es tan dañino: no hay inicios de sesión fallidos, accesos sospechosos ni quejas de usuarios. Cada mensaje figura como entregado con éxito. La primera señal suele ser una anomalía en la factura, a menudo días o semanas después del ataque.
En resumen: los estafadores y sus socios monetizan el tráfico falso mientras la víctima asume la factura.
Por qué los sistemas OTP son tan vulnerables
El SMS pumping funciona porque los sistemas OTP tienen una debilidad estructural de base: el endpoint de envío debe ser público, el coste lo absorbe la plataforma y el éxito del ataque no requiere un usuario real al otro lado.
En la práctica, un formulario de registro o de recuperación de contraseña debe aceptar solicitudes de cualquiera. A diferencia de las API autenticadas con sesión o token, los endpoints de envío de OTP son abiertos por definición. No hay credenciales que robar ni sesiones que vulnerar: cualquier bot puede activarlos.
Además, son predecibles. Siguen siempre el mismo patrón: reciben un teléfono, disparan el SMS y esperan un código. Un flujo trivial de replicar y automatizar a escala con bots.
Los agentes de IA facilitan aún más esta automatización. Para entender cómo opera el tráfico de agentes en flujos de OTP y cómo detectarlo, consulta detección de fraude por agentes de IA.
Las plataformas asumen el coste sin importar el resultado. Cada mensaje genera un cargo: dé igual si lo pidió un usuario real, si el código llega a enviarse o si el número existe. En definitiva, pagan cada intento, legítimo o no.
Además, la facturación de telecomunicaciones crea un modelo de ingresos directo para los atacantes. La infraestructura global de enrutamiento SMS se basa en liquidaciones entre operadoras. Los atacantes se insertan adquiriendo rangos de números que generan pagos por terminación. Cada OTP enviado a esos números es dinero en su bolsillo. Es un vector único: la propia infraestructura del proveedor de la víctima financia al atacante.
El impacto es severo porque muchas apps carecen de inteligencia de dispositivos, análisis de comportamiento, scoring de riesgo por operador, rate limiting adaptativo y controles de verificación antifraude. Esto deja vía libre para generar tráfico masivo sin apenas fricción.
La única defensa eficaz contra el SMS pumping es evaluar el número de destino antes de enviar, algo que la mayoría de integraciones de OTP pasa por alto.
Ejemplos reales de SMS pumping
La app fintech: una campaña viral fuera de control
Una fintech lanza un programa de referidos: invita a un amigo y ambos reciben 80 $ de saldo. Para cobrarlo, el referido solo debe registrarse y verificar su número.
A las 48 horas, el volumen de OTP se multiplica por 40. Una red de bots bombardea el registro con miles de números por hora hacia rangos premium controlados por el atacante. El crédito de 80 $ es irrelevante: el botín son los mensajes de OTP. La gran mayoría de las «nuevas cuentas» no registran actividad posterior y se abandonan de inmediato.
Como los SMS figuran como entregados, el ataque pasa inadvertido hasta que saltan las alertas de facturación días después. La factura fue la primera alarma.
E-commerce: registros falsos a gran escala
Imagina una tienda de suscripción que ofrece un 15 % de descuento inicial a cambio de introducir el teléfono en su web.
Al introducir el número, el sistema envía un SMS con el código. Una táctica estándar para captar clientes interesados.
Los atacantes ven una brecha: usan bots para saturar la web con miles de teléfonos falsos, desviando cada SMS a números premium bajo su control.
¿El resultado? Una factura astronómica de SMS sin un solo cliente real. Cada mensaje enviado fue a números fraudulentos sin intención alguna de compra.
Como el tráfico salta entre múltiples redes antes de llegar a destino, rastrear la autoría es muy complejo. La prevención tiene que ocurrir antes de enviar.
La gran plataforma: 60M$/año en tráfico 2FA falso
Ni las mayores plataformas del mundo se libran. Elon Musk reveló públicamente en 2023 que Twitter pagaba unos 60 millones de dólares al año por SMS de 2FA fraudulentos generados por operadoras dudosas. Una muestra clara de cómo escala el SMS pumping si no se frena a tiempo.
Impacto del SMS pumping en tu negocio
El fraude por SMS es masivo y golpea a las empresas en varios frentes:
Pérdida financiera directa
El golpe más inmediato. El tráfico fraudulento de SMS genera costes brutales. Las empresas pagan por cada envío y los atacantes inflan el volumen desviándolo a sus números premium.
Cada OTP fraudulento es un gasto real. Pagas por mensaje enviado y los atacantes exprimirán la brecha mientras puedan. Además, atacan en ráfagas: en mayo de 2025, Prelude bloqueó 763.212 solicitudes fraudulentas en un solo ataque dirigido a números nigerianos (Informe de fraude por SMS pumping de Prelude 2025).
A diferencia de otros fraudes, este dinero rara vez se recupera. Para cuando llega la factura, los SMS ya se han enviado y cobrado.
Contar con defensas contra el abuso de promociones —como monitorización en tiempo real y bloqueo automatizado— es clave para proteger usuarios y presupuesto.
Degradación de plataforma y cuentas fantasma
El SMS pumping rara vez viene solo.
La misma red que satura tus OTP suele usarse para crear cuentas falsas, abusar de referidos, lanzar campañas de spam, falsear onboardings y explotar promociones.
A medida que proliferan estas cuentas, aumentan los problemas de moderación, cumplimiento y confianza en la plataforma.
Métricas adulteradas y datos inservibles
El SMS pumping genera cuentas falsas en masa. Registros, DAU, MAU y cohortes se distorsionan con identidades inexistentes.
La base de usuarios se llena de perfiles fantasma. La tasa de conversión cae en picado y el coste por adquisición se dispara, dificultando justificar la inversión en marketing. Las analíticas pierden fiabilidad y los datos corruptos conducen a malas decisiones.
En resumen: el tráfico basura contamina las métricas e imposibilita medir el comportamiento real del cliente, malgastando tiempo y presupuesto en perseguir espejismos.
Saturación de canales
Un ataque masivo satura tu infraestructura de mensajería con tráfico ilegítimo, colapsando al proveedor y provocando retrasos o caídas de servicio.
Los usuarios reales que intentan iniciar sesión, confirmar un pago o restablecer su clave se quedan esperando o son bloqueados. El impacto se agrava en momentos críticos: lanzamientos, promociones o recuperaciones de cuenta.
¿El resultado? Clientes frustrados, carritos abandonados y pérdida de confianza en la marca.
Riesgo de cumplimiento y daño reputacional
El SMS pumping suele derivar en la creación de cuentas falsas: perfiles automatizados que superan la verificación y se mezclan con usuarios reales. Bajo normativas KYC y AML, que perfiles sintéticos eludan el control supone un grave problema de cumplimiento.
El daño a la reputación es más difícil de cuantificar, pero se acumula. Los usuarios afectados durante un ataque pierden la confianza en el servicio, y la vinculación con actividades fraudulentas —incluso como víctima— erosiona la credibilidad de marca.
El fraude no solo daña el balance; destruye la confianza. Y una vez rota, recuperarla cuesta el doble.
Costes operativos imprevistos
Gestionar las consecuencias del SMS pumping no solo drena caja: también absorbe tiempo valioso de los equipos técnicos, desbordados solucionando incidencias a usuarios afectados.
Deben auditar cada cargo fraudulento, atender quejas legítimas, blindar la seguridad a futuro y, si es viable, emprender acciones legales contra los atacantes (si se logra identificarlos).
Cómo detectar el fraude por SMS pumping
Este tráfico se camufla como actividad legítima. Estas señales ayudan a identificarlo a tiempo:
Picos atípicos en el volumen de OTP
Si las solicitudes de OTP crecen sin campañas de marketing o un aumento orgánico del tráfico, es muy probable que haya atacantes detrás.
Concentración en geografías concretas
Enviar volúmenes inusuales de SMS a países donde no operas ni tienes usuarios es un indicio claro de explotación del servicio.
Patrones secuenciales en los teléfonos
Números sospechosamente parecidos o correlativos (ej. +1234567801, +1234567802, +1234567803) no son casualidad.
Los bots usan listas automatizadas para disparar OTP: detectar estas secuencias delata un ataque en curso.
Tráfico a través de proxies residenciales
En 2025, los proxies residenciales se convirtieron en la infraestructura predilecta para rotar IPs y saltarse bloqueos simples (Informe de fraude por SMS pumping de Prelude 2025).
Caída en el ratio de conversión de verificación
Un ratio de envíos frente a códigos introducidos superior a 2:1 es una alerta clara: el atacante solo necesita provocar el envío, no validar el código.
Por tanto, una caída repentina de la conversión (global o por país) indica tráfico inflado artificialmente. El panel de Prelude monitoriza la conversión en tiempo real a nivel global y local para detectar estas desviaciones de inmediato.
Quejas de clientes por retrasos
La saturación del canal genera cuellos de botella que retrasan la entrega de códigos legítimos.
Si soporte empieza a recibir avisos de lentitud en la recepción de OTP, tu infraestructura podría estar bajo ataque.
Cohortes de registro con actividad nula
Picos de registro que no se traducen en inicios de sesión, navegación o compras posteriores son síntoma habitual de un ataque de pumping.
Consumo acelerado del saldo de SMS
La relación gasto/actividad es el indicador tardío definitivo: cuando salta la alarma, el dinero ya se ha gastado.
La mayoría de estas señales son detectables en tiempo real. La última solo avisa tras el impacto; de ahí la necesidad de anticiparse.
Cómo prevenir el fraude por SMS pumping
Una protección eficaz exige blindar la infraestructura y evaluar el riesgo en tiempo real antes de cada envío. Prelude Verify integra estas defensas por defecto:
1. Implementa rate limiting adaptativo
Una de las barreras más comunes: limitar el volumen de mensajes o fijar techos de gasto por periodos determinados.
Por ejemplo, topar el gasto en OTP en 300 $ diarios. Esto evita sorpresas inasumibles a final de mes.
Eso sí, con cautela: un filtrado demasiado agresivo genera falsos positivos y bloquea usuarios reales durante picos legítimos de tráfico. Monitorizar y calibrar estos umbrales según el ritmo del negocio es vital para no arruinar la experiencia de usuario.
Prelude Verify limita las solicitudes por número y ventana de tiempo de forma configurable desde el panel de control.
2. Clasificación previa del número de destino
Antes de disparar el SMS, analiza los vectores de riesgo del destinatario:
Tipo de línea: las líneas VoIP, virtuales y desechables se usan de forma desproporcionada en ataques. Marca o bloquea envíos a estos rangos.
Riesgo geográfico: prefijos o códigos de país históricamente vinculados al fraude premium deben activar bloqueos automáticos o filtros más estrictos.
Números de reciente activación: líneas dadas de alta recientemente suelen formar parte de redes automatizadas de ataque.
3. Restricciones geográficas precisas
Si no operas en un mercado, no tiene sentido enviar OTPs allí. Limitar los envíos a tus países activos es una medida rápida y muy efectiva para neutralizar el fraude internacional por IPRN.
Define bien el perímetro: los bloqueos indiscriminados perjudican a usuarios válidos. Configura listas de admisión basadas en datos reales de tu negocio.
En Prelude, cada país tiene un nivel de riesgo modulable desde el panel para endurecer filtros en mercados concretos sin necesidad de bloquearlos del todo.
4. Control de ratios de verificación
Una bajada drástica en el porcentaje de verificación es un indicador inequívoco: el fraude genera envíos, no registros reales.
Monitorizar esta métrica en tiempo real permite neutralizar ataques en su fase inicial.
5. Visibilidad a nivel de ruta de entrega
Trabaja con un proveedor de OTP que filtre y bloquee rutas dudosas. Si tu proveedor cobra un margen por cada SMS enviado, carece de incentivos reales para cortar el tráfico fraudulento. Prioriza modelos transparentes, sin sobrecostes por mensaje y con compromiso activo en la limpieza de rutas.
Prelude factura los SMS al coste real de operador, sin sobreprecio: bloquear fraude no entra en conflicto con nuestro modelo de negocio.
Para una comparativa detallada de soluciones, revisa nuestra guía de herramientas contra el SMS pumping.
6. Scoring de fraude en tiempo real
Las listas negras estáticas quedan obsoletas en cuestión de horas. La detección debe adaptarse al ritmo de la infraestructura atacante.
Una prevención moderna requiere:
Modelos de riesgo adaptativos
Inteligencia de comportamiento
Señales actualizadas constantemente
Toma de decisiones en tiempo real
Cómo blindar tu formulario de registro
El formulario es donde empieza todo: cada clic en «Enviar código» cuesta dinero y un bot puede pulsarlo miles de veces. La solución pasa por encarecer el ataque y mitigar el riesgo con seis barreras directas:
Evalúa el dispositivo antes de mostrar el código. Captura señales del terminal al cargar la pantalla para frenar bots antes de que puedan solicitar un envío.
Aplica tiempos de espera y topes de intento. Exige un intervalo mínimo entre reenvíos y limita el número de peticiones por teléfono.
Aplica retroceso exponencial. Aumenta el tiempo de espera tras cada reintento desde el mismo número. Un usuario real que se equivoca apenas lo nota; un ataque masivo queda prácticamente frenado.
Restringe el selector de países a tus mercados activos. Si no operas en una región, no permitas envíos hacia ella.
Valida el número antes de emitir el SMS. Descarta líneas VoIP, virtuales o temporales en el propio cliente en lugar de pagar por enviarles un código.
Fija un límite de gasto como red de seguridad. Un tope estricto de presupuesto por franja temporal evita facturas desorbitadas si algo falla.
Prelude Verify resuelve esto por defecto. Sus SDKs para iOS, Android, web, React Native y Flutter capturan datos del dispositivo en cada verificación. Los intervalos de reintento, bloqueos geográficos y techos de gasto se gestionan desde el panel. Los números no aptos se descartan antes de emitir ningún SMS.
A partir de ahí, vigila el ratio envíos/verificaciones. Un formulario que dispara muchos más códigos de los que valida está bajo ataque, incluso si los controles están respondiendo.
Cómo detecta Prelude el SMS pumping antes del envío
La estrategia de Prelude es clara: detectar antes de enviar, no lamentar después de pagar.
Prelude Verify analiza cada intento de forma automática. Antes de despachar el código, nuestro motor de ML evalúa el riesgo y frena la petición si supera los límites, evitando el coste del SMS. Al descartar un envío, el sistema detalla los factores determinantes, como:
Números temporales: la línea pertenece a un servicio desechable o virtual.
Rangos comprometidos: el prefijo está catalogado bajo sospecha de abuso recurrente.
Baja probabilidad de conversión: patrones de tráfico idénticos rara vez completan la verificación.
Discrepancia geográfica: el origen de red no coincide con el país del prefijo telefónico.
Señales de red y proxy: tráfico derivado de proxies o IPs con mala reputación y alta concentración de peticiones.
Reintentos excesivos: el número rebasa los intentos permitidos en un plazo corto.
Bases de datos de fraude: el número figura en los registros de amenazas globales que Prelude audita de forma continua.
En el análisis de datos de Prelude de 2025, los modelos de machine learning interceptaron casi el 78 % del total de solicitudes fraudulentas. Las reglas fijas no bastan frente a redes que rotan proxies residenciales y replican los tiempos de un usuario humano.
Esta configuración se modula por mercado desde el panel de Prelude: permite elevar el nivel de control o exigir detección de VPN y proxies al instante, sin tocar código.
Prelude Watch evalúa el riesgo en el onboarding, uses el proveedor de SMS que uses. Watch dictamina si el teléfono o correo introducido es fiable o sospechoso, apoyándose en señales de portabilidad, proxies residenciales, números efímeros e incoherencias de red. Si ya envías tus OTP con otro proveedor, Watch actúa como filtro preventivo antes de autorizar el envío.
Un ataque real neutralizado
Así interceptó Prelude un ataque real contra una foodtech europea:
El tráfico procedía de números de Reino Unido, un mercado prioritario para la compañía. Aunque el origen parecía normal, los modelos de Prelude detectaron una anomalía: decenas de números del mismo rango mostraban tasas de conversión sospechosamente nulas.
Esta detección temprana permitió bloquear el rango de raíz. La ofensiva se prolongó varios días, pero los atacantes desistieron al no conseguir monetizar el tráfico.
El volumen neutralizado equivalía casi a la facturación mensual habitual del cliente en SMS, ahorrándole miles de euros en costes directos.
Con Prelude obtienes protección proactiva contra el fraude sin degradar la experiencia de tus usuarios legítimos.
Protege tu balance frente al fraude de SMS: crea tu cuenta gratis y prueba la API de Prelude hoy mismo.
¿Qué es el fraude por SMS pumping?
El SMS pumping (o tráfico inflado artificialmente) es un fraude en el que atacantes lanzan bots contra tus endpoints de OTP para forzar envíos masivos hacia números de tarificación premium bajo su control, llevándose una comisión de la tarifa que tu plataforma paga por cada mensaje.
¿Cuál es la diferencia entre SMS pumping e IRSF?
El SMS pumping es una variante de IRSF. IRSF es el término general para cualquier esquema que explota acuerdos de liquidación telefónica; el SMS pumping se enfoca específicamente en atacar flujos de OTP y verificación para inflar ese tráfico. Consulta ¿Qué es el IRSF? para un desglose completo.
¿Cómo sé si estoy sufriendo SMS pumping?
Las señales iniciales más claras son una caída drástica en la tasa de verificación (muchos envíos, poquísimas validaciones), picos concentrados en países fuera de tu mercado y teléfonos con patrones secuenciales. Ver cómo la factura de SMS se dispara sin aumento real de clientes suele ser el síntoma más común, pero para entonces el dinero ya se ha perdido.
¿Cómo frena Prelude el SMS pumping?
Prelude Verify puntúa cada intento antes del envío mediante machine learning, detectando números efímeros, rangos intervenidos, bajas conversiones, discrepancias de IP y tráfico proxy. Las peticiones dudosas se bloquean al instante y el SMS no sale. Además, Prelude Watch permite validar el riesgo en el registro con cualquier proveedor.
¿Basta con bloquear países enteros para frenar el SMS pumping?
El bloqueo geográfico ayuda, pero debe ser quirúrgico. Bloquear países enteros conlleva el riesgo de perder usuarios legítimos y perjudicar el crecimiento.
La mejor estrategia es acotar los envíos a tus mercados reales mediante listas de admisión, combinándolo con análisis preventivo del número y control de frecuencia para una protección robusta en capas.
Si tu app usa verificación por teléfono, tarde o temprano serás blanco de SMS pumping. El análisis de Prelude sobre 205 millones de solicitudes de autenticación en 2025 reveló que el 11,83 % de todo el tráfico de verificación fue fraudulento, evitando 3,26 millones de dólares en costes de SMS (Informe de fraude por SMS pumping de Prelude 2025). En el sector, Juniper Research estimó que las pérdidas empresariales por tráfico inflado artificialmente alcanzaron los 2.100 millones de dólares en 2023.
El SMS pumping es uno de los varios fraudes de OTP dirigidos a los flujos de verificación telefónica. Los atacantes explotan estos flujos para generar tráfico SMS hacia números de tarificación adicional bajo su control, obligando a las empresas a asumir los costes de mensajería. Para conocer el panorama completo, consulta nuestra Guía completa sobre fraude de OTP.
En esta guía explicamos qué es el SMS pumping, cómo funciona y, sobre todo, cómo proteger tu negocio frente a esta amenaza creciente.
¿Qué es el SMS pumping?
El SMS pumping es un fraude en el que los atacantes disparan envíos masivos de mensajes a números bajo su control para cobrar una comisión por cada mensaje entregado. Suelen atacar endpoints de verificación y OTP, ya que cualquier formulario que active un SMS al enviar un número de teléfono puede automatizarse.
Los atacantes suelen asociarse con operadores cómplices o intermediarios que pagan por tráfico terminado. La empresa que envía los mensajes asume el coste total: el impacto financiero recae directo en la víctima.
Conocido también como SMS Toll Fraud o Tráfico Inflado Artificialmente (AIT), es una variante del Fraude de Ingresos Compartidos Internacionales (IRSF). El principio es el mismo (explotar acuerdos de reparto de ingresos en telecomunicaciones), pero el SMS pumping apunta directamente a tus endpoints de OTP y verificación, no a la infraestructura tradicional de telecomunicaciones.
A diferencia del robo de cuentas (ATO) o los ataques de credential stuffing, el objetivo no es entrar en cuentas ni robar datos.
El fin es mucho más simple: generar tráfico facturable a gran escala. Prelude Verify frena esto antes de emitir el primer mensaje: evalúa el riesgo de cada solicitud y bloquea las sospechosas para que los números fraudulentos nunca reciban un código.
Cómo funciona el SMS pumping
El SMS pumping solo requiere dos elementos: acceso a un endpoint de OTP de alto volumen y un acuerdo con una ruta de telecomunicaciones que pague por tráfico terminado.
Paso 1: El atacante asegura el reparto de ingresos. Todo empieza asociándose con operadoras dudosas o accediendo a números de tarificación adicional (IPRN). Les prometen alto volumen de SMS y mayores ingresos enviándoles tráfico directo.
Paso 2: Localizan el endpoint objetivo. Formularios de registro, login, recuperación de contraseña o promociones: cualquier endpoint que dispare un SMS al recibir un teléfono sirve como blanco.
Paso 3: Los bots inundan el endpoint. Los atacantes saturan el sistema con tráfico masivo, probando formatos de número válidos dentro de los rangos objetivo. Tu sistema envía los OTP, ellos cobran su parte por mensaje terminado. Al redirigir el tráfico a números premium internacionales bajo su control, disparan la factura de la empresa víctima.
Paso 4: El daño pasa desapercibido hasta que llega la factura. Cada mensaje que llega a sus números genera una tarifa de terminación que el operador cómplice reparte con el atacante. Por eso es tan dañino: no hay inicios de sesión fallidos, accesos sospechosos ni quejas de usuarios. Cada mensaje figura como entregado con éxito. La primera señal suele ser una anomalía en la factura, a menudo días o semanas después del ataque.
En resumen: los estafadores y sus socios monetizan el tráfico falso mientras la víctima asume la factura.
Por qué los sistemas OTP son tan vulnerables
El SMS pumping funciona porque los sistemas OTP tienen una debilidad estructural de base: el endpoint de envío debe ser público, el coste lo absorbe la plataforma y el éxito del ataque no requiere un usuario real al otro lado.
En la práctica, un formulario de registro o de recuperación de contraseña debe aceptar solicitudes de cualquiera. A diferencia de las API autenticadas con sesión o token, los endpoints de envío de OTP son abiertos por definición. No hay credenciales que robar ni sesiones que vulnerar: cualquier bot puede activarlos.
Además, son predecibles. Siguen siempre el mismo patrón: reciben un teléfono, disparan el SMS y esperan un código. Un flujo trivial de replicar y automatizar a escala con bots.
Los agentes de IA facilitan aún más esta automatización. Para entender cómo opera el tráfico de agentes en flujos de OTP y cómo detectarlo, consulta detección de fraude por agentes de IA.
Las plataformas asumen el coste sin importar el resultado. Cada mensaje genera un cargo: dé igual si lo pidió un usuario real, si el código llega a enviarse o si el número existe. En definitiva, pagan cada intento, legítimo o no.
Además, la facturación de telecomunicaciones crea un modelo de ingresos directo para los atacantes. La infraestructura global de enrutamiento SMS se basa en liquidaciones entre operadoras. Los atacantes se insertan adquiriendo rangos de números que generan pagos por terminación. Cada OTP enviado a esos números es dinero en su bolsillo. Es un vector único: la propia infraestructura del proveedor de la víctima financia al atacante.
El impacto es severo porque muchas apps carecen de inteligencia de dispositivos, análisis de comportamiento, scoring de riesgo por operador, rate limiting adaptativo y controles de verificación antifraude. Esto deja vía libre para generar tráfico masivo sin apenas fricción.
La única defensa eficaz contra el SMS pumping es evaluar el número de destino antes de enviar, algo que la mayoría de integraciones de OTP pasa por alto.
Ejemplos reales de SMS pumping
La app fintech: una campaña viral fuera de control
Una fintech lanza un programa de referidos: invita a un amigo y ambos reciben 80 $ de saldo. Para cobrarlo, el referido solo debe registrarse y verificar su número.
A las 48 horas, el volumen de OTP se multiplica por 40. Una red de bots bombardea el registro con miles de números por hora hacia rangos premium controlados por el atacante. El crédito de 80 $ es irrelevante: el botín son los mensajes de OTP. La gran mayoría de las «nuevas cuentas» no registran actividad posterior y se abandonan de inmediato.
Como los SMS figuran como entregados, el ataque pasa inadvertido hasta que saltan las alertas de facturación días después. La factura fue la primera alarma.
E-commerce: registros falsos a gran escala
Imagina una tienda de suscripción que ofrece un 15 % de descuento inicial a cambio de introducir el teléfono en su web.
Al introducir el número, el sistema envía un SMS con el código. Una táctica estándar para captar clientes interesados.
Los atacantes ven una brecha: usan bots para saturar la web con miles de teléfonos falsos, desviando cada SMS a números premium bajo su control.
¿El resultado? Una factura astronómica de SMS sin un solo cliente real. Cada mensaje enviado fue a números fraudulentos sin intención alguna de compra.
Como el tráfico salta entre múltiples redes antes de llegar a destino, rastrear la autoría es muy complejo. La prevención tiene que ocurrir antes de enviar.
La gran plataforma: 60M$/año en tráfico 2FA falso
Ni las mayores plataformas del mundo se libran. Elon Musk reveló públicamente en 2023 que Twitter pagaba unos 60 millones de dólares al año por SMS de 2FA fraudulentos generados por operadoras dudosas. Una muestra clara de cómo escala el SMS pumping si no se frena a tiempo.
Impacto del SMS pumping en tu negocio
El fraude por SMS es masivo y golpea a las empresas en varios frentes:
Pérdida financiera directa
El golpe más inmediato. El tráfico fraudulento de SMS genera costes brutales. Las empresas pagan por cada envío y los atacantes inflan el volumen desviándolo a sus números premium.
Cada OTP fraudulento es un gasto real. Pagas por mensaje enviado y los atacantes exprimirán la brecha mientras puedan. Además, atacan en ráfagas: en mayo de 2025, Prelude bloqueó 763.212 solicitudes fraudulentas en un solo ataque dirigido a números nigerianos (Informe de fraude por SMS pumping de Prelude 2025).
A diferencia de otros fraudes, este dinero rara vez se recupera. Para cuando llega la factura, los SMS ya se han enviado y cobrado.
Contar con defensas contra el abuso de promociones —como monitorización en tiempo real y bloqueo automatizado— es clave para proteger usuarios y presupuesto.
Degradación de plataforma y cuentas fantasma
El SMS pumping rara vez viene solo.
La misma red que satura tus OTP suele usarse para crear cuentas falsas, abusar de referidos, lanzar campañas de spam, falsear onboardings y explotar promociones.
A medida que proliferan estas cuentas, aumentan los problemas de moderación, cumplimiento y confianza en la plataforma.
Métricas adulteradas y datos inservibles
El SMS pumping genera cuentas falsas en masa. Registros, DAU, MAU y cohortes se distorsionan con identidades inexistentes.
La base de usuarios se llena de perfiles fantasma. La tasa de conversión cae en picado y el coste por adquisición se dispara, dificultando justificar la inversión en marketing. Las analíticas pierden fiabilidad y los datos corruptos conducen a malas decisiones.
En resumen: el tráfico basura contamina las métricas e imposibilita medir el comportamiento real del cliente, malgastando tiempo y presupuesto en perseguir espejismos.
Saturación de canales
Un ataque masivo satura tu infraestructura de mensajería con tráfico ilegítimo, colapsando al proveedor y provocando retrasos o caídas de servicio.
Los usuarios reales que intentan iniciar sesión, confirmar un pago o restablecer su clave se quedan esperando o son bloqueados. El impacto se agrava en momentos críticos: lanzamientos, promociones o recuperaciones de cuenta.
¿El resultado? Clientes frustrados, carritos abandonados y pérdida de confianza en la marca.
Riesgo de cumplimiento y daño reputacional
El SMS pumping suele derivar en la creación de cuentas falsas: perfiles automatizados que superan la verificación y se mezclan con usuarios reales. Bajo normativas KYC y AML, que perfiles sintéticos eludan el control supone un grave problema de cumplimiento.
El daño a la reputación es más difícil de cuantificar, pero se acumula. Los usuarios afectados durante un ataque pierden la confianza en el servicio, y la vinculación con actividades fraudulentas —incluso como víctima— erosiona la credibilidad de marca.
El fraude no solo daña el balance; destruye la confianza. Y una vez rota, recuperarla cuesta el doble.
Costes operativos imprevistos
Gestionar las consecuencias del SMS pumping no solo drena caja: también absorbe tiempo valioso de los equipos técnicos, desbordados solucionando incidencias a usuarios afectados.
Deben auditar cada cargo fraudulento, atender quejas legítimas, blindar la seguridad a futuro y, si es viable, emprender acciones legales contra los atacantes (si se logra identificarlos).
Cómo detectar el fraude por SMS pumping
Este tráfico se camufla como actividad legítima. Estas señales ayudan a identificarlo a tiempo:
Picos atípicos en el volumen de OTP
Si las solicitudes de OTP crecen sin campañas de marketing o un aumento orgánico del tráfico, es muy probable que haya atacantes detrás.
Concentración en geografías concretas
Enviar volúmenes inusuales de SMS a países donde no operas ni tienes usuarios es un indicio claro de explotación del servicio.
Patrones secuenciales en los teléfonos
Números sospechosamente parecidos o correlativos (ej. +1234567801, +1234567802, +1234567803) no son casualidad.
Los bots usan listas automatizadas para disparar OTP: detectar estas secuencias delata un ataque en curso.
Tráfico a través de proxies residenciales
En 2025, los proxies residenciales se convirtieron en la infraestructura predilecta para rotar IPs y saltarse bloqueos simples (Informe de fraude por SMS pumping de Prelude 2025).
Caída en el ratio de conversión de verificación
Un ratio de envíos frente a códigos introducidos superior a 2:1 es una alerta clara: el atacante solo necesita provocar el envío, no validar el código.
Por tanto, una caída repentina de la conversión (global o por país) indica tráfico inflado artificialmente. El panel de Prelude monitoriza la conversión en tiempo real a nivel global y local para detectar estas desviaciones de inmediato.
Quejas de clientes por retrasos
La saturación del canal genera cuellos de botella que retrasan la entrega de códigos legítimos.
Si soporte empieza a recibir avisos de lentitud en la recepción de OTP, tu infraestructura podría estar bajo ataque.
Cohortes de registro con actividad nula
Picos de registro que no se traducen en inicios de sesión, navegación o compras posteriores son síntoma habitual de un ataque de pumping.
Consumo acelerado del saldo de SMS
La relación gasto/actividad es el indicador tardío definitivo: cuando salta la alarma, el dinero ya se ha gastado.
La mayoría de estas señales son detectables en tiempo real. La última solo avisa tras el impacto; de ahí la necesidad de anticiparse.
Cómo prevenir el fraude por SMS pumping
Una protección eficaz exige blindar la infraestructura y evaluar el riesgo en tiempo real antes de cada envío. Prelude Verify integra estas defensas por defecto:
1. Implementa rate limiting adaptativo
Una de las barreras más comunes: limitar el volumen de mensajes o fijar techos de gasto por periodos determinados.
Por ejemplo, topar el gasto en OTP en 300 $ diarios. Esto evita sorpresas inasumibles a final de mes.
Eso sí, con cautela: un filtrado demasiado agresivo genera falsos positivos y bloquea usuarios reales durante picos legítimos de tráfico. Monitorizar y calibrar estos umbrales según el ritmo del negocio es vital para no arruinar la experiencia de usuario.
Prelude Verify limita las solicitudes por número y ventana de tiempo de forma configurable desde el panel de control.
2. Clasificación previa del número de destino
Antes de disparar el SMS, analiza los vectores de riesgo del destinatario:
Tipo de línea: las líneas VoIP, virtuales y desechables se usan de forma desproporcionada en ataques. Marca o bloquea envíos a estos rangos.
Riesgo geográfico: prefijos o códigos de país históricamente vinculados al fraude premium deben activar bloqueos automáticos o filtros más estrictos.
Números de reciente activación: líneas dadas de alta recientemente suelen formar parte de redes automatizadas de ataque.
3. Restricciones geográficas precisas
Si no operas en un mercado, no tiene sentido enviar OTPs allí. Limitar los envíos a tus países activos es una medida rápida y muy efectiva para neutralizar el fraude internacional por IPRN.
Define bien el perímetro: los bloqueos indiscriminados perjudican a usuarios válidos. Configura listas de admisión basadas en datos reales de tu negocio.
En Prelude, cada país tiene un nivel de riesgo modulable desde el panel para endurecer filtros en mercados concretos sin necesidad de bloquearlos del todo.
4. Control de ratios de verificación
Una bajada drástica en el porcentaje de verificación es un indicador inequívoco: el fraude genera envíos, no registros reales.
Monitorizar esta métrica en tiempo real permite neutralizar ataques en su fase inicial.
5. Visibilidad a nivel de ruta de entrega
Trabaja con un proveedor de OTP que filtre y bloquee rutas dudosas. Si tu proveedor cobra un margen por cada SMS enviado, carece de incentivos reales para cortar el tráfico fraudulento. Prioriza modelos transparentes, sin sobrecostes por mensaje y con compromiso activo en la limpieza de rutas.
Prelude factura los SMS al coste real de operador, sin sobreprecio: bloquear fraude no entra en conflicto con nuestro modelo de negocio.
Para una comparativa detallada de soluciones, revisa nuestra guía de herramientas contra el SMS pumping.
6. Scoring de fraude en tiempo real
Las listas negras estáticas quedan obsoletas en cuestión de horas. La detección debe adaptarse al ritmo de la infraestructura atacante.
Una prevención moderna requiere:
Modelos de riesgo adaptativos
Inteligencia de comportamiento
Señales actualizadas constantemente
Toma de decisiones en tiempo real
Cómo blindar tu formulario de registro
El formulario es donde empieza todo: cada clic en «Enviar código» cuesta dinero y un bot puede pulsarlo miles de veces. La solución pasa por encarecer el ataque y mitigar el riesgo con seis barreras directas:
Evalúa el dispositivo antes de mostrar el código. Captura señales del terminal al cargar la pantalla para frenar bots antes de que puedan solicitar un envío.
Aplica tiempos de espera y topes de intento. Exige un intervalo mínimo entre reenvíos y limita el número de peticiones por teléfono.
Aplica retroceso exponencial. Aumenta el tiempo de espera tras cada reintento desde el mismo número. Un usuario real que se equivoca apenas lo nota; un ataque masivo queda prácticamente frenado.
Restringe el selector de países a tus mercados activos. Si no operas en una región, no permitas envíos hacia ella.
Valida el número antes de emitir el SMS. Descarta líneas VoIP, virtuales o temporales en el propio cliente en lugar de pagar por enviarles un código.
Fija un límite de gasto como red de seguridad. Un tope estricto de presupuesto por franja temporal evita facturas desorbitadas si algo falla.
Prelude Verify resuelve esto por defecto. Sus SDKs para iOS, Android, web, React Native y Flutter capturan datos del dispositivo en cada verificación. Los intervalos de reintento, bloqueos geográficos y techos de gasto se gestionan desde el panel. Los números no aptos se descartan antes de emitir ningún SMS.
A partir de ahí, vigila el ratio envíos/verificaciones. Un formulario que dispara muchos más códigos de los que valida está bajo ataque, incluso si los controles están respondiendo.
Cómo detecta Prelude el SMS pumping antes del envío
La estrategia de Prelude es clara: detectar antes de enviar, no lamentar después de pagar.
Prelude Verify analiza cada intento de forma automática. Antes de despachar el código, nuestro motor de ML evalúa el riesgo y frena la petición si supera los límites, evitando el coste del SMS. Al descartar un envío, el sistema detalla los factores determinantes, como:
Números temporales: la línea pertenece a un servicio desechable o virtual.
Rangos comprometidos: el prefijo está catalogado bajo sospecha de abuso recurrente.
Baja probabilidad de conversión: patrones de tráfico idénticos rara vez completan la verificación.
Discrepancia geográfica: el origen de red no coincide con el país del prefijo telefónico.
Señales de red y proxy: tráfico derivado de proxies o IPs con mala reputación y alta concentración de peticiones.
Reintentos excesivos: el número rebasa los intentos permitidos en un plazo corto.
Bases de datos de fraude: el número figura en los registros de amenazas globales que Prelude audita de forma continua.
En el análisis de datos de Prelude de 2025, los modelos de machine learning interceptaron casi el 78 % del total de solicitudes fraudulentas. Las reglas fijas no bastan frente a redes que rotan proxies residenciales y replican los tiempos de un usuario humano.
Esta configuración se modula por mercado desde el panel de Prelude: permite elevar el nivel de control o exigir detección de VPN y proxies al instante, sin tocar código.
Prelude Watch evalúa el riesgo en el onboarding, uses el proveedor de SMS que uses. Watch dictamina si el teléfono o correo introducido es fiable o sospechoso, apoyándose en señales de portabilidad, proxies residenciales, números efímeros e incoherencias de red. Si ya envías tus OTP con otro proveedor, Watch actúa como filtro preventivo antes de autorizar el envío.
Un ataque real neutralizado
Así interceptó Prelude un ataque real contra una foodtech europea:
El tráfico procedía de números de Reino Unido, un mercado prioritario para la compañía. Aunque el origen parecía normal, los modelos de Prelude detectaron una anomalía: decenas de números del mismo rango mostraban tasas de conversión sospechosamente nulas.
Esta detección temprana permitió bloquear el rango de raíz. La ofensiva se prolongó varios días, pero los atacantes desistieron al no conseguir monetizar el tráfico.
El volumen neutralizado equivalía casi a la facturación mensual habitual del cliente en SMS, ahorrándole miles de euros en costes directos.
Con Prelude obtienes protección proactiva contra el fraude sin degradar la experiencia de tus usuarios legítimos.
Protege tu balance frente al fraude de SMS: crea tu cuenta gratis y prueba la API de Prelude hoy mismo.
¿Qué es el fraude por SMS pumping?
El SMS pumping (o tráfico inflado artificialmente) es un fraude en el que atacantes lanzan bots contra tus endpoints de OTP para forzar envíos masivos hacia números de tarificación premium bajo su control, llevándose una comisión de la tarifa que tu plataforma paga por cada mensaje.
¿Cuál es la diferencia entre SMS pumping e IRSF?
El SMS pumping es una variante de IRSF. IRSF es el término general para cualquier esquema que explota acuerdos de liquidación telefónica; el SMS pumping se enfoca específicamente en atacar flujos de OTP y verificación para inflar ese tráfico. Consulta ¿Qué es el IRSF? para un desglose completo.
¿Cómo sé si estoy sufriendo SMS pumping?
Las señales iniciales más claras son una caída drástica en la tasa de verificación (muchos envíos, poquísimas validaciones), picos concentrados en países fuera de tu mercado y teléfonos con patrones secuenciales. Ver cómo la factura de SMS se dispara sin aumento real de clientes suele ser el síntoma más común, pero para entonces el dinero ya se ha perdido.
¿Cómo frena Prelude el SMS pumping?
Prelude Verify puntúa cada intento antes del envío mediante machine learning, detectando números efímeros, rangos intervenidos, bajas conversiones, discrepancias de IP y tráfico proxy. Las peticiones dudosas se bloquean al instante y el SMS no sale. Además, Prelude Watch permite validar el riesgo en el registro con cualquier proveedor.
¿Basta con bloquear países enteros para frenar el SMS pumping?
El bloqueo geográfico ayuda, pero debe ser quirúrgico. Bloquear países enteros conlleva el riesgo de perder usuarios legítimos y perjudicar el crecimiento.
La mejor estrategia es acotar los envíos a tus mercados reales mediante listas de admisión, combinándolo con análisis preventivo del número y control de frecuencia para una protección robusta en capas.
Optimiza tu flujo de autenticación ahora
Envía SMS de verificación a todo el mundo: al mejor precio, con entrega garantizada y sin spam.
