Fraude por SMS Pumping: qué es, cómo detectarlo y cómo evitarlo.
Si tu aplicación utiliza verificación telefónica, es muy probable que seas víctima del fraude de bombeo de SMS. Aquí tienes todo lo que necesitas saber al respecto.
Rowan Haddad
Responsable de Contenido y SEO
Síntesis
El fraude por SMS pumping explota las verificaciones para inflar el tráfico hacia números prémium: tú pagas cada código, ellos cobran. En 2025, analizamos 205 millones de intentos y descubrimos que el 11,83 % eran ataques. Con Prelude Verify los frenamos antes de que salga un solo mensaje. Aquí te explicamos cómo funciona este fraude, las señales para detectarlo y cómo pararlo en seco.
Si tu app usa verificación por teléfono, tarde o temprano será blanco de SMS pumping. El análisis de Prelude sobre 205 millones de solicitudes de autenticación en 2025 reveló que el 11,83 % de todo el tráfico de verificación fue fraudulento, evitando 3,26 millones de dólares en costes de SMS en todo el conjunto de datos (Informe de fraude por SMS Pumping 2025 de Prelude). En el sector, Juniper Research estimó que las pérdidas empresariales por tráfico inflado artificialmente —la categoría a la que pertenece el SMS pumping— alcanzaron un pico de 2.100 millones de dólares en 2023.
El SMS pumping es uno de varios fraudes de OTP que explotan los flujos de verificación telefónica. Los atacantes los aprovechan para enviar tráfico SMS masivo hacia números de tarificación adicional bajo su control, obligando a las empresas a asumir los costes de envío. Para ver el panorama completo, consulta nuestra Guía completa sobre fraude de OTP.
En esta guía explicamos qué es el fraude por SMS pumping, cómo opera y, lo más importante, cómo blindar tu negocio ante esta creciente amenaza.
¿Qué es el SMS Pumping?
El SMS pumping es un tipo de fraude donde los atacantes disparan envíos masivos de SMS a números que controlan para cobrar una comisión por cada mensaje entregado. Atacan sobre todo endpoints de OTP y verificación: cualquier formulario que dispare un SMS al recibir un teléfono es susceptible de ser automatizado.
Los defraudadores suelen aliarse con operadoras móviles cómplices o intermediarios que pagan por tráfico terminado. La empresa que envía asume cada coste; el golpe financiero va directo a la víctima.
También conocido como SMS Toll Fraud o Tráfico Inflado Artificialmente (AIT), es una variante del Fraude de Ingresos Compartidos Internacionales (IRSF). El mecanismo base es idéntico (explotar acuerdos de reparto de ingresos en telecomunicaciones), pero el SMS pumping apunta directamente a tus endpoints de OTP y verificación en lugar de a la infraestructura tradicional de telecomunicaciones.
A diferencia del robo de cuentas (ATO) o el credential stuffing, aquí no buscan vulnerar cuentas ni robar datos de usuarios.
El fin es mucho más simple: generar tráfico SMS facturable a escala. Prelude Verify frena esto antes de emitir el primer mensaje: evalúa el riesgo de fraude de cada verificación y bloquea las sospechosas para que ningún número inflado reciba un código.
Cómo funciona el SMS Pumping
El SMS pumping exige dos factores: acceso a un endpoint de OTP de alto volumen y un acuerdo con una ruta de telecomunicaciones que pague por tráfico recibido.
Paso 1: El atacante asegura el reparto de ingresos. Todo empieza asociándose con operadoras sin escrúpulos u obteniendo números de tarificación especial. Les prometen grandes volúmenes de SMS e ingresos extra, usando números de tarificación adicional internacional (IPRN) para canalizar el tráfico.
Paso 2: Identifican el objetivo. Formularios de registro, inicios de sesión, restablecimiento de contraseñas o canje de promociones: cualquier endpoint que dispare un SMS al introducir un teléfono se convierte en diana.
Paso 3: Los bots saturan el endpoint. Inundan el sistema con tráfico SMS, iterando patrones de números aparentemente válidos dentro de los rangos elegidos. Tu sistema envía los OTP. El atacante cobra su porcentaje por mensaje. Estos SMS viajan a números premium bajo su control —habitualmente en el extranjero— disparando la factura de la empresa que paga por envío.
Paso 4: El daño queda oculto hasta que llega la factura. Cada mensaje entregado genera una tasa de terminación que la operadora cómplice comparte con los atacantes. Esto lo vuelve letal: no genera fallos de login, ni accesos sospechosos, ni quejas de clientes. Todo figura como entregado con éxito. La primera señal suele ser una anomalía en la factura, a menudo semanas después del ataque.
En resumen: estafadores y socios se lucran con el tráfico SMS falso mientras la víctima asume la factura íntegra.
Por qué los sistemas OTP son tan vulnerables
El SMS pumping prospera gracias a una debilidad estructural de los OTP: el endpoint de envío debe ser público, el coste lo asume la plataforma y el éxito del ataque no requiere un usuario real al otro lado.
En la práctica, un formulario de alta o recuperación debe procesar solicitudes abiertas. A diferencia de las API autenticadas con sesión o token, estos endpoints son públicos por diseño. No hay credenciales que robar ni sesiones que vulnerar: cualquier bot puede activarlos.
Además, son flujos predecibles. Formularios de registro, login o reseteo siguen un patrón idéntico: reciben un número, disparan un SMS y esperan un código. Un comportamiento trivial de replicar para un bot a gran escala.
Las plataformas asumen el gasto sin importar el desenlace. Cada SMS cuenta en la factura, lo pida o no un usuario real, se introduzca o no el código, o incluso si la línea ni existe. Pagan cada intento, sea legítimo o fraudulento.
Asimismo, la facturación de las 'telecos' ofrece un modelo de ingresos directo a los atacantes. El enrutamiento global de SMS se basa en acuerdos de liquidación entre operadoras. Los estafadores explotan este sistema haciéndose con rangos numéricos que pagan por terminación. Cada OTP enviado a esos números es dinero en su bolsillo. Es de los pocos ataques donde la propia infraestructura de la víctima financia directamente al atacante.
El impacto es enorme porque muchas aplicaciones carecen de inteligencia de dispositivos, análisis de comportamiento, scoring de riesgo de operadoras, rate limiting adaptativo o controles de verificación antifraude. Este vacío permite generar tráfico masivo de OTP sin apenas fricción.
La única defensa sólida contra el SMS pumping es evaluar el número de destino antes del envío, algo que muchas implementaciones de OTP pasan por alto.
Casos reales de SMS Pumping
Fintech: una campaña de referidos truncada
Una app fintech lanza una promoción: invita a un amigo y ambos reciben 80 $ de saldo. Para conseguirlo, el invitado solo debe registrarse y verificar su teléfono.
En 48 horas, el volumen de OTP se multiplica por 40. Una red de bots bombardea el registro con miles de números por hora vinculados a rangos premium del atacante. El crédito de 80 $ no importa; el botín son los propios SMS. La mayoría de las cuentas creadas jamás vuelven a registrar actividad.
Como los mensajes constan como entregados, nadie sospecha hasta que saltan las alertas de gasto días después. La factura fue la única alarma.
E-commerce: altas falsas masivas
Un servicio de suscripción ofrece un 15 % de descuento en la primera compra a cambio de dejar el número de teléfono en la web.
Al enviarlo, la tienda remite un SMS con el cupón. Una táctica estándar para captar clientes potenciales.
Los defraudadores ven la brecha: usan bots para enviar miles de números ficticios al formulario. Cada uno dispara un SMS hacia números de tarificación especial bajo su control.
Resultado: una factura astronómica en SMS y cero clientes reales. Cada mensaje fue directo a números fraudulentos sin intención alguna de convertir.
Al saltar entre múltiples redes internacionales hasta su destino, rastrear la autoría del ataque resulta casi imposible. Por eso, la prevención debe actuar antes de emitir el mensaje.
Plataformas globales: 60M$/año en tráfico 2FA falso
Ni las mayores infraestructuras escapan a este problema. Elon Musk declaró públicamente en 2023 que Twitter pagaba unos 60 millones de dólares anuales por SMS de 2FA fraudulentos orquestados por redes de telecomunicaciones, demostrando la escala desmedida del SMS pumping si no se frena a tiempo.
El impacto del SMS Pumping en tu negocio
El fraude por SMS golpea a las empresas en múltiples frentes:
Pérdida financiera directa
El golpe más inmediato. El tráfico fraudulento dispara los costes operativos, ya que la empresa asume el envío de cada SMS dirigido a números premium controlados por estafadores.
Cada OTP ilegítimo es un cargo real. La plataforma paga por mensaje y los atacantes exprimirán la brecha mientras puedan. Los ataques llegan en oleadas: en mayo de 2025, Prelude bloqueó 763.212 peticiones fraudulentas en un solo ataque contra números nigerianos (Informe de fraude por SMS Pumping 2025 de Prelude).
A diferencia de otros fraudes, estas pérdidas rara vez se recuperan. Cuando llega la factura, los mensajes ya han sido enviados y liquidados.
Contar con defensas contra el abuso de promociones —como monitorización en tiempo real y bloqueo automático— es vital para blindar tus finanzas.
Abuso de plataforma y proliferación de cuentas falsas
El SMS pumping no suele operar en solitario.
La misma infraestructura que satura tus OTP suele emplearse para crear cuentas falsas, abusar de programas de referidos, propagar spam y burlar promociones mediante identidades sintéticas.
Conforme estas cuentas se acumulan, los costes de moderación, el cumplimiento legal y la confianza general se deterioran.
Métricas alteradas y datos contaminados
El pumping infla el volumen de registros artificialmente. Métricas como DAU, MAU y cohortes quedan desvirtuadas por usuarios inexistentes.
Tu base de usuarios se llena de perfiles fantasma. La tasa de conversión cae en picado y el coste por adquisición se dispara, dificultando la justificación del gasto en marketing. La analítica pierde fiabilidad: datos erróneos conducen a decisiones erróneas.
En pocas palabras: el tráfico falso distorsiona las métricas e imposibilita medir el comportamiento real del cliente, quemando presupuesto y recursos en perseguir espejismos.
Saturación de canales
Un ataque masivo colapsa la infraestructura de mensajería al llenarla de tráfico falso. El proveedor de SMS se satura, provocando retrasos severos o cortes totales del servicio.
Los usuarios reales que esperan un código de acceso, una confirmación de pago o recuperar su contraseña sufren esperas o bloqueos directos. El golpe es crítico en momentos clave: lanzamientos, ventas especiales o gestiones urgentes de seguridad.
El resultado: usuarios frustrados, carritos abandonados y una pérdida directa de reputación.
Riesgo de cumplimiento normativo y daño reputacional
El SMS pumping suele coexistir con la creación de cuentas falsas: perfiles automatizados que superan la verificación por teléfono. En entornos sujetos a KYC y AML, que cuentas sintéticas eludan estos controles genera un serio problema de cumplimiento normativo.
El daño de marca es acumulativo. Los clientes que sufren retrasos o caídas pierden confianza en la plataforma; verse vinculado a incidentes de fraude —incluso como víctima— mina la credibilidad empresarial.
El fraude no solo erosiona el balance contable: dinamita la confianza. Y una vez rota, recuperarla es una tarea titánica.
Sobrecarga en costes operativos
Gestionar los efectos del SMS pumping va más allá del impacto en la factura: consume el ancho de banda del equipo técnico y de seguridad, obligándolos a apagar fuegos caso por caso.
Implica auditar cobros ilegítimos, atender a usuarios comprensiblemente molestos, implementar parches de urgencia y, cuando es viable, abrir disputas legales contra los responsables.
Cómo detectar el fraude por SMS Pumping
El tráfico de SMS pumping imita la actividad legítima. Estas señales clave ayudan a distinguir un ataque del comportamiento real:
Picos atípicos en el volumen de OTP
Si las peticiones de OTP suben sin campañas comerciales ni un repunte real de usuarios que lo respalde, suele haber un ataque detrás.
Tráfico concentrado en geografías concretas
Detectar un volumen anómalo de SMS dirigidos a países donde tu empresa apenas opera o no tiene base de clientes sugiere una explotación del servicio.
Números de teléfono secuenciales o con patrones
Si las peticiones provienen de numeraciones sospechosamente similares o consecutivas (+1234567801, +1234567802, +1234567803), no es casualidad.
Los bots atacan con listas automatizadas: detectar estas secuencias es síntoma inequívoco de SMS pumping.
Peticiones mediante proxies residenciales
Los proxies residenciales dominaron las infraestructuras de ataque en 2025, empleados para fragmentar el tráfico y eludir bloqueos por IP (Informe de fraude por SMS Pumping 2025 de Prelude).
Desplome del ratio envío-verificación
Un ratio superior a 2 OTP enviados por cada código introducido es una alerta clara: el atacante solo busca que el SMS se emita, no validar la cuenta.
Si tu ratio de conversión cae (a nivel global o en un país concreto), es un indicio claro de tráfico falso inflando registros sin valor. El panel de Prelude monitoriza la conversión en tiempo real en cada mercado para identificar estas caídas al instante.
Quejas de usuarios por retrasos
El colapso de la pasarela de SMS por tráfico fraudulento retrasa la entrega de códigos legítimos.
Si soporte empieza a recibir incidencias sobre demoras en la recepción de OTP, es probable que el sistema esté saturado por peticiones ilegítimas.
Nuevos registros con actividad nula
Picos de registros que no generan actividad posterior (sesiones, compras, navegación) apuntan directamente a una oleada de fraude.
Consumo prematuro del presupuesto de SMS
El desfase entre gasto y actividad real es la señal rezagada más evidente: cuando se detecta, el impacto económico ya es un hecho.
Casi todos estos factores se pueden rastrear en directo; el gasto imprevisto, en cambio, solo asoma tras la pérdida. De ahí la urgencia de anticiparse.
Cómo prevenir el fraude por SMS Pumping
Frenar el SMS pumping exige combinar robustez en infraestructura con detección en tiempo real previa al envío. Prelude Verify cubre varios de estos controles de forma nativa.
1. Implementa rate limiting adaptativo
Una defensa común es limitar frecuencias: topes diarios en volumen de mensajes o techos máximos de gasto.
Fijar, por ejemplo, un límite de 300 $ diarios en SMS de verificación ayuda a evitar facturas imprevistas a final de mes.
Conviene actuar con cautela: los límites estáticos mitigan el fraude, pero pueden generar falsos positivos y bloquear a clientes reales en picos legítimos de uso. Calibrar estos umbrales al ritmo de crecimiento equilibra seguridad y experiencia de usuario.
Prelude Verify permite acotar peticiones por número e intervalo temporal de forma sencilla desde el panel de control.
2. Clasificación del número previa al envío
Antes de disparar el OTP, analiza las señales de riesgo del destinatario:
Tipo de numeración: las líneas VoIP, virtuales o desechables son mucho más propensas al fraude que los números móviles consolidados de operadoras tradicionales. Bloquea o audita envíos a estos rangos.
Riesgo geográfico: prefijos de países con alta incidencia en fraudes de tarificación adicional exigen controles estrictos o bloqueo automatizado.
Altas recientes: líneas activadas de forma muy reciente son una señal habitual en campañas automatizadas con bots.
3. Restricciones geográficas
Si tu producto no opera en una región, no hay motivo para emitir OTPs allí. Limitar los envíos a tus mercados reales es una medida rápida y drástica contra el fraude por números premium internacionales.
Sé preciso: los bloqueos masivos indiscriminados dañan a usuarios válidos. Diseña listas de permisos basadas en tu tráfico legítimo.
En Prelude, cada país dispone de un índice de riesgo graduable desde el dashboard, permitiendo endurecer filtros en mercados comprometidos sin necesidad de desconectarlos del todo.
4. Monitoriza el ratio envío-verificación
El desplome en la conversión del OTP es un síntoma claro de ataque: el tráfico fraudulento dispara envíos sin completar accesos reales.
Vigilar esta relación en tiempo real frena la amenaza de raíz.
5. Apóyate en inteligencia de rutas del proveedor
Elige un proveedor de OTP que filtre y corte activamente rutas sospechosas. Quien basa su margen en el volumen emitido tiene pocos incentivos para frenar envíos. Prioriza tarifas transparentes sin recargos por mensaje y un compromiso real en gestión de rutas limpias.
Prelude repercute el coste del operador sin márgenes añadidos: bloquear fraude no entra en conflicto con nuestro modelo.
Para evaluar las opciones del mercado, explora nuestra comparativa sobre soluciones contra SMS pumping.
6. Puntuación de riesgo en tiempo real
Las listas negras estáticas quedan obsoletas deprisa. La detección debe evolucionar a la par que la táctica del atacante.
Una protección eficaz hoy exige:
Modelos de riesgo adaptativos
Inteligencia de comportamiento
Señales actualizadas en tiempo real
Decisiones en milisegundos
Cómo intercepta Prelude el SMS Pumping antes del envío
El enfoque de Prelude es claro: detectar antes de enviar, no lamentar tras la factura.
Prelude Verify analiza cada intento de verificación al instante. Antes de disparar el código, un motor de machine learning evalúa la solicitud y bloquea los envíos sospechosos para que el SMS nunca llegue a salir. Cada bloqueo incluye los factores de riesgo identificados:
Líneas temporales: el número procede de un servicio de mensajería desechable o efímero.
Rangos abusivos: el prefijo está catalogado en incidentes recientes de fraude.
Baja conversión histórica: peticiones bajo ese perfil rara vez completan un registro.
Inconsistencia de ubicación: la geolocalización de la red difiere del país del teléfono.
Señales de IP y proxys: tráfico canalizado mediante proxys residenciales, IPs con mala reputación o picos inusuales de tráfico.
Reintentos anómalos: superación de límites de intento en ventanas de tiempo reducidas.
Listas globales de fraude: alertas activas en bases de datos de seguridad contrastadas por Prelude.
En el informe 2025 de Prelude, el machine learning neutralizó casi el 78 % de los intentos de fraude detectados. Las reglas fijas no bastan frente a bots que alternan IPs residenciales y simulan la cadencia de un usuario real.
Este blindaje se modula por países desde el panel de Prelude. Es posible ajustar niveles de riesgo y aplicar filtros para VPN o proxys sin tocar una sola línea de código.
Prelude Watch evalúa usuarios en el registro, sea cual sea tu proveedor de SMS. Watch emite un diagnóstico instantáneo (legítimo o sospechoso) sobre el teléfono o correo introducido. Cruza variables de portabilidad, IPs dudosas, líneas temporales e inconsistencias del dispositivo. Ideal para equipos que usan otros proveedores y buscan sanear el alta antes de autorizar el envío.
Un caso real de neutralización
Así interceptó Prelude un ataque contra una foodtech europea.
El tráfico procedía de números británicos, un mercado operativo habitual del cliente. Aunque el país no levantaba sospechas, los modelos de Prelude identificaron una anomalía: decenas de números en el mismo rango presentaban conversiones anormalmente bajas.
Gracias a esa detección temprana, Prelude bloqueó el rango antes de que el ataque escalara. La ofensiva persistió días, pero ante el bloqueo continuado, los atacantes terminaron abandonando.
El volumen interceptado equivalía a casi todo el tráfico mensual de la compañía, ahorrándole miles de dólares en sobrecostes.
Con Prelude, blindas tu autenticación contra el fraude sin frenar a los usuarios legítimos.
Protege tu plataforma del fraude por SMS hoy mismo: regístrate gratis y empieza a probar la API de Prelude.
¿Qué es el fraude por SMS pumping?
El fraude por SMS pumping —o Tráfico Inflado Artificialmente (AIT)— consiste en saturar endpoints de OTP con bots para forzar envíos masivos a números de tarificación adicional que controlan los atacantes, cobrando una comisión por cada mensaje asumido por la empresa afectada.
¿Qué diferencia hay entre SMS pumping e IRSF?
El SMS pumping es una rama del IRSF. El IRSF abarca cualquier esquema de explotación de ingresos compartidos en telecomunicaciones; el SMS pumping es la variante que ataca específicamente formularios de OTP y verificación para inflar ese tráfico. Lee ¿Qué es el IRSF? para entender su funcionamiento a fondo.
¿Cómo saber si eres blanco de un ataque de SMS pumping?
Los síntomas tempranos más claros: desplome del ratio envío-verificación (muchos OTP enviados, pocos códigos validados), picos en geografías sin usuarios reales y números correlativos en los registros. Un aumento repentino en la factura suele ser la alarma habitual, aunque para entonces el gasto ya se ha producido.
¿Cómo frena Prelude el SMS pumping?
Prelude Verify analiza el riesgo de cada verificación antes de emitir el SMS mediante machine learning y señales clave (líneas desechables, rangos quemados, caídas de conversión, incoherencias de red o proxys). Bloquea las peticiones de riesgo para no enviar el mensaje. Prelude Watch añade esta evaluación en el registro con cualquier proveedor.
¿Basta con bloquear países enteros para frenar el SMS pumping?
El bloqueo geográfico ayuda, pero debe ser quirúrgico. Bloquear países completos puede aislar a usuarios válidos y frenar negocio real.
Lo ideal es acotar los envíos a tus mercados reales basándote en datos de usuarios, sumando clasificación previa de líneas y control de frecuencia para lograr una defensa en capas.
Si tu app usa verificación por teléfono, tarde o temprano será blanco de SMS pumping. El análisis de Prelude sobre 205 millones de solicitudes de autenticación en 2025 reveló que el 11,83 % de todo el tráfico de verificación fue fraudulento, evitando 3,26 millones de dólares en costes de SMS en todo el conjunto de datos (Informe de fraude por SMS Pumping 2025 de Prelude). En el sector, Juniper Research estimó que las pérdidas empresariales por tráfico inflado artificialmente —la categoría a la que pertenece el SMS pumping— alcanzaron un pico de 2.100 millones de dólares en 2023.
El SMS pumping es uno de varios fraudes de OTP que explotan los flujos de verificación telefónica. Los atacantes los aprovechan para enviar tráfico SMS masivo hacia números de tarificación adicional bajo su control, obligando a las empresas a asumir los costes de envío. Para ver el panorama completo, consulta nuestra Guía completa sobre fraude de OTP.
En esta guía explicamos qué es el fraude por SMS pumping, cómo opera y, lo más importante, cómo blindar tu negocio ante esta creciente amenaza.
¿Qué es el SMS Pumping?
El SMS pumping es un tipo de fraude donde los atacantes disparan envíos masivos de SMS a números que controlan para cobrar una comisión por cada mensaje entregado. Atacan sobre todo endpoints de OTP y verificación: cualquier formulario que dispare un SMS al recibir un teléfono es susceptible de ser automatizado.
Los defraudadores suelen aliarse con operadoras móviles cómplices o intermediarios que pagan por tráfico terminado. La empresa que envía asume cada coste; el golpe financiero va directo a la víctima.
También conocido como SMS Toll Fraud o Tráfico Inflado Artificialmente (AIT), es una variante del Fraude de Ingresos Compartidos Internacionales (IRSF). El mecanismo base es idéntico (explotar acuerdos de reparto de ingresos en telecomunicaciones), pero el SMS pumping apunta directamente a tus endpoints de OTP y verificación en lugar de a la infraestructura tradicional de telecomunicaciones.
A diferencia del robo de cuentas (ATO) o el credential stuffing, aquí no buscan vulnerar cuentas ni robar datos de usuarios.
El fin es mucho más simple: generar tráfico SMS facturable a escala. Prelude Verify frena esto antes de emitir el primer mensaje: evalúa el riesgo de fraude de cada verificación y bloquea las sospechosas para que ningún número inflado reciba un código.
Cómo funciona el SMS Pumping
El SMS pumping exige dos factores: acceso a un endpoint de OTP de alto volumen y un acuerdo con una ruta de telecomunicaciones que pague por tráfico recibido.
Paso 1: El atacante asegura el reparto de ingresos. Todo empieza asociándose con operadoras sin escrúpulos u obteniendo números de tarificación especial. Les prometen grandes volúmenes de SMS e ingresos extra, usando números de tarificación adicional internacional (IPRN) para canalizar el tráfico.
Paso 2: Identifican el objetivo. Formularios de registro, inicios de sesión, restablecimiento de contraseñas o canje de promociones: cualquier endpoint que dispare un SMS al introducir un teléfono se convierte en diana.
Paso 3: Los bots saturan el endpoint. Inundan el sistema con tráfico SMS, iterando patrones de números aparentemente válidos dentro de los rangos elegidos. Tu sistema envía los OTP. El atacante cobra su porcentaje por mensaje. Estos SMS viajan a números premium bajo su control —habitualmente en el extranjero— disparando la factura de la empresa que paga por envío.
Paso 4: El daño queda oculto hasta que llega la factura. Cada mensaje entregado genera una tasa de terminación que la operadora cómplice comparte con los atacantes. Esto lo vuelve letal: no genera fallos de login, ni accesos sospechosos, ni quejas de clientes. Todo figura como entregado con éxito. La primera señal suele ser una anomalía en la factura, a menudo semanas después del ataque.
En resumen: estafadores y socios se lucran con el tráfico SMS falso mientras la víctima asume la factura íntegra.
Por qué los sistemas OTP son tan vulnerables
El SMS pumping prospera gracias a una debilidad estructural de los OTP: el endpoint de envío debe ser público, el coste lo asume la plataforma y el éxito del ataque no requiere un usuario real al otro lado.
En la práctica, un formulario de alta o recuperación debe procesar solicitudes abiertas. A diferencia de las API autenticadas con sesión o token, estos endpoints son públicos por diseño. No hay credenciales que robar ni sesiones que vulnerar: cualquier bot puede activarlos.
Además, son flujos predecibles. Formularios de registro, login o reseteo siguen un patrón idéntico: reciben un número, disparan un SMS y esperan un código. Un comportamiento trivial de replicar para un bot a gran escala.
Las plataformas asumen el gasto sin importar el desenlace. Cada SMS cuenta en la factura, lo pida o no un usuario real, se introduzca o no el código, o incluso si la línea ni existe. Pagan cada intento, sea legítimo o fraudulento.
Asimismo, la facturación de las 'telecos' ofrece un modelo de ingresos directo a los atacantes. El enrutamiento global de SMS se basa en acuerdos de liquidación entre operadoras. Los estafadores explotan este sistema haciéndose con rangos numéricos que pagan por terminación. Cada OTP enviado a esos números es dinero en su bolsillo. Es de los pocos ataques donde la propia infraestructura de la víctima financia directamente al atacante.
El impacto es enorme porque muchas aplicaciones carecen de inteligencia de dispositivos, análisis de comportamiento, scoring de riesgo de operadoras, rate limiting adaptativo o controles de verificación antifraude. Este vacío permite generar tráfico masivo de OTP sin apenas fricción.
La única defensa sólida contra el SMS pumping es evaluar el número de destino antes del envío, algo que muchas implementaciones de OTP pasan por alto.
Casos reales de SMS Pumping
Fintech: una campaña de referidos truncada
Una app fintech lanza una promoción: invita a un amigo y ambos reciben 80 $ de saldo. Para conseguirlo, el invitado solo debe registrarse y verificar su teléfono.
En 48 horas, el volumen de OTP se multiplica por 40. Una red de bots bombardea el registro con miles de números por hora vinculados a rangos premium del atacante. El crédito de 80 $ no importa; el botín son los propios SMS. La mayoría de las cuentas creadas jamás vuelven a registrar actividad.
Como los mensajes constan como entregados, nadie sospecha hasta que saltan las alertas de gasto días después. La factura fue la única alarma.
E-commerce: altas falsas masivas
Un servicio de suscripción ofrece un 15 % de descuento en la primera compra a cambio de dejar el número de teléfono en la web.
Al enviarlo, la tienda remite un SMS con el cupón. Una táctica estándar para captar clientes potenciales.
Los defraudadores ven la brecha: usan bots para enviar miles de números ficticios al formulario. Cada uno dispara un SMS hacia números de tarificación especial bajo su control.
Resultado: una factura astronómica en SMS y cero clientes reales. Cada mensaje fue directo a números fraudulentos sin intención alguna de convertir.
Al saltar entre múltiples redes internacionales hasta su destino, rastrear la autoría del ataque resulta casi imposible. Por eso, la prevención debe actuar antes de emitir el mensaje.
Plataformas globales: 60M$/año en tráfico 2FA falso
Ni las mayores infraestructuras escapan a este problema. Elon Musk declaró públicamente en 2023 que Twitter pagaba unos 60 millones de dólares anuales por SMS de 2FA fraudulentos orquestados por redes de telecomunicaciones, demostrando la escala desmedida del SMS pumping si no se frena a tiempo.
El impacto del SMS Pumping en tu negocio
El fraude por SMS golpea a las empresas en múltiples frentes:
Pérdida financiera directa
El golpe más inmediato. El tráfico fraudulento dispara los costes operativos, ya que la empresa asume el envío de cada SMS dirigido a números premium controlados por estafadores.
Cada OTP ilegítimo es un cargo real. La plataforma paga por mensaje y los atacantes exprimirán la brecha mientras puedan. Los ataques llegan en oleadas: en mayo de 2025, Prelude bloqueó 763.212 peticiones fraudulentas en un solo ataque contra números nigerianos (Informe de fraude por SMS Pumping 2025 de Prelude).
A diferencia de otros fraudes, estas pérdidas rara vez se recuperan. Cuando llega la factura, los mensajes ya han sido enviados y liquidados.
Contar con defensas contra el abuso de promociones —como monitorización en tiempo real y bloqueo automático— es vital para blindar tus finanzas.
Abuso de plataforma y proliferación de cuentas falsas
El SMS pumping no suele operar en solitario.
La misma infraestructura que satura tus OTP suele emplearse para crear cuentas falsas, abusar de programas de referidos, propagar spam y burlar promociones mediante identidades sintéticas.
Conforme estas cuentas se acumulan, los costes de moderación, el cumplimiento legal y la confianza general se deterioran.
Métricas alteradas y datos contaminados
El pumping infla el volumen de registros artificialmente. Métricas como DAU, MAU y cohortes quedan desvirtuadas por usuarios inexistentes.
Tu base de usuarios se llena de perfiles fantasma. La tasa de conversión cae en picado y el coste por adquisición se dispara, dificultando la justificación del gasto en marketing. La analítica pierde fiabilidad: datos erróneos conducen a decisiones erróneas.
En pocas palabras: el tráfico falso distorsiona las métricas e imposibilita medir el comportamiento real del cliente, quemando presupuesto y recursos en perseguir espejismos.
Saturación de canales
Un ataque masivo colapsa la infraestructura de mensajería al llenarla de tráfico falso. El proveedor de SMS se satura, provocando retrasos severos o cortes totales del servicio.
Los usuarios reales que esperan un código de acceso, una confirmación de pago o recuperar su contraseña sufren esperas o bloqueos directos. El golpe es crítico en momentos clave: lanzamientos, ventas especiales o gestiones urgentes de seguridad.
El resultado: usuarios frustrados, carritos abandonados y una pérdida directa de reputación.
Riesgo de cumplimiento normativo y daño reputacional
El SMS pumping suele coexistir con la creación de cuentas falsas: perfiles automatizados que superan la verificación por teléfono. En entornos sujetos a KYC y AML, que cuentas sintéticas eludan estos controles genera un serio problema de cumplimiento normativo.
El daño de marca es acumulativo. Los clientes que sufren retrasos o caídas pierden confianza en la plataforma; verse vinculado a incidentes de fraude —incluso como víctima— mina la credibilidad empresarial.
El fraude no solo erosiona el balance contable: dinamita la confianza. Y una vez rota, recuperarla es una tarea titánica.
Sobrecarga en costes operativos
Gestionar los efectos del SMS pumping va más allá del impacto en la factura: consume el ancho de banda del equipo técnico y de seguridad, obligándolos a apagar fuegos caso por caso.
Implica auditar cobros ilegítimos, atender a usuarios comprensiblemente molestos, implementar parches de urgencia y, cuando es viable, abrir disputas legales contra los responsables.
Cómo detectar el fraude por SMS Pumping
El tráfico de SMS pumping imita la actividad legítima. Estas señales clave ayudan a distinguir un ataque del comportamiento real:
Picos atípicos en el volumen de OTP
Si las peticiones de OTP suben sin campañas comerciales ni un repunte real de usuarios que lo respalde, suele haber un ataque detrás.
Tráfico concentrado en geografías concretas
Detectar un volumen anómalo de SMS dirigidos a países donde tu empresa apenas opera o no tiene base de clientes sugiere una explotación del servicio.
Números de teléfono secuenciales o con patrones
Si las peticiones provienen de numeraciones sospechosamente similares o consecutivas (+1234567801, +1234567802, +1234567803), no es casualidad.
Los bots atacan con listas automatizadas: detectar estas secuencias es síntoma inequívoco de SMS pumping.
Peticiones mediante proxies residenciales
Los proxies residenciales dominaron las infraestructuras de ataque en 2025, empleados para fragmentar el tráfico y eludir bloqueos por IP (Informe de fraude por SMS Pumping 2025 de Prelude).
Desplome del ratio envío-verificación
Un ratio superior a 2 OTP enviados por cada código introducido es una alerta clara: el atacante solo busca que el SMS se emita, no validar la cuenta.
Si tu ratio de conversión cae (a nivel global o en un país concreto), es un indicio claro de tráfico falso inflando registros sin valor. El panel de Prelude monitoriza la conversión en tiempo real en cada mercado para identificar estas caídas al instante.
Quejas de usuarios por retrasos
El colapso de la pasarela de SMS por tráfico fraudulento retrasa la entrega de códigos legítimos.
Si soporte empieza a recibir incidencias sobre demoras en la recepción de OTP, es probable que el sistema esté saturado por peticiones ilegítimas.
Nuevos registros con actividad nula
Picos de registros que no generan actividad posterior (sesiones, compras, navegación) apuntan directamente a una oleada de fraude.
Consumo prematuro del presupuesto de SMS
El desfase entre gasto y actividad real es la señal rezagada más evidente: cuando se detecta, el impacto económico ya es un hecho.
Casi todos estos factores se pueden rastrear en directo; el gasto imprevisto, en cambio, solo asoma tras la pérdida. De ahí la urgencia de anticiparse.
Cómo prevenir el fraude por SMS Pumping
Frenar el SMS pumping exige combinar robustez en infraestructura con detección en tiempo real previa al envío. Prelude Verify cubre varios de estos controles de forma nativa.
1. Implementa rate limiting adaptativo
Una defensa común es limitar frecuencias: topes diarios en volumen de mensajes o techos máximos de gasto.
Fijar, por ejemplo, un límite de 300 $ diarios en SMS de verificación ayuda a evitar facturas imprevistas a final de mes.
Conviene actuar con cautela: los límites estáticos mitigan el fraude, pero pueden generar falsos positivos y bloquear a clientes reales en picos legítimos de uso. Calibrar estos umbrales al ritmo de crecimiento equilibra seguridad y experiencia de usuario.
Prelude Verify permite acotar peticiones por número e intervalo temporal de forma sencilla desde el panel de control.
2. Clasificación del número previa al envío
Antes de disparar el OTP, analiza las señales de riesgo del destinatario:
Tipo de numeración: las líneas VoIP, virtuales o desechables son mucho más propensas al fraude que los números móviles consolidados de operadoras tradicionales. Bloquea o audita envíos a estos rangos.
Riesgo geográfico: prefijos de países con alta incidencia en fraudes de tarificación adicional exigen controles estrictos o bloqueo automatizado.
Altas recientes: líneas activadas de forma muy reciente son una señal habitual en campañas automatizadas con bots.
3. Restricciones geográficas
Si tu producto no opera en una región, no hay motivo para emitir OTPs allí. Limitar los envíos a tus mercados reales es una medida rápida y drástica contra el fraude por números premium internacionales.
Sé preciso: los bloqueos masivos indiscriminados dañan a usuarios válidos. Diseña listas de permisos basadas en tu tráfico legítimo.
En Prelude, cada país dispone de un índice de riesgo graduable desde el dashboard, permitiendo endurecer filtros en mercados comprometidos sin necesidad de desconectarlos del todo.
4. Monitoriza el ratio envío-verificación
El desplome en la conversión del OTP es un síntoma claro de ataque: el tráfico fraudulento dispara envíos sin completar accesos reales.
Vigilar esta relación en tiempo real frena la amenaza de raíz.
5. Apóyate en inteligencia de rutas del proveedor
Elige un proveedor de OTP que filtre y corte activamente rutas sospechosas. Quien basa su margen en el volumen emitido tiene pocos incentivos para frenar envíos. Prioriza tarifas transparentes sin recargos por mensaje y un compromiso real en gestión de rutas limpias.
Prelude repercute el coste del operador sin márgenes añadidos: bloquear fraude no entra en conflicto con nuestro modelo.
Para evaluar las opciones del mercado, explora nuestra comparativa sobre soluciones contra SMS pumping.
6. Puntuación de riesgo en tiempo real
Las listas negras estáticas quedan obsoletas deprisa. La detección debe evolucionar a la par que la táctica del atacante.
Una protección eficaz hoy exige:
Modelos de riesgo adaptativos
Inteligencia de comportamiento
Señales actualizadas en tiempo real
Decisiones en milisegundos
Cómo intercepta Prelude el SMS Pumping antes del envío
El enfoque de Prelude es claro: detectar antes de enviar, no lamentar tras la factura.
Prelude Verify analiza cada intento de verificación al instante. Antes de disparar el código, un motor de machine learning evalúa la solicitud y bloquea los envíos sospechosos para que el SMS nunca llegue a salir. Cada bloqueo incluye los factores de riesgo identificados:
Líneas temporales: el número procede de un servicio de mensajería desechable o efímero.
Rangos abusivos: el prefijo está catalogado en incidentes recientes de fraude.
Baja conversión histórica: peticiones bajo ese perfil rara vez completan un registro.
Inconsistencia de ubicación: la geolocalización de la red difiere del país del teléfono.
Señales de IP y proxys: tráfico canalizado mediante proxys residenciales, IPs con mala reputación o picos inusuales de tráfico.
Reintentos anómalos: superación de límites de intento en ventanas de tiempo reducidas.
Listas globales de fraude: alertas activas en bases de datos de seguridad contrastadas por Prelude.
En el informe 2025 de Prelude, el machine learning neutralizó casi el 78 % de los intentos de fraude detectados. Las reglas fijas no bastan frente a bots que alternan IPs residenciales y simulan la cadencia de un usuario real.
Este blindaje se modula por países desde el panel de Prelude. Es posible ajustar niveles de riesgo y aplicar filtros para VPN o proxys sin tocar una sola línea de código.
Prelude Watch evalúa usuarios en el registro, sea cual sea tu proveedor de SMS. Watch emite un diagnóstico instantáneo (legítimo o sospechoso) sobre el teléfono o correo introducido. Cruza variables de portabilidad, IPs dudosas, líneas temporales e inconsistencias del dispositivo. Ideal para equipos que usan otros proveedores y buscan sanear el alta antes de autorizar el envío.
Un caso real de neutralización
Así interceptó Prelude un ataque contra una foodtech europea.
El tráfico procedía de números británicos, un mercado operativo habitual del cliente. Aunque el país no levantaba sospechas, los modelos de Prelude identificaron una anomalía: decenas de números en el mismo rango presentaban conversiones anormalmente bajas.
Gracias a esa detección temprana, Prelude bloqueó el rango antes de que el ataque escalara. La ofensiva persistió días, pero ante el bloqueo continuado, los atacantes terminaron abandonando.
El volumen interceptado equivalía a casi todo el tráfico mensual de la compañía, ahorrándole miles de dólares en sobrecostes.
Con Prelude, blindas tu autenticación contra el fraude sin frenar a los usuarios legítimos.
Protege tu plataforma del fraude por SMS hoy mismo: regístrate gratis y empieza a probar la API de Prelude.
¿Qué es el fraude por SMS pumping?
El fraude por SMS pumping —o Tráfico Inflado Artificialmente (AIT)— consiste en saturar endpoints de OTP con bots para forzar envíos masivos a números de tarificación adicional que controlan los atacantes, cobrando una comisión por cada mensaje asumido por la empresa afectada.
¿Qué diferencia hay entre SMS pumping e IRSF?
El SMS pumping es una rama del IRSF. El IRSF abarca cualquier esquema de explotación de ingresos compartidos en telecomunicaciones; el SMS pumping es la variante que ataca específicamente formularios de OTP y verificación para inflar ese tráfico. Lee ¿Qué es el IRSF? para entender su funcionamiento a fondo.
¿Cómo saber si eres blanco de un ataque de SMS pumping?
Los síntomas tempranos más claros: desplome del ratio envío-verificación (muchos OTP enviados, pocos códigos validados), picos en geografías sin usuarios reales y números correlativos en los registros. Un aumento repentino en la factura suele ser la alarma habitual, aunque para entonces el gasto ya se ha producido.
¿Cómo frena Prelude el SMS pumping?
Prelude Verify analiza el riesgo de cada verificación antes de emitir el SMS mediante machine learning y señales clave (líneas desechables, rangos quemados, caídas de conversión, incoherencias de red o proxys). Bloquea las peticiones de riesgo para no enviar el mensaje. Prelude Watch añade esta evaluación en el registro con cualquier proveedor.
¿Basta con bloquear países enteros para frenar el SMS pumping?
El bloqueo geográfico ayuda, pero debe ser quirúrgico. Bloquear países completos puede aislar a usuarios válidos y frenar negocio real.
Lo ideal es acotar los envíos a tus mercados reales basándote en datos de usuarios, sumando clasificación previa de líneas y control de frecuencia para lograr una defensa en capas.
Optimiza tu flujo de autenticación ahora
Envía SMS de verificación a todo el mundo: al mejor precio, con entrega garantizada y sin spam.
