L'autenticazione basata su SMS rimane una componente fondamentale dei flussi di onboarding, login e recupero account in tutte le applicazioni consumer. 

Allo stesso tempo, è diventata silenziosamente una delle superfici di attacco più abusate per le frodi.

Nel 2025, l'SMS pumping, noto anche come Artificially Inflated Traffic o abuso legato all'IRSF, ha continuato a crescere su scala globale. Gli aggressori hanno sistematicamente sfruttato gli endpoint di verifica SMS per generare traffico fraudolento, monetizzando le tariffe di terminazione attraverso rotte premium e accordi di condivisione dei ricavi con i carrier.

In Prelude abbiamo analizzato un campione rappresentativo del traffico di autenticazione elaborato sulla nostra piattaforma di verifica nel corso del 2025. I risultati sono stati sbalorditivi:

• Oltre 205 milioni di richieste di autenticazione analizzate

• 24,3 milioni di richieste fraudolente bloccate

• 11,83% di tutto il traffico identificato come frode

• 3,26 milioni di dollari in costi SMS stimati evitati

Ancora più importante, i dati hanno rivelato come funzionano concretamente le moderne operazioni di SMS pumping: in che modo gli aggressori scelgono i propri obiettivi, quali paesi e carrier sfruttano, su quali infrastrutture fanno affidamento e perché così tante aziende non si sono accorte dell'abuso per anni.

Punti chiave

• L'SMS pumping rimane uno dei vettori di frode finanziariamente più dannosi ma meno rilevati

• Un piccolo numero di paesi e carrier rappresenta una quota sproporzionata di abusi

• I proxy residenziali sono diventati l'infrastruttura di attacco dominante nel 2025

• Molti incidenti inizialmente sono passati inosservati a causa di metriche di crescita e DAU gonfiate

Perché l'SMS Pumping è rimasto invisibile così a lungo

A differenza dei furti di account o delle frodi nei pagamenti, l'SMS pumping raramente produce anomalie immediate visibili agli utenti. I flussi di autenticazione continuano a funzionare, i messaggi vengono recapitati e i sistemi rimangono stabili. Dall'esterno, nulla sembra compromesso.

Questa invisibilità è esattamente ciò che ha reso l'SMS pumping così efficace.

Invece di far scattare allarmi, l'SMS pumping ha distorto i segnali di crescita. Per anni, il traffico di verifica automatizzato è stato conteggiato come attività legittima, gonfiando metriche tradizionalmente associate al successo.

In particolare, gli Utenti Attivi Giornalieri (DAU) si sono rivelati un indicatore fuorviante. I tentativi di verifica fraudolenti venivano registrati come normale attività dell'utente, rendendo l'abuso indistinguibile dalla crescita organica. Quello che sembrava un trend positivo era spesso solo volume senza intenzione d'uso.

Con l'aumento della DAU, cresceva anche la fiducia. I team di prodotto interpretavano la tendenza come una maggiore adozione, i team finanziari assorbivano i crescenti costi degli SMS come spese di crescita variabili e i team di sicurezza si concentravano su minacce con un impatto visibile sugli utenti. Un volume più elevato veniva raramente messo in discussione.

L'SMS pumping ha prosperato in questo ambiente, sfruttando incentivi basati sulle metriche, una gestione frammentata e l'assunto che l'attività equivalesse a valore reale. Quando i team collegavano l'aumento dei costi a comportamenti fraudolenti, gli aggressori avevano spesso già incassato entrate significative.

Uno sguardo al dataset del 2025 

Questo report analizza il traffico di autenticazione elaborato tra il 1° gennaio e il 31 dicembre 2025 su un campione rappresentativo di clienti Prelude.

Il dataset include:

• Oltre 205 milioni di richieste di autenticazione analizzate

• Traffico distribuito su più di 200 paesi di destinazione

• Copertura in diversi settori rivolti al consumatore

• Rilevamento delle frodi in tempo reale tramite machine learning, telecom intelligence e segnali comportamentali

Sebbene il campione non rappresenti la totalità del traffico SMS gestito da Prelude, è statisticamente significativo per volume, distribuzione geografica e diversità dei clienti.

Il valore risparmiato è stimato moltiplicando le richieste bloccate per i costi medi di terminazione SMS a livello di singolo paese. I risparmi effettivi per il cliente variano a seconda dei singoli accordi tariffari

Più di 1 tentativo di autenticazione su 10 nel campione analizzato era fraudolento.

Questo dato, da solo, evidenzia quanto l'SMS pumping sia ormai profondamente radicato all'interno dei moderni sistemi di autenticazione.

L'ascesa del Machine Learning 

Uno dei risultati più evidenti del 2025 è che le regole statiche antifrode non sono più sufficienti.

Gli aggressori si sono adattati continuamente:

• Ruotando gli IP

• Alternando proxy residenziali

• Distribuendo geograficamente le richieste

• Imitando i pattern temporali degli utenti reali

Prelude combina molteplici livelli di rilevamento per identificare i tentativi di SMS pumping in tempo reale.

Il rilevamento basato su machine learning ha rappresentato quasi quattro richieste bloccate su cinque — quasi il 78% di tutte le frodi bloccate — evidenziando i limiti delle regole statiche di fronte ad aggressori capaci di adattarsi.

La lezione è chiara: le moderne campagne di SMS pumping si comportano più come botnet flessibili che come semplici attacchi spam.

Un piccolo numero di paesi ha generato la maggior parte delle frodi

La distribuzione delle frodi è risultata fortemente concentrata.

Un gruppo relativamente ristretto di paesi, carrier e rotte di telecomunicazione ha rappresentato una quota sproporzionata di abusi.

I primi 20 paesi per richieste bloccate

Alcuni paesi hanno mostrato una concentrazione di frodi straordinariamente alta.

Paesi con i tassi di frode più elevati

I paesi con tassi di blocco superiori al 50% rappresentano ambienti in cui il traffico di autenticazione è prevalentemente fraudolento.

In queste aree geografiche, l'SMS pumping non è un fenomeno occasionale, ma rappresenta il caso d'uso principale per gli endpoint di autenticazione.

Concentrazione a livello di carrier

Gli aggressori non hanno distribuito il traffico in modo casuale.

Hanno preso di mira ripetutamente:

• Carrier specifici

• Particolari combinazioni MCC-MNC

• Range specifici di MVNO

• Reti telefoniche con accordi di revenue-sharing favorevoli

Le rotte di carrier più colpite includono:

Questa concentrazione è significativa perché gli aggressori ottimizzano per la redditività, non solo per il volume in sé.

Una volta che una rotta telefonica diventa redditizia, tende a rimanere sotto attacco continuo finché non migliorano le difese o non cambiano le condizioni economiche.

Pattern di attacco e casi studio

Tra i diversi paesi e incidenti, si sono presentati costantemente tre pattern comportamentali.

1. Campagne continue ad alto volume

Alcuni attacchi hanno dato priorità alla velocità di invio rispetto alla massima discrezione, operando ininterrottamente per giorni.

Esempio: Francia (ottobre 2025) 

Il singolo attacco più massiccio del 2025 ha preso di mira la Francia in ottobre, generando 1,86 milioni di richieste bloccate in un solo mese (tasso di blocco del 41,31%).

Cronologia dell'attacco:

• 8 ottobre, ore 22:00 UTC: inizia l'attacco, 585 richieste/ora

• 9 ottobre, ore 08:00-12:00: incremento a oltre 5.000 richieste/ora

• 10-11 ottobre: attacco continuo a più di 5.000 richieste/ora (24 ore su 24, 7 giorni su 7)

• 12 ottobre, ore 11:00-19:00: picco di intensità tra 12.000 e 15.000 richieste/ora

• 14 ottobre, ore 16:00: l'attacco si attenua

L'attacco:

• Ha preso di mira tutti e tre i principali carrier francesi

• Si è concentrato su prefissi MVNO specifici

• Ha operato in modo continuo per diversi giorni

• Ha raggiunto picchi di 12.000-15.000 richieste all'ora

Questo pattern indica chiaramente un'operazione completamente automatizzata, ottimizzata per una velocità costante piuttosto che per passare inosservata.

2. Attacchi con picchi improvvisi

Esempio: Nigeria (maggio 2025) 

Un massiccio attacco di SMS pumping ha colpito la Nigeria a maggio 2025 con 763.212 richieste bloccate.

Cronologia dell'attacco:

• 12 maggio, ore 21:00 UTC: l'attacco inizia all'improvviso (16.797 richieste nella prima ora)

• 12-13 maggio: flusso costante di 60.000-87.000 richieste/ora

• 13 maggio, ore 08:00: l'attacco si interrompe bruscamente

La Nigeria ha subito un attacco altamente concentrato della durata di circa 12 ore.

Durante questa finestra temporale:

• Il 96,7% del traffico nigeriano era fraudolento

• Il traffico era diretto quasi esclusivamente verso un singolo carrier

• I volumi orari hanno raggiunto le 87.000 richieste

Questo scenario riflette una strategia di tipo "mordi e fuggi", pensata per monetizzare prima che si attivino le difese del sistema.

3. Frodi "low and slow" (lente e silenziose)

Alcuni attacchi hanno evitato deliberatamente di generare grandi picchi.

Esempio: Madagascar (giugno 2025) 

Il Madagascar ha subito frodi costanti durante tutto il mese di giugno con 996.704 richieste bloccate (tasso di blocco del 98,64%).

Il Madagascar ha mostrato un pattern differente: volumi orari più bassi ma distribuiti costantemente su un intero mese.

Con un tasso di blocco superiore al 98%, questo attacco si è basato probabilmente su accordi stabili di revenue-sharing piuttosto che su picchi di breve durata.

In altre parole, questo pattern suggerisce accordi di monetizzazione a lungo termine con i sistemi telefonici anziché abusi opportunistici e temporanei.

Distribuzione temporale delle frodi

L'attività fraudolenta non è casuale. Ci sono giorni e ore specifici che mostrano sistematicamente una maggiore intensità di attacchi. 

Frode per giorno della settimana 

Lunedì:    3.639.095 (15,0%)

Martedì:   4.424.687 (18,2%) <- Giorno di picco

Mercoledì: 2.990.573 (12,3%)

Giovedì:  3.663.542 (15,1%)

Venerdì:    3.576.918 (14,7%)

Sabato:    3.206.498 (13,2%)

Domenica:    2.753.422 (11,4%) <- Minimo

Come mostrato nell'immagine sopra, i martedì registrano costantemente i volumi di frode più elevati. 

Una spiegazione plausibile risiede nella pianificazione delle operazioni: gli aggressori potrebbero mirare intenzionalmente a periodi in cui il monitoraggio e la risposta agli alert sono meno tempestivi.

Distribuzione per ora del giorno (UTC)

Ore di picco:   06:00-07:00 UTC (1,49M bloccate)

              03:00-04:00 UTC (1,19M bloccate)

              22:00-23:00 UTC (1,15M bloccate)

Ore di minimo:    21:00-22:00 UTC (822K bloccate)

              18:00-19:00 UTC (891K bloccate)

I volumi più elevati si sono concentrati in queste fasce orarie:

• 06:00–07:00 UTC

• 03:00–04:00 UTC

• 22:00–23:00 UTC

Possiamo quindi dedurre che gli attacchi tendono a verificarsi al di fuori del normale orario di lavoro (notte/mattina presto UTC), suggerendo che gli aggressori puntino a momenti in cui la sorveglianza potrebbe essere ridotta.

I prefissi MVNO sono stati i target più frequenti

Uno dei segnali più evidenti in diverse campagne è stata la forte concentrazione su prefissi mobili specifici.

In Francia, i 20 prefissi più presi di mira hanno registrato volumi significativi di frode:

I truffatori prendono di mira i range numerici degli MVNO (Mobile Virtual Network Operator), che spesso presentano controlli antifrode meno severi e accordi di condivisione delle entrate che facilitano l'IRSF.

Come difendersi dall'SMS Pumping

Le strategie di difesa più efficaci nel 2025 hanno condiviso una caratteristica comune: si sono concentrate sul rendere l'attacco non conveniente per l'aggressore.

Gli aggressori non hanno bisogno di tassi di successo assoluti, basta che le campagne rimangano profittevoli.

Una volta azzerato il margine di profitto, l'intera infrastruttura viene spostata altrove.

1. Implementare il rate limiting basato sui prefissi

Applica un limite alle richieste di autenticazione basato sui prefissi telefonici (le prime 6-8 cifre), non solo sui singoli numeri completi.

La maggior parte delle aziende applica il rate limiting al singolo numero di telefono, ma questo non basta. 

Gli aggressori ruotano i numeri rapidamente pur rimanendo all'interno dello stesso range di carrier.

L'approccio migliore consiste nel monitorare le prime 6-8 cifre per rilevare concentrazioni anomale di prefissi, in modo da poter inibire temporaneamente interi intervalli quando si superano determinate soglie.

Esempio di regola:

- Se il prefisso +3378247 riceve > 50 richieste in 10 minuti

- Allora blocca tutte le richieste verso quel prefisso per 1 ora

2. Monitorare le anomalie di volume sui carrier

Configura avvisi per picchi insoliti di traffico verso combinazioni specifiche di MCC-MNC:

• Stabilisci volumi di base per ciascun carrier e cliente

• Invia un alert quando il volume supera di 3 volte la baseline

• Riduci automaticamente il flusso (throttle) quando il volume supera di 5 volte la baseline

3. Introdurre controlli geografici

Molte aziende lasciano attiva la verifica SMS globale pur operando in un numero limitato di paesi, creando così una superficie d'attacco superflua.

La scelta più sicura è abilitare l'invio solo verso i paesi in cui sono presenti utenti reali, richiedendo passaggi di verifica aggiuntivi per le aree geografiche ad alto rischio (o bloccandole del tutto).

4. Utilizzare segnali del dispositivo e comportamentali

Il solo numero di telefono non è un segnale di identità sufficientemente forte. 

Integra la convalida del numero di telefono combinandola con altri segnali:

• Fingerprinting del dispositivo (es. JA4)

• Punteggio di reputazione IP

• Analisi del comportamento utente (frequenza delle richieste, pattern temporali)

• Attestazione del browser/app

5. Progettare flussi di autenticazione resistenti agli abusi

Integra protezioni antifrode direttamente all'interno dei flussi di autenticazione:

• Niente invio automatico: richiedi un'azione dell'utente prima di inviare l'SMS

• Implementa il CAPTCHA: aggiungi una verifica umana prima della spedizione del messaggio

• Usa canali alternativi: valuta l'uso di WhatsApp, RCS o verifiche in-app

• Applica verifiche incrementali: per le richieste sospette, richiedi prima la verifica via email

6. Dashboard di monitoraggio in tempo reale

Assicurati di disporre di dati in tempo reale per rilevare e contrastare le frodi nel momento stesso in cui si verificano. 

Ecco le metriche fondamentali da monitorare:

• Richieste orarie per paese

• Richieste orarie per carrier

• Metriche di concentrazione dei prefissi

• Tasso di conversione per paese (bassa conversione = potenziale frode)

• Costo per singola autenticazione diviso per paese

Cosa abbiamo imparato dal 2025

I proxy residenziali sono diventati l'infrastruttura di attacco standard

Nel 2025, le reti di proxy residenziali si sono affermate come lo strumento principale per gestire l'SMS pumping su larga scala.

Il loro costo è diminuito drasticamente, la disponibilità è aumentata e la loro apparente legittimità le rende difficili da distinguere dagli utenti reali. Questa stessa infrastruttura è sempre più utilizzata per l'attività di web scraping e la raccolta dati per i sistemi LLM, accelerandone ulteriormente la diffusione.

Si prevede che questo trend continuerà a crescere.

Scardinare il modello economico degli aggressori

Chi attacca agisce seguendo una logica strettamente economica. Le campagne di SMS pumping vengono avviate, potenziate o abbandonate esclusivamente in base al loro ritorno economico. Non appena un attacco perde di efficacia a causa di filtri, frizioni nel flusso, calo del tasso di recapito o aumento dei costi operativi, cessa di essere conveniente.

Quando i margini svaniscono, gli aggressori non cercano di adattarsi all'infinito. Semplicemente, spostano le proprie risorse verso un nuovo bersaglio meno protetto.

Questa dinamica spiega perché molti attacchi di SMS pumping si presentino come picchi intensi ma di breve durata. Le aziende che reagiscono rapidamente compromettendo la redditività dell'attacco raramente vengono colpite una seconda volta. Quelle che non lo fanno, finiscono spesso per diventare bersagli ricorrenti.

Il tuo sistema di autenticazione è probabilmente sotto attacco

La frode tramite SMS pumping si è evoluta in un ecosistema industriale strutturato e attivo su scala globale.

I dati del 2025 indicano che gli aggressori sono estremamente flessibili, orientati al profitto e sempre più sofisticati nel modo in cui sfruttano le infrastrutture di autenticazione. Conoscono le dinamiche di instradamento dei carrier, sfruttano gli incentivi degli operatori telefonici, utilizzano reti di proxy residenziali e ottimizzano le campagne sfruttando i punti ciechi dei sistemi di monitoraggio.

Soprattutto, fanno leva su un presupposto che molte aziende danno ancora per scontato: che il traffico di autenticazione sia per sua natura legittimo.

Su 205 milioni di richieste analizzate in questo report, quasi il 12% è risultato fraudolento. In alcuni paesi, la frode rappresentava la quasi totalità dell'attività di autenticazione. Gran parte di questo traffico si confondeva perfettamente con le normali metriche di prodotto, gonfiando la DAU, i volumi di registrazione e i segnali di crescita geografica, generandone silenziosamente costi elevati per l'invio di SMS.

Il futuro della difesa dei sistemi di autenticazione dipenderà da informazioni in tempo reale, sistemi di gestione del rischio adattivi e una profonda comprensione del modello economico degli aggressori.

Perché i moderni attacchi di SMS pumping non nascono per bloccare o mandare in crash i sistemi di autenticazione.

Nascono per trarne silenziosamente profitto.

Le moderne piattaforme di autenticazione devono quindi considerare la prevenzione delle frodi come un livello infrastrutturale centrale, non come un'opzione accessoria. Sistemi come Prelude includono un'infrastruttura antifrode integrata progettata per rilevare e bloccare questi attacchi in tempo reale, analizzando decine di segnali comportamentali, di dispositivo, di rete e di telefonia prima ancora che le richieste fraudolente raggiungano le reti dei carrier.