Come un'azienda API-first ha risolto le frodi sulla verifica delle registrazioni e ridotto i costi del 62%

Fondata nel 2017, SerpApi converte le pagine dei risultati dei motori di ricerca non strutturate in dati strutturati e leggibili da una macchina, supportando casi d'uso che vanno dal monitoraggio del posizionamento SEO alla ricerca accademica, fino all'addestramento di modelli linguistici di grandi dimensioni. Il suo team di circa 60 persone serve sviluppatori e aziende in tutto il mondo, dai piccoli programmatori indipendenti alla maggior parte delle aziende Fortune 500. A differenza di un marketplace o di un'app per consumatori, i clienti di SerpApi non sono persone che sfogliano un prodotto, ma account che estraggono dati tramite un'API, il che significa che anche il problema delle frodi si presenta in modo diverso.

Per consentire agli sviluppatori di provare il prodotto prima di impegnarsi, SerpApi offre un generoso piano gratuito: 250 ricerche al mese. Questa apertura è proprio ciò che lo rende vulnerabile agli abusi, poiché generare indirizzi email falsi su larga scala è un gioco da ragazzi; così SerpApi ha aggiunto la verifica del numero di telefono come secondo blocco, presupponendo che richiedere un numero di telefono reale sarebbe bastato a impedire a qualcuno di creare decine di account gratuiti per moltiplicare la propria quota di ricerche gratuite.

Abbiamo parlato con Thilo Rusche, Senior Engineer di SerpApi, di come le segnalazioni dei clienti legittimi abbiano portato a un'indagine che si è trasformata in una scoperta a sei cifre, e di cosa sia cambiato con il passaggio a Prelude.

La verifica del piano gratuito di SerpApi diventa un bersaglio per gli SMS pumper

Il riassunto di Thilo su quanto accaduto va dritto al colpo di scena di questa storia:

"Non è che la verifica non funzionasse, funzionava fin troppo bene, e le persone ne approfittavano per inviare messaggi di testo a tariffazione premium senza alcuna intenzione di creare un account con noi."

In altre parole, il blocco creato da SerpApi per fermare gli abusi del piano gratuito non era l'ostacolo che gli aggressori cercavano di superare. Era l'obiettivo da colpire direttamente, convogliando il traffico solo per generare costi di SMS premium, con "nessuna intenzione di utilizzare l'API di ricerca di SerpApi".

Thilo ha scoperto il problema indagando su un aumento delle verifiche fallite che all'inizio sembrava un normale abuso del piano gratuito:

"Nessuno aveva davvero sul radar l'SMS pumping, me compreso. Abbiamo cercato prima di tutto di capire perché ci fossero così tante verifiche fallite all'improvviso; c'era stato un picco particolare. Così ho analizzato le nostre fatture Twilio e le cifre si aggiravano in media intorno ai 30.000 dollari al mese. Sembrava una cifra estremamente alta."

Analizzando nel dettaglio i pattern di utilizzo sono emersi picchi evidenti concentrati in paesi specifici, tra cui, come ha detto Thilo, "da qualche parte nel centro dell'Africa dove non abbiamo molti utenti, ma le tariffe di terminazione sono davvero alte". Sottoporre questo pattern a un'analisi assistita dall'intelligenza artificiale ha confermato il sospetto: un classico caso di SMS pumping, che sfruttava lo stesso flusso di verifica creato da SerpApi per fermare gli abusi del piano gratuito, anziché il piano gratuito stesso.

Twilio non ha mai segnalato proattivamente il problema a SerpApi. SerpApi ha scoperto il pattern solo perché il suo team di customer success ha iniziato a ricevere segnalazioni da utenti legittimi in tutta Europa che non riuscivano affatto a verificare il proprio numero di telefono:

"Si è scoperto che la minima prevenzione delle frodi effettuata da Twilio era molto approssimativa. Quando rilevavano un pattern sospetto, bloccavano interi prefissi per dodici ore, e questi blocchi colpivano gli utenti legittimi che cercavano di verificare il proprio numero. È così che l'abbiamo scoperto."

Ottenere assistenza direttamente da Twilio è stato un altro problema. Nonostante pagasse circa 30.000 dollari al mese, SerpApi si trovava in una fascia di assistenza senza supporto dedicato:

"La prima risposta al ticket ha richiesto settimane ed era inutile, probabilmente automatizzata. Ho dovuto fare continui solleciti. Dopo un mese, nessuna risoluzione, nessun aiuto, niente. È stato allora che ci siamo sentiti abbastanza frustrati da cercare alternative."

La fattura stessa faceva parte del problema: voci separate per "Verify" e "Programmable Messaging" con totali che non quadravano chiaramente con nessuna delle due cifre, nonostante SerpApi utilizzasse esclusivamente l'endpoint Verify. Si tratta di una distinzione che confonde molti clienti Twilio, non solo SerpApi, come abbiamo spiegato in I 10 principali concorrenti di Twilio per le API di OTP e SMS. Thilo aveva chiesto direttamente all'assistenza di Twilio di chiarire questo punto, senza ottenere risposte trasparenti:

"Ho fatto questa domanda in un ticket di supporto sulla differenza tra programmable messaging e verify. Semplicemente, non credo sia stata spiegata molto bene."

SerpApi passa a Prelude senza perdere un colpo

SerpApi non ha avviato una lunga fase di selezione dei fornitori. Thilo ha utilizzato la ricerca assistita dall'intelligenza artificiale per esaminare le alternative, ha trovato Prelude, ha avviato una prova e non ha cercato oltre:

"Ho trovato Prelude tra pochi altri e abbiamo deciso di provarlo. Non credo di aver provato altri servizi. La prova è andata benissimo ed eccoci qui."

Ciò che si è fatto notare fin da subito è stata la visibilità, l'aspetto che Twilio aveva reso quasi impossibile. Thilo si era ridotto a esportare file CSV grezzi (con un limite di circa 9.000 record) e ad analizzarli da solo solo per capire cosa stesse succedendo al proprio traffico:

"Non c'è paragone, anche senza contare il supporto, che è fantastico. Parlando solo di strumenti: i grafici sono fantastici, con la possibilità di analizzare nel dettaglio per paese, per codice di errore, per qualsiasi intervallo di tempo. Con Twilio, tutto era limitato artificialmente. Persino lo storico delle fatture: è possibile vedere solo una finestra di 12 mesi, il che mi sembra una limitazione del tutto artificiale, perché i dati ci sono tutti. Sembra inutilmente difficile estrarre i dati."

L'impegno di sviluppo è stato minimo. SerpApi si collega direttamente all'API tramite HTTP anziché affidarsi agli SDK, quindi il passaggio dagli endpoint quasi identici di Twilio ha richiesto solo poche ore di sviluppo, mentre il resto della migrazione si è limitato a coordinarsi con il team di customer success:

"Questo non è un problema particolarmente difficile, l'API è ottima e la maggior parte delle API per l'invio di SMS sono piuttosto semplici. Abbiamo scritto il codice da parte nostra in poche ore. Si è trattato fondamentalmente di una modifica di quello che avevamo già con Twilio."

Avere una linea diretta con il team di Prelude ha cambiato anche la gestione quotidiana. SerpApi applica lo stesso modello per i suoi clienti più importanti, quindi il contrasto con il silenzio di Twilio è stato immediato:

"Non c'è letteralmente paragone, perché non ho nulla con cui confrontarlo. Non avevamo supporto da parte di Twilio. Ora lavoriamo nello stesso modo in cui lavoriamo per i nostri clienti più importanti: un canale Slack dedicato. Gliene siamo davvero grati."

I risultati: costi ridotti, conversioni in aumento, pumper bloccati

Confrontando campioni rappresentativi di traffico tra Twilio e Prelude:

• Fattura mensile inferiore del 62%

• Costi di utilizzo della messaggistica inferiori del 69%

• Costo per verifica andata a buon fine inferiore del 47%

• Conversione complessiva aumentata di 14 punti percentuali

Nei risultati, l'Italia ha mostrato il prima e il dopo più evidente rispetto a qualsiasi altro mercato. È uno dei paesi in cui il blocco preventivo dei prefissi di Twilio escludeva gli utenti legittimi e dove, prima del passaggio, era in corso un attacco di pumping notturno e automatizzato. Risolti entrambi i problemi, i costi mensili di messaggistica in Italia sono scesi del 99,7% e la conversione è balzata dal 2,4% al 91,5%.

Thilo ha descritto in dettaglio l'attacco subito in Italia come prova di quanto rapidamente Prelude abbia risposto una volta effettuato il passaggio. Aveva monitorato il pattern per un po', programmato su base notturna automatica, e si aspettava che si presentasse di nuovo il giorno in cui SerpApi fosse andata live su Prelude:

"Il primo attacco che ci aspettavamo il giorno del passaggio era quello proveniente dall'Italia, perché era chiaramente gestito da uno script programmato. Veniva eseguito ogni giorno a mezzanotte, per un'ora o due. Si è ripresentato quando siamo passati a Prelude, ma in pratica si è fermato il giorno successivo. Non so se sia stato bloccato attivamente da Prelude o se i pumper si siano semplicemente resi conto che non passava più."

Un attacco più recente, proveniente dal Pakistan, è emerso solo pochi giorni prima di questa conversazione e, questa volta, il team di Prelude lo ha intercettato prima ancora di SerpApi:

"In realtà me ne sono accorto al mattino, ma quando sono entrato su Slack, il team di supporto aveva già scritto: 'Ehi, stiamo vedendo un picco qui'. Ci sono voluti pochi giorni, ma ora è quasi sceso a zero. I pumper ci provano ancora, ma vengono bloccati attivamente."

Quando gli è stato chiesto di quantificare il cambiamento complessivo:

"In pratica abbiamo ridotto la nostra fattura a un terzo di quella precedente."

I prossimi passi per SerpApi: l'introduzione di WhatsApp

Con i costi di verifica e le frodi sotto controllo, SerpApi sta ora valutando WhatsApp come canale aggiuntivo, non per sostituire gli SMS ovunque, ma per migliorare l'invio e i costi nei mercati in cui WhatsApp è il mezzo di comunicazione principale:

"Stiamo valutando l'integrazione di WhatsApp come canale, a causa di alcuni paesi in cui WhatsApp è molto diffuso e l'invio di SMS lo è meno, come ad esempio il Brasile. Una volta configurato un account WhatsApp Business, lo testeremo in un mercato per vedere se migliora la conversione e riduce i costi di invio, e se funziona, potremmo semplicemente abilitarlo a livello globale."

Alla domanda se consiglierebbe Prelude a un'altra azienda di infrastrutture o orientata alle API che affronta problemi simili di frode o visibilità, Thilo ha risposto di sì senza esitazione, in particolare per qualsiasi team che stia già cercando un'alternativa a Twilio a causa di esperienze negative con l'assistenza.

L'esperienza di SerpApi mostra cosa succede quando un sistema di prevenzione delle frodi viene preso direttamente di mira e cosa cambia quando il fornitore ha effettivamente visibilità su ciò che sta accadendo. Vuoi ottenere risultati simili?

Inizia a ottimizzare il tuo flusso di Auth

Invia SMS di verifica in tutto il mondo con la tariffa migliore, la massima consegnabilità e senza spam.

Inizia ora · Prenota una demo