Frode tramite SMS pumping: cos'è, come rilevarla e come prevenirla
Se la tua app utilizza la verifica telefonica, molto probabilmente sarai vittima di frodi da SMS Pumping. Ecco tutto ciò che devi sapere al riguardo.
Rowan Haddad
Content & SEO Manager
Riepilogo
Le frodi di SMS pumping sfruttano i flussi di verifica telefonica per inviare traffico verso numeri a tariffa maggiorata controllati dai truffatori, lasciando all'azienda che invia i codici l'onere di pagare ogni singolo messaggio. L'analisi condotta da Prelude su 205 milioni di richieste di autenticazione nel 2025 ha rilevato che l'11,83% del traffico di verifica era fraudolento. Prelude Verify blocca queste richieste prima ancora che il messaggio venga inviato. Questa guida illustra il funzionamento dell'attacco, i segnali per smascherarlo e le misure di controllo per fermarlo.
Se la tua app utilizza la verifica telefonica, prima o poi diventerà molto probabilmente un bersaglio delle frodi di SMS pumping. L'analisi condotta da Prelude su 205 milioni di richieste di autenticazione nel 2025 ha rilevato che l'11,83% di tutto il traffico di verifica era fraudolento, con 3,26 milioni di dollari in costi SMS evitati nell'intero set di dati (Prelude 2025 SMS Pumping Fraud Report). Guardando all'intero settore, Juniper Research ha stimato che le perdite aziendali dovute al traffico gonfiato artificialmente, la categoria a cui appartiene l'SMS pumping, hanno raggiunto un picco di 2,1 miliardi di dollari nel 2023.
L'SMS pumping è uno dei diversi tipi di frode OTP che colpiscono i flussi di verifica telefonica. Gli aggressori sfruttano questi flussi per generare traffico SMS verso numeri a tariffa maggiorata sotto il loro controllo, costringendo le aziende ad accollarsi i costi di invio dei messaggi. Per una panoramica completa, consulta la nostra Guida completa alle frodi OTP.
In questa guida analizzeremo cos'è la frode di SMS pumping, come funziona e, soprattutto, come proteggere la tua azienda da questa minaccia in continua crescita.
Cos'è l'SMS Pumping?
L'SMS pumping è una tipologia di frode in cui gli aggressori innescano grandi volumi di messaggi di testo verso numeri telefonici che controllano direttamente, incassando poi una percentuale dei costi generati da ogni messaggio. La maggior parte degli attacchi prende di mira gli endpoint di OTP e di verifica, poiché qualsiasi form che invia un SMS all'inserimento di un numero telefonico può essere automatizzato.
I truffatori collaborano solitamente con operatori mobili compiacenti o intermediari che riconoscono una quota sul traffico terminato. L'azienda che invia i messaggi paga per ciascuno di essi, per cui il danno finanziario ricade interamente sulla vittima.
Noto anche come SMS Toll Fraud o Artificially Inflated Traffic (AIT), l'SMS pumping è una variante dell'International Revenue Share Fraud (IRSF). Il meccanismo di base è lo stesso (lo sfruttamento degli accordi di ripartizione dei ricavi tra operatori telecom), ma l'SMS pumping prende di mira nello specifico i tuoi endpoint di OTP e verifica anziché l'infrastruttura di telecomunicazione tradizionale.
A differenza degli attacchi di account takeover o credential stuffing, l'obiettivo dell'aggressore non è accedere agli account utente o sottrarre dati.
L'obiettivo è molto più semplice: generare traffico SMS fatturabile su larga scala. Prelude Verify è stato sviluppato per fermare tutto questo prima ancora che parta il primo messaggio: assegna un punteggio di rischio di frode a ogni richiesta di verifica e blocca quelle ad alto rischio, facendo sì che i numeri usati per il pumping non ricevano mai il codice.
Come funziona l'SMS Pumping
L'SMS pumping richiede due elementi: l'accesso a un endpoint OTP ad alto volume e un accordo con una tratta di telecomunicazione che remunera il traffico in entrata.
Passaggio 1 - L'aggressore si garantisce una quota dei ricavi. I truffatori iniziano stringendo accordi con carrier privi di scrupoli o ottenendo l'accesso a numeri a tariffazione speciale. Promettono a questi operatori volumi elevati di SMS e maggiori entrate, sfruttando numeri internazionali a tariffa maggiorata (IPRN) per veicolare il traffico.
Passaggio 2 - Individuano il punto di ingresso. I form di registrazione, le pagine di login, i flussi di recupero password e i moduli promozionali diventano bersagli facili: in sostanza, qualsiasi endpoint che invia un SMS all'inserimento di un numero di telefono.
Passaggio 3 - I bot inondano l'endpoint. I malintenzionati sommergono il sistema con traffico SMS, provando a rotazione formati di numeri dall'aspetto verosimile all'interno delle numerazioni target. Il tuo sistema invia messaggi OTP a tali numeri. Il truffatore incassa la sua commissione per ogni singolo messaggio inviato. Questi SMS vengono instradati verso numeri a tariffa maggiorata gestiti dai truffatori, solitamente situati all'estero, facendo lievitare i costi per le aziende che pagano a messaggio.
Passaggio 4 - Il danno resta invisibile fino all'arrivo della fattura. Ogni messaggio che raggiunge i numeri dell'aggressore genera un costo di terminazione, che il carrier complice spartisce con i truffatori. È proprio questo a rendere l'SMS pumping particolarmente insidioso. Il traffico non genera accessi falliti, né eventi sospetti di autenticazione o lamentele da parte degli utenti. Ogni messaggio risulta consegnato con successo. Il primo campanello d'allarme è solitamente un'anomalia in fattura, spesso giorni o settimane dopo l'avvenuto attacco.
In breve: sia i truffatori che i loro partner disonesti traggono profitto dal traffico SMS fittizio, mentre la vittima si ritrova a dover coprire tutti i costi.
Perché i sistemi OTP sono particolarmente vulnerabili
L'SMS pumping funziona perché i sistemi OTP presentano una vulnerabilità strutturale intrinseca: l'endpoint di invio deve essere pubblico, i costi sono a carico della piattaforma e il completamento dell'operazione non richiede la presenza di un utente reale dall'altra parte.
In pratica, un modulo di registrazione o una procedura di recupero password devono accettare richieste da chiunque. A differenza degli endpoint API protetti da autenticazione che richiedono una sessione o un token validi, gli endpoint di invio OTP sono aperti per definizione. Non ci sono credenziali da rubare né sessioni da compromettere. Qualsiasi bot può innescarli.
In più, i flussi di verifica tendono a essere estremamente prevedibili. I moduli di registrazione, i recuperi credenziali e le pagine di accesso seguono schemi costanti: accettano un numero di telefono, attivano l'invio e attendono l'inserimento del codice. I bot possono quindi replicare facilmente questo flusso su larga scala.
Gli agenti IA rendono l'automazione di questo flusso ancora più semplice. Per scoprire come si manifesta il traffico degli agenti nei flussi OTP e come individuarlo, consulta la sezione sul rilevamento delle frodi da agenti IA.
Le piattaforme, dal canto loro, si accollano le spese a prescindere dall'esito. Ogni messaggio inviato dal sistema comporta un costo, poco importa se a richiederlo sia stato un utente reale, se il codice venga effettivamente inserito o se il numero di telefono esista davvero. In altre parole, si fanno carico dell'intero costo di ogni richiesta, lecita o fraudolenta che sia.
Inoltre, il sistema di fatturazione delle telecomunicazioni offre un modello di guadagno diretto agli aggressori. Il sistema globale di instradamento degli SMS si basa su accordi di liquidazione reciproca tra operatori. I truffatori si inseriscono in questo ingranaggio acquistando o gestendo numerazioni che pagano un compenso per ogni terminazione ricevuta. Ogni OTP inviato dal tuo sistema a quei numeri finisce dritto nelle tasche dell'aggressore. Non esiste un meccanismo paragonabile nella maggior parte degli altri tipi di frode: l'SMS pumping è uno dei rari casi in cui l'infrastruttura stessa del provider della vittima finisce per finanziare direttamente l'aggressore.
Questo tipo di frode può arrecare danni gravissimi perché molte applicazioni non dispongono di funzionalità avanzate come device intelligence, analisi comportamentale, scoring del rischio dell'operatore, rate limiting adattivo e controlli di verifica antifrode. Ciò crea un contesto in cui gli aggressori possono generare flussi imponenti di traffico OTP incontrando pochissima resistenza.
L'unica difesa realmente affidabile per arginare l'SMS pumping prima che provochi danni consiste nel verificare il numero di destinazione prima dell'invio effettivo, un passaggio che molte implementazioni OTP purtroppo tralasciano.
Esempi reali di SMS Pumping
L'app fintech: una campagna promozionale sfuggita di mano
Un'app fintech lancia una campagna "presenta un amico": l'utente invita un contatto ed entrambi gli account ricevono 80 $ di credito. Per riscattare il premio, l'utente invitato deve solo registrarsi e verificare il proprio numero di telefono.
Nel giro di 48 ore dal via alla campagna, il volume di invio degli OTP diventa 40 volte superiore al normale. I bot prendono d'assalto l'endpoint di registrazione con migliaia di numeri di telefono ogni ora, tutti appartenenti a numerazioni a tariffa maggiorata gestite dall'aggressore. Il meccanismo dell'invito non c'entra affatto: ai malintenzionati non interessano gli 80 $ di credito. Mirano direttamente ai messaggi OTP. La maggior parte dei "nuovi account" creati durante l'attacco non mostra alcuna attività e non verrà mai più utilizzata.
Dato che i messaggi risultano regolarmente recapitati, l'attacco passa del tutto inosservato finché, giorni dopo, non scattano gli allarmi legati ai costi. Il primo indizio è stato direttamente la fattura.
L'e-commerce: registrazioni fittizie su larga scala
Prendiamo il caso di un e-commerce su abbonamento che propone ai clienti uno sconto del 15% sul primo ordine in cambio del loro numero di telefono sul sito web.
Una volta inserito il recapito telefonico, l'azienda provvede a inviare un SMS contenente il codice promozionale. Una strategia classica e lineare per incrementare le registrazioni di utenti interessati.
I truffatori, però, fiutano subito l'opportunità. Utilizzano bot per inondare il portale con migliaia di numeri fittizi. Ognuno di essi fa scattare l'invio di un SMS verso un numero a tariffa maggiorata gestito dai criminali.
L'azienda si ritrova così a dover saldare una fattura spropositata per una miriade di SMS, senza aver acquisito nemmeno un cliente reale. Ogni singolo messaggio inviato è finito su numerazioni fraudolente arricchendo i truffatori, senza alcuna speranza di conversione commerciale.
Poiché il traffico transita attraverso molteplici reti prima di giungere a destinazione, le aziende difficilmente riescono a risalire a chi orchestra l'attacco. Ecco perché la prevenzione deve intervenire prima dell'invio del messaggio.
La grande piattaforma: 60 milioni di dollari all'anno in traffico 2FA fittizio
Persino le piattaforme più colossali con team di ingegneria dedicati non ne sono immuni. Elon Musk ha dichiarato pubblicamente nel 2023 che Twitter pagava circa 60 milioni di dollari all'anno per falsi messaggi SMS legati alla 2FA, generati da schemi di frode sulle telecomunicazioni: una testimonianza tangibile di quanto rapidamente l'SMS pumping possa sfuggire a ogni controllo se non viene intercettato tempestivamente.
Quali danni comporta la frode da SMS Pumping per la tua azienda
La frode tramite SMS è ampiamente diffusa e può colpire le aziende su più fronti:
Perdite economiche dirette
È la conseguenza più immediata e dolorosa. Il traffico SMS fraudolento porta a batoste finanziarie pesantissime. Pagando per ciascun SMS spedito, le aziende possono vedere le proprie spese gonfiate a dismisura dai criminali che convogliano i messaggi verso i propri numeri premium.
Ogni invio OTP fraudolento è un addebito concreto. La tua piattaforma paga per ogni messaggio e gli aggressori continueranno ad approfittarsene finché ne avranno modo. Spesso gli attacchi si scatenano a ondate improvvise. A maggio 2025, Prelude ha neutralizzato ben 763.212 richieste malevole nel corso di un unico attacco concentrato su numerazioni nigeriane (Prelude 2025 SMS Pumping Fraud Report).
A differenza di molte altre truffe, le somme perse con l'SMS pumping sono quasi impossibili da recuperare. Quando la fattura viene recapitata, i messaggi sono già stati inviati e i costi contabilizzati.
Per questa ragione è fondamentale dotarsi di strumenti solidi contro l'abuso promozionale, come il monitoraggio in tempo reale e il blocco automatico, salvaguardando così sia i tuoi utenti che il tuo budget.
Abuso della piattaforma e proliferazione di account falsi
L'SMS pumping si manifesta raramente come fenomeno isolato.
Le stesse infrastrutture allestite per generare traffico OTP fraudolento vengono frequentemente riciclate per creare falsi account, abusare dei programmi di referral, condurre campagne di spam, orchestrare onboarding fittizi e sfruttare promozioni in modo illecito.
Con il proliferare dei profili fittizi, aumentano a cascata i problemi legati a moderazione, conformità e fiducia all'interno della piattaforma.
Metriche compromesse e dati inattendibili
L'SMS pumping genera utenze fantasma in quantità industriale. I dati su nuove registrazioni, DAU, MAU e le analisi di coorte risultano irrimediabilmente falsati da profili inesistenti.
La tua base utenti si riempie di profili fantoccio. I tassi di conversione crollano mentre il costo per acquisizione sale alle stelle, rendendo quasi impossibile giustificare le spese di marketing. Report e analisi perdono ogni affidabilità, e decisioni basate su dati distorti non possono che rivelarsi fallimentari.
In breve: il traffico fittizio inquina le metriche di rendimento e impedisce di decifrare le reali abitudini dei clienti. Privi di dati accurati, i piani commerciali e di marketing ne risentono pesantemente, costringendo a disperdere ore, capitali ed energie nell'inseguimento di chimere.
Saturazione dei canali di invio
Un attacco massiccio di SMS pumping mette sotto scacco l'intera infrastruttura di messaggistica, saturandola di comunicazioni fasulle. Il tuo provider SMS rischia il sovraccarico, con conseguenti ritardi operativi o blocchi totali del servizio.
Gli utenti autentici che attendono un codice di accesso, una ricevuta di pagamento o il ripristino delle credenziali restano bloccati o subiscono forti ritardi. L'impatto è disastroso soprattutto nelle fasi cruciali: campagne di lancio, periodi di saldi ad altissima affluenza o momenti critici per la sicurezza come il recupero dell'account.
Tutto questo si traduce inevitabilmente in utenti scontenti, carrelli abbandonati e una progressiva perdita di fiducia nel brand.
Rischi di conformità e danni all'immagine
Spesso l'SMS pumping cammina a braccetto con la creazione di account falsi: profili creati da bot che superano la verifica telefonica e si accumulano indisturbati nella piattaforma. In ottica KYC e AML, un flusso di verifica facilmente aggirabile da identità sintetiche spalanca le porte a seri rischi normativi.
Il danno reputazionale è più complesso da quantificare sul momento, ma tende a ingigantirsi nel tempo. Gli utenti che subiscono disservizi durante un attacco perdono fiducia nel servizio, e il semplice fatto di essere associati ad attività truffaldine – seppur come parte lesa – mina la credibilità del brand.
Le frodi non colpiscono solo le finanze, ma incrinano la fiducia. E una volta compromessa, che si tratti di clienti o collaboratori, ricostruirla diventa un'impresa titanica.
Aggravio dei costi operativi
Affrontare le conseguenze dell'SMS pumping non comporta solo uscite vive di cassa. Esige anche un prezzo salato in termini di produttività interna, costringendo i team di cybersecurity a fare gli straordinari per rimediare ai danni subiti dalle vittime.
Il personale deve verificare ogni singolo addebito contestato, gestire le rimostranze dei clienti inferociti, implementare misure di sicurezza più stringenti per il futuro e, dove possibile, intraprendere azioni legali contro gli autori della frode (qualora sia possibile identificarli).
Come individuare le frodi di SMS Pumping
Il traffico di SMS pumping è studiato per simulare le normali azioni degli utenti. I seguenti indicatori aiutano a distinguere il traffico OTP malevolo da quello reale:
Picchi anomali nel volume di OTP
Se le richieste di codici OTP o i volumi di SMS subiscono un'impennata improvvisa senza un effettivo aumento delle attività sul sito o il lancio di campagne mirate, la causa è quasi certamente una manovra fraudolenta.
Traffico concentrato in specifiche aree geografiche
Se registri un numero insolitamente alto di SMS diretti verso Paesi in cui la tua azienda non opera o non vanta un pubblico rilevante, con ogni probabilità qualcuno sta sfruttando indebitamente i tuoi servizi di messaggistica.
Numeri di telefono sequenziali o con pattern ricorrenti
Se le numerazioni che richiedono gli OTP mostrano sequenze palesemente affini o schemi progressivi (ad es. +1234567801, +1234567802, +1234567803), non si tratta affatto di una coincidenza.
I bot si servono di elenchi automatizzati per sollecitare codici OTP: riconoscere queste sequenze è una prova inconfutabile di SMS pumping in corso.
Richieste inoltrate tramite proxy residenziali
I proxy residenziali sono diventati l'infrastruttura d'attacco privilegiata nel 2025, impiegati per frammentare il traffico ed eludere i blocchi basati sugli indirizzi IP (Prelude 2025 SMS Pumping Fraud Report)
Crollo del rapporto tra invii e verifiche (send-to-verify)
Un rapporto tra OTP inviati e codici confermati che supera 2:1 è un segnale inequivocabile: ai truffatori non serve confermare il codice, l'unica cosa che conta è che il messaggio parta.
Pertanto, un crollo nel tasso di conversione (globale o limitato a una certa area) è la spia evidente di un traffico fasullo che appesantisce i conteggi senza portare alcun valore effettivo. La dashboard di Prelude evidenzia i tassi di conversione delle verifiche a livello globale e per singolo Paese, rendendo immediatamente visibile qualsiasi flessione anomala.
Segnalazioni degli utenti per ritardi nella ricezione
L'intasamento della rete SMS causato dai bot finisce per penalizzare gli utenti reali che cercano di ricevere il proprio codice di verifica.
Se l'assistenza clienti inizia a ricevere lamentele per recapiti OTP eccessivamente lenti, il sistema potrebbe essere sotto scacco a causa di richieste fraudolente.
Coorti di nuovi account con interazione prossima allo zero
Se riscontri picchi di nuove iscrizioni che non generano alcuna attività successiva (accessi, acquisti, sessioni d'uso), quasi certamente l'applicazione è finita nel mirino dei truffatori.
Budget SMS che si esaurisce molto prima del previsto
Il rapporto tra spesa e attività reale rappresenta l'indicatore a posteriori più chiaro: quando te ne accorgi, purtroppo, il danno economico è già stato fatto.
La gran parte di questi segnali si può scorgere in tempo reale. L'ultimo citato emerge solo a portafoglio svuotato: ecco perché disporre di un rilevamento in tempo reale fa tutta la differenza.
Come prevenire le frodi di SMS Pumping
Un contrasto efficace all'SMS pumping richiede sia il consolidamento dell'infrastruttura, sia un rilevamento preventivo in tempo reale prima dell'inoltro. Prelude Verify integra nativamente molti dei seguenti presidi.
1. Implementa un rate limiting adattivo
Una delle strategie più diffuse per sventare l'SMS pumping consiste nell'applicare un limite di frequenza (rate limiting). Questo si traduce nell'impostare soglie massime sul volume giornaliero di messaggi o sui tetti di spesa consentiti.
Ad esempio, si può stabilire la regola per cui i costi di invio SMS non debbano mai superare i 300 $ al giorno tra verifiche OTP e procedure di autenticazione via SMS. Questo limite mette al riparo da brutte sorprese all'arrivo dell'estratto conto a fine mese o a fine anno.
Attenzione, però, a procedere con cautela: se da un lato il rate limiting argina i comportamenti malevoli, dall'altro rischia di generare falsi positivi, bloccando utenti legittimi che cercano di completare un'operazione, specie se l'app registra un'impennata fisiologica di traffico reale. Tenere monitorati i parametri e ricalibrarli man mano che l'attività cresce è indispensabile per trovare il giusto compromesso tra sicurezza e facilità d'uso.
Prelude Verify limita le richieste di verifica per singolo numero telefonico e intervallo di tempo; i team possono configurare liberamente questo parametro dalla dashboard.
2. Classificazione preventiva del numero telefonico
Prima di far partire qualsiasi OTP, valuta attentamente i profili di rischio della numerazione destinataria:
Tipologia di numero: i numeri VoIP, virtuali e usa e getta vengono usati molto più frequentemente negli attacchi di pumping rispetto alle utenze mobili tradizionali dei grandi operatori. Contrassegna o blocca l'invio verso queste tipologie.
Rischio geografico: i numeri appartenenti a prefissi internazionali a rischio o notoriamente collegati a truffe a tariffa maggiorata dovrebbero far scattare controlli supplementari o il blocco immediato.
Numeri attivati di recente: le schede o utenze con una cronologia di attivazione brevissima costituiscono una spia frequente delle campagne automatizzate tramite bot.
3. Applica restrizioni geografiche
Se il tuo prodotto non è disponibile in un dato mercato, non c'è alcun motivo lecito per inviare OTP in quell'area. Limitare geograficamente gli invii solo ai mercati in cui operi attivamente è una delle misure più rapide da applicare e più efficaci nel ridurre l'esposizione alle truffe con numeri internazionali a tariffa maggiorata.
Attenzione alla precisione: vietare interi Paesi in modo indiscriminato rischia di danneggiare gli utenti legittimi. Definisci la lista di consentiti basandoti sui dati di localizzazione reali del tuo pubblico.
In Prelude, a ciascun Paese è assegnato un livello di rischio frode che i team possono alzare o abbassare direttamente dalla dashboard, così da inasprire i controlli sui mercati delicati senza doverli bloccare per forza in toto.
4. Tieni d'occhio i rapporti Send-to-Verify
Uno dei sintomi più eloquenti dell'attività fraudolenta è il tracollo del tasso di verifica degli OTP: il traffico fasullo si limita a provocare l'invio del messaggio, senza mai finalizzare l'autenticazione.
Monitorare costantemente il rapporto tra messaggi inviati e codici verificati permette di scovare le anomalie sul nascere.
5. Sfrutta l'intelligence sulle tratte a livello di provider
Affidati a un provider OTP che monitori e blocchi proattivamente le tratte a rischio frode. Un intermediario che guadagna sui margini per singolo messaggio ha un evidente conflitto di interessi nel bloccare il traffico. Cerca una struttura di prezzi trasparente, priva di ricarichi su ogni SMS e sostenuta da un impegno concreto nella gestione delle frodi sulle tratte.
Prelude fattura i messaggi al puro costo di terminazione dell'operatore senza alcun ricarico: in questo modo il blocco del traffico malevolo non intacca in alcun modo i suoi margini.
Per un confronto dettagliato tra i vari strumenti disponibili, leggi la nostra guida comparativa sui tool di protezione dall'SMS pumping.
6. Adotta un sistema di Fraud Scoring in tempo reale
Le liste di blocco statiche diventano obsolete in fretta. Di conseguenza, i sistemi di rilevamento devono adeguarsi di pari passo con l'evoluzione delle infrastrutture messe in campo dagli aggressori.
Un moderno impianto antifrode presuppone quindi:
Modelli di rischio adattivi
Intelligence comportamentale
Indicatori aggiornati in tempo reale
Processi decisionali istantanei
Come bloccare l'SMS Pumping sui form di registrazione
I moduli di registrazione sono il punto esatto in cui ha origine il pumping: ogni clic sul pulsante "Invia codice" ti costa un SMS, e i bot possono premerlo migliaia di volte. La contromisura consiste nel rendere ogni invio più difficile da attivare e meno oneroso da sostenere, applicando sei accorgimenti direttamente sul form:
Esamina il dispositivo prima di mostrare il campo del codice. Raccogli i segnali del dispositivo fin dal caricamento della pagina, così da intercettare i bot prima ancora che possano avanzare la richiesta.
Imponi un tempo di attesa tra i reinvii e un tetto ai tentativi. Esigi un intervallo minimo tra una richiesta e l'altra e limita il numero massimo di tentativi eseguibili per ciascun numero.
Applica un rallentamento progressivo sulle richieste ripetute. Invece di fissare una soglia rigida, prolunga il tempo di attesa a ogni nuovo tentativo proveniente dallo stesso recapito. L'utente reale che commette un refuso riceverà comunque il codice senza intoppi, mentre gli attacchi insistenti verranno frenati sul nascere.
Limita la selezione del prefisso internazionale ai soli mercati serviti. Se non operi in una determinata area geografica, disabilita l'invio di messaggi verso quei prefissi.
Convalida la linea prima di spedire il messaggio. Scarta le numerazioni VoIP, virtuali o temporanee direttamente nel modulo, anziché pagare per inviare comunicazioni a vuoto.
Fissa un tetto massimo di spesa come ultima barriera protettiva. Una soglia invalicabile impostata su un determinato intervallo temporale eviterà che un attacco non intercettato si trasformi in una spesa incontrollabile.
Prelude Verify integra nativamente la maggior parte di queste funzionalità. I suoi SDK frontend per iOS, Android, web, React Native e Flutter raccolgono i dati di telemetria del dispositivo a ogni verifica. I ritardi di reinvio, i massimali di tentativi, i blocchi territoriali e i budget di spesa si gestiscono comodamente dalla dashboard. I numeri appartenenti a tipologie di linea non valide vengono neutralizzati prima ancora che il codice sia generato.
Tieni poi sotto costante osservazione il rapporto di verifica del form (vedi sopra). Un modulo che spedisce una quantità spropositata di codici a fronte di pochissime conferme è palesemente preso di mira, anche qualora i singoli filtri sembrino reggere.
Come Prelude intercetta l'SMS Pumping prima dell'invio dell'OTP
L'approccio di Prelude all'SMS pumping punta tutto sulla rilevazione preventiva, non sulla conta dei danni a cose fatte.
Prelude Verify esamina automaticamente ogni singola verifica. Prima ancora che il codice venga spedito, il motore antifrode basato su machine learning di Verify valuta la richiesta e, qualora l'indice di rischio risulti eccessivo, la blocca sul nascere, impedendo del tutto la partenza dell'SMS. Nel momento in cui blocca un tentativo, Verify fornisce l'elenco puntuale dei fattori di rischio che hanno motivato la decisione, tra cui:
Numeri di telefono temporanei: l'utenza appartiene a un servizio di numerazioni fittizie o usa e getta.
Abuso di intervalli di numerazione: il recapito rientra in un blocco di numeri attualmente associato ad attività anomale.
Storico di conversione scadente: i flussi con caratteristiche analoghe portano raramente al completamento della verifica.
Incongruenza geografica: la posizione rilevata sulla rete non coincide con il prefisso internazionale del numero.
Segnali da proxy e indirizzi IP: l'operazione transita attraverso una rete proxy, oppure proviene da un IP con cattiva reputazione o con una concentrazione anomala di verifiche.
Tentativi ravvicinati: l'utenza ha oltrepassato la soglia consentita di tentativi di verifica in un arco di tempo ristretto.
Banche dati antifrode: il contatto risulta già segnalato all'interno di uno o più database di intelligence a cui Prelude fa riferimento.
Nel dataset 2025 di Prelude, le tecnologie basate su machine learning hanno intercettato quasi il 78% del totale delle richieste fraudolente bloccate. I semplici filtri statici non possono nulla contro truffatori che alternano indirizzi IP, fanno ruotare proxy residenziali e simulano alla perfezione i tempi di navigazione delle persone in carne e ossa.
I team possono calibrare questi livelli di protezione per ogni singolo Paese tramite la dashboard di Prelude. È possibile alzare o abbassare la soglia di tolleranza di una determinata area o abilitare al volo filtri come il rilevamento di VPN e proxy, senza toccare una sola riga di codice.
Prelude Watch valuta gli utenti all'atto della registrazione, qualunque sia il tuo provider SMS. Watch esprime un giudizio chiaro (legittimo o sospetto) sul recapito telefonico o sull'indirizzo email fornito in fase di iscrizione. Il responso si fonda su un ventaglio di segnali tra cui la cronologia di portabilità del numero, la presenza di proxy residenziali, l'uso di recapiti temporanei e le incongruenze tra IP e dispositivo. I team che gestiscono gli OTP tramite un altro fornitore possono integrare Watch per filtrare a monte le registrazioni poco chiare prima ancora che parta la richiesta di invio.
Un attacco sventato sul campo
Ecco un caso concreto di attacco neutralizzato di recente da Prelude per una realtà europea del foodtech.
L'offensiva è partita da utenze telefoniche registrate nel Regno Unito, uno dei mercati di riferimento in cui il cliente opera normalmente. Sebbene la provenienza geografica non costituisse di per sé un segnale d'allarme, l'algoritmo di Prelude ha rilevato un'anomalia evidente: decine di numeri appartenenti al medesimo intervallo presentavano tassi di conversione insolitamente bassi.
Grazie a questo intervento tempestivo, Prelude ha bloccato proattivamente le numerazioni sospette prima che l'attacco assumesse proporzioni incontrollabili. I tentativi sono proseguiti per alcuni giorni ma, accortisi dell'inefficacia dell'azione, i malintenzionati hanno finito per gettare la spugna.
La mole di messaggi fraudolenti intercettati equivaleva quasi all'intero volume mensile consueto del cliente, facendogli risparmiare diverse migliaia di dollari che sarebbero andati letteralmente in fumo.
Scegliere Prelude significa garantirsi una protezione proattiva dalle frodi senza compromettere minimamente l'esperienza degli utenti autentici.
Se vuoi mettere al riparo la tua azienda dalle frodi via SMS, registrati gratuitamente e inizia a provare le API di Prelude già da oggi.
Cos'è la frode da SMS pumping?
La frode da SMS pumping, definita anche Artificially Inflated Traffic (AIT) o SMS toll fraud, si verifica quando alcuni aggressori tempestano gli endpoint OTP con richieste automatizzate via bot per causare l'invio massiccio di SMS verso numerazioni a tariffa maggiorata sotto il proprio controllo, incassando una percentuale sulle commissioni di terminazione sostenute dalla piattaforma per ogni messaggio.
Qual è la differenza tra SMS pumping e IRSF?
L'SMS pumping è una declinazione dell'IRSF. L'IRSF costituisce la categoria più ampia e comprende qualsiasi sistema che sfrutti la ripartizione dei ricavi telefonici per lucrare sui costi di terminazione dei messaggi. L'SMS pumping è la specifica variante concepita per colpire gli endpoint di OTP e di verifica al fine di generare quel traffico. Leggi Cos'è l'IRSF? per un'analisi dettagliata di questa tecnica d'attacco.
Come posso capire se sono vittima di un attacco di SMS pumping?
I segnali premonitori più evidenti sono il tracollo del rapporto send-to-verify (un numero spropositato di OTP inviati a fronte di pochissimi codici confermati), impennate di traffico circoscritte a territori privi di una vera utenza e sequenze di numeri ripetitive o con schemi ricorrenti nei registri di invio OTP. L'impennata anomala della spesa per gli SMS a parità di interazioni degli utenti resta il campanello d'allarme più tipico con cui le aziende scoprono il problema, ma a quel punto il danno economico è ormai compiuto.
In che modo Prelude rileva l'SMS pumping?
Prelude Verify valuta ogni richiesta di verifica prima che il codice venga spedito, avvalendosi del machine learning e di molteplici parametri come utenze temporanee, blocchi di numerazioni compromessi, conversioni storicamente basse, discrepanze territoriali e traffico proveniente da reti proxy. Le richieste ritenute rischiose vengono subito bloccate, scongiurando la partenza del messaggio. Prelude Watch integra una verifica preventiva del rischio al momento dell'iscrizione, compatibile con qualsiasi provider SMS.
Basta bloccare interi Paesi per fermare l'SMS pumping?
Il blocco geografico rappresenta un presidio utile, a patto che sia mirato e non generalizzato. Impedire l'accesso a intere nazioni rischia di tagliare fuori utenti in buona fede e far perdere opportunità di business reali.
La strategia vincente è restringere gli invii ai mercati realmente coperti sulla base dei dati di localizzazione degli utenti effettivi, combinando questa misura con la classificazione preliminare dei numeri e il monitoraggio dei volumi, così da creare una protezione multilivello solida.
Se la tua app utilizza la verifica telefonica, prima o poi diventerà molto probabilmente un bersaglio delle frodi di SMS pumping. L'analisi condotta da Prelude su 205 milioni di richieste di autenticazione nel 2025 ha rilevato che l'11,83% di tutto il traffico di verifica era fraudolento, con 3,26 milioni di dollari in costi SMS evitati nell'intero set di dati (Prelude 2025 SMS Pumping Fraud Report). Guardando all'intero settore, Juniper Research ha stimato che le perdite aziendali dovute al traffico gonfiato artificialmente, la categoria a cui appartiene l'SMS pumping, hanno raggiunto un picco di 2,1 miliardi di dollari nel 2023.
L'SMS pumping è uno dei diversi tipi di frode OTP che colpiscono i flussi di verifica telefonica. Gli aggressori sfruttano questi flussi per generare traffico SMS verso numeri a tariffa maggiorata sotto il loro controllo, costringendo le aziende ad accollarsi i costi di invio dei messaggi. Per una panoramica completa, consulta la nostra Guida completa alle frodi OTP.
In questa guida analizzeremo cos'è la frode di SMS pumping, come funziona e, soprattutto, come proteggere la tua azienda da questa minaccia in continua crescita.
Cos'è l'SMS Pumping?
L'SMS pumping è una tipologia di frode in cui gli aggressori innescano grandi volumi di messaggi di testo verso numeri telefonici che controllano direttamente, incassando poi una percentuale dei costi generati da ogni messaggio. La maggior parte degli attacchi prende di mira gli endpoint di OTP e di verifica, poiché qualsiasi form che invia un SMS all'inserimento di un numero telefonico può essere automatizzato.
I truffatori collaborano solitamente con operatori mobili compiacenti o intermediari che riconoscono una quota sul traffico terminato. L'azienda che invia i messaggi paga per ciascuno di essi, per cui il danno finanziario ricade interamente sulla vittima.
Noto anche come SMS Toll Fraud o Artificially Inflated Traffic (AIT), l'SMS pumping è una variante dell'International Revenue Share Fraud (IRSF). Il meccanismo di base è lo stesso (lo sfruttamento degli accordi di ripartizione dei ricavi tra operatori telecom), ma l'SMS pumping prende di mira nello specifico i tuoi endpoint di OTP e verifica anziché l'infrastruttura di telecomunicazione tradizionale.
A differenza degli attacchi di account takeover o credential stuffing, l'obiettivo dell'aggressore non è accedere agli account utente o sottrarre dati.
L'obiettivo è molto più semplice: generare traffico SMS fatturabile su larga scala. Prelude Verify è stato sviluppato per fermare tutto questo prima ancora che parta il primo messaggio: assegna un punteggio di rischio di frode a ogni richiesta di verifica e blocca quelle ad alto rischio, facendo sì che i numeri usati per il pumping non ricevano mai il codice.
Come funziona l'SMS Pumping
L'SMS pumping richiede due elementi: l'accesso a un endpoint OTP ad alto volume e un accordo con una tratta di telecomunicazione che remunera il traffico in entrata.
Passaggio 1 - L'aggressore si garantisce una quota dei ricavi. I truffatori iniziano stringendo accordi con carrier privi di scrupoli o ottenendo l'accesso a numeri a tariffazione speciale. Promettono a questi operatori volumi elevati di SMS e maggiori entrate, sfruttando numeri internazionali a tariffa maggiorata (IPRN) per veicolare il traffico.
Passaggio 2 - Individuano il punto di ingresso. I form di registrazione, le pagine di login, i flussi di recupero password e i moduli promozionali diventano bersagli facili: in sostanza, qualsiasi endpoint che invia un SMS all'inserimento di un numero di telefono.
Passaggio 3 - I bot inondano l'endpoint. I malintenzionati sommergono il sistema con traffico SMS, provando a rotazione formati di numeri dall'aspetto verosimile all'interno delle numerazioni target. Il tuo sistema invia messaggi OTP a tali numeri. Il truffatore incassa la sua commissione per ogni singolo messaggio inviato. Questi SMS vengono instradati verso numeri a tariffa maggiorata gestiti dai truffatori, solitamente situati all'estero, facendo lievitare i costi per le aziende che pagano a messaggio.
Passaggio 4 - Il danno resta invisibile fino all'arrivo della fattura. Ogni messaggio che raggiunge i numeri dell'aggressore genera un costo di terminazione, che il carrier complice spartisce con i truffatori. È proprio questo a rendere l'SMS pumping particolarmente insidioso. Il traffico non genera accessi falliti, né eventi sospetti di autenticazione o lamentele da parte degli utenti. Ogni messaggio risulta consegnato con successo. Il primo campanello d'allarme è solitamente un'anomalia in fattura, spesso giorni o settimane dopo l'avvenuto attacco.
In breve: sia i truffatori che i loro partner disonesti traggono profitto dal traffico SMS fittizio, mentre la vittima si ritrova a dover coprire tutti i costi.
Perché i sistemi OTP sono particolarmente vulnerabili
L'SMS pumping funziona perché i sistemi OTP presentano una vulnerabilità strutturale intrinseca: l'endpoint di invio deve essere pubblico, i costi sono a carico della piattaforma e il completamento dell'operazione non richiede la presenza di un utente reale dall'altra parte.
In pratica, un modulo di registrazione o una procedura di recupero password devono accettare richieste da chiunque. A differenza degli endpoint API protetti da autenticazione che richiedono una sessione o un token validi, gli endpoint di invio OTP sono aperti per definizione. Non ci sono credenziali da rubare né sessioni da compromettere. Qualsiasi bot può innescarli.
In più, i flussi di verifica tendono a essere estremamente prevedibili. I moduli di registrazione, i recuperi credenziali e le pagine di accesso seguono schemi costanti: accettano un numero di telefono, attivano l'invio e attendono l'inserimento del codice. I bot possono quindi replicare facilmente questo flusso su larga scala.
Gli agenti IA rendono l'automazione di questo flusso ancora più semplice. Per scoprire come si manifesta il traffico degli agenti nei flussi OTP e come individuarlo, consulta la sezione sul rilevamento delle frodi da agenti IA.
Le piattaforme, dal canto loro, si accollano le spese a prescindere dall'esito. Ogni messaggio inviato dal sistema comporta un costo, poco importa se a richiederlo sia stato un utente reale, se il codice venga effettivamente inserito o se il numero di telefono esista davvero. In altre parole, si fanno carico dell'intero costo di ogni richiesta, lecita o fraudolenta che sia.
Inoltre, il sistema di fatturazione delle telecomunicazioni offre un modello di guadagno diretto agli aggressori. Il sistema globale di instradamento degli SMS si basa su accordi di liquidazione reciproca tra operatori. I truffatori si inseriscono in questo ingranaggio acquistando o gestendo numerazioni che pagano un compenso per ogni terminazione ricevuta. Ogni OTP inviato dal tuo sistema a quei numeri finisce dritto nelle tasche dell'aggressore. Non esiste un meccanismo paragonabile nella maggior parte degli altri tipi di frode: l'SMS pumping è uno dei rari casi in cui l'infrastruttura stessa del provider della vittima finisce per finanziare direttamente l'aggressore.
Questo tipo di frode può arrecare danni gravissimi perché molte applicazioni non dispongono di funzionalità avanzate come device intelligence, analisi comportamentale, scoring del rischio dell'operatore, rate limiting adattivo e controlli di verifica antifrode. Ciò crea un contesto in cui gli aggressori possono generare flussi imponenti di traffico OTP incontrando pochissima resistenza.
L'unica difesa realmente affidabile per arginare l'SMS pumping prima che provochi danni consiste nel verificare il numero di destinazione prima dell'invio effettivo, un passaggio che molte implementazioni OTP purtroppo tralasciano.
Esempi reali di SMS Pumping
L'app fintech: una campagna promozionale sfuggita di mano
Un'app fintech lancia una campagna "presenta un amico": l'utente invita un contatto ed entrambi gli account ricevono 80 $ di credito. Per riscattare il premio, l'utente invitato deve solo registrarsi e verificare il proprio numero di telefono.
Nel giro di 48 ore dal via alla campagna, il volume di invio degli OTP diventa 40 volte superiore al normale. I bot prendono d'assalto l'endpoint di registrazione con migliaia di numeri di telefono ogni ora, tutti appartenenti a numerazioni a tariffa maggiorata gestite dall'aggressore. Il meccanismo dell'invito non c'entra affatto: ai malintenzionati non interessano gli 80 $ di credito. Mirano direttamente ai messaggi OTP. La maggior parte dei "nuovi account" creati durante l'attacco non mostra alcuna attività e non verrà mai più utilizzata.
Dato che i messaggi risultano regolarmente recapitati, l'attacco passa del tutto inosservato finché, giorni dopo, non scattano gli allarmi legati ai costi. Il primo indizio è stato direttamente la fattura.
L'e-commerce: registrazioni fittizie su larga scala
Prendiamo il caso di un e-commerce su abbonamento che propone ai clienti uno sconto del 15% sul primo ordine in cambio del loro numero di telefono sul sito web.
Una volta inserito il recapito telefonico, l'azienda provvede a inviare un SMS contenente il codice promozionale. Una strategia classica e lineare per incrementare le registrazioni di utenti interessati.
I truffatori, però, fiutano subito l'opportunità. Utilizzano bot per inondare il portale con migliaia di numeri fittizi. Ognuno di essi fa scattare l'invio di un SMS verso un numero a tariffa maggiorata gestito dai criminali.
L'azienda si ritrova così a dover saldare una fattura spropositata per una miriade di SMS, senza aver acquisito nemmeno un cliente reale. Ogni singolo messaggio inviato è finito su numerazioni fraudolente arricchendo i truffatori, senza alcuna speranza di conversione commerciale.
Poiché il traffico transita attraverso molteplici reti prima di giungere a destinazione, le aziende difficilmente riescono a risalire a chi orchestra l'attacco. Ecco perché la prevenzione deve intervenire prima dell'invio del messaggio.
La grande piattaforma: 60 milioni di dollari all'anno in traffico 2FA fittizio
Persino le piattaforme più colossali con team di ingegneria dedicati non ne sono immuni. Elon Musk ha dichiarato pubblicamente nel 2023 che Twitter pagava circa 60 milioni di dollari all'anno per falsi messaggi SMS legati alla 2FA, generati da schemi di frode sulle telecomunicazioni: una testimonianza tangibile di quanto rapidamente l'SMS pumping possa sfuggire a ogni controllo se non viene intercettato tempestivamente.
Quali danni comporta la frode da SMS Pumping per la tua azienda
La frode tramite SMS è ampiamente diffusa e può colpire le aziende su più fronti:
Perdite economiche dirette
È la conseguenza più immediata e dolorosa. Il traffico SMS fraudolento porta a batoste finanziarie pesantissime. Pagando per ciascun SMS spedito, le aziende possono vedere le proprie spese gonfiate a dismisura dai criminali che convogliano i messaggi verso i propri numeri premium.
Ogni invio OTP fraudolento è un addebito concreto. La tua piattaforma paga per ogni messaggio e gli aggressori continueranno ad approfittarsene finché ne avranno modo. Spesso gli attacchi si scatenano a ondate improvvise. A maggio 2025, Prelude ha neutralizzato ben 763.212 richieste malevole nel corso di un unico attacco concentrato su numerazioni nigeriane (Prelude 2025 SMS Pumping Fraud Report).
A differenza di molte altre truffe, le somme perse con l'SMS pumping sono quasi impossibili da recuperare. Quando la fattura viene recapitata, i messaggi sono già stati inviati e i costi contabilizzati.
Per questa ragione è fondamentale dotarsi di strumenti solidi contro l'abuso promozionale, come il monitoraggio in tempo reale e il blocco automatico, salvaguardando così sia i tuoi utenti che il tuo budget.
Abuso della piattaforma e proliferazione di account falsi
L'SMS pumping si manifesta raramente come fenomeno isolato.
Le stesse infrastrutture allestite per generare traffico OTP fraudolento vengono frequentemente riciclate per creare falsi account, abusare dei programmi di referral, condurre campagne di spam, orchestrare onboarding fittizi e sfruttare promozioni in modo illecito.
Con il proliferare dei profili fittizi, aumentano a cascata i problemi legati a moderazione, conformità e fiducia all'interno della piattaforma.
Metriche compromesse e dati inattendibili
L'SMS pumping genera utenze fantasma in quantità industriale. I dati su nuove registrazioni, DAU, MAU e le analisi di coorte risultano irrimediabilmente falsati da profili inesistenti.
La tua base utenti si riempie di profili fantoccio. I tassi di conversione crollano mentre il costo per acquisizione sale alle stelle, rendendo quasi impossibile giustificare le spese di marketing. Report e analisi perdono ogni affidabilità, e decisioni basate su dati distorti non possono che rivelarsi fallimentari.
In breve: il traffico fittizio inquina le metriche di rendimento e impedisce di decifrare le reali abitudini dei clienti. Privi di dati accurati, i piani commerciali e di marketing ne risentono pesantemente, costringendo a disperdere ore, capitali ed energie nell'inseguimento di chimere.
Saturazione dei canali di invio
Un attacco massiccio di SMS pumping mette sotto scacco l'intera infrastruttura di messaggistica, saturandola di comunicazioni fasulle. Il tuo provider SMS rischia il sovraccarico, con conseguenti ritardi operativi o blocchi totali del servizio.
Gli utenti autentici che attendono un codice di accesso, una ricevuta di pagamento o il ripristino delle credenziali restano bloccati o subiscono forti ritardi. L'impatto è disastroso soprattutto nelle fasi cruciali: campagne di lancio, periodi di saldi ad altissima affluenza o momenti critici per la sicurezza come il recupero dell'account.
Tutto questo si traduce inevitabilmente in utenti scontenti, carrelli abbandonati e una progressiva perdita di fiducia nel brand.
Rischi di conformità e danni all'immagine
Spesso l'SMS pumping cammina a braccetto con la creazione di account falsi: profili creati da bot che superano la verifica telefonica e si accumulano indisturbati nella piattaforma. In ottica KYC e AML, un flusso di verifica facilmente aggirabile da identità sintetiche spalanca le porte a seri rischi normativi.
Il danno reputazionale è più complesso da quantificare sul momento, ma tende a ingigantirsi nel tempo. Gli utenti che subiscono disservizi durante un attacco perdono fiducia nel servizio, e il semplice fatto di essere associati ad attività truffaldine – seppur come parte lesa – mina la credibilità del brand.
Le frodi non colpiscono solo le finanze, ma incrinano la fiducia. E una volta compromessa, che si tratti di clienti o collaboratori, ricostruirla diventa un'impresa titanica.
Aggravio dei costi operativi
Affrontare le conseguenze dell'SMS pumping non comporta solo uscite vive di cassa. Esige anche un prezzo salato in termini di produttività interna, costringendo i team di cybersecurity a fare gli straordinari per rimediare ai danni subiti dalle vittime.
Il personale deve verificare ogni singolo addebito contestato, gestire le rimostranze dei clienti inferociti, implementare misure di sicurezza più stringenti per il futuro e, dove possibile, intraprendere azioni legali contro gli autori della frode (qualora sia possibile identificarli).
Come individuare le frodi di SMS Pumping
Il traffico di SMS pumping è studiato per simulare le normali azioni degli utenti. I seguenti indicatori aiutano a distinguere il traffico OTP malevolo da quello reale:
Picchi anomali nel volume di OTP
Se le richieste di codici OTP o i volumi di SMS subiscono un'impennata improvvisa senza un effettivo aumento delle attività sul sito o il lancio di campagne mirate, la causa è quasi certamente una manovra fraudolenta.
Traffico concentrato in specifiche aree geografiche
Se registri un numero insolitamente alto di SMS diretti verso Paesi in cui la tua azienda non opera o non vanta un pubblico rilevante, con ogni probabilità qualcuno sta sfruttando indebitamente i tuoi servizi di messaggistica.
Numeri di telefono sequenziali o con pattern ricorrenti
Se le numerazioni che richiedono gli OTP mostrano sequenze palesemente affini o schemi progressivi (ad es. +1234567801, +1234567802, +1234567803), non si tratta affatto di una coincidenza.
I bot si servono di elenchi automatizzati per sollecitare codici OTP: riconoscere queste sequenze è una prova inconfutabile di SMS pumping in corso.
Richieste inoltrate tramite proxy residenziali
I proxy residenziali sono diventati l'infrastruttura d'attacco privilegiata nel 2025, impiegati per frammentare il traffico ed eludere i blocchi basati sugli indirizzi IP (Prelude 2025 SMS Pumping Fraud Report)
Crollo del rapporto tra invii e verifiche (send-to-verify)
Un rapporto tra OTP inviati e codici confermati che supera 2:1 è un segnale inequivocabile: ai truffatori non serve confermare il codice, l'unica cosa che conta è che il messaggio parta.
Pertanto, un crollo nel tasso di conversione (globale o limitato a una certa area) è la spia evidente di un traffico fasullo che appesantisce i conteggi senza portare alcun valore effettivo. La dashboard di Prelude evidenzia i tassi di conversione delle verifiche a livello globale e per singolo Paese, rendendo immediatamente visibile qualsiasi flessione anomala.
Segnalazioni degli utenti per ritardi nella ricezione
L'intasamento della rete SMS causato dai bot finisce per penalizzare gli utenti reali che cercano di ricevere il proprio codice di verifica.
Se l'assistenza clienti inizia a ricevere lamentele per recapiti OTP eccessivamente lenti, il sistema potrebbe essere sotto scacco a causa di richieste fraudolente.
Coorti di nuovi account con interazione prossima allo zero
Se riscontri picchi di nuove iscrizioni che non generano alcuna attività successiva (accessi, acquisti, sessioni d'uso), quasi certamente l'applicazione è finita nel mirino dei truffatori.
Budget SMS che si esaurisce molto prima del previsto
Il rapporto tra spesa e attività reale rappresenta l'indicatore a posteriori più chiaro: quando te ne accorgi, purtroppo, il danno economico è già stato fatto.
La gran parte di questi segnali si può scorgere in tempo reale. L'ultimo citato emerge solo a portafoglio svuotato: ecco perché disporre di un rilevamento in tempo reale fa tutta la differenza.
Come prevenire le frodi di SMS Pumping
Un contrasto efficace all'SMS pumping richiede sia il consolidamento dell'infrastruttura, sia un rilevamento preventivo in tempo reale prima dell'inoltro. Prelude Verify integra nativamente molti dei seguenti presidi.
1. Implementa un rate limiting adattivo
Una delle strategie più diffuse per sventare l'SMS pumping consiste nell'applicare un limite di frequenza (rate limiting). Questo si traduce nell'impostare soglie massime sul volume giornaliero di messaggi o sui tetti di spesa consentiti.
Ad esempio, si può stabilire la regola per cui i costi di invio SMS non debbano mai superare i 300 $ al giorno tra verifiche OTP e procedure di autenticazione via SMS. Questo limite mette al riparo da brutte sorprese all'arrivo dell'estratto conto a fine mese o a fine anno.
Attenzione, però, a procedere con cautela: se da un lato il rate limiting argina i comportamenti malevoli, dall'altro rischia di generare falsi positivi, bloccando utenti legittimi che cercano di completare un'operazione, specie se l'app registra un'impennata fisiologica di traffico reale. Tenere monitorati i parametri e ricalibrarli man mano che l'attività cresce è indispensabile per trovare il giusto compromesso tra sicurezza e facilità d'uso.
Prelude Verify limita le richieste di verifica per singolo numero telefonico e intervallo di tempo; i team possono configurare liberamente questo parametro dalla dashboard.
2. Classificazione preventiva del numero telefonico
Prima di far partire qualsiasi OTP, valuta attentamente i profili di rischio della numerazione destinataria:
Tipologia di numero: i numeri VoIP, virtuali e usa e getta vengono usati molto più frequentemente negli attacchi di pumping rispetto alle utenze mobili tradizionali dei grandi operatori. Contrassegna o blocca l'invio verso queste tipologie.
Rischio geografico: i numeri appartenenti a prefissi internazionali a rischio o notoriamente collegati a truffe a tariffa maggiorata dovrebbero far scattare controlli supplementari o il blocco immediato.
Numeri attivati di recente: le schede o utenze con una cronologia di attivazione brevissima costituiscono una spia frequente delle campagne automatizzate tramite bot.
3. Applica restrizioni geografiche
Se il tuo prodotto non è disponibile in un dato mercato, non c'è alcun motivo lecito per inviare OTP in quell'area. Limitare geograficamente gli invii solo ai mercati in cui operi attivamente è una delle misure più rapide da applicare e più efficaci nel ridurre l'esposizione alle truffe con numeri internazionali a tariffa maggiorata.
Attenzione alla precisione: vietare interi Paesi in modo indiscriminato rischia di danneggiare gli utenti legittimi. Definisci la lista di consentiti basandoti sui dati di localizzazione reali del tuo pubblico.
In Prelude, a ciascun Paese è assegnato un livello di rischio frode che i team possono alzare o abbassare direttamente dalla dashboard, così da inasprire i controlli sui mercati delicati senza doverli bloccare per forza in toto.
4. Tieni d'occhio i rapporti Send-to-Verify
Uno dei sintomi più eloquenti dell'attività fraudolenta è il tracollo del tasso di verifica degli OTP: il traffico fasullo si limita a provocare l'invio del messaggio, senza mai finalizzare l'autenticazione.
Monitorare costantemente il rapporto tra messaggi inviati e codici verificati permette di scovare le anomalie sul nascere.
5. Sfrutta l'intelligence sulle tratte a livello di provider
Affidati a un provider OTP che monitori e blocchi proattivamente le tratte a rischio frode. Un intermediario che guadagna sui margini per singolo messaggio ha un evidente conflitto di interessi nel bloccare il traffico. Cerca una struttura di prezzi trasparente, priva di ricarichi su ogni SMS e sostenuta da un impegno concreto nella gestione delle frodi sulle tratte.
Prelude fattura i messaggi al puro costo di terminazione dell'operatore senza alcun ricarico: in questo modo il blocco del traffico malevolo non intacca in alcun modo i suoi margini.
Per un confronto dettagliato tra i vari strumenti disponibili, leggi la nostra guida comparativa sui tool di protezione dall'SMS pumping.
6. Adotta un sistema di Fraud Scoring in tempo reale
Le liste di blocco statiche diventano obsolete in fretta. Di conseguenza, i sistemi di rilevamento devono adeguarsi di pari passo con l'evoluzione delle infrastrutture messe in campo dagli aggressori.
Un moderno impianto antifrode presuppone quindi:
Modelli di rischio adattivi
Intelligence comportamentale
Indicatori aggiornati in tempo reale
Processi decisionali istantanei
Come bloccare l'SMS Pumping sui form di registrazione
I moduli di registrazione sono il punto esatto in cui ha origine il pumping: ogni clic sul pulsante "Invia codice" ti costa un SMS, e i bot possono premerlo migliaia di volte. La contromisura consiste nel rendere ogni invio più difficile da attivare e meno oneroso da sostenere, applicando sei accorgimenti direttamente sul form:
Esamina il dispositivo prima di mostrare il campo del codice. Raccogli i segnali del dispositivo fin dal caricamento della pagina, così da intercettare i bot prima ancora che possano avanzare la richiesta.
Imponi un tempo di attesa tra i reinvii e un tetto ai tentativi. Esigi un intervallo minimo tra una richiesta e l'altra e limita il numero massimo di tentativi eseguibili per ciascun numero.
Applica un rallentamento progressivo sulle richieste ripetute. Invece di fissare una soglia rigida, prolunga il tempo di attesa a ogni nuovo tentativo proveniente dallo stesso recapito. L'utente reale che commette un refuso riceverà comunque il codice senza intoppi, mentre gli attacchi insistenti verranno frenati sul nascere.
Limita la selezione del prefisso internazionale ai soli mercati serviti. Se non operi in una determinata area geografica, disabilita l'invio di messaggi verso quei prefissi.
Convalida la linea prima di spedire il messaggio. Scarta le numerazioni VoIP, virtuali o temporanee direttamente nel modulo, anziché pagare per inviare comunicazioni a vuoto.
Fissa un tetto massimo di spesa come ultima barriera protettiva. Una soglia invalicabile impostata su un determinato intervallo temporale eviterà che un attacco non intercettato si trasformi in una spesa incontrollabile.
Prelude Verify integra nativamente la maggior parte di queste funzionalità. I suoi SDK frontend per iOS, Android, web, React Native e Flutter raccolgono i dati di telemetria del dispositivo a ogni verifica. I ritardi di reinvio, i massimali di tentativi, i blocchi territoriali e i budget di spesa si gestiscono comodamente dalla dashboard. I numeri appartenenti a tipologie di linea non valide vengono neutralizzati prima ancora che il codice sia generato.
Tieni poi sotto costante osservazione il rapporto di verifica del form (vedi sopra). Un modulo che spedisce una quantità spropositata di codici a fronte di pochissime conferme è palesemente preso di mira, anche qualora i singoli filtri sembrino reggere.
Come Prelude intercetta l'SMS Pumping prima dell'invio dell'OTP
L'approccio di Prelude all'SMS pumping punta tutto sulla rilevazione preventiva, non sulla conta dei danni a cose fatte.
Prelude Verify esamina automaticamente ogni singola verifica. Prima ancora che il codice venga spedito, il motore antifrode basato su machine learning di Verify valuta la richiesta e, qualora l'indice di rischio risulti eccessivo, la blocca sul nascere, impedendo del tutto la partenza dell'SMS. Nel momento in cui blocca un tentativo, Verify fornisce l'elenco puntuale dei fattori di rischio che hanno motivato la decisione, tra cui:
Numeri di telefono temporanei: l'utenza appartiene a un servizio di numerazioni fittizie o usa e getta.
Abuso di intervalli di numerazione: il recapito rientra in un blocco di numeri attualmente associato ad attività anomale.
Storico di conversione scadente: i flussi con caratteristiche analoghe portano raramente al completamento della verifica.
Incongruenza geografica: la posizione rilevata sulla rete non coincide con il prefisso internazionale del numero.
Segnali da proxy e indirizzi IP: l'operazione transita attraverso una rete proxy, oppure proviene da un IP con cattiva reputazione o con una concentrazione anomala di verifiche.
Tentativi ravvicinati: l'utenza ha oltrepassato la soglia consentita di tentativi di verifica in un arco di tempo ristretto.
Banche dati antifrode: il contatto risulta già segnalato all'interno di uno o più database di intelligence a cui Prelude fa riferimento.
Nel dataset 2025 di Prelude, le tecnologie basate su machine learning hanno intercettato quasi il 78% del totale delle richieste fraudolente bloccate. I semplici filtri statici non possono nulla contro truffatori che alternano indirizzi IP, fanno ruotare proxy residenziali e simulano alla perfezione i tempi di navigazione delle persone in carne e ossa.
I team possono calibrare questi livelli di protezione per ogni singolo Paese tramite la dashboard di Prelude. È possibile alzare o abbassare la soglia di tolleranza di una determinata area o abilitare al volo filtri come il rilevamento di VPN e proxy, senza toccare una sola riga di codice.
Prelude Watch valuta gli utenti all'atto della registrazione, qualunque sia il tuo provider SMS. Watch esprime un giudizio chiaro (legittimo o sospetto) sul recapito telefonico o sull'indirizzo email fornito in fase di iscrizione. Il responso si fonda su un ventaglio di segnali tra cui la cronologia di portabilità del numero, la presenza di proxy residenziali, l'uso di recapiti temporanei e le incongruenze tra IP e dispositivo. I team che gestiscono gli OTP tramite un altro fornitore possono integrare Watch per filtrare a monte le registrazioni poco chiare prima ancora che parta la richiesta di invio.
Un attacco sventato sul campo
Ecco un caso concreto di attacco neutralizzato di recente da Prelude per una realtà europea del foodtech.
L'offensiva è partita da utenze telefoniche registrate nel Regno Unito, uno dei mercati di riferimento in cui il cliente opera normalmente. Sebbene la provenienza geografica non costituisse di per sé un segnale d'allarme, l'algoritmo di Prelude ha rilevato un'anomalia evidente: decine di numeri appartenenti al medesimo intervallo presentavano tassi di conversione insolitamente bassi.
Grazie a questo intervento tempestivo, Prelude ha bloccato proattivamente le numerazioni sospette prima che l'attacco assumesse proporzioni incontrollabili. I tentativi sono proseguiti per alcuni giorni ma, accortisi dell'inefficacia dell'azione, i malintenzionati hanno finito per gettare la spugna.
La mole di messaggi fraudolenti intercettati equivaleva quasi all'intero volume mensile consueto del cliente, facendogli risparmiare diverse migliaia di dollari che sarebbero andati letteralmente in fumo.
Scegliere Prelude significa garantirsi una protezione proattiva dalle frodi senza compromettere minimamente l'esperienza degli utenti autentici.
Se vuoi mettere al riparo la tua azienda dalle frodi via SMS, registrati gratuitamente e inizia a provare le API di Prelude già da oggi.
Cos'è la frode da SMS pumping?
La frode da SMS pumping, definita anche Artificially Inflated Traffic (AIT) o SMS toll fraud, si verifica quando alcuni aggressori tempestano gli endpoint OTP con richieste automatizzate via bot per causare l'invio massiccio di SMS verso numerazioni a tariffa maggiorata sotto il proprio controllo, incassando una percentuale sulle commissioni di terminazione sostenute dalla piattaforma per ogni messaggio.
Qual è la differenza tra SMS pumping e IRSF?
L'SMS pumping è una declinazione dell'IRSF. L'IRSF costituisce la categoria più ampia e comprende qualsiasi sistema che sfrutti la ripartizione dei ricavi telefonici per lucrare sui costi di terminazione dei messaggi. L'SMS pumping è la specifica variante concepita per colpire gli endpoint di OTP e di verifica al fine di generare quel traffico. Leggi Cos'è l'IRSF? per un'analisi dettagliata di questa tecnica d'attacco.
Come posso capire se sono vittima di un attacco di SMS pumping?
I segnali premonitori più evidenti sono il tracollo del rapporto send-to-verify (un numero spropositato di OTP inviati a fronte di pochissimi codici confermati), impennate di traffico circoscritte a territori privi di una vera utenza e sequenze di numeri ripetitive o con schemi ricorrenti nei registri di invio OTP. L'impennata anomala della spesa per gli SMS a parità di interazioni degli utenti resta il campanello d'allarme più tipico con cui le aziende scoprono il problema, ma a quel punto il danno economico è ormai compiuto.
In che modo Prelude rileva l'SMS pumping?
Prelude Verify valuta ogni richiesta di verifica prima che il codice venga spedito, avvalendosi del machine learning e di molteplici parametri come utenze temporanee, blocchi di numerazioni compromessi, conversioni storicamente basse, discrepanze territoriali e traffico proveniente da reti proxy. Le richieste ritenute rischiose vengono subito bloccate, scongiurando la partenza del messaggio. Prelude Watch integra una verifica preventiva del rischio al momento dell'iscrizione, compatibile con qualsiasi provider SMS.
Basta bloccare interi Paesi per fermare l'SMS pumping?
Il blocco geografico rappresenta un presidio utile, a patto che sia mirato e non generalizzato. Impedire l'accesso a intere nazioni rischia di tagliare fuori utenti in buona fede e far perdere opportunità di business reali.
La strategia vincente è restringere gli invii ai mercati realmente coperti sulla base dei dati di localizzazione degli utenti effettivi, combinando questa misura con la classificazione preliminare dei numeri e il monitoraggio dei volumi, così da creare una protezione multilivello solida.
Inizia a ottimizzare il tuo flusso di Auth
Invia SMS di verifica in tutto il mondo al miglior prezzo, con la massima recapitabilità e senza spam.
