Frode tramite SMS pumping: cos'è, come rilevarla e come prevenirla
Se la tua app utilizza la verifica telefonica, molto probabilmente sarai vittima di frodi da SMS Pumping. Ecco tutto ciò che devi sapere al riguardo.
Rowan Haddad
Content & SEO Manager
Riepilogo
Le frodi di SMS pumping sfruttano i flussi di verifica telefonica per inviare traffico verso numeri a tariffa maggiorata controllati dai truffatori, lasciando all'azienda che invia i codici l'onere di pagare ogni singolo messaggio. L'analisi condotta da Prelude su 205 milioni di richieste di autenticazione nel 2025 ha rilevato che l'11,83% del traffico di verifica era fraudolento. Prelude Verify blocca queste richieste prima ancora che il messaggio venga inviato. Questa guida illustra il funzionamento dell'attacco, i segnali per smascherarlo e le misure di controllo per fermarlo.
Se la tua app utilizza la verifica telefonica, prima o poi diventerai molto probabilmente un bersaglio delle frodi da SMS pumping. L'analisi condotta da Prelude su 205 milioni di richieste di autenticazione nel 2025 ha rilevato che l'11,83% di tutto il traffico di verifica era fraudolento, con 3,26 milioni di dollari di costi SMS evitati nell'intero dataset (Prelude 2025 SMS Pumping Fraud Report). A livello di settore, Juniper Research ha stimato che le perdite aziendali dovute al traffico gonfiato artificialmente (categoria a cui appartiene l'SMS pumping) abbiano raggiunto un picco di 2,1 miliardi di dollari nel 2023.
L'SMS pumping è uno dei diversi tipi di frode legati agli OTP che sfruttano i flussi di verifica telefonica. Gli aggressori abusano di questi flussi per generare traffico SMS verso numeri a tariffazione specifica sotto il loro controllo, costringendo le aziende ad accollarsi i costi dei messaggi. Per una panoramica completa, consulta la nostra Guida completa alle frodi OTP.
In questa guida analizzeremo cos'è la frode da SMS pumping, come funziona e, soprattutto, come proteggere il tuo business da questa minaccia in continua crescita.
Cos'è l'SMS Pumping?
L'SMS pumping è un tipo di frode in cui gli aggressori attivano grandi volumi di messaggi di testo verso numeri di telefono sotto il loro controllo, incassando poi una percentuale delle tariffe generate da ciascun messaggio. La maggior parte degli attacchi prende di mira gli endpoint di verifica e OTP, poiché qualsiasi modulo che invia un SMS all'inserimento di un numero di telefono può essere automatizzato.
I truffatori collaborano solitamente con operatori mobili compiacenti o intermediari che riconoscono una percentuale sul traffico terminato. L'azienda che invia i messaggi paga per ognuno di essi, quindi il danno economico ricade interamente sulla vittima.
Noto anche come SMS Toll Fraud o Artificially Inflated Traffic (AIT), l'SMS pumping è una variante della International Revenue Share Fraud (IRSF). Il meccanismo alla base è lo stesso (lo sfruttamento degli accordi di revenue-sharing nel settore telecomunicazioni), ma l'SMS pumping prende specificamente di mira i tuoi endpoint di verifica e OTP anziché l'infrastruttura di telecomunicazione tradizionale.
A differenza degli attacchi di account takeover o di credential stuffing, l'obiettivo dell'aggressore non è accedere agli account utente o rubare dati.
L'obiettivo è molto più semplice: generare traffico SMS fatturabile su larga scala. Prelude Verify è progettato per bloccare questo fenomeno prima ancora che parta il primo messaggio: valuta il rischio di frode di ogni richiesta di verifica e blocca quelle ad alto rischio, assicurando che i numeri gonfiati non ricevano mai il codice.
Come funziona l'SMS Pumping
L'SMS pumping richiede due elementi: l'accesso a un endpoint OTP ad alto volume e un accordo con una rotta di telecomunicazione che riconosca un compenso sul traffico.
Fase 1 - L'aggressore si assicura una quota di compartecipazione alle entrate. I truffatori iniziano collaborando con operatori poco etici o ottenendo l'accesso a numerazioni a tariffa maggiorata. Promettono a questi operatori volumi elevati di SMS e maggiori entrate, sfruttando numeri internazionali a tariffazione speciale (IPRN) per veicolare il traffico.
Fase 2 - Individuano il punto da colpire. Moduli di registrazione, schermate di login, flussi di reimpostazione password e form per riscattare promozioni diventano bersagli: in sostanza, qualsiasi endpoint che invii un SMS all'inserimento di un numero telefonico.
Fase 3 - I bot inondano l'endpoint. I truffatori sommergono il sistema di traffico SMS, alternando formati di numeri dall'aspetto verosimile all'interno delle numerazioni bersaglio. Il tuo sistema invia messaggi OTP a quei numeri. Il truffatore incassa la sua percentuale sul costo di ogni messaggio. Questi SMS vengono instradati verso numeri a tariffa speciale controllati dai truffatori, solitamente all'estero, facendo lievitare i costi per le aziende che pagano a messaggio.
Fase 4 - Il danno rimane nascosto fino all'arrivo della fattura. Ogni messaggio che raggiunge i numeri dell'aggressore genera una tariffa di terminazione, che l'operatore complice divide con i truffatori. Questo è ciò che rende l'SMS pumping particolarmente dannoso. Il traffico non genera accessi falliti, né eventi sospetti o lamentele da parte degli utenti. Ogni messaggio risulta consegnato con successo. Il primo segnale è solitamente un'anomalia di fatturazione, spesso a distanza di giorni o settimane dall'attacco.
In breve, sia i truffatori che i loro partner compiacenti traggono profitto dal traffico SMS fittizio, mentre la vittima si ritrova a dover coprire i costi.
Perché i sistemi OTP sono particolarmente vulnerabili
L'SMS pumping funziona perché i sistemi OTP presentano una vulnerabilità strutturale insita nella loro logica: l'endpoint di invio deve essere pubblico, il costo è a carico della piattaforma e il successo dell'operazione non richiede un utente reale all'altro capo.
In pratica, ciò significa che un form di registrazione o un flusso di recupero password deve accettare richieste da chiunque. A differenza degli endpoint API autenticati che richiedono una sessione o un token valido, gli endpoint di invio OTP sono aperti per definizione. Non ci sono credenziali da rubare né sessioni da compromettere. Qualsiasi bot può attivarli.
Inoltre, i flussi di verifica tendono a essere prevedibili. Form di registrazione, flussi di reset password e pagine di login seguono pattern costanti: accettano un numero di telefono, avviano l'invio e attendono l'inserimento di un codice. Ciò significa che i bot possono facilmente replicare questo flusso su larga scala.
Le piattaforme, dal canto loro, assorbono i costi a prescindere dall'esito. Ogni messaggio inviato dal tuo sistema genera un addebito, indipendentemente dal fatto che a richiederlo sia stato un utente reale, che il codice venga mai inserito o che il numero di telefono esista davvero. In altre parole, si fanno carico dell'intero costo di ogni richiesta, fraudolenta o meno.
In più, il modello di fatturazione delle telecomunicazioni crea una fonte diretta di guadagno per gli aggressori. Il sistema globale di instradamento degli SMS è stato costruito su accordi di settlement tra operatori. I truffatori si inseriscono in questo meccanismo acquisendo o associandosi a blocchi di numerazioni che generano un compenso alla terminazione. Ogni OTP che il tuo sistema invia a questi numeri finisce dritto nelle tasche dell'aggressore. Non esiste un meccanismo equivalente nella maggior parte delle altre frodi; l'SMS pumping è uno dei pochi attacchi in cui l'infrastruttura del fornitore stesso della vittima finanzia direttamente l'autore della truffa.
Questo tipo di frode può causare danni enormi perché molte applicazioni mancano di funzionalità come device intelligence, analisi comportamentale, carrier risk scoring, rate limiting adattivo e controlli di verifica incentrati sull'antifrode. Si crea così un contesto in cui gli aggressori possono generare volumi massicci di traffico OTP incontrando pochissima resistenza.
L'unica difesa in grado di contrastare efficacemente l'SMS pumping prima che infligga danni consiste nel valutare effettivamente il numero di destinazione prima dell'invio, operazione che molte implementazioni OTP non compiono.
Esempi di SMS Pumping
L'app fintech: una campagna promozionale finita male
Un'app fintech lancia una campagna di referral: se un utente invita un amico, entrambi ricevono 80 $ di credito. Per riscattare il premio, all'utente invitato basta registrarsi e verificare il proprio numero di telefono.
Entro 48 ore dal lancio della campagna, il volume di invio degli OTP è 40 volte superiore al previsto. I bot tempestano l'endpoint di registrazione con migliaia di numeri all'ora, tutti instradati verso numerazioni a tariffa speciale controllate dall'aggressore. Il meccanismo di referral non conta nemmeno: agli aggressori non interessano gli 80 $ di credito, puntano unicamente ai messaggi OTP. La maggior parte dei "nuovi account" creati durante l'attacco mostra zero attività e non verrà mai più utilizzata.
Poiché i messaggi risultano regolarmente consegnati, l'attacco passa inosservato finché gli avvisi di fatturazione non scattano giorni dopo. Il primo campanello d'allarme è stata la bolletta.
L'azienda: registrazioni fittizie su larga scala
Prendiamo il caso di un e-commerce su abbonamento che offre ai clienti uno sconto del 15% sul primo ordine in cambio dell'inserimento del numero di telefono sul sito web.
Una volta inserito il numero, l'azienda invia un SMS con il codice promozionale. È una strategia semplice per incrementare le registrazioni di clienti interessati.
I truffatori, però, fiutano l'opportunità. Utilizzano bot per inondare il sito web con migliaia di numeri falsi. Ciascun numero genera un SMS instradato verso una numerazione a tariffa maggiorata controllata dai truffatori.
L'azienda si ritrova con una fattura salatissima per tutti quegli SMS inviati, ma senza alcun cliente reale. Ogni messaggio è stato spedito a numeri fraudolenti che non avrebbero mai convertito, arricchendo solo i truffatori.
Dato che il traffico transita attraverso molteplici reti prima di raggiungere la destinazione, le aziende raramente riescono a risalire a chi c'è dietro l'attacco. Ecco perché la prevenzione deve intervenire prima che il messaggio venga inviato.
La piattaforma: 60 milioni di dollari all'anno in traffico 2FA fittizio
Nemmeno le piattaforme più grandi, dotate di imponenti team di ingegneri, ne sono immuni. Nel 2023 Elon Musk ha dichiarato pubblicamente che a Twitter venivano addebitati circa 60 milioni di dollari all'anno per SMS 2FA fittizi generati da schemi di frode nelle telecomunicazioni: una testimonianza di quanto rapidamente l'SMS pumping possa scalare se non viene rilevato tempestivamente.
In che modo le frodi da SMS Pumping danneggiano la tua azienda
Le frodi via SMS sono ampiamente diffuse e possono colpire le aziende su più fronti:
Perdite finanziarie dirette
È l'impatto più immediato. Il traffico SMS fraudolento provoca contraccolpi economici pesantissimi. Poiché le aziende pagano per ogni singolo SMS inviato, i truffatori sfruttano questa dinamica per far lievitare i costi, instradando i messaggi verso numeri a tariffa maggiorata sotto il loro controllo.
Ogni invio OTP fraudolento è un addebito reale. La tua piattaforma paga per messaggio e gli aggressori approfitteranno di questa falla il più a lungo possibile. Gli attacchi, inoltre, arrivano a ondate improvvise. Nel maggio 2025, Prelude ha bloccato 763.212 richieste fraudolente in un unico attacco mirato a numeri nigeriani (Prelude 2025 SMS Pumping Fraud Report).
A differenza della maggior parte delle frodi, le perdite da SMS pumping sono quasi impossibili da recuperare. Quando arriva la fattura, i messaggi sono già stati inviati e i costi addebitati.
Ecco perché dotarsi di strumenti efficaci per prevenire l'abuso delle promozioni, come il monitoraggio in tempo reale e il blocco automatico, è fondamentale per proteggere sia gli utenti che il proprio budget.
Abuso della piattaforma e proliferazione di account fittizi
L'SMS pumping raramente si verifica in modo isolato.
La stessa infrastruttura impiegata per generare traffico OTP fraudolento viene spesso utilizzata per creare falsi account, abusare dei sistemi di referral, lanciare campagne di spam, effettuare onboarding sintetici e sfruttare indebitamente le promozioni.
Con l'accumularsi degli account fraudolenti, i problemi di moderazione, conformità e fiducia si moltiplicano in tutta la piattaforma.
Inquinamento delle metriche e dati inaffidabili
L'SMS pumping genera account falsi su larga scala. I dati sulle nuove registrazioni, DAU, MAU e le analisi di coorte finiscono per essere gonfiati da utenti inesistenti.
La tua base utenti si riempie di profili fake. Il tasso di conversione crolla mentre il costo per conversione sale alle stelle, rendendo sempre più difficile giustificare la spesa di marketing. I report e le analisi perdono affidabilità, e dati errati portano a decisioni sbagliate.
In breve, il traffico fittizio inquina le metriche di performance e rende impossibile comprendere il reale comportamento dei clienti. Senza dati accurati, le strategie di vendita e marketing ne risentono, finendo per sprecare tempo, denaro e risorse per inseguire dei fantasmi.
Saturazione dei canali
Un attacco di SMS pumping su larga scala satura l'infrastruttura di messaggistica, intasandola di traffico fake. Il tuo provider SMS va in sovraccarico, provocando ritardi o perfino interruzioni complete del servizio.
Gli utenti reali che tentano di ricevere un codice di accesso, una conferma di pagamento o il reset della password subiscono rallentamenti o blocchi totali. L'impatto è ancora più duro nei momenti di punta: lanci promozionali, eventi di vendita ad alto traffico o passaggi critici per la sicurezza come il recupero dell'account.
Il risultato? Utenti frustrati, carrelli abbandonati e un progressivo calo di fiducia nel tuo brand.
Danni reputazionali e problemi di conformità
L'SMS pumping va spesso a braccetto con la creazione di account falsi: profili generati da bot che superano la verifica telefonica e si accumulano nella tua base utenti. Nei quadri normativi KYC e AML, un flusso di verifica facilmente aggirabile da identità sintetiche espone a seri rischi di conformità.
Il danno d'immagine è più difficile da quantificare, ma si aggrava nel tempo. Gli utenti i cui account subiscono ritardi o disservizi durante un attacco perdono fiducia nella piattaforma, e l'associazione con attività fraudolente, anche nel ruolo di vittima, mina la credibilità del brand.
Le frodi non colpiscono solo il conto economico: distruggono la fiducia. E una volta incrinata la fiducia di clienti o collaboratori, ricostruirla diventa un'impresa ardua.
Costi operativi aggiuntivi
Gestire le conseguenze delle frodi da SMS pumping non prosciuga solo le risorse finanziarie. Ha un impatto pesante anche sulla produttività del personale, poiché gli esperti di cybersecurity dovranno dedicarsi costantemente alla risoluzione dei problemi per ciascun utente coinvolto.
Dovranno inoltre analizzare ogni addebito fraudolento, gestire clienti comprensibilmente furiosi, implementare meccanismi di sicurezza più solidi per il futuro e, quando possibile, intraprendere azioni legali contro i truffatori (qualora sia possibile identificarli).
Come rilevare le frodi da SMS Pumping
Il traffico di SMS pumping è progettato per simulare le normali attività degli utenti. Questi segnali aiutano a distinguere il traffico OTP fraudolento da quello reale:
Picchi anomali nel volume di OTP
Se le richieste di OTP o l'invio di SMS aumentano senza un parallelo incremento dell'attività da parte di utenti reali o senza una campagna di marketing in corso, è molto probabile che ci siano dietro dei truffatori.
Traffico concentrato in specifiche aree geografiche
Se noti un volume elevato di SMS inviati verso Paesi in cui la tua azienda non opera o non ha un bacino d'utenza significativo, potrebbe essere il segnale che qualcuno sta sfruttando indebitamente i tuoi servizi SMS.
Numeri di telefono sequenziali o con pattern ricorrenti
Se i numeri di telefono che richiedono OTP appaiono sospettosamente simili o seguono schemi sequenziali (ad esempio +1234567801, +1234567802, +1234567803), non si tratta di una coincidenza.
I bot utilizzano spesso elenchi di numeri generati automaticamente per richiedere OTP; individuare questi pattern è un chiaro campanello d'allarme per l'SMS pumping.
Richieste instradate tramite proxy residenziali
I proxy residenziali sono diventati l'infrastruttura d'attacco principale nel 2025, impiegati per distribuire il traffico ed eludere i blocchi basati su IP (Prelude 2025 SMS Pumping Fraud Report)
Crollo del rapporto tra invii e verifiche (send-to-verify)
Un rapporto tra invii di OTP e codici effettivamente inseriti superiore a 2:1 è un forte indicatore: ai truffatori non serve inviare il codice, basta semplicemente che il messaggio parta.
Pertanto, se noti un calo del tasso di conversione (globale o in un Paese specifico), è un chiaro segnale che il traffico fraudolento sta gonfiando la tua base utenti senza portare alcun valore reale. La dashboard di Prelude mostra i tassi di conversione delle verifiche a livello globale e per singolo Paese, consentendo di individuare tempestivamente qualsiasi anomalia in un mercato specifico.
Lamentele dei clienti per i ritardi
I truffatori che intasano il tuo sistema SMS possono causare rallentamenti per gli utenti reali che cercano di ricevere il proprio codice di verifica.
Se l'assistenza clienti inizia a ricevere segnalazioni su consegne lente degli OTP, è possibile che il sistema sia sovraccarico di richieste fittizie.
Coorti di nuovi account con engagement vicino allo zero
Se noti impennate nelle registrazioni che non si traducono in alcuna attività successiva (login, acquisti, sessioni), molto probabilmente sei finito nel mirino dei truffatori.
Budget per gli SMS consumato più velocemente del previsto
Il rapporto tra spesa e attività è il più evidente indicatore a posteriori: quando si manifesta, il danno è ormai già fatto.
La maggior parte di questi segnali è visibile in tempo reale. L'ultimo emerge solo a soldi spesi: ecco perché il rilevamento istantaneo fa tutta la differenza.
Come prevenire le frodi da SMS Pumping
Una prevenzione efficace dell'SMS pumping richiede sia il rafforzamento dell'infrastruttura, sia il rilevamento delle frodi in tempo reale prima dell'invio. Prelude Verify include nativamente molti dei controlli descritti di seguito.
1. Implementa un rate limiting adattivo
Uno dei metodi più diffusi per prevenire l'SMS pumping è l'implementazione del rate limiting. Consiste nell'impostare un tetto massimo al volume giornaliero di messaggi o delle soglie di spesa.
Ad esempio, puoi stabilire che la spesa per gli SMS non superi mai i 300 $ al giorno per verifiche OTP e autenticazioni via SMS. Questa protezione evita brutte sorprese in fattura a fine mese o a fine anno.
Tuttavia, è bene procedere con cautela. Se da un lato il rate limiting può bloccare le attività fraudolente, dall'altro rischia di innescare falsi positivi, impedendo agli utenti legittimi di completare le operazioni, soprattutto se la tua app registra un improvviso incremento di traffico reale. Monitorare regolarmente e calibrare le soglie in funzione della crescita è essenziale per trovare il giusto equilibrio tra sicurezza ed esperienza utente.
Prelude Verify limita le richieste di verifica per numero di telefono in un dato intervallo di tempo, e i team possono configurare questa soglia direttamente dalla dashboard.
2. Classificazione del numero di telefono prima dell'invio
Prima di inviare qualsiasi OTP, valuta i segnali di rischio del numero di destinazione:
Tipo di numero: i numeri VoIP, virtuali e usa e getta hanno probabilità notevolmente più alte di essere impiegati in campagne di pumping rispetto a numerazioni mobili consolidate sui principali operatori. Segnala o blocca gli invii verso queste tipologie di numeri.
Rischio geografico: i numeri appartenenti a prefissi internazionali ad alto rischio o noti per essere legati a frodi a tariffazione speciale dovrebbero far scattare controlli più severi o il blocco automatico.
Numeri attivati di recente: le numerazioni con una storia di attivazione brevissima sono un indicatore tipico nelle campagne di pumping gestite da bot.
3. Applica restrizioni geografiche
Se il tuo prodotto non è attivo in un determinato mercato, non c'è alcun motivo valido per inviarvi OTP. Limitare geograficamente gli invii ai soli mercati attivi è una delle misure più rapide da applicare e tra le più efficaci per ridurre l'esposizione alle frodi su numeri internazionali a tariffa maggiorata.
Attenzione alla precisione: i blocchi generici su interi Paesi rischiano di penalizzare utenti legittimi. Usa i dati reali sulla provenienza geografica dei tuoi utenti per definire la lista dei consentiti.
In Prelude, a ogni Paese è associato un livello di rischio frode che i team possono regolare dalla dashboard, in modo da intensificare i controlli in un mercato a rischio senza bloccarlo del tutto.
4. Monitora i tassi di conversione da invio a verifica (Send-to-Verify)
Uno dei più forti segnali di frode è il crollo del tasso di verifica degli OTP: il traffico fittizio genera infatti invii, non autenticazioni andate a buon fine.
Monitorare i rapporti send-to-verify in tempo reale aiuta a intercettare gli attacchi sul nascere.
5. Sfrutta l'intelligence sulle rotte a livello di provider
Collabora con un provider OTP che monitori e blocchi attivamente le rotte a rischio frode. Un provider che guadagna sul margine a messaggio ha un disincentivo strutturale a bloccare il traffico. Cerca tariffe trasparenti senza ricarichi per singolo messaggio e un impegno esplicito nella gestione delle frodi a livello di routing.
Prelude fattura i messaggi al costo dell'operatore con zero ricarico: in questo modo il blocco del traffico fraudolento non intacca mai il suo margine.
Per un confronto dettagliato tra gli strumenti disponibili, consulta la nostra guida alle soluzioni contro l'SMS pumping.
6. Utilizza il rilevamento delle frodi in tempo reale
Le liste di blocco statiche diventano obsolete in fretta. Di conseguenza, i sistemi di rilevamento devono evolversi di pari passo con i cambiamenti nell'infrastruttura degli aggressori.
Una protezione moderna dalle frodi richiede perciò:
Modelli di rischio adattivi
Intelligence comportamentale
Indicatori costantemente aggiornati
Decisioni in tempo reale
Come Prelude rileva l'SMS Pumping prima dell'invio dell'OTP
L'approccio di Prelude all'SMS pumping punta al rilevamento prima dell'invio, non alla constatazione del danno a cose fatte.
Prelude Verify esamina automaticamente ogni verifica. Prima ancora che il codice venga spedito, il sistema antifrode basato su machine learning di Verify valuta la richiesta e la blocca se il rischio è troppo alto, evitando che il messaggio parta. Quando Verify blocca una richiesta, restituisce i fattori di rischio che hanno motivato la decisione, tra cui:
Numeri temporanei: il numero appartiene a un servizio di numerazioni temporanee o usa e getta.
Abuso di intervalli di numeri: il numero fa parte di un blocco attualmente associato ad abusi.
Storico di conversione scarso: il traffico con caratteristiche simili alla richiesta raramente porta a termine una verifica.
Incongruenza di geolocalizzazione: la posizione di rete e il Paese del numero di telefono non coincidono.
Indicatori di proxy e IP: la richiesta arriva tramite rete proxy, o da un indirizzo IP con scarsa reputazione o con una concentrazione anomala di verifiche.
Tentativi ripetuti: il numero ha superato i tentativi di verifica consentiti in un intervallo di tempo ristretto.
Database di frodi: il numero è segnalato in uno o più dei database antifrode consultati da Prelude.
Nel dataset 2025 di Prelude, il rilevamento basato sul machine learning ha rappresentato quasi il 78% di tutte le richieste fraudolente bloccate. Le regole statiche non riescono a tenere il passo di aggressori che ruotano continuamente indirizzi IP, alternano proxy residenziali e imitano i tempi di risposta degli utenti reali.
I team possono calibrare questa protezione per singolo Paese dalla dashboard di Prelude: è possibile alzare o abbassare il livello di rischio di una determinata area e attivare o disattivare regole come il rilevamento di VPN e proxy, senza dover toccare una riga di codice.
Prelude Watch valuta gli utenti al momento della registrazione, qualunque sia il tuo provider SMS. Watch assegna un verdetto di legittimità o sospetto al numero di telefono o all'email inseriti dall'utente in fase di iscrizione. Analizza segnali quali lo storico di portabilità del numero, l'uso di proxy residenziali, i numeri usa e getta e le discrepanze tra IP e dispositivo. I team che inviano OTP tramite un altro provider possono utilizzare Watch per filtrare le registrazioni sospette prima ancora che parta l'invio.
Un attacco reale sventato
Ecco un esempio di attacco recentemente sventato da Prelude per un cliente europeo del settore foodtech.
L'attacco partiva da numeri di telefono registrati nel Regno Unito, uno dei mercati in cui il cliente opera attivamente. Sebbene la posizione geografica non rappresentasse di per sé un campanello d'allarme immediato, l'algoritmo avanzato di Prelude ha rilevato un'anomalia: decine di numeri all'interno della stessa numerazione mostravano tassi di conversione sospettosamente bassi.
Grazie a questo rilevamento precoce, Prelude ha potuto bloccare preventivamente queste numerazioni prima che l'attacco prendesse quota. L'attività fraudolenta è proseguita per diversi giorni, ma non appena i truffatori si sono resi conto del fallimento dei tentativi, hanno gettato la spugna.
Il volume di messaggi fraudolenti bloccati equivaleva quasi all'intero normale traffico mensile del cliente, facendogli risparmiare diverse migliaia di dollari che sarebbero andate perdute nell'attacco.
Con Prelude ottieni una prevenzione proattiva delle frodi, senza compromettere minimamente l'esperienza degli utenti reali.
Se vuoi proteggere la tua attività dalle frodi via SMS, registrati gratuitamente e inizia subito a testare le API di Prelude.
Cos'è la frode da SMS pumping?
La frode da SMS pumping, nota anche come Artificially Inflated Traffic (AIT) o SMS toll fraud, si verifica quando gli aggressori inondano gli endpoint OTP con richieste automatizzate via bot per generare grandi volumi di messaggi verso numeri a tariffa maggiorata sotto il loro controllo, intascando una quota delle tariffe di terminazione che la tua piattaforma paga per ciascun invio.
Qual è la differenza tra SMS pumping e IRSF?
L'SMS pumping è una variante della IRSF. L'IRSF è la categoria più ampia e indica qualsiasi schema che sfrutti gli accordi di ripartizione delle entrate nelle telecomunicazioni per trarre profitto dalle tariffe di terminazione dei messaggi. L'SMS pumping è la variante specifica che colpisce gli endpoint di verifica e OTP per generare tale traffico. Consulta l'articolo Cos'è l'IRSF? per un'analisi dettagliata di questo tipo di attacco.
Come faccio a capire se sono bersaglio di SMS pumping?
I segnali premonitori più evidenti sono il crollo del rapporto tra invii e verifiche (molti OTP inviati, pochissimi codici inseriti), picchi di traffico concentrati in aree geografiche dove non hai una reale base utenti e la presenza di numeri sequenziali o ricorrenti nei log degli OTP. Un conto SMS in forte aumento a fronte di un'attività utente invariata è la modalità con cui la maggior parte delle aziende se ne accorge per la prima volta: a quel punto, purtroppo, il danno economico è già stato fatto.
In che modo Prelude rileva l'SMS pumping?
Prelude Verify analizza ogni richiesta di verifica prima dell'invio del codice, sfruttando il machine learning e indicatori come numeri temporanei, intervalli di numerazione abusati, storici di conversione anomali, discrepanze geografiche e traffico proxy. Le richieste ad alto rischio vengono bloccate all'origine, evitando che il messaggio parta. Prelude Watch aggiunge un ulteriore controllo del rischio in fase di registrazione, compatibile con qualsiasi provider SMS.
Posso semplicemente bloccare interi Paesi per fermare l'SMS pumping?
Il blocco geografico è uno strumento utile, ma deve essere chirurgico e non indiscriminato. Bloccare interi Paesi comporta il rischio concreto di escludere utenti legittimi e perdere opportunità di business.
La strategia migliore consiste nel limitare gli invii ai soli mercati in cui si è realmente attivi, basandosi sui dati geografici reali degli utenti, e combinare questa misura con la classificazione dei numeri pre-invio e il monitoraggio dei picchi per una difesa su più livelli.
Se la tua app utilizza la verifica telefonica, prima o poi diventerai molto probabilmente un bersaglio delle frodi da SMS pumping. L'analisi condotta da Prelude su 205 milioni di richieste di autenticazione nel 2025 ha rilevato che l'11,83% di tutto il traffico di verifica era fraudolento, con 3,26 milioni di dollari di costi SMS evitati nell'intero dataset (Prelude 2025 SMS Pumping Fraud Report). A livello di settore, Juniper Research ha stimato che le perdite aziendali dovute al traffico gonfiato artificialmente (categoria a cui appartiene l'SMS pumping) abbiano raggiunto un picco di 2,1 miliardi di dollari nel 2023.
L'SMS pumping è uno dei diversi tipi di frode legati agli OTP che sfruttano i flussi di verifica telefonica. Gli aggressori abusano di questi flussi per generare traffico SMS verso numeri a tariffazione specifica sotto il loro controllo, costringendo le aziende ad accollarsi i costi dei messaggi. Per una panoramica completa, consulta la nostra Guida completa alle frodi OTP.
In questa guida analizzeremo cos'è la frode da SMS pumping, come funziona e, soprattutto, come proteggere il tuo business da questa minaccia in continua crescita.
Cos'è l'SMS Pumping?
L'SMS pumping è un tipo di frode in cui gli aggressori attivano grandi volumi di messaggi di testo verso numeri di telefono sotto il loro controllo, incassando poi una percentuale delle tariffe generate da ciascun messaggio. La maggior parte degli attacchi prende di mira gli endpoint di verifica e OTP, poiché qualsiasi modulo che invia un SMS all'inserimento di un numero di telefono può essere automatizzato.
I truffatori collaborano solitamente con operatori mobili compiacenti o intermediari che riconoscono una percentuale sul traffico terminato. L'azienda che invia i messaggi paga per ognuno di essi, quindi il danno economico ricade interamente sulla vittima.
Noto anche come SMS Toll Fraud o Artificially Inflated Traffic (AIT), l'SMS pumping è una variante della International Revenue Share Fraud (IRSF). Il meccanismo alla base è lo stesso (lo sfruttamento degli accordi di revenue-sharing nel settore telecomunicazioni), ma l'SMS pumping prende specificamente di mira i tuoi endpoint di verifica e OTP anziché l'infrastruttura di telecomunicazione tradizionale.
A differenza degli attacchi di account takeover o di credential stuffing, l'obiettivo dell'aggressore non è accedere agli account utente o rubare dati.
L'obiettivo è molto più semplice: generare traffico SMS fatturabile su larga scala. Prelude Verify è progettato per bloccare questo fenomeno prima ancora che parta il primo messaggio: valuta il rischio di frode di ogni richiesta di verifica e blocca quelle ad alto rischio, assicurando che i numeri gonfiati non ricevano mai il codice.
Come funziona l'SMS Pumping
L'SMS pumping richiede due elementi: l'accesso a un endpoint OTP ad alto volume e un accordo con una rotta di telecomunicazione che riconosca un compenso sul traffico.
Fase 1 - L'aggressore si assicura una quota di compartecipazione alle entrate. I truffatori iniziano collaborando con operatori poco etici o ottenendo l'accesso a numerazioni a tariffa maggiorata. Promettono a questi operatori volumi elevati di SMS e maggiori entrate, sfruttando numeri internazionali a tariffazione speciale (IPRN) per veicolare il traffico.
Fase 2 - Individuano il punto da colpire. Moduli di registrazione, schermate di login, flussi di reimpostazione password e form per riscattare promozioni diventano bersagli: in sostanza, qualsiasi endpoint che invii un SMS all'inserimento di un numero telefonico.
Fase 3 - I bot inondano l'endpoint. I truffatori sommergono il sistema di traffico SMS, alternando formati di numeri dall'aspetto verosimile all'interno delle numerazioni bersaglio. Il tuo sistema invia messaggi OTP a quei numeri. Il truffatore incassa la sua percentuale sul costo di ogni messaggio. Questi SMS vengono instradati verso numeri a tariffa speciale controllati dai truffatori, solitamente all'estero, facendo lievitare i costi per le aziende che pagano a messaggio.
Fase 4 - Il danno rimane nascosto fino all'arrivo della fattura. Ogni messaggio che raggiunge i numeri dell'aggressore genera una tariffa di terminazione, che l'operatore complice divide con i truffatori. Questo è ciò che rende l'SMS pumping particolarmente dannoso. Il traffico non genera accessi falliti, né eventi sospetti o lamentele da parte degli utenti. Ogni messaggio risulta consegnato con successo. Il primo segnale è solitamente un'anomalia di fatturazione, spesso a distanza di giorni o settimane dall'attacco.
In breve, sia i truffatori che i loro partner compiacenti traggono profitto dal traffico SMS fittizio, mentre la vittima si ritrova a dover coprire i costi.
Perché i sistemi OTP sono particolarmente vulnerabili
L'SMS pumping funziona perché i sistemi OTP presentano una vulnerabilità strutturale insita nella loro logica: l'endpoint di invio deve essere pubblico, il costo è a carico della piattaforma e il successo dell'operazione non richiede un utente reale all'altro capo.
In pratica, ciò significa che un form di registrazione o un flusso di recupero password deve accettare richieste da chiunque. A differenza degli endpoint API autenticati che richiedono una sessione o un token valido, gli endpoint di invio OTP sono aperti per definizione. Non ci sono credenziali da rubare né sessioni da compromettere. Qualsiasi bot può attivarli.
Inoltre, i flussi di verifica tendono a essere prevedibili. Form di registrazione, flussi di reset password e pagine di login seguono pattern costanti: accettano un numero di telefono, avviano l'invio e attendono l'inserimento di un codice. Ciò significa che i bot possono facilmente replicare questo flusso su larga scala.
Le piattaforme, dal canto loro, assorbono i costi a prescindere dall'esito. Ogni messaggio inviato dal tuo sistema genera un addebito, indipendentemente dal fatto che a richiederlo sia stato un utente reale, che il codice venga mai inserito o che il numero di telefono esista davvero. In altre parole, si fanno carico dell'intero costo di ogni richiesta, fraudolenta o meno.
In più, il modello di fatturazione delle telecomunicazioni crea una fonte diretta di guadagno per gli aggressori. Il sistema globale di instradamento degli SMS è stato costruito su accordi di settlement tra operatori. I truffatori si inseriscono in questo meccanismo acquisendo o associandosi a blocchi di numerazioni che generano un compenso alla terminazione. Ogni OTP che il tuo sistema invia a questi numeri finisce dritto nelle tasche dell'aggressore. Non esiste un meccanismo equivalente nella maggior parte delle altre frodi; l'SMS pumping è uno dei pochi attacchi in cui l'infrastruttura del fornitore stesso della vittima finanzia direttamente l'autore della truffa.
Questo tipo di frode può causare danni enormi perché molte applicazioni mancano di funzionalità come device intelligence, analisi comportamentale, carrier risk scoring, rate limiting adattivo e controlli di verifica incentrati sull'antifrode. Si crea così un contesto in cui gli aggressori possono generare volumi massicci di traffico OTP incontrando pochissima resistenza.
L'unica difesa in grado di contrastare efficacemente l'SMS pumping prima che infligga danni consiste nel valutare effettivamente il numero di destinazione prima dell'invio, operazione che molte implementazioni OTP non compiono.
Esempi di SMS Pumping
L'app fintech: una campagna promozionale finita male
Un'app fintech lancia una campagna di referral: se un utente invita un amico, entrambi ricevono 80 $ di credito. Per riscattare il premio, all'utente invitato basta registrarsi e verificare il proprio numero di telefono.
Entro 48 ore dal lancio della campagna, il volume di invio degli OTP è 40 volte superiore al previsto. I bot tempestano l'endpoint di registrazione con migliaia di numeri all'ora, tutti instradati verso numerazioni a tariffa speciale controllate dall'aggressore. Il meccanismo di referral non conta nemmeno: agli aggressori non interessano gli 80 $ di credito, puntano unicamente ai messaggi OTP. La maggior parte dei "nuovi account" creati durante l'attacco mostra zero attività e non verrà mai più utilizzata.
Poiché i messaggi risultano regolarmente consegnati, l'attacco passa inosservato finché gli avvisi di fatturazione non scattano giorni dopo. Il primo campanello d'allarme è stata la bolletta.
L'azienda: registrazioni fittizie su larga scala
Prendiamo il caso di un e-commerce su abbonamento che offre ai clienti uno sconto del 15% sul primo ordine in cambio dell'inserimento del numero di telefono sul sito web.
Una volta inserito il numero, l'azienda invia un SMS con il codice promozionale. È una strategia semplice per incrementare le registrazioni di clienti interessati.
I truffatori, però, fiutano l'opportunità. Utilizzano bot per inondare il sito web con migliaia di numeri falsi. Ciascun numero genera un SMS instradato verso una numerazione a tariffa maggiorata controllata dai truffatori.
L'azienda si ritrova con una fattura salatissima per tutti quegli SMS inviati, ma senza alcun cliente reale. Ogni messaggio è stato spedito a numeri fraudolenti che non avrebbero mai convertito, arricchendo solo i truffatori.
Dato che il traffico transita attraverso molteplici reti prima di raggiungere la destinazione, le aziende raramente riescono a risalire a chi c'è dietro l'attacco. Ecco perché la prevenzione deve intervenire prima che il messaggio venga inviato.
La piattaforma: 60 milioni di dollari all'anno in traffico 2FA fittizio
Nemmeno le piattaforme più grandi, dotate di imponenti team di ingegneri, ne sono immuni. Nel 2023 Elon Musk ha dichiarato pubblicamente che a Twitter venivano addebitati circa 60 milioni di dollari all'anno per SMS 2FA fittizi generati da schemi di frode nelle telecomunicazioni: una testimonianza di quanto rapidamente l'SMS pumping possa scalare se non viene rilevato tempestivamente.
In che modo le frodi da SMS Pumping danneggiano la tua azienda
Le frodi via SMS sono ampiamente diffuse e possono colpire le aziende su più fronti:
Perdite finanziarie dirette
È l'impatto più immediato. Il traffico SMS fraudolento provoca contraccolpi economici pesantissimi. Poiché le aziende pagano per ogni singolo SMS inviato, i truffatori sfruttano questa dinamica per far lievitare i costi, instradando i messaggi verso numeri a tariffa maggiorata sotto il loro controllo.
Ogni invio OTP fraudolento è un addebito reale. La tua piattaforma paga per messaggio e gli aggressori approfitteranno di questa falla il più a lungo possibile. Gli attacchi, inoltre, arrivano a ondate improvvise. Nel maggio 2025, Prelude ha bloccato 763.212 richieste fraudolente in un unico attacco mirato a numeri nigeriani (Prelude 2025 SMS Pumping Fraud Report).
A differenza della maggior parte delle frodi, le perdite da SMS pumping sono quasi impossibili da recuperare. Quando arriva la fattura, i messaggi sono già stati inviati e i costi addebitati.
Ecco perché dotarsi di strumenti efficaci per prevenire l'abuso delle promozioni, come il monitoraggio in tempo reale e il blocco automatico, è fondamentale per proteggere sia gli utenti che il proprio budget.
Abuso della piattaforma e proliferazione di account fittizi
L'SMS pumping raramente si verifica in modo isolato.
La stessa infrastruttura impiegata per generare traffico OTP fraudolento viene spesso utilizzata per creare falsi account, abusare dei sistemi di referral, lanciare campagne di spam, effettuare onboarding sintetici e sfruttare indebitamente le promozioni.
Con l'accumularsi degli account fraudolenti, i problemi di moderazione, conformità e fiducia si moltiplicano in tutta la piattaforma.
Inquinamento delle metriche e dati inaffidabili
L'SMS pumping genera account falsi su larga scala. I dati sulle nuove registrazioni, DAU, MAU e le analisi di coorte finiscono per essere gonfiati da utenti inesistenti.
La tua base utenti si riempie di profili fake. Il tasso di conversione crolla mentre il costo per conversione sale alle stelle, rendendo sempre più difficile giustificare la spesa di marketing. I report e le analisi perdono affidabilità, e dati errati portano a decisioni sbagliate.
In breve, il traffico fittizio inquina le metriche di performance e rende impossibile comprendere il reale comportamento dei clienti. Senza dati accurati, le strategie di vendita e marketing ne risentono, finendo per sprecare tempo, denaro e risorse per inseguire dei fantasmi.
Saturazione dei canali
Un attacco di SMS pumping su larga scala satura l'infrastruttura di messaggistica, intasandola di traffico fake. Il tuo provider SMS va in sovraccarico, provocando ritardi o perfino interruzioni complete del servizio.
Gli utenti reali che tentano di ricevere un codice di accesso, una conferma di pagamento o il reset della password subiscono rallentamenti o blocchi totali. L'impatto è ancora più duro nei momenti di punta: lanci promozionali, eventi di vendita ad alto traffico o passaggi critici per la sicurezza come il recupero dell'account.
Il risultato? Utenti frustrati, carrelli abbandonati e un progressivo calo di fiducia nel tuo brand.
Danni reputazionali e problemi di conformità
L'SMS pumping va spesso a braccetto con la creazione di account falsi: profili generati da bot che superano la verifica telefonica e si accumulano nella tua base utenti. Nei quadri normativi KYC e AML, un flusso di verifica facilmente aggirabile da identità sintetiche espone a seri rischi di conformità.
Il danno d'immagine è più difficile da quantificare, ma si aggrava nel tempo. Gli utenti i cui account subiscono ritardi o disservizi durante un attacco perdono fiducia nella piattaforma, e l'associazione con attività fraudolente, anche nel ruolo di vittima, mina la credibilità del brand.
Le frodi non colpiscono solo il conto economico: distruggono la fiducia. E una volta incrinata la fiducia di clienti o collaboratori, ricostruirla diventa un'impresa ardua.
Costi operativi aggiuntivi
Gestire le conseguenze delle frodi da SMS pumping non prosciuga solo le risorse finanziarie. Ha un impatto pesante anche sulla produttività del personale, poiché gli esperti di cybersecurity dovranno dedicarsi costantemente alla risoluzione dei problemi per ciascun utente coinvolto.
Dovranno inoltre analizzare ogni addebito fraudolento, gestire clienti comprensibilmente furiosi, implementare meccanismi di sicurezza più solidi per il futuro e, quando possibile, intraprendere azioni legali contro i truffatori (qualora sia possibile identificarli).
Come rilevare le frodi da SMS Pumping
Il traffico di SMS pumping è progettato per simulare le normali attività degli utenti. Questi segnali aiutano a distinguere il traffico OTP fraudolento da quello reale:
Picchi anomali nel volume di OTP
Se le richieste di OTP o l'invio di SMS aumentano senza un parallelo incremento dell'attività da parte di utenti reali o senza una campagna di marketing in corso, è molto probabile che ci siano dietro dei truffatori.
Traffico concentrato in specifiche aree geografiche
Se noti un volume elevato di SMS inviati verso Paesi in cui la tua azienda non opera o non ha un bacino d'utenza significativo, potrebbe essere il segnale che qualcuno sta sfruttando indebitamente i tuoi servizi SMS.
Numeri di telefono sequenziali o con pattern ricorrenti
Se i numeri di telefono che richiedono OTP appaiono sospettosamente simili o seguono schemi sequenziali (ad esempio +1234567801, +1234567802, +1234567803), non si tratta di una coincidenza.
I bot utilizzano spesso elenchi di numeri generati automaticamente per richiedere OTP; individuare questi pattern è un chiaro campanello d'allarme per l'SMS pumping.
Richieste instradate tramite proxy residenziali
I proxy residenziali sono diventati l'infrastruttura d'attacco principale nel 2025, impiegati per distribuire il traffico ed eludere i blocchi basati su IP (Prelude 2025 SMS Pumping Fraud Report)
Crollo del rapporto tra invii e verifiche (send-to-verify)
Un rapporto tra invii di OTP e codici effettivamente inseriti superiore a 2:1 è un forte indicatore: ai truffatori non serve inviare il codice, basta semplicemente che il messaggio parta.
Pertanto, se noti un calo del tasso di conversione (globale o in un Paese specifico), è un chiaro segnale che il traffico fraudolento sta gonfiando la tua base utenti senza portare alcun valore reale. La dashboard di Prelude mostra i tassi di conversione delle verifiche a livello globale e per singolo Paese, consentendo di individuare tempestivamente qualsiasi anomalia in un mercato specifico.
Lamentele dei clienti per i ritardi
I truffatori che intasano il tuo sistema SMS possono causare rallentamenti per gli utenti reali che cercano di ricevere il proprio codice di verifica.
Se l'assistenza clienti inizia a ricevere segnalazioni su consegne lente degli OTP, è possibile che il sistema sia sovraccarico di richieste fittizie.
Coorti di nuovi account con engagement vicino allo zero
Se noti impennate nelle registrazioni che non si traducono in alcuna attività successiva (login, acquisti, sessioni), molto probabilmente sei finito nel mirino dei truffatori.
Budget per gli SMS consumato più velocemente del previsto
Il rapporto tra spesa e attività è il più evidente indicatore a posteriori: quando si manifesta, il danno è ormai già fatto.
La maggior parte di questi segnali è visibile in tempo reale. L'ultimo emerge solo a soldi spesi: ecco perché il rilevamento istantaneo fa tutta la differenza.
Come prevenire le frodi da SMS Pumping
Una prevenzione efficace dell'SMS pumping richiede sia il rafforzamento dell'infrastruttura, sia il rilevamento delle frodi in tempo reale prima dell'invio. Prelude Verify include nativamente molti dei controlli descritti di seguito.
1. Implementa un rate limiting adattivo
Uno dei metodi più diffusi per prevenire l'SMS pumping è l'implementazione del rate limiting. Consiste nell'impostare un tetto massimo al volume giornaliero di messaggi o delle soglie di spesa.
Ad esempio, puoi stabilire che la spesa per gli SMS non superi mai i 300 $ al giorno per verifiche OTP e autenticazioni via SMS. Questa protezione evita brutte sorprese in fattura a fine mese o a fine anno.
Tuttavia, è bene procedere con cautela. Se da un lato il rate limiting può bloccare le attività fraudolente, dall'altro rischia di innescare falsi positivi, impedendo agli utenti legittimi di completare le operazioni, soprattutto se la tua app registra un improvviso incremento di traffico reale. Monitorare regolarmente e calibrare le soglie in funzione della crescita è essenziale per trovare il giusto equilibrio tra sicurezza ed esperienza utente.
Prelude Verify limita le richieste di verifica per numero di telefono in un dato intervallo di tempo, e i team possono configurare questa soglia direttamente dalla dashboard.
2. Classificazione del numero di telefono prima dell'invio
Prima di inviare qualsiasi OTP, valuta i segnali di rischio del numero di destinazione:
Tipo di numero: i numeri VoIP, virtuali e usa e getta hanno probabilità notevolmente più alte di essere impiegati in campagne di pumping rispetto a numerazioni mobili consolidate sui principali operatori. Segnala o blocca gli invii verso queste tipologie di numeri.
Rischio geografico: i numeri appartenenti a prefissi internazionali ad alto rischio o noti per essere legati a frodi a tariffazione speciale dovrebbero far scattare controlli più severi o il blocco automatico.
Numeri attivati di recente: le numerazioni con una storia di attivazione brevissima sono un indicatore tipico nelle campagne di pumping gestite da bot.
3. Applica restrizioni geografiche
Se il tuo prodotto non è attivo in un determinato mercato, non c'è alcun motivo valido per inviarvi OTP. Limitare geograficamente gli invii ai soli mercati attivi è una delle misure più rapide da applicare e tra le più efficaci per ridurre l'esposizione alle frodi su numeri internazionali a tariffa maggiorata.
Attenzione alla precisione: i blocchi generici su interi Paesi rischiano di penalizzare utenti legittimi. Usa i dati reali sulla provenienza geografica dei tuoi utenti per definire la lista dei consentiti.
In Prelude, a ogni Paese è associato un livello di rischio frode che i team possono regolare dalla dashboard, in modo da intensificare i controlli in un mercato a rischio senza bloccarlo del tutto.
4. Monitora i tassi di conversione da invio a verifica (Send-to-Verify)
Uno dei più forti segnali di frode è il crollo del tasso di verifica degli OTP: il traffico fittizio genera infatti invii, non autenticazioni andate a buon fine.
Monitorare i rapporti send-to-verify in tempo reale aiuta a intercettare gli attacchi sul nascere.
5. Sfrutta l'intelligence sulle rotte a livello di provider
Collabora con un provider OTP che monitori e blocchi attivamente le rotte a rischio frode. Un provider che guadagna sul margine a messaggio ha un disincentivo strutturale a bloccare il traffico. Cerca tariffe trasparenti senza ricarichi per singolo messaggio e un impegno esplicito nella gestione delle frodi a livello di routing.
Prelude fattura i messaggi al costo dell'operatore con zero ricarico: in questo modo il blocco del traffico fraudolento non intacca mai il suo margine.
Per un confronto dettagliato tra gli strumenti disponibili, consulta la nostra guida alle soluzioni contro l'SMS pumping.
6. Utilizza il rilevamento delle frodi in tempo reale
Le liste di blocco statiche diventano obsolete in fretta. Di conseguenza, i sistemi di rilevamento devono evolversi di pari passo con i cambiamenti nell'infrastruttura degli aggressori.
Una protezione moderna dalle frodi richiede perciò:
Modelli di rischio adattivi
Intelligence comportamentale
Indicatori costantemente aggiornati
Decisioni in tempo reale
Come Prelude rileva l'SMS Pumping prima dell'invio dell'OTP
L'approccio di Prelude all'SMS pumping punta al rilevamento prima dell'invio, non alla constatazione del danno a cose fatte.
Prelude Verify esamina automaticamente ogni verifica. Prima ancora che il codice venga spedito, il sistema antifrode basato su machine learning di Verify valuta la richiesta e la blocca se il rischio è troppo alto, evitando che il messaggio parta. Quando Verify blocca una richiesta, restituisce i fattori di rischio che hanno motivato la decisione, tra cui:
Numeri temporanei: il numero appartiene a un servizio di numerazioni temporanee o usa e getta.
Abuso di intervalli di numeri: il numero fa parte di un blocco attualmente associato ad abusi.
Storico di conversione scarso: il traffico con caratteristiche simili alla richiesta raramente porta a termine una verifica.
Incongruenza di geolocalizzazione: la posizione di rete e il Paese del numero di telefono non coincidono.
Indicatori di proxy e IP: la richiesta arriva tramite rete proxy, o da un indirizzo IP con scarsa reputazione o con una concentrazione anomala di verifiche.
Tentativi ripetuti: il numero ha superato i tentativi di verifica consentiti in un intervallo di tempo ristretto.
Database di frodi: il numero è segnalato in uno o più dei database antifrode consultati da Prelude.
Nel dataset 2025 di Prelude, il rilevamento basato sul machine learning ha rappresentato quasi il 78% di tutte le richieste fraudolente bloccate. Le regole statiche non riescono a tenere il passo di aggressori che ruotano continuamente indirizzi IP, alternano proxy residenziali e imitano i tempi di risposta degli utenti reali.
I team possono calibrare questa protezione per singolo Paese dalla dashboard di Prelude: è possibile alzare o abbassare il livello di rischio di una determinata area e attivare o disattivare regole come il rilevamento di VPN e proxy, senza dover toccare una riga di codice.
Prelude Watch valuta gli utenti al momento della registrazione, qualunque sia il tuo provider SMS. Watch assegna un verdetto di legittimità o sospetto al numero di telefono o all'email inseriti dall'utente in fase di iscrizione. Analizza segnali quali lo storico di portabilità del numero, l'uso di proxy residenziali, i numeri usa e getta e le discrepanze tra IP e dispositivo. I team che inviano OTP tramite un altro provider possono utilizzare Watch per filtrare le registrazioni sospette prima ancora che parta l'invio.
Un attacco reale sventato
Ecco un esempio di attacco recentemente sventato da Prelude per un cliente europeo del settore foodtech.
L'attacco partiva da numeri di telefono registrati nel Regno Unito, uno dei mercati in cui il cliente opera attivamente. Sebbene la posizione geografica non rappresentasse di per sé un campanello d'allarme immediato, l'algoritmo avanzato di Prelude ha rilevato un'anomalia: decine di numeri all'interno della stessa numerazione mostravano tassi di conversione sospettosamente bassi.
Grazie a questo rilevamento precoce, Prelude ha potuto bloccare preventivamente queste numerazioni prima che l'attacco prendesse quota. L'attività fraudolenta è proseguita per diversi giorni, ma non appena i truffatori si sono resi conto del fallimento dei tentativi, hanno gettato la spugna.
Il volume di messaggi fraudolenti bloccati equivaleva quasi all'intero normale traffico mensile del cliente, facendogli risparmiare diverse migliaia di dollari che sarebbero andate perdute nell'attacco.
Con Prelude ottieni una prevenzione proattiva delle frodi, senza compromettere minimamente l'esperienza degli utenti reali.
Se vuoi proteggere la tua attività dalle frodi via SMS, registrati gratuitamente e inizia subito a testare le API di Prelude.
Cos'è la frode da SMS pumping?
La frode da SMS pumping, nota anche come Artificially Inflated Traffic (AIT) o SMS toll fraud, si verifica quando gli aggressori inondano gli endpoint OTP con richieste automatizzate via bot per generare grandi volumi di messaggi verso numeri a tariffa maggiorata sotto il loro controllo, intascando una quota delle tariffe di terminazione che la tua piattaforma paga per ciascun invio.
Qual è la differenza tra SMS pumping e IRSF?
L'SMS pumping è una variante della IRSF. L'IRSF è la categoria più ampia e indica qualsiasi schema che sfrutti gli accordi di ripartizione delle entrate nelle telecomunicazioni per trarre profitto dalle tariffe di terminazione dei messaggi. L'SMS pumping è la variante specifica che colpisce gli endpoint di verifica e OTP per generare tale traffico. Consulta l'articolo Cos'è l'IRSF? per un'analisi dettagliata di questo tipo di attacco.
Come faccio a capire se sono bersaglio di SMS pumping?
I segnali premonitori più evidenti sono il crollo del rapporto tra invii e verifiche (molti OTP inviati, pochissimi codici inseriti), picchi di traffico concentrati in aree geografiche dove non hai una reale base utenti e la presenza di numeri sequenziali o ricorrenti nei log degli OTP. Un conto SMS in forte aumento a fronte di un'attività utente invariata è la modalità con cui la maggior parte delle aziende se ne accorge per la prima volta: a quel punto, purtroppo, il danno economico è già stato fatto.
In che modo Prelude rileva l'SMS pumping?
Prelude Verify analizza ogni richiesta di verifica prima dell'invio del codice, sfruttando il machine learning e indicatori come numeri temporanei, intervalli di numerazione abusati, storici di conversione anomali, discrepanze geografiche e traffico proxy. Le richieste ad alto rischio vengono bloccate all'origine, evitando che il messaggio parta. Prelude Watch aggiunge un ulteriore controllo del rischio in fase di registrazione, compatibile con qualsiasi provider SMS.
Posso semplicemente bloccare interi Paesi per fermare l'SMS pumping?
Il blocco geografico è uno strumento utile, ma deve essere chirurgico e non indiscriminato. Bloccare interi Paesi comporta il rischio concreto di escludere utenti legittimi e perdere opportunità di business.
La strategia migliore consiste nel limitare gli invii ai soli mercati in cui si è realmente attivi, basandosi sui dati geografici reali degli utenti, e combinare questa misura con la classificazione dei numeri pre-invio e il monitoraggio dei picchi per una difesa su più livelli.
Inizia a ottimizzare il tuo flusso di Auth
Invia SMS di verifica in tutto il mondo al miglior prezzo, con la massima recapitabilità e senza spam.
