El SMS pumping, también llamado tráfico inflado artificialmente (AIT), es un fraude en el que bots disparan grandes cantidades de solicitudes de códigos OTP hacia números controlados por terceros. El objetivo no es entrar a ninguna cuenta: es generar mensajes que alguien en la cadena cobra. Quien paga la factura es la empresa dueña del formulario.
Cómo funciona
- El atacante localiza un formulario público que envía SMS: registro, inicio de sesión, recuperación de contraseña o “envíame un enlace”.
- Un bot rellena el formulario con miles de números, a menudo consecutivos o de destinos poco habituales para el negocio.
- Cada solicitud genera un SMS. Los códigos nunca se usan, pero los mensajes se cobran.
Ericsson describe el AIT como tráfico SMS generado con el propósito fraudulento de producir ingresos, y señala que el problema ha crecido de forma exponencial en los últimos años.
Señales de alerta
- Picos de solicitudes de OTP sin un aumento equivalente de registros o inicios de sesión completados.
- Caída fuerte de la tasa de verificación: muchos códigos enviados y muy pocos validados.
- Números consecutivos o con patrones repetidos.
- Solicitudes hacia países o prefijos que su negocio no atiende.
- Muchas solicitudes desde pocas IP, dispositivos o agentes de usuario.
Controles que funcionan
| Control | Qué hace |
|---|---|
| Límite por número, IP y dispositivo | Restringe cuántos códigos se pueden pedir en una ventana de tiempo |
| Desafío en formularios públicos | Un CAPTCHA o prueba de comportamiento antes de enviar el código |
| Lista de destinos permitidos | Bloquea países o prefijos que su servicio no atiende |
| Reenvío con espera progresiva | Evita que un mismo número reciba decenas de códigos seguidos |
| Monitoreo de la tasa de verificación | Alerta cuando los códigos validados caen respecto de los enviados |
| Validación previa del número | Descarta números con formato inválido o líneas fijas antes de enviar |
Estos controles también están alineados con las directrices de autenticación de NIST, que recomiendan limitar los intentos y monitorear comportamientos anormales cuando se usan códigos por SMS.
Qué aporta la plataforma de envío
La primera línea de defensa está en su aplicación, porque solo ella sabe si una solicitud es legítima. La plataforma de mensajería complementa con visibilidad: reportes de entrega en tiempo real para detectar picos, listas negras para bloquear números abusivos y validación de cada número contra el Plan Nacional de Numeración para distinguir móviles de fijos. Vea más en OTP por SMS.
Si quiere revisar la protección de su flujo de códigos, hable con nuestro equipo.
Fuentes
- “AIT: The root cause, the solution and the implication on RCS and Network APIs”, Ericsson, 28 de febrero de 2025. Ver fuente
- “NIST SP 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management”, NIST, 2025. Ver fuente
