Antifraude em SMS OTP: como identificar e bloquear ataques de SMS Pumping antes que estourem o seu budget

O budget sumiu e você não viu: como o SMS Pumping age nas sombras

Você abre o painel financeiro no fim do mês e encontra um volume de SMS OTP três vezes acima do esperado. Nenhum pico de cadastros reais justifica o número. O que aconteceu? Quase certamente um ataque de SMS Pumping — e ele começou muito antes de você perceber. A lógica perversa dessa fraude é exatamente essa: agir devagar o suficiente para passar despercebida nos primeiros dias, mas rápido o bastante para inflar sua fatura antes que qualquer alarme dispare.

Este guia existe para inverter essa equação. Em vez de reagir na fatura, você vai aprender a detectar o ataque nos logs — e bloqueá-lo antes do primeiro centavo desperdiçado.

O que é SMS Pumping (AIT): mecanismo técnico e por que o Brasil é alvo prioritário

AIT — Artificially Inflated Traffic — é um esquema em que atores mal-intencionados, frequentemente em conluio com operadoras de telefonia de menor porte, disparam requisições massivas de OTP para números controlados por eles mesmos. Cada SMS entregue gera receita de interconexão para a operadora parceira do fraudador. O pagador involuntário é você, o remetente legítimo.

O Brasil é um alvo prioritário por três razões: alto volume de transações digitais que dependem de OTP, infraestrutura de numeração com prefixos de difícil rastreabilidade e uma base massiva de aplicativos financeiros e e-commerces que ainda usam SMS como único fator de autenticação. Entender o seu Sender ID vs. número longo vs. shortcode já é o primeiro passo para reduzir a superfície de ataque.

Anatomia de um ataque: como um formulário legítimo vira máquina de fraude

O atacante não invade seu sistema — ele usa exatamente o que você construiu. Um bot preenche o campo de telefone do seu formulário de login ou cadastro com números válidos porém controlados, dispara a requisição de OTP repetidamente e nunca insere o código recebido. Para o seu sistema, parece uma sequência de usuários desatentos. Para o fraudador, é receita pura. A taxa de confirmação do OTP próxima de zero é o sinal mais revelador — e o mais ignorado.

8 sinais de alerta precoce nos seus logs

Antes de a fatura explodir, os seguintes padrões costumam aparecer nos dados operacionais:

• Picos de requisição por prefixo específico: concentração anormal de números com os mesmos dois ou três primeiros dígitos após o DDD.
• Taxa de confirmação OTP próxima de zero: OTPs enviados que nunca são validados indicam que ninguém do outro lado está de fato tentando autenticar.
• Concentração geográfica atípica: volume desproporcional vindo de uma única região ou estado sem correspondência histórica.
• Sequências de números sintéticos: blocos de números em ordem crescente ou padrões aritméticos evidentes na série de destinos.
• Velocidade de requisição por sessão: múltiplas requisições de OTP em janelas de segundos, sem intervalo humano natural.
• IPs de proxy ou VPN anônimos: IPs sem histórico de autenticação bem-sucedida anterior.
• Horários fora do perfil do usuário: picos às 3h da manhã em produtos com base de usuários domésticos.
• Taxa de entrega alta com taxa de uso zero: o SMS chegou, mas o código nunca entrou. Entenda como medir esse dado com precisão no post sobre como medir a taxa de entrega real em campanhas de SMS.

Camada 1 — Rate limiting inteligente

Limites de envio devem operar em quatro dimensões simultâneas: por IP (máximo de requisições por minuto), por dispositivo (fingerprint de browser ou app), por sessão autenticada e por número de destino (quantos OTPs para o mesmo número em uma janela de tempo). O erro mais comum é aplicar rate limiting apenas por IP, que é trivialmente contornável com rotação de proxies. Combine as quatro dimensões e o custo operacional do ataque sobe exponencialmente sem impactar o usuário legítimo, que raramente solicita mais de um ou dois OTPs consecutivos.

Camada 2 — Geo-fencing e filtragem de prefixos de alto risco

Mapeie os prefixos de numeração historicamente associados a ataques AIT no Brasil e configure regras de bloqueio ou fricção elevada para esses destinos. Em paralelo, implemente geo-fencing baseado no IP da requisição: se o usuário está no Brasil mas o IP de origem é de um data center estrangeiro sem histórico legítimo, exija etapa adicional de verificação. Bloquear uma rota suspeita custa zero — entregar um SMS para um número fraudulento custa real.

Camada 3 — Friction progressiva como barreira de custo

Friction progressiva significa elevar o custo do ataque sem punir o usuário real. Na prática: CAPTCHA invisível (com fallback visual) na terceira tentativa consecutiva, validação de e-mail antes de liberar a requisição de OTP em fluxos de cadastro, e delay dinâmico entre reenvios — começando em 60 segundos e dobrando a cada nova tentativa. Para o usuário humano, esses segundos são irrelevantes. Para um bot operando em escala, eles tornam o ataque inviável economicamente.

Camada 4 — Monitoramento em tempo real e resposta a incidentes

Configure dashboards com thresholds automáticos: se o volume de OTP enviados por hora ultrapassar 150% da média dos últimos sete dias, um alerta deve chegar ao time de engenharia imediatamente — não no dia seguinte. Defina um fluxo de resposta a incidentes com três estágios: alerta (monitorar), contenção (aplicar friction extra no segmento anômalo) e bloqueio (suspender envios para o prefixo ou região afetada). Documente cada incidente — esses registros são também relevantes para fins de compliance.

O papel crítico do provedor de SMS

Nem toda plataforma de envio oferece visibilidade real sobre o que acontece após o disparo. Relatórios de entrega confiáveis, com timestamps granulares e status diferenciados entre “entregue à operadora” e “entregue ao dispositivo”, são indispensáveis para detectar padrões de AIT. Avalie se o seu provedor oferece SLAs antifraude e alertas proativos — ou se você só descobre o problema na fatura. Isso também se conecta à discussão sobre SMS Transacional e Marketing no mesmo número: misturar fluxos sem controle granular dificulta a detecção de anomalias.

SMS OTP vs. alternativas: quando diversificar o canal é a melhor defesa

SMS OTP é amplamente adotado por sua cobertura universal, mas não precisa ser o único caminho. Para públicos com smartphones modernos, RCS oferece confirmação de entrega mais confiável e menor superfície para AIT. Voz é uma alternativa robusta para números que apresentam padrão suspeito de não confirmação. App authenticators eliminam o vetor de SMS Pumping por completo, mas reduzem cobertura. A decisão depende do perfil do seu usuário — entenda as diferenças fundamentais no post sobre diferença entre SMS Marketing e SMS OTP.

Implicações de LGPD e compliance

Logs de tentativas de fraude são dados pessoais — números de telefone, IPs, timestamps — e precisam de tratamento adequado sob a LGPD. Documente a base legal para retenção desses registros (legítimo interesse em segurança), defina o prazo de guarda e garanta que o acesso seja restrito. O checklist de LGPD na prática para SMS e RCS cobre os pontos de documentação que você precisa ter em ordem antes de qualquer auditoria.

Checklist: 12 ações para implementar esta semana

• Ativar rate limiting por IP, dispositivo, sessão e número de destino simultaneamente.
• Criar alerta automático para taxa de confirmação de OTP abaixo de 30%.
• Mapear e bloquear prefixos de alto risco conhecidos no Brasil.
• Implementar geo-fencing baseado em IP de origem da requisição.
• Configurar CAPTCHA progressivo a partir da terceira tentativa consecutiva.
• Adicionar delay dinâmico entre reenvios de OTP (60s, 120s, 240s…).
• Revisar relatórios de entrega do provedor — diferenciam entrega à operadora de entrega ao dispositivo?
• Configurar dashboard com threshold de volume por hora (alerta em 150% da média semanal).
• Documentar fluxo de resposta a incidentes com três estágios claros.
• Avaliar RCS ou voz como canal alternativo para segmentos de maior risco.
• Revisar logs de OTP dos últimos 30 dias em busca de padrões de números sequenciais.
• Garantir documentação LGPD para retenção de logs de tentativas bloqueadas.

Antifraude não é custo — é infraestrutura

Tratar a defesa contra SMS Pumping como despesa operacional é o erro que deixa as empresas vulneráveis. Uma política antifraude bem estruturada reduz custo de envio, protege a reputação do remetente e mantém o fluxo de autenticação funcionando com integridade. A Pushfy oferece entregabilidade auditável, relatórios de status granulares e suporte técnico para ajudar sua equipe a identificar anomalias antes de elas virarem problema financeiro. Se o seu provedor atual não consegue te responder quantos OTPs foram entregues ao dispositivo versus à operadora no último ataque — está na hora de conversar com a gente.