Antifraude em SMS OTP: como identificar e bloquear ataques de SMS Pumping antes que estourem o seu budget

O budget sumiu e você não viu: como o SMS Pumping age nas sombras

Você abre o painel financeiro no fim do mês e encontra um volume de SMS OTP três vezes acima do esperado. Nenhum pico de cadastros reais justifica o número. O que aconteceu? Quase certamente um ataque de SMS Pumping, e ele começou muito antes de você perceber. A lógica perversa dessa fraude é exatamente essa: agir devagar o suficiente para passar despercebida nos primeiros dias, mas rápido o bastante para inflar sua fatura antes que qualquer alarme dispare.

Este guia existe para inverter essa equação. Em vez de reagir na fatura, você vai aprender a detectar o ataque nos logs, e bloqueá-lo antes do primeiro centavo desperdiçado.

O que é SMS Pumping (AIT): mecanismo técnico e por que o Brasil é alvo prioritário

AIT (Artificially Inflated Traffic) é um esquema em que atores mal-intencionados, frequentemente em conluio com operadoras de telefonia de menor porte, disparam requisições massivas de OTP para números controlados por eles mesmos. Cada SMS entregue gera receita de interconexão para a operadora parceira do fraudador. O pagador involuntário é você, o remetente legítimo.

O Brasil é um alvo prioritário por três razões: alto volume de transações digitais que dependem de OTP, infraestrutura de numeração com prefixos de difícil rastreabilidade e uma base massiva de aplicativos financeiros e e-commerces que ainda usam SMS como único fator de autenticação. Entender o seu Sender ID vs. número longo vs. shortcode já é o primeiro passo para reduzir a superfície de ataque.

Anatomia de um ataque: como um formulário legítimo vira máquina de fraude

O atacante não invade seu sistema, ele usa exatamente o que você construiu. Um bot preenche o campo de telefone do seu formulário de login ou cadastro com números válidos porém controlados, dispara a requisição de OTP repetidamente e nunca insere o código recebido. Para o seu sistema, parece uma sequência de usuários desatentos. Para o fraudador, é receita pura. A taxa de confirmação do OTP próxima de zero é o sinal mais revelador, e o mais ignorado.

8 sinais de alerta precoce nos seus logs

Antes de a fatura explodir, os seguintes padrões costumam aparecer nos dados operacionais:

• Picos de requisição por prefixo específico: concentração anormal de números com os mesmos dois ou três primeiros dígitos após o DDD.
• Taxa de confirmação OTP próxima de zero: OTPs enviados que nunca são validados indicam que ninguém do outro lado está de fato tentando autenticar.
• Concentração geográfica atípica: volume desproporcional vindo de uma única região ou estado sem correspondência histórica.
• Sequências de números sintéticos: blocos de números em ordem crescente ou padrões aritméticos evidentes na série de destinos.
• Velocidade de requisição por sessão: múltiplas requisições de OTP em janelas de segundos, sem intervalo humano natural.
• IPs de proxy ou VPN anônimos: IPs sem histórico de autenticação bem-sucedida anterior.
• Horários fora do perfil do usuário: picos às 3h da manhã em produtos com base de usuários domésticos.
• Taxa de entrega alta com taxa de uso zero: o SMS chegou, mas o código nunca entrou. Entenda como medir esse dado com precisão no post sobre como medir a taxa de entrega real em campanhas de SMS.

Camada 1. Rate limiting inteligente

Limites de envio devem operar em quatro dimensões simultâneas: por IP (máximo de requisições por minuto), por dispositivo (fingerprint de browser ou app), por sessão autenticada e por número de destino (quantos OTPs para o mesmo número em uma janela de tempo). O erro mais comum é aplicar rate limiting apenas por IP, que é trivialmente contornável com rotação de proxies. Combine as quatro dimensões e o custo operacional do ataque sobe exponencialmente sem impactar o usuário legítimo, que raramente solicita mais de um ou dois OTPs consecutivos.

Camada 2. Geo-fencing e filtragem de prefixos de alto risco

Mapeie os prefixos de numeração historicamente associados a ataques AIT no Brasil e configure regras de bloqueio ou fricção elevada para esses destinos. Em paralelo, implemente geo-fencing baseado no IP da requisição: se o usuário está no Brasil mas o IP de origem é de um data center estrangeiro sem histórico legítimo, exija etapa adicional de verificação. Bloquear uma rota suspeita custa zero, entregar um SMS para um número fraudulento custa real.

Camada 3. Friction progressiva como barreira de custo

Friction progressiva significa elevar o custo do ataque sem punir o usuário real. Na prática: CAPTCHA invisível (com fallback visual) na terceira tentativa consecutiva, validação de e-mail antes de liberar a requisição de OTP em fluxos de cadastro, e delay dinâmico entre reenvios, começando em 60 segundos e dobrando a cada nova tentativa. Para o usuário humano, esses segundos são irrelevantes. Para um bot operando em escala, eles tornam o ataque inviável economicamente.

Camada 4. Monitoramento em tempo real e resposta a incidentes

Configure dashboards com thresholds automáticos: se o volume de OTP enviados por hora ultrapassar 150% da média dos últimos sete dias, um alerta deve chegar ao time de engenharia imediatamente, não no dia seguinte. Defina um fluxo de resposta a incidentes com três estágios: alerta (monitorar), contenção (aplicar friction extra no segmento anômalo) e bloqueio (suspender envios para o prefixo ou região afetada). Documente cada incidente, esses registros são também relevantes para fins de compliance.

O papel crítico do provedor de SMS

Nem toda plataforma de envio oferece visibilidade real sobre o que acontece após o disparo. Relatórios de entrega confiáveis, com timestamps granulares e status diferenciados entre “entregue à operadora” e “entregue ao dispositivo”, são indispensáveis para detectar padrões de AIT. Avalie se o seu provedor oferece SLAs antifraude e alertas proativos, ou se você só descobre o problema na fatura. Isso também se conecta à discussão sobre SMS Transacional e Marketing no mesmo número: misturar fluxos sem controle granular dificulta a detecção de anomalias.

SMS OTP vs. alternativas: quando diversificar o canal é a melhor defesa

SMS OTP é amplamente adotado por sua cobertura universal, mas não precisa ser o único caminho. Para públicos com smartphones modernos, RCS oferece confirmação de entrega mais confiável e menor superfície para AIT. Voz é uma alternativa robusta para números que apresentam padrão suspeito de não confirmação. App authenticators eliminam o vetor de SMS Pumping por completo, mas reduzem cobertura. A decisão depende do perfil do seu usuário, entenda as diferenças fundamentais no post sobre diferença entre SMS Marketing e SMS OTP.

Implicações de LGPD e compliance

Logs de tentativas de fraude são dados pessoais (números de telefone, IPs, timestamps) e precisam de tratamento adequado sob a LGPD. Documente a base legal para retenção desses registros (legítimo interesse em segurança), defina o prazo de guarda e garanta que o acesso seja restrito. O checklist de LGPD na prática para SMS e RCS cobre os pontos de documentação que você precisa ter em ordem antes de qualquer auditoria.

Checklist: 12 ações para implementar esta semana

• Ativar rate limiting por IP, dispositivo, sessão e número de destino simultaneamente.
• Criar alerta automático para taxa de confirmação de OTP abaixo de 30%.
• Mapear e bloquear prefixos de alto risco conhecidos no Brasil.
• Implementar geo-fencing baseado em IP de origem da requisição.
• Configurar CAPTCHA progressivo a partir da terceira tentativa consecutiva.
• Adicionar delay dinâmico entre reenvios de OTP (60s, 120s, 240s…).
• Revisar relatórios de entrega do provedor, diferenciam entrega à operadora de entrega ao dispositivo?
• Configurar dashboard com threshold de volume por hora (alerta em 150% da média semanal).
• Documentar fluxo de resposta a incidentes com três estágios claros.
• Avaliar RCS ou voz como canal alternativo para segmentos de maior risco.
• Revisar logs de OTP dos últimos 30 dias em busca de padrões de números sequenciais.
• Garantir documentação LGPD para retenção de logs de tentativas bloqueadas.

Antifraude não é custo, é infraestrutura

Tratar a defesa contra SMS Pumping como despesa operacional é o erro que deixa as empresas vulneráveis. Uma política antifraude bem estruturada reduz custo de envio, protege a reputação do remetente e mantém o fluxo de autenticação funcionando com integridade. A Pushfy oferece entregabilidade auditável, relatórios de status granulares e suporte técnico para ajudar sua equipe a identificar anomalias antes de elas virarem problema financeiro. Se o seu provedor atual não consegue te responder quantos OTPs foram entregues ao dispositivo versus à operadora no último ataque, está na hora de conversar com a gente.