Entendendo e prevenindo fraude de tráfego inflado em SMS, MMS e RCS
A fraude de tráfego inflado (traffic pumping) em SMS, MMS e RCS pode aumentar rapidamente seus custos de envio de mensagens. Esta página explica como o esquema funciona, por que a Braze marca determinados países como Alto Risco de Fraude e as etapas que você pode seguir para reduzir sua exposição.
A inflação de tráfego de SMS, MMS e RCS — também conhecida como Tráfego Artificialmente Inflado (AIT) — é um esquema de fraude em que agentes mal-intencionados exploram formulários web públicos e desprotegidos, fluxos de autenticação ou endpoints de API para disparar volumes massivos de mensagens SMS, MMS e RCS (como senhas de uso único, confirmações de opt-in ou notificações).
Isso traz riscos graves para a sua empresa, incluindo exposição financeira significativa.
Como o ciclo de fraude funciona:
Etapa 1: Identificação do alvo
Os invasores localizam um fluxo de aplicação desprotegido (como um campo de entrada de número de telefone, formulário de criação de conta ou página de login) que dispara automaticamente uma mensagem de texto.
Etapa 2: Exploração automatizada
Usando bots ou scripts automatizados, os fraudadores inserem rapidamente milhares de números de telefone nesses campos desprotegidos.
Etapa 3: Exploração da operadora
Esses números de telefone pertencem a faixas específicas atribuídas a operadoras de rede móvel (MNOs) cúmplices ou exploradas, ou a operadoras internacionais de tarifa premium.
Etapa 4: O pagamento de compartilhamento de receita
À medida que a plataforma dispara automaticamente solicitações de texto para esses números, a operadora cobra da sua empresa as taxas padrão de transmissão. Os fraudadores então recebem um pagamento pré-acordado de compartilhamento de receita da operadora por gerar esse tráfego, deixando sua empresa com uma conta de telecomunicações inflada.
O que são países de alto risco de fraude e por que eles existem?
Países de “alto risco de fraude” são regiões específicas ao redor do mundo que apresentam uma incidência desproporcionalmente alta de fraude por tráfego inflado (traffic pumping). Essas regiões geralmente correspondem a países onde:
- O custo das taxas de terminação de mensagens SMS, MMS e RCS é significativamente mais alto do que as médias globais, maximizando as margens de lucro dos fraudadores.
- As estruturas regulatórias ou os padrões das operadoras locais carecem de monitoramento rigoroso, permitindo que provedores de telecomunicações fraudulentos ou comprometidos ofereçam modelos de compartilhamento de receita sobre tráfego de entrada inflado.
Como um único ataque não monitorado direcionado a essas regiões pode causar uma exposição financeira substancial em questão de minutos, identificar e gerenciar seletivamente essas regiões de alto risco é um elemento fundamental da postura de segurança de uma empresa.
Quais etapas fundamentais imediatas minha empresa deve tomar para prevenir essa fraude?
A etapa mais crítica que sua empresa pode tomar dentro da sua plataforma de engajamento com clientes é minimizar sua superfície de ataque usando limitações geográficas.
Utilize a lista de permissões geográficas da Braze
Você deve auditar proativamente as regiões onde seus clientes-alvo reais residem e configurar uma lista de permissões para permitir explicitamente o envio de mensagens apenas para esses países. Para as etapas de configuração, consulte Permissões geográficas.
Bloqueie destinos de alto risco
Se você opera apenas na América do Norte ou na Europa Ocidental, não há motivo para deixar as portas abertas para países internacionais de alto custo em outras regiões. Como regra geral, desative proativamente qualquer país onde você não faz marketing ativamente ou não tem operações, para eliminar exposição desnecessária.
O que mais a Braze faz para proteger sua empresa contra fraudes?
Além de orientação e suporte da sua equipe de conta e das Permissões geográficas, a Braze mantém monitoramento interno para padrões incomuns e entrará em contato proativamente com os clientes quando identificar atividade anômala em sua conta.