Fraude de SMS pelo seu formulário de código: como se queimam créditos e como travar

A resposta curta: um formulário que envia códigos por SMS é, para quem abusa, um botão que gasta os seus créditos. Robôs escrevem números em série e carregam em «Enviar código» milhares de vezes; cada pedido é um SMS pago por si. A defesa faz-se em camadas: travões no seu formulário (captcha, limites por IP e por sessão), as regras da conta na API de verificação e um olho no saldo.

Como acontece

Sinal	O que costuma ser
Muitos códigos pedidos e quase nenhum conferido	Um robô a disparar o formulário; ninguém está a ler os SMS
Números seguidos ou com o mesmo começo	Uma lista gerada, não clientes reais
Muitos pedidos do mesmo IP ou da mesma sessão	Um programa, não uma pessoa
Pedidos a horas estranhas, num volume que nunca teve	Um ataque, não uma campanha sua
O saldo de SMS a descer depressa sem vendas novas	Créditos a ser queimados

As camadas de defesa

1	Um captcha antes de enviar o código. É o travão mais barato contra robôs. Peça-o no botão «Enviar código», não só no fim do formulário.

2	Limites no seu sistema por IP e por sessão. Uma pessoa não precisa de pedir códigos para dez números diferentes em poucos minutos. Acima do seu limite, não chame a API.

3	As regras da conta na API. Ligue a espera entre reenvios e o máximo de códigos por número e por hora; por omissão estão desligadas (veja os limites contra o abuso).

4	Peça o código só quando faz falta. Depois da senha certa, e não antes; no fim de um carrinho, e não na primeira página.

5	Vigie o saldo. GET /v1/sms/balance devolve o saldo em créditos. Um alarme no seu sistema quando o consumo do dia passa do normal avisa-o antes de o saldo acabar.

Uma ajuda que já vem de série: a API só aceita números de Moçambique e Angola. Os números de outros países, que muitas vezes estão por trás destas fraudes, nem chegam a sair.

O limite de gastos da chave não trava os créditos de SMS. Esse limite é em moeda e não se aplica aos créditos do saldo de SMS. Por isso os travões têm de ser os de cima: o seu formulário, as regras da conta e o saldo vigiado.

Se já está a acontecer

1	Ligue já as regras da conta, no My MozOut (página das chaves da API) ou com PUT /v1/sms/otp-settings.

2	Desligue o botão «Enviar código» no seu site enquanto põe o captcha e os limites.

3	Se suspeitar que a chave foi copiada, revogue-a e crie outra: veja uma chave de API exposta.

4	Fale connosco: abra um pedido de suporte com as horas e o volume do ataque.

Teste os travões na Sandbox. Lá pode disparar o seu formulário as vezes que quiser, ver os limites a funcionar e não gastar um único crédito.

Viu um consumo de SMS que não reconhece? Fale connosco e diga-nos as horas e o volume.

Abrir pedido de suporte

VEJA TAMBÉM

Limites contra o abuso: códigos por número e por hora e a espera entre reenvios

Quanto custa a verificação por SMS: créditos por código, conferência grátis e uma estimativa por mês

Golpes do código partilhado: proteger os seus clientes de quem lhes pede o código do SMS

Reenviar, cancelar e substituir um código de verificação: o que acontece ao anterior

Uma chave de API ou um token ficou exposto: o que fazer, pela ordem certa

Enviar códigos de uso único (OTP) por SMS com segurança: validade, tentativas e registos

PRODUTO RECOMENDADO

Alojamento de sites com cPanel

Domínio e SSL incluídos, cópias diárias e o painel que já conhece. desde 5,94 €/mês (plano de 3 anos, com cupão)

Ver planos

Categorias

Categorias