Skip to main content
По мере роста мировых рисков мошенничества некоторые злоумышленники отправляют большое количество SMS- или голосовых запросов верификации на определённые номера ради прибыли. Кроме того, многие приложения предоставляют «бонусы» исключительно для новых пользователей, что подталкивает злоумышленников массово регистрировать поддельные аккаунты, чтобы получить награды разными способами.
  • SMS-мошенничество: мошенники отправляют SMS на серию номеров, контролируемых мобильным оператором (MNO), и делят полученный доход.
  • International Revenue Share Fraud (IRSF): мошенники нацеливаются на телефонную верификацию, совершая многочисленные голосовые вызовы на премиум-номера ради комиссий.
  • Поддельные регистрации: злоумышленники используют скрипты для массового создания фейковых аккаунтов, получения бонусов для новых пользователей и последующего вывода средств. Их конкретные методы получения прибыли могут отличаться, но все они приводят к тому, что вы тратите дополнительные деньги, не получая реальных пользователей.

​
Как определить, что вы под атакой?

Неожиданно низкие показатели успешности верификации/доставки сообщений или внезапный рост числа верификаций в неожиданных странах/регионах.

​
Рекомендуемые меры

Внедрите обнаружение ботов при верификации Продукты вроде Google reCAPTCHA помогают выявлять и блокировать бот-трафик. Например, выполняйте проверки перед каждым запросом SMS OTP, чтобы предотвратить автоматизированные скрипты и ботов. Для легитимных пользователей это создаст минимальное трение.

​
Ограничения частоты верификации

Ограничьте частоту запросов верификации, чтобы предотвратить мошенничество и защитить своё приложение, например:
  • Максимум X сообщений верификации на номер в течение X секунд
  • Максимум X запросов верификации на страну/регион в течение X секунд
  • Вы даже можете разработать ограничения по пользователю, IP или идентификатору устройства.
Ограничения частоты не могут полностью предотвратить мошенничество, но замедляют злоумышленников, заставляя их думать, что атаковать ваше приложение невыгодно.

​
Голосовая верификация как альтернатива только после третьей попытки

Из-за растущей распространённости International Revenue Share Fraud (IRSF) мы рекомендуем не предлагать вариант «позвоните мне» с самого начала, а только после трёх попыток по SMS.

​
Внедрите географические ограничения

У вас должна быть чёткая бизнес-цель, поэтому запросы верификации из других стран/регионов должны вызывать подозрение. Настройте географические разрешения на верификацию и отключите все страны/регионы, куда вы не намерены отправлять сообщения, чтобы предотвратить создание злоумышленниками ненужных запросов верификации и трату средств на SMS или голосовые вызовы.

​
Проверяйте номера телефонов перед отправкой

Проверяйте тип линии номера перед отправкой. Как минимум идентифицируйте недействительные стационарные и мобильные номера и отправляйте SMS только на мобильные.

​
Отслеживайте успешность верификации по OTP и создавайте оповещения

Мы рекомендуем отслеживать изменения успешности верификации в реальном времени. Если вы обнаружите, что успешность резко падает или число верификаций внезапно растёт в неожиданных странах/регионах, обратите на это пристальное внимание. Возможно, это вредоносные атаки. Рекомендуем настроить триггеры оповещений при достижении аномальных порогов. В YCloud verify встроены триггеры оповещений о безопасности, которые вы можете легко настроить в интерфейсе для получения аномальных оповещений.