Каждая открытая веб-форма на коммерческом сайте — будь то окно регистрации в интернет-магазине, поле подтверждения телефона в сервисе доставки или форма входа в личный кабинет — несет скрытую финансовую уязвимость. Если отправка проверочного одноразового пароля не защищена многоуровневым антифродом, бизнес рискует за считанные часы получить многомиллионные счета от операторов связи за сообщения, которые никто из реальных клиентов не заказывал.
Эта мошенническая схема получила название СМС-пампинг (SMS Toll Fraud). Ее глобальный размах впечатляет: по данным аналитической компании DataIntelo, суммарный мировой ущерб бизнеса от таких атак превысил $1,2 млрд в год, а средний чек одного инцидента составляет около $380 000. В отчете сервиса Prelude отмечается, что в общемировом потоке авторизационных сообщений доля мошеннического трафика уже достигает 11,83%.
Как устроена экономика атаки и почему капчи больше не работают
Схема заработка злоумышленников предельно цинична и опирается на партнерство с недобросовестными локальными или международными операторами связи. Мошенники получают выделенный пул премиальных или виртуальных телефонных номеров, после чего запускают автоматизированный ботнет. Программа находит уязвимый сайт и начинает с огромной скоростью отправлять запросы на генерацию кодов авторизации на подконтрольные сим-карты.
За каждый завершенный вызов или доставленное сообщение атакуемый бизнес платит провайдеру рассылок по стандартному тарифу, а организаторы атаки получают заранее оговоренную долю выручки от принимающего оператора. Самым резонансным публичным прецедентом стала социальная сеть Twitter (X): в декабре 2022 года Илон Маск объявил, что компания ежегодно теряла до $60 млн на мошеннических СМС, после чего платформа отключила двухфакторную СМС-аутентификацию для бесплатных пользователей.
В России летом 2026 года проблема обострилась из-за резкого роста себестоимости рассылок. Операторы связи подняли тарифы на сервисные СМС в 1,5–2 раза и перешли на жесткие пакетные условия. При этом попытка защититься классической графической капчей (CAPTCHA) окончательно утратила смысл. Исследования специалистов по кибербезопасности подтверждают: современные боты на базе мультимодальных нейросетей распознают искаженные символы, светофоры и пешеходные переходы со 100% точностью, проходя тесты быстрее человека.
Помимо взрывных атак злоумышленники активно используют тактику фонового пампинга. Ботнет генерирует умеренное число запросов — несколько сотен в сутки, растягивая атаку на недели. Службы безопасности не замечают аномальных пиков, а компания месяцами оплачивает паразитный трафик.
Четыре уровня защиты от телеком-фрода
Эффективная защита от СМС-пампинга требует пересмотра архитектуры авторизации и отказа от идеи отправлять СМС по первому требованию интерфейса. Эксперты по цифровым коммуникациям компании edna рекомендуют выстраивать комплексный барьер из четырех рубежей.
Чек-лист защиты форм авторизации
- Настроить жесткий Rate Limiting: лимиты попыток на один номер, одну сессию и одну IP-подсеть.
- Внедрить поведенческий анализ и снятие отпечатков браузера (Device Fingerprinting).
- Перевести авторизацию на каскадную модель (Push и социальные ID в первую очередь).
- Подключить операторский антифрод для отсечения виртуальных и неактивных номеров до отправки кода.
- Установить автоматический стоп-лимит суточного бюджета на стороне СМС-шлюза.
Первым рубежом выступают интеллектуальные ограничения частоты запросов (Rate Limiting). Система должна блокировать повторные попытки с одного IP-адреса, отслеживать аномальные тайминги заполнения формы и анализировать движение курсора мыши.
Второй и самый надежный экономический барьер — каскадная аутентификация. Бизнесу выгодно отправлять проверочный код сначала в бесплатные или сверхдешевые каналы: push-уведомлением в собственном мобильном приложении, сообщением в доверенном мессенджере или через верификацию VK ID. И только если этот шаг не увенчался успехом, система делает запрос к дорогому СМС-шлюзу.
Наконец, на стороне операторского шлюза подключаются специализированные базы данных: верификация смены IMSI (идентификатора сим-карты), выявление недавно созданных виртуальных номеров и отсечение неактивных абонентов. Проверка валидности контакта до отправки сообщения срезает мошеннический поток на 87–94%, сохраняя маркетинговые бюджеты компании в неприкосновенности.