SMS Pumping macht Ihre Telefonverifizierung zur Einnahmequelle für jemand anderen. Ein Bot gibt massenhaft Telefonnummern in das Formular ein, das einen Einmalcode sendet, und die Nummern gehören zu einem Bereich, den ein Mobilfunkbetreiber kontrolliert. Jede SMS, die Sie bezahlen, bringt diesem Betreiber eine Gebühr, und der Angreifer bekommt einen Anteil davon. So beschreibt es Twilio, das es auch SMS Toll Fraud nennt. Ihren Nutzern wird nichts gestohlen; der Verlust ist Ihre SMS-Rechnung.
Wie SMS Pumping funktioniert
Jedes öffentliche Formular, das eine SMS sendet, ist ein Ziel: die Registrierung, die eine Telefonnummer bestätigt, der Login, der einen Code sendet, ein Button „Link per SMS senden“, ein Chatbot, der per SMS antwortet. Twilio nennt Einmalcodes, Registrierungsabläufe, Benachrichtigungsauslöser und Chatbot-Endpunkte. Der Betreiber kann eingeweiht sein, mit einer Vereinbarung zur Umsatzbeteiligung, oder ohne sein Wissen benutzt werden.
Die Rechnung kann hoch werden. Der Eigentümer von Twitter sagte im Dezember 2022, das Unternehmen verliere durch SMS Pumping über 390 Telekommunikationsbetreiber etwa 60 Millionen Dollar im Jahr. Das ist seine Aussage, keine geprüfte Zahl, aber sie zeigt, was ein großes Registrierungsformular einem Angreifer wert ist.
Die Anzeichen
- SMS in Länder, die Sie nicht bedienen. Codes an Orte, an denen Sie wenige oder keine Kunden haben.
- Codes, die niemand eingibt. Twilios Merkmal bei Einmalcodes: Die Verifizierung wird nie abgeschlossen.
- Nummern in Reihe. Viele Nachrichten an einen Block benachbarter oder ähnlicher Nummern.
- Ausgaben ohne Wachstum. SMS-Kosten, die steigen, ohne dass mehr Registrierungen konvertieren.
Was Ihr SMS-Anbieter tun kann
Ihr Anbieter sieht die Nachricht, wenn sie hinausgeht, also beginnen Sie dort. Twilios Rat: SMS in die Länder abschalten, die Sie nicht bedienen, Nachrichten an denselben Nummernbereich begrenzen, nach einer Abfrage des Anschlusstyps nur an Mobilnummern senden und den Betrugsschutz einschalten, der ein verdächtiges Zielpräfix blockiert, etwa ein Land, in das Ihr Konto noch nie eine SMS geschickt hat. Das hat seinen Preis: Laut Twilio bleiben die Fehlalarme auf der Standardstufe unter 1 % und auf der strengsten unter 2 %. Diese Maßnahmen greifen beim Versand, nachdem Ihr Formular die Anfrage schon angenommen hat.
Die Anfrage stoppen, bevor der Code gesendet wird
Die SMS kostet erst Geld, wenn Sie sie senden, also ist die günstigste Stelle gegen Pumping die Anfrage, die sie anfordert. Twilio selbst empfiehlt, jedes Formular zu schützen, das eine SMS auslöst, und eine Pause zwischen Code-Anfragen von derselben Nummer oder IP-Adresse. Bot Protection beurteilt diese Anfrage auf Ihrem Server, bevor Sie den SMS-Anbieter aufrufen:
- Verlangen Sie auf dem POST, der den Code sendet, einen Nachweis, dass Ihre Seite wirklich besucht wurde: Ein Skript, das Telefonnummern an Ihre API schickt, ohne die Seite zu laden, bekommt eine Challenge, egal welche Klasse es hat.
bot_high: nichts senden. Mit eingeschalteter Köder-Antwort antwortet Ihr Server, als wäre der Code gesendet, und sendet keinen, sodass der Bot keinen Grund hat, sein Skript zu ändern.bot: zuerst die Challenge-Seite, der Code erst danach.unknown,human,human_high: den Code senden.
Die beiden Ebenen ergänzen sich: Bot Protection stoppt den Bot an Ihrem Formular, und der Schutz des Anbieters fängt ab, was den Versand noch erreicht.
Messen, bevor Sie blockieren
Beginnen Sie im Monitor-Modus. Niemand wird gestoppt, und jede Antwort sagt, was der Block-Modus getan hätte, sodass Sie die Anfragen, die er abgelehnt hätte, mit den Codes vergleichen können, die nie eingegeben wurden. Wenn beides übereinstimmt, schalten Sie den Block-Modus ein. Wenn Sie bei der Registrierung auch Gratis-Guthaben vergeben, lesen Sie Missbrauch kostenloser Tests: Dieselben Bots wollen oft beides.
Fail-open bleiben
Ein Code, der nie ankommt, sperrt einen echten Menschen aus Ihrem Produkt aus. Nutzen Sie einen kurzen Timeout und senden Sie den Code bei jedem Fehler: Ein paar gepumpte SMS während eines Ausfalls kosten weniger als eine Registrierung, die nicht mehr funktioniert. Mehr dazu in warum eine Bot-Prüfung fail-open sein muss.
Quellen
Geprüft am 28. Oktober 2026.