الخلاصة
- ما هو: طلبات آلية تجعل تطبيقكم يرسل رموز تحقق أو رسائل نصية أخرى إلى أرقام يختارها المحتال ليربح من توصيلها.
- من يتحمّل التكلفة: منشأتكم. فهي رسائل حقيقية تُرسل من حسابكم، وتُحتسب مثل أي رسالة أخرى.
- أوضح علامة: عدد الرموز المرسلة أكبر بكثير من عدد الرموز التي يُدخلها المستخدمون، وغالباً إلى دول أو نطاقات أرقام ليس لديكم فيها عملاء.
- ما يوقفه: عدة ضوابط مجتمعة: حدود لعدد الطلبات، والتحقق من أن الطلب صادر عن إنسان قبل الإرسال، وقصر الإرسال على الدول التي تخدمونها، ومقارنة الرموز المرسلة بالرموز المُدخلة، وحدود للإنفاق لدى مزوّديكم.
علامات تدل على أن رموز التحقق لديكم تتعرض لهذا الاحتيال
راجعوا بيانات الإرسال بحثاً عن هذه الأنماط. قد يكون لعلامة واحدة سبب عادي، أما اجتماع عدة علامات فنادراً ما يكون كذلك.
- ترتفع الرسائل ولا يرتفع التسجيل. يزيد عدد الرسائل النصية أو تكلفتها دون زيادة مقابلة في الحسابات الجديدة أو عمليات الدخول.
- رموز تُرسل ولا تُدخل. تنخفض انخفاضاً حاداً نسبة الرموز التي يكتبها المستخدمون فعلاً.
- وجهات غير معتادة. تذهب الرسائل إلى دول أو مشغّلين أو نطاقات أرقام ليس لديكم فيها عملاء، أو عملاؤكم فيها قليلون.
- أرقام متشابهة متتالية. طلبات كثيرة لأرقام لا تختلف إلا في خاناتها الأخيرة.
- طلبات كثيفة من مصادر قليلة. أعداد كبيرة من الطلبات من عدد محدود من عناوين IP أو الأجهزة أو الجلسات، أو من برامج لا تتصرف كمتصفح حقيقي أو كتطبيقكم.
كيف يعمل الهجوم
- يحصل المحتال على أرقام هواتف، أو نطاقات أرقام، تدرّ عليه حصة من الإيراد عند توصيل رسالة إليها.
- يبحث برنامج آلي عن شاشة في منتجكم ترسل رسالة نصية عند الطلب: التسجيل، أو الدخول، أو استعادة كلمة المرور، أو «إعادة إرسال الرمز».
- يطلب البرنامج الرموز لهذه الأرقام مرة بعد أخرى، وغالباً من عناوين IP كثيرة حتى لا يُحظر بسهولة.
- تصل كل رسالة وتُحتسب على منشأتكم، ويتقاضى المحتال نصيبه من إيراد التوصيل، ولا يُدخل أحد أي رمز.
وتستخدم قائمة OWASP لأهم مخاطر أمن واجهات API هذا المثال لشرح الخطر: خاصية «نسيت كلمة المرور» عبر الرسائل النصية، يستدعيها برنامج آلي عشرات آلاف المرات، فتخسر الشركة أموالاً خلال دقائق.
ضوابط تُبنى في تطبيقكم
| الضابط | ما يفعله | طريقة تطبيقه |
|---|---|---|
| حدود لعدد الطلبات | يحدّ من عدد المرات التي يستطيع فيها طرف واحد طلب رمز | ضعوا حداً للطلبات لكل رقم هاتف ولكل جهاز ولكل عنوان IP ولكل جلسة، مع مهلة تزداد بين كل إعادة إرسال وأخرى |
| التحقق من أن الطلب صادر عن إنسان | يصعّب الطلبات الآلية | اعرضوا اختبار تحقق قبل إرسال الرمز، أو عندما يبدو الطلب غير معتاد فقط |
| حظر البرامج غير المتوقعة | يوقف البرامج التي لا تتصرف كتطبيقكم أو كمتصفح حقيقي | ارفضوا الطلبات الواردة من المتصفحات التي تعمل دون واجهة (headless)، وادرسوا حظر نقاط خروج شبكة Tor والخوادم الوسيطة المعروفة |
| قصر الإرسال على الدول التي تخدمونها | يزيل الوجهات التي يربح منها المحتال | اقبلوا أرقام الهواتف من الدول التي لديكم فيها عملاء فقط، وراجعوا القائمة قبل إضافة أي دولة |
| فحص الأرقام قبل الإرسال | يستبعد أرقاماً لا يمكن أن تكون لعملاء حقيقيين | تحققوا من صيغة الرقم، وارفضوا النطاقات التي لا تتوقعونها أصلاً |
| طلب عامل آخر أولاً | يقلل عدد مرات إرسال الرسائل النصية من الأساس | عند تسجيل الدخول، تحققوا من كلمة المرور أو من عامل آخر قبل إرسال الرمز |
| مقارنة الرموز المرسلة بالرموز المُدخلة | يكشف الهجوم مبكراً | تابعوا النسبة لكل دولة ولكل مشغّل، وفعّلوا تنبيهاً عندما تنخفض عن مستواها المعتاد |
| حدود للإنفاق لدى المزوّدين | يحدّ من حجم الخسارة | ضعوا حداً للإنفاق لدى كل مزوّد رسائل، وإن تعذّر ذلك ففعّلوا تنبيهات الفوترة |
لا يكفي ضابط واحد وحده. فقائمة OWASP تذكر حدود الطلبات، والحد من عدد مرات تنفيذ العملية الواحدة لكل طرف، وحدود الإنفاق، بوصفها إجراءات مستقلة لهذا الخطر، وتوصي بكشف الطلبات غير البشرية وفحص البرامج المستخدمة في العمليات التي تستهدفها البرامج الآلية.
ما تتابعونه كل أسبوع
- الرموز المرسلة والرموز المُدخلة، لكل دولة ولكل مشغّل.
- عدد الطلبات لكل رقم هاتف، ولكل عنوان IP، ولكل جهاز.
- الرسائل المرسلة إلى دول لا تخدمونها عادة.
- الإنفاق اليومي مقارنة بالمعدل المعتاد.
- إشعار التسليم لكل رسالة، لتعرفوا بدقة أين ذهبت رسائلكم.
أسئلة تطرحونها على مزوّد الرسائل النصية
- هل تتيحون إشعار تسليم لكل رسالة، وتقارير مقسّمة حسب المشغّل؟
- هل يمكن قصر الوصول البرمجي إلى حسابنا على عناوين IP الخاصة بنا؟
- هل يمكن تحديد الدول التي يرسل إليها حسابنا؟
- هل توفرون حدوداً للإنفاق، أو تنبيهات عندما يتجاوز حجم الرسائل معدلنا المعتاد؟
- كيف تُوجَّه رسائلنا إلى المشغّلين المستقبِلين؟
- إذا تعرّض حسابنا لهجوم، فكيف تتحققون من الأمر معنا، وكيف تُحتسب تلك الرسائل؟
ما يقدمه Digital Connect
Digital Connect منصة رسائل الأعمال من إنتركي، وترسل رموز التحقق عبر الرسائل النصية. وكثير من الضوابط التي ينبغي أن يوفرها المزوّد مما سبق موجود في المنصة:
- الحماية من الاحتيال على حركة الرسائل في حسابكم.
- حظر الدول، ليقتصر إرسال حسابكم على الدول التي تسمحون بها.
- حدود للإنفاق على حسابكم.
- إشعار تسليم لكل رسالة.
- تقييد الوصول البرمجي بعناوين IP مصرّح بها أو باتصال VPN.
- ضوابط الحساب: مستويات صلاحيات للمدير والمستخدم، ومصادقة ثنائية عند الدخول إلى المنصة برمز يصل عبر البريد الإلكتروني.
- تسجيل اسم المرسل للرسائل النصية لدى الجهة التنظيمية والمشغّلين خلال مرحلة التهيئة.
- التسعير: بعرض سعر مبني على حجم رسائلكم.
اسألونا أثناء التهيئة عن طريقة ضبط قائمة الدول وحدود الإنفاق لحسابكم. أما الضوابط التي تُبنى في التطبيق، مثل حدود الطلبات والتحقق من أن الطلب صادر عن إنسان وفحص الأرقام، فتبقى في منتجكم نفسه.
متى لا يناسبكم: إذا كان معظم مستخدميكم خارج المملكة، أو كنتم ترسلون بضع مئات من الرموز شهرياً فقط.
أسئلة شائعة عن الاحتيال على رموز التحقق
ما المقصود بـ SMS pumping؟
احتيال تستغل فيه برامج آلية تطبيقكم لإرسال رسائل نصية، غالباً رموز تحقق، إلى أرقام يتحكم بها المحتالون، ليحصلوا على حصة من إيراد توصيلها. ويُسمى أيضاً «الحركة المضخّمة اصطناعياً».
هل هو التصيّد نفسه عبر الرسائل النصية؟
لا. رسائل التصيّد تحاول خداع من يستقبلها، أما هذا الاحتيال فيستهدف المنشأة التي ترسل الرسائل، وغايته أن تدفع قيمة رسائل لا يحتاجها أحد.
هل ندفع قيمة هذه الرسائل؟
نعم في أغلب الحالات. فهي تُرسل من حسابكم وتصل إلى وجهتها، فتُحتسب مثل أي رسالة أخرى. ولهذا تبرز أهمية حدود الإنفاق والمتابعة المبكرة.
هل يكفي اختبار CAPTCHA وحده؟
يصعّب الطلبات الآلية، لكن ينبغي أن يقترن بحدود الطلبات وقيود الدول ومقارنة الرموز المرسلة بالرموز المُدخلة.
هل يؤثر حظر الدول على المستخدمين الحقيقيين؟
لا، إلا إذا كان لديكم عملاء في الدول التي تحظرونها. ابدؤوا من الدول التي يوجد فيها عملاؤكم، وراجعوا القائمة عند التوسع إلى دولة جديدة.
هل تكفي ضوابط المزوّد وحدها لإيقاف هذا الاحتيال؟
لا. حظر الدول وحدود الإنفاق والحماية من الاحتيال لدى المزوّد تقلل حجم الضرر، لكن البرامج الآلية تظل قادرة على الوصول إلى شاشات التسجيل والدخول لديكم. لذا اجمعوا بينها وبين حدود الطلبات والتحقق من أن الطلب صادر عن إنسان والمتابعة داخل تطبيقكم.