باختصار
- ما هو: طلبات آلية تجعل تطبيقك يرسل رسائل إلى أرقام يختارها المحتالون، فيحصلون على حصة من إيراد تسليمها.
- من يدفع: أنت، لأن الرسائل تخرج من حسابك وتُحتسب كأي رسالة أخرى.
- العلامة الأبرز: رموز مرسلة أكثر بكثير من الرموز المُدخلة، وغالباً إلى دول لا تخدمها.
- الحماية: ضوابط التطبيق وضوابط الحساب معاً، فلا تكفي إحداهما وحدها.
كيف يحدث احتيال تضخيم الرسائل
يسمي قطاع الاتصالات المتنقلة هذا النوع "الحركة المضخمة اصطناعياً" (artificially inflated traffic, AIT): رسائل تُولَّد لكسب إيراد من تسليمها، وتكون عادةً أكثر بكثير مما ترسله الخدمة في الوضع الطبيعي.
- يحصل المحتال على أرقام هواتف، أو نطاقات أرقام، تدرّ عليه مالاً عند تسليم الرسائل إليها.
- يجد برنامج آلي شاشة في منتجك ترسل رسالة عند الطلب: التسجيل أو الدخول أو استعادة كلمة المرور أو "إعادة إرسال الرمز".
- يطلب البرنامج رموزاً لتلك الأرقام مرة بعد مرة، وغالباً من عناوين IP كثيرة.
- تُسلَّم كل رسالة وتُحتسب عليك، ولا يُدخل أحد أي رمز.
ويضرب OWASP API Security Top 10 مثالاً لهذا الخطر بخدمة "نسيت كلمة المرور" عبر SMS: يستدعيها برنامج آلي عشرات آلاف المرات، فتخسر الشركة أموالاً خلال دقائق.
علامات تدل على تضخيم رسائل OTP لديك
- يرتفع عدد الرسائل أو تكلفتها دون ارتفاع مماثل في التسجيلات أو عمليات الدخول.
- تنخفض نسبة الرموز المُدخلة انخفاضاً حاداً.
- تذهب الرسائل إلى وجهات غير معتادة: دول أو نطاقات أرقام فيها عملاء قليلون لك.
- تأتي الأرقام متسلسلة، ولا يختلف بعضها عن بعض إلا في آخر الخانات.
- تأتي الطلبات دفعات من عدد قليل من عناوين IP أو الأجهزة أو الجلسات، أو من برامج لا تتصرف مثل تطبيقك أو متصفح حقيقي.
الطبقة الأولى: ضوابط داخل تطبيقك
هذه الضوابط مكانها منتجك، لأن تطبيقك وحده يرى من يطلب الرمز.
| الضابط | ما يمنعه | طريقة تطبيقه |
|---|---|---|
| تحديد عدد الطلبات | طلب رموز كثيرة من جهة واحدة | حدّد الطلبات لكل رقم وجهاز وعنوان IP وجلسة، مع زيادة المهلة بين كل إعادة إرسال |
| التحقق من أن الطالب إنسان | الطلبات الآلية | اعرض اختباراً قبل إرسال الرمز، أو عندما يبدو الطلب غير معتاد |
| فحص الجهة الطالبة | البرامج التي لا تتصرف مثل تطبيقك | ارفض المتصفحات الآلية دون واجهة (headless)، وفكّر في حظر عقد Tor الخارجية والوسطاء المعروفين |
| قائمة الدول المسموحة | الوجهات التي يربح منها المحتالون | اقبل أرقام الدول التي فيها عملاؤك فقط |
| فحص الأرقام | أرقام لا يمكن أن تكون لعملاء حقيقيين | تحقق من صيغة الرقم وارفض النطاقات التي لا تتوقعها |
| عامل آخر أولاً | رسائل لا داعي لها | في الدخول، تحقق من كلمة المرور قبل إرسال الرمز |
الطبقة الثانية: ضوابط على حساب الرسائل النصية
ضوابط التطبيق تقلل الطلبات، وضوابط الحساب تحدّ مما يمر منها. وفي Digital Connect، منصة إنتركي للرسائل النصية للأعمال، هذه الضوابط جزء من حسابك:
- الحماية من الاحتيال على رسائل حسابك.
- حظر الدول، فلا يرسل الحساب إلا إلى الدول التي تسمح بها.
- حدود الإنفاق التي تضع سقفاً لما ينفقه الحساب.
- إشعار تسليم لكل رسالة، لترى أين ذهبت كل رسالة.
- وصول مقيّد إلى الـAPI من عناوين IP معتمدة أو عبر اتصال VPN، فلا تكفي بيانات دخول مسرّبة وحدها للإرسال من عنوان آخر.
- دخول بخطوتين إلى المنصة برمز تحقق يصل إلى البريد الإلكتروني، ومستويا صلاحية للمدير والمستخدم.
تُضبط قائمة الدول وحد الإنفاق لحسابك أثناء التهيئة. ابدأ بالدول التي فيها عملاؤك، وبحدّ أعلى من حجمك الشهري المعتاد.
المؤشرات التي تراقبها
| المؤشر | أهميته |
|---|---|
| الرموز المُدخلة مقسومة على الرموز المرسلة، لكل دولة | الانخفاض المفاجئ أول علامة على التضخيم |
| الرسائل لكل رقم هاتف وعنوان IP وجهاز | يكشف الطلبات الآلية |
| الرسائل إلى دول لا تخدمها عادةً | يشير إلى الوجهات التي يربح منها المحتالون |
| الإنفاق اليومي مقارنة بمعدلك المعتاد | يكشف التكلفة قبل وصول الفاتورة |
| إشعارات التسليم لكل رسالة | توضح أين ذهبت الرسائل بالضبط |
إذا كان الهجوم يحدث الآن
- تأكد منه. قارن الرموز المرسلة بالرموز المُدخلة في الساعات الأخيرة، لكل دولة.
- أغلق الوجهات. ضيّق قائمة الدول المسموحة في تطبيقك، واطلب من مزود الرسائل حصر دول الحساب في الدول التي تخدمها.
- أبطئ الشاشة المستغَلة. خفّض حدود الطلبات في تلك الخدمة، وفعّل التحقق من أن الطالب إنسان لكل طلب.
- راجع حد الإنفاق. تأكد أنه يوقف الحساب عند مستوى تقبله.
- احتفظ بالأدلة. صدّر تقارير التسليم وسجلات الطلبات لفترة الهجوم.
- راجع الأمر مع مزودك. راجع معه ما حدث، وعدّل قائمة دول الحساب وحدوده.
أسئلة تطرحها على أي مزود رسائل نصية بشأن التضخيم
- هل يمكن حصر حسابنا في الدول التي نختارها؟
- هل يمكن وضع حد إنفاق للحساب؟
- هل يصلنا إشعار تسليم لكل رسالة؟
- هل يمكن حصر الوصول إلى الـAPI في عناوين IP الخاصة بنا أو اتصال VPN؟
- إذا تعرض حسابنا لهجوم، كيف تحققون فيه معنا، وكيف تُحتسب الرسائل؟
أسئلة عن احتيال تضخيم الرسائل
ما احتيال تضخيم الرسائل (SMS pumping)؟
احتيال تطلق فيه برامج آلية رسائل من تطبيقك، غالباً رموز تحقق لمرة واحدة، إلى أرقام تمنح المحتالين حصة من إيراد التسليم. ويُسمى أيضاً الحركة المضخمة اصطناعياً.
هل هو نفسه التصيد عبر الرسائل النصية؟
لا. التصيد يحاول خداع من يستلم الرسالة، أما التضخيم فيستهدف الجهة التي ترسل الرسائل ويحمّلها تكلفة رسائل لا يحتاجها أحد.
هل ندفع تكلفة الرسائل المضخمة؟
في أغلب الحالات نعم، لأن الرسائل تُرسل من حسابك وتُسلَّم، فتُحتسب كأي رسالة أخرى.
هل يكفي اختبار CAPTCHA؟
لا. فهو يصعّب الطلبات الآلية، لكن ادمجه مع تحديد عدد الطلبات وقائمة الدول المسموحة وحدود الحساب والمراقبة.
هل تكفي ضوابط المزود وحدها؟
لا. حظر الدول وحدود الإنفاق والحماية من الاحتيال تقلل الضرر، لكن البرامج الآلية تصل إلى شاشاتك رغم ذلك. استخدم الطبقتين معاً.
هل تحمي Digital Connect رسائل OTP من التضخيم؟
تتضمن حسابات Digital Connect الحماية من الاحتيال وحظر الدول وحدود الإنفاق، مع إشعار تسليم لكل رسالة. أما ضوابط التطبيق في هذا الدليل فتبقى داخل منتجك.
متى لا تناسبك Digital Connect؟
إذا كان أغلب مستخدميك خارج المملكة، أو كنت ترسل بضع مئات من الرموز شهرياً فقط.