ผู้จัดการผลิตภัณฑ์ของแอปอีคอมเมิร์ซแห่งหนึ่งในไทยเปิดใบแจ้งหนี้ SMS ประจำเดือนแล้วต้องมองซ้ำอีกครั้ง ยอดรวมสูงกว่าปกติหลายเท่า
เธอตรวจสอบแดชบอร์ดการสมัครใช้งาน จำนวนผู้ใช้ใหม่ไม่ได้เพิ่มขึ้นเลย ไม่มีแคมเปญที่เปิดตัว และไม่มีโปรโมชันใดๆ รายงานการจัดส่งแสดงว่าข้อความเกือบทั้งหมดไปถึงโทรศัพท์แล้ว
ดูเหมือนทุกอย่างปกติดี แต่รหัสผ่านแบบใช้ครั้งเดียว (OTP) นับพันรายการถูกส่งไปยังหมายเลขที่ไม่ได้เป็นของลูกค้าคนใดเลย และทุกรายการถูกเรียกเก็บเงิน
นี่คือ Artificially Inflated Traffic (AIT) หรือที่รู้จักกันในชื่อ SMS pumping ซึ่งส่งผลกระทบต่อกระเป๋าเงินของธุรกิจโดยตรง และมักเกิดขึ้นก่อนที่ใครจะทันสังเกต บทความนี้จะอธิบายว่ามันทำงานอย่างไร วิธีสังเกตตั้งแต่เนิ่นๆ และวิธีหยุดยั้งก่อนที่ปัญหาจะขยายใหญ่
การโจมตีแบบ AIT ทำงานอย่างไร
ในการโจมตีแบบ AIT บอทจะส่งคำขอ OTP ปลอมจำนวนมากไปยังขั้นตอนการสมัครสมาชิกหรือการเข้าสู่ระบบ ราวกับว่ามาจากผู้ใช้จริง ผู้โจมตีมักเริ่มจากปริมาณเล็กน้อยที่ต่ำกว่าความผันผวนปกติรายวัน แล้วค่อยๆ เพิ่มขึ้นจนถึงปริมาณมหาศาล
รูปแบบค่าใช้จ่ายคือสิ่งที่ทำให้ปัญหานี้เจ็บปวด SMS คิดค่าบริการตามจำนวนข้อความที่ส่ง ดังนั้นทุกคำขอจึงต้องจ่ายให้ผู้ให้บริการเครือข่ายมือถือ ไม่ว่าจะเป็นคำขอจริงหรือปลอม ธุรกิจเป็นฝ่ายรับความเสียหายนั้นเอง
ผู้ฉ้อโกงได้ประโยชน์เพราะทราฟฟิกนี้สร้างรายได้ตลอดเส้นทาง ตามที่ Infosecurity Magazine รายงาน ผู้โจมตีสามารถป้อนหมายเลขอัตราพิเศษ (premium rate) ที่สร้างรายได้ให้ทั้งตนเองและผู้ให้บริการเครือข่ายที่เกี่ยวข้อง บางครั้งผู้ให้บริการเครือข่ายก็มีส่วนรู้เห็นในการฉ้อโกง และบางครั้งก็ไม่ได้รู้เห็นด้วย
การฉ้อโกง AIT ในตัวเลข
นี่ไม่ใช่ปัญหาเฉพาะกลุ่มเล็กๆ BICS ประเมินว่าทั่วโลกสูญเสียราว 10,000 ล้านดอลลาร์สหรัฐ (USD 10 billion) จากการปั๊มทราฟฟิก SMS ในปี 2021
และตัวเลขยังเพิ่มขึ้นต่อเนื่อง Juniper Research ประเมินว่า AIT สร้างความเสียหายให้องค์กร8,500 ล้านดอลลาร์สหรัฐ (USD 8.5 billion) ในปี 2023 และคาดการณ์ว่าจะสูงถึง23,400 ล้านดอลลาร์สหรัฐ (USD 23.4 billion) ภายในปี 2027
บางแบรนด์อาจได้รับผลกระทบรุนแรงกว่านั้นมาก งานวิจัยจาก Lanck Telecom ซึ่งรายงานโดย Infosecurity Magazine พบว่าทราฟฟิก 30% ถึง 60% อาจถูกสร้างขึ้นโดยไม่เป็นธรรมชาติสำหรับบางแบรนด์ใหญ่ และสูงถึง 80% ในบางเครือข่าย
สัญญาณเตือนที่ทีมส่วนใหญ่มองข้าม
จากกรณี AIT ที่ 8×8 เคยดูแล มีรูปแบบหนึ่งที่เกิดซ้ำๆ คือ ลูกค้าไม่ได้ติดตามอัตราการแปลง OTP (OTP conversion rate) ของตน จากข้อมูลของ 8×8 ลูกค้า 70% ที่ประสบกับการฉ้อโกงไม่ได้ติดตามตัวชี้วัดนี้
ในกรณีเหล่านี้ การโจมตีมักมุ่งเป้าไปที่การสมัครสมาชิกด้วย OTP บนแอปหรือเว็บไซต์ของลูกค้า และมักส่งทราฟฟิกไปยังประเทศที่ลูกค้าไม่ได้ให้บริการ
อัตราการจัดส่งและอัตราการแปลงตอบคำถามที่แตกต่างกัน อัตราการจัดส่งบอกว่า SMS ไปถึงโทรศัพท์แล้ว ส่วนอัตราการแปลงบอกว่ามีคนกรอกรหัสจริงหรือไม่ ในการโจมตีแบบ AIT อัตราการจัดส่งดูปกติดี แต่อัตราการแปลงกลับร่วงลงอย่างรวดเร็ว ช่องว่างนี้เองคือสัญญาณเตือนแรกสุดของคุณ
คุณรู้หรือไม่? รายงานการจัดส่งพิสูจน์ได้เพียงว่าข้อความไปถึงโทรศัพท์ แต่ไม่สามารถบอกได้ว่ามีคนอยู่ปลายทางหรือไม่
สัญญาณเตือนอื่นๆ ของแบบฟอร์มสมัครสมาชิกที่ถูกใช้ในทางที่ผิด ตามที่ TheSMSWorks ระบุไว้ใน Infosecurity Magazine ได้แก่
- ทราฟฟิกเว็บและข้อความ SMS ที่สร้างขึ้นอัตโนมัติเพิ่มขึ้นอย่างฉับพลัน
- ข้อความจำนวนมากถูกส่งไปยังประเทศที่ผิดปกติ
- ข้อความถูกส่งไปยังกลุ่มหมายเลขที่เรียงลำดับต่อเนื่องกัน
- แบบฟอร์มเว็บที่บอทกรอกไว้เพียงบางส่วนแล้วทิ้งไว้
สามสิ่งที่คุณทำได้ตั้งแต่วันนี้
- ติดตามอัตราการแปลง OTP ไม่ใช่แค่อัตราการจัดส่ง ตั้งการแจ้งเตือนเมื่ออัตราลดลงอย่างฉับพลัน และตรวจสอบแยกตามประเทศควบคู่กับภาพรวมทั้งหมด
- จำกัดทราฟฟิก OTP ให้ส่งเฉพาะประเทศที่คุณให้บริการจริง บล็อกหรือปิดการส่ง OTP ไปยังประเทศอื่นๆ
- กำหนดขีดจำกัดอัตราการส่ง (rate limit) ต่อหมายเลขโทรศัพท์และต่อที่อยู่ IP จำกัดจำนวนรหัสที่หมายเลขเดียวหรือแหล่งเดียวสามารถขอได้ในช่วงเวลาที่กำหนด
มาตรการเหล่านี้ช่วยได้ แต่การโจมตีมักเริ่มจากปริมาณเล็กน้อยและปรับเปลี่ยนวิธีการอยู่เสมอ นี่คือเหตุผลที่การเฝ้าติดตามอย่างต่อเนื่องจึงสำคัญ
8×8 Omni Shield ตรวจจับและหยุดยั้ง AIT ได้อย่างไร
8×8 สร้าง Omni Shield ขึ้นเพื่อลดความเสี่ยงจาก AIT และได้รับรางวัลระดับนานาชาติ โดยทำงานครอบคลุมทราฟฟิกที่ส่งผ่าน 8×8 SMS API ของคุณ และตรวจจับรูปแบบที่น่าสงสัยจากพฤติกรรมในอดีต
Traffic Anomaly Detector
เฝ้าดูปริมาณ อัตราการแปลง อัตราการจัดส่ง และการแยกข้อมูลตามผู้ให้บริการเครือข่าย เพื่อหารูปแบบการฉ้อโกง ทำให้ความผิดปกติที่ซ่อนอยู่ในตัวชี้วัดหนึ่งปรากฏให้เห็นในอีกตัวชี้วัดหนึ่ง
Phone Number Intelligence
ให้คะแนนความถูกต้องและการตอบสนองของหมายเลขโทรศัพท์จากพฤติกรรมในอดีต ช่วยแยกผู้ใช้จริงออกจากหมายเลขที่ไม่เคยตอบสนอง
การแจ้งเตือนถึงคุณและทีมซัพพอร์ตของ 8×8
เมื่อ Omni Shield ตรวจพบรูปแบบที่น่าสงสัย ระบบจะส่งการแจ้งเตือนถึงทั้งคุณและทีมซัพพอร์ตของ 8×8 ทีมสามารถระงับผู้ให้บริการเครือข่ายหรือประเทศที่ได้รับผลกระทบเป็นการชั่วคราวได้
ตรวจสอบและตัดสินใจใน 8×8 Connect
จากนั้นคุณเข้าสู่ระบบแดชบอร์ดบน 8×8 Connect เพื่อตรวจสอบทราฟฟิกและตัดสินใจขั้นตอนถัดไป
ประโยชน์หลักที่ได้รับ
- ความปลอดภัยที่แข็งแกร่งขึ้น: ตรวจพบรูปแบบที่น่าสงสัยได้ตั้งแต่เนิ่นๆ ก่อนที่ปัญหาจะขยายใหญ่
- อัตราการแปลงที่ดีขึ้น: ทราฟฟิก OTP มุ่งเน้นไปที่ผู้ใช้จริง
- ลดค่าใช้จ่ายกับทราฟฟิกฉ้อโกง: ข้อความปลอมที่ส่งไปถึงผู้ให้บริการเครือข่ายน้อยลง
- ความไว้วางใจจากลูกค้ามากขึ้น: ขั้นตอนการสมัครสมาชิกและการเข้าสู่ระบบเชื่อถือได้
Read More: SMS Fraud Protection: How 8×8 Omni Shield Keeps You Safe
Read More: Detecting and Blocking Fraud in Shipping Notifications as It Happens
ปกป้องงบประมาณ SMS ของคุณก่อนใบแจ้งหนี้ฉบับถัดไป
AIT ไม่ได้ประกาศตัวให้ใครรู้ มันเริ่มต้นอย่างเงียบๆ ดูปกติดีในรายงานการจัดส่ง แล้วไปปรากฏในใบแจ้งหนี้ การติดตามอัตราการแปลง การกำหนดขีดจำกัดตามประเทศและอัตราการส่งให้เข้มงวดขึ้น และการเพิ่มการเฝ้าติดตามอย่างต่อเนื่อง จะช่วยให้คุณตรวจพบปัญหาได้ตั้งแต่เนิ่นๆ และรักษาความไว้วางใจของลูกค้า
อยากเห็นว่า Omni Shield ช่วยปกป้องธุรกิจของคุณได้อย่างไร ลองสำรวจ 8×8 Omni Shield หรือพูดคุยกับ 8×8
คำถามที่พบบ่อย: การฉ้อโกง AIT
- AIT ใน SMS คืออะไร AIT หรือ Artificially Inflated Traffic คือสถานการณ์ที่บอทขอข้อความ OTP จำนวนมากผ่านขั้นตอนการสมัครสมาชิกหรือการเข้าสู่ระบบ ทำให้เกิดค่าใช้จ่าย SMS จากทราฟฟิกที่ไม่มีวัตถุประสงค์จริง หรือเรียกอีกชื่อว่า SMS pumping
- จะรู้ได้อย่างไรว่าเรากำลังถูกโจมตีด้วย AIT ให้สังเกตปริมาณ SMS ที่พุ่งขึ้นอย่างฉับพลันโดยไม่มีการสมัครใช้งานจริงเพิ่มขึ้นตามกัน ทราฟฟิกที่ไปยังประเทศที่คุณไม่ได้ให้บริการ และอัตราการแปลง OTP ที่ลดลงในขณะที่อัตราการจัดส่งยังสูงอยู่
- ทำไมอัตราการจัดส่งจึงดูปกติระหว่างการโจมตี อัตราการจัดส่งวัดว่า SMS ไปถึงโทรศัพท์หรือไม่ คำขอปลอมยังคงถูกส่งและจัดส่งสำเร็จ อัตราการจัดส่งจึงดูเป็นปกติ ส่วนอัตราการแปลงจะแสดงว่ามีคนกรอกรหัสหรือไม่
- ใครเป็นผู้จ่ายค่าทราฟฟิก AIT ธุรกิจที่เป็นผู้ส่งข้อความ SMS คิดค่าบริการตามจำนวนข้อความที่ส่ง ดังนั้นทุกคำขอจึงต้องจ่ายให้ผู้ให้บริการเครือข่ายมือถือ ไม่ว่าจะเป็นคำขอจริงหรือปลอม
- Omni Shield ช่วยได้อย่างไร ช่วยเฝ้าดูทราฟฟิกที่ส่งผ่าน 8×8 SMS API ด้วย Traffic Anomaly Detector และ Phone Number Intelligence เมื่อตรวจพบรูปแบบที่น่าสงสัย ระบบจะแจ้งเตือนคุณและทีมซัพพอร์ตของ 8×8 ซึ่งสามารถระงับผู้ให้บริการเครือข่ายหรือประเทศที่ได้รับผลกระทบเป็นการชั่วคราวได้
