SMS Pumping: SMS Pumping (T1496.003)

Durante un red team o un assessment di logica applicativa, l'obiettivo è dimostrare che un endpoint pubblico può essere abusato per generare traffico SMS a costo per il cliente, senza mai inviare volumi reali che genererebbero addebiti effettivi o violerebbero le norme sull'abuso. Il test va concordato per iscritto e condotto in ambiente controllato.

Il primo passo è la mappatura della superficie: individua tutti i form che innescano l'invio di un SMS. Tipicamente sono endpoint di registrazione, login con OTP, recupero password e verifica del numero. Con un proxy come Burp Suite (freemium) o OWASP ZAP (open source) intercetti la richiesta e ne isoli il campo del numero di telefono e l'eventuale token anti-abuso.

La verifica chiave riguarda la presenza di controlli: rate limiting per IP e per numero, CAPTCHA, validazione del prefisso internazionale e token CSRF/one-time. Un endpoint privo di questi controlli è vulnerabile. Puoi documentare la fattibilità con una singola richiesta di prova:

curl -s -X POST -H "Content-Type: application/json" -d '{"phone":"+39XXXXXXXXXX"}'

Osserva la risposta: se il server accetta prefissi arbitrari verso Paesi a tariffa elevata e restituisce sempre 200 senza throttling, l'abuso è concettualmente possibile. Per stimare la resistenza al volume senza causare danni, valuta il comportamento con pochissime richieste distanziate e misura se compaiono header di rate limiting (Retry-After, X-RateLimit-Remaining).

Strumenti utili in laboratorio:

• Burp Suite Intruder (freemium) per testare in modo controllato la resistenza del form, limitando drasticamente il numero di iterazioni.
• ffuf (open source) per verificare l'assenza di rate limiting su varianti di endpoint.
• Ambienti sandbox degli stessi provider (Twilio test credentials, AWS SNS in modalità sandbox) per riprodurre il flusso senza recapitare SMS reali né generare costi.

Nel report enfatizza le catene realistiche: enumerazione dei form → assenza di CAPTCHA e rate limiting → possibilità di iniettare prefissi verso regioni revenue-sharing → automazione del submit. La prova di concetto deve restare qualitativa. Il valore per il cliente non è il volume generato, ma la dimostrazione che la logica di business consente traffico non richiesto verso numerazioni scelte dall'attaccante, con impatto economico diretto e saturazione dei canali legittimi.

La rilevazione dell'SMS Pumping è comportamentale e centrata sulle applicazioni, non sull'endpoint tradizionale. La strategia di riferimento (DET0156, analitica AN0443) individua l'innesco automatizzato e ripetitivo di SMS attraverso i campi OTP e di verifica account, sfruttando le API di messaggistica di back-end come Twilio, AWS SNS o Amazon Cognito.

Le log source primarie sono i log applicativi (saas:application) e i log di audit (saas:audit) della piattaforma esposta, arricchiti con la telemetria di fatturazione e utilizzo del provider SMS. L'idea è correlare ogni submit del form con la corrispondente chiamata all'API di invio e osservare frequenza, destinazione e origine.

Gli indicatori chiave, direttamente derivati dai parametri di tuning dell'analitica, sono:

• SMSFrequencyThreshold — numero di richieste SMS per endpoint o per utente in una finestra temporale (TimeWindow) definita; un picco improvviso rispetto al baseline è il segnale più forte.
• DestinationCountryCodeFilter — concentrazione anomala di invii verso prefissi di regioni ad alto rischio e revenue-sharing, spesso Paesi verso cui l'organizzazione normalmente non invia traffico.
• UserAgentAnomalyThreshold — presenza di user agent sconosciuti o automatizzati che compilano i form.
• IPGeoVarianceScore — dispersione geografica anomala degli IP sorgente che innescano gli OTP, tipica dell'uso di botnet o proxy distribuiti.

La costruzione dell'alert efficace unisce questi segnali: un salto di frequenza SMS oltre soglia, concentrato su un singolo endpoint, diretto a prefissi inusuali e proveniente da IP geograficamente dispersi con user agent automatizzati, ha un valore di confidenza molto alto.

Sul fronte dei falsi positivi, attenzione alle campagne di marketing legittime, ai lanci di prodotto con picchi di registrazione reali e ai test QA che generano bruscamente traffico. Per questo le soglie vanno calibrate sulla logica di business: la TimeWindow e la SMSFrequencyThreshold devono riflettere il traffico medio della piattaforma per evitare rumore.

Sul piano preventivo, i controlli più efficaci sono il CAPTCHA sui form che innescano SMS (mitigazione M1013), il rate limiting per IP e per numero, la validazione dei prefissi con allow-list dei Paesi serviti e l'introduzione di ritardi progressivi dopo ripetuti tentativi. Consiglio inoltre di configurare alert di spesa direttamente sul provider di messaggistica, così che un'anomalia di costo diventi un segnale di sicurezza in tempo quasi reale, prima che la bolletta esploda.

L'analisi forense dell'SMS Pumping è insolita perché il "campo di battaglia" non è l'endpoint compromesso, ma i log applicativi e di piattaforma dell'infrastruttura di messaggistica. Non esiste un binario malevolo da recuperare: l'evidenza è nella sequenza di richieste HTTP e nelle relative chiamate alle API SMS.

La ricostruzione della timeline parte dai log web e di audit (saas:application, saas:audit). Per ogni submit del form OTP occorre correlare timestamp, indirizzo IP sorgente, user agent, numero di telefono di destinazione e l'esito della chiamata al provider (Twilio, AWS SNS, Amazon Cognito). L'obiettivo è isolare la finestra di abuso e quantificarne l'ampiezza in termini di messaggi inviati e costo generato.

Gli artefatti più significativi da acquisire:

• Log di accesso del web server e del load balancer, per estrarre il pattern di richieste ripetute verso l'endpoint di verifica.
• Log di audit del provider SMS, che registrano numero di destinazione, prefisso internazionale, timestamp e addebito per ciascun messaggio.
• Record di fatturazione e utilizzo del servizio di messaggistica, che documentano l'impatto economico e delimitano con precisione l'inizio e la fine della campagna.
• Log CDN/WAF, utili per ricostruire la distribuzione geografica e la reputazione degli IP sorgente.

L'analisi dei prefissi di destinazione è centrale: la concentrazione di invii verso numerazioni contigue o verso specifici Paesi ad alto costo rivela il set di numeri controllato dall'attore e conferma la natura fraudolenta. Il raggruppamento per blocchi numerici consecutivi è spesso la firma più chiara dello schema revenue-sharing.

Sul piano della correlazione, incrociare user agent e IP permette di distinguere il traffico automatizzato dal comportamento umano: cadenza regolare tra le richieste, assenza di navigazione preliminare del sito, user agent identici o palesemente falsificati sono tutti indizi di scripting. La dispersione geografica degli IP, se estesa, suggerisce l'uso di proxy o botnet per eludere il rate limiting per singolo indirizzo.

Per la documentazione dell'incidente conviene produrre metriche chiare: volume totale di SMS anomali, costo aggregato, distribuzione per prefisso, finestra temporale e vettore preciso (quale form, quale API). Questi elementi supportano sia l'eventuale azione legale verso l'operatore complice sia la richiesta di rimborso al provider. Infine, conservare snapshot dei log grezzi con hash di integrità garantisce che l'evidenza regga in un contesto probatorio, dato che gran parte del materiale risiede su piattaforme SaaS soggette a policy di retention limitata.

I dati MITRE ATT&CK associati a questa tecnica non riportano gruppi APT, software o campagne formalmente attribuiti: l'SMS Pumping è per natura una frode telecom finanziaria più che un'operazione di spionaggio statuale, e questo si riflette nell'assenza di attribuzioni codificate. Per un Threat Intelligence Officer il quadro va quindi letto in chiave di rischio economico e di ecosistema criminale, non di singolo attore avanzato.

Il modello di monetizzazione è la chiave interpretativa. L'attore non ricerca persistenza o esfiltrazione, ma guadagno diretto tramite accordi di revenue sharing con operatori compiacenti, spesso in giurisdizioni con scarsa regolamentazione delle tariffe di terminazione. Questo colloca la tecnica nella stessa famiglia concettuale di altri abusi a scopo di lucro come l'International Revenue Share Fraud (IRSF), da cui eredita logiche geografiche e di destinazione.

Il pattern geografico è l'elemento intelligence più sfruttabile: il traffico converge verso prefissi di Paesi con alte tariffe di terminazione e mercati SMS opachi. Il monitoraggio delle destinazioni anomale, incrociato con i parametri DestinationCountryCodeFilter e IPGeoVarianceScore dell'analitica di detection, consente di costruire indicatori proattivi: liste di prefissi a rischio e cluster di numerazioni contigue riconducibili a un singolo set fraudolento.

Sul fronte del tool overlap, l'infrastruttura offensiva è deliberatamente banale — form pubblici, script di submit automatizzato e botnet o pool di proxy per distribuire gli IP sorgente ed eludere il rate limiting. Questa bassa sofisticazione abbassa la barriera d'ingresso e amplia la platea di potenziali attori, dai frodatori telecom organizzati agli opportunisti che sfruttano API di messaggistica lasciate esposte senza CAPTCHA.

In termini di trend, la crescente adozione di autenticazione OTP via SMS e di provider cloud di messaggistica (Twilio, AWS SNS, Amazon Cognito) allarga costantemente la superficie abusabile. Ogni nuovo servizio che aggiunge verifica telefonica senza controlli anti-automazione diventa un potenziale bersaglio. La convergenza con altre tecniche di Impact orientate al costo — come il resource hijacking cloud — suggerisce che gli attori finanziariamente motivati continueranno a privilegiare bersagli dove l'abuso della logica di business si traduce in ricavo immediato. Per un programma di intelligence, il valore aggiunto sta nel condividere feed di prefissi e numerazioni fraudolente con i provider SMS e nel correlare i picchi di spesa con gli indicatori comportamentali, trasformando un evento di fatturazione in early warning di sicurezza.

MITRE ATT&CK: tecnica T1496.003 (SMS Pumping), tattica TA0040 (Impact); mitigazione M1013 (Application Developer Guidance); strategia di detection DET0156 e analitica AN0443 (log saas:application, saas:audit). Tool citati per uso in laboratorio: Burp Suite, OWASP ZAP, ffuf. Parte dei comandi e delle procedure operative deriva da conoscenza professionale di cybersecurity, nel rispetto delle regole su tool reali e verificabili.