Антифрод в верификации

В чём уязвимость

Форма «введите номер — получите код» устроена так, что любой посетитель может потратить ваши деньги: отправка инициируется по его запросу и оплачивается вами. Пока это обычные пользователи, всё в порядке. Проблема начинается, когда интерес появляется у того, кто кодом пользоваться не собирается.

Схемы

• [Накрутка трафика](/glossary/ait) — бот вызывает отправки на номера, с которых злоумышленник получает долю выручки. Коды никто не вводит.
• Перебор — попытки подобрать чужой код, если число попыток не ограничено.
• Массовая регистрация — создание аккаунтов на одноразовые номера ради бонусов и промокодов.
• Выманивание кода — пользователя убеждают продиктовать пришедший код; техническими средствами это не лечится, но методы без кода лишают схему предмета.

Что помогает

1. Лимиты на номер — сколько отправок на один номер за период, с паузой между повторами.
2. Лимиты на адрес и устройство — чтобы один источник не перебирал номера.
3. Ограничение числа попыток ввода — против перебора кода.
4. Отсечение направлений — коды стран, с которыми вы не работаете, не нужны.
5. Выбор канала — схемы с долей от трафика живут на дорогих отправках; на методе за 0,25 ₽ делить нечего.

Чего антифрод не делает

Он не превращает подтверждение номера в строгую аутентификацию. Владение номером остаётся одним фактором, и против перевыпуска SIM или социальной инженерии лимиты бессильны. Для чувствительных операций к методу добавляют второй фактор — см. 2FA.