SMS Pompalama Nedir? Kod Sınırlarının, CAPTCHA'ların ve Ülke Engellerinin Arkasındaki Dolandırıcılık

İngilizcede "SMS pumping" ya da "SMS toll fraud" olarak geçen bu yöntem, yapay olarak şişirilmiş SMS trafiğidir. Her SMS'in gönderen hizmete bir maliyeti vardır ve bu ücretin bir kısmı mesajı teslim eden zincirdeki taraflar arasında paylaşılır. Dolandırıcılar, bu zincirden gelir elde ettikleri numaralara bir uygulamanın kayıt ya da giriş formu üzerinden çok sayıda doğrulama SMS'i göndertir. Kodlar hiç kullanılmaz; amaç yalnızca gönderimin kendisidir.

Zarar gören taraf uygulamadır: kısa sürede çok sayıda SMS'in faturasını öder ve bu mesajlar hiçbir gerçek kullanıcıya ulaşmaz. SMS gönderim ücretinin yüksek olduğu ülkelerdeki numaralar bu tür trafikte daha sık görülür. Sektörde "yapay olarak şişirilmiş trafik" adıyla da anılan sorun, telefon doğrulaması kullanan hizmetler için önemli bir maliyet ve güvenlik konusudur.

Uygulamaların en temel savunması kod isteklerini sınırlamaktır. Aynı numaraya, aynı cihazdan ya da aynı ağdan kısa sürede gelen istekler sayılır; eşik aşılınca yeni kod bir süre gönderilmez. Kullanıcı bunu "çok fazla deneme", "daha sonra tekrar deneyin" ya da yeniden gönder düğmesinde her seferinde uzayan bir sayaç olarak görür.

Bu sınırlar sizi cezalandırmak için değil, formun toplu gönderim aracına dönüşmesini engellemek içindir. Ama sistem niyetinizi bilemez: kod gecikti diye yedi kez istediğinizde davranışınız bir saldırının ilk adımlarına benzer. Telegram özelinde bu kilidin nasıl işlediğini Telegram çok fazla deneme yazısında anlattık.

Sınırlamaya ek olarak uygulamalar birkaç katman daha kullanır. Her biri kullanıcı tarafında farklı bir belirti olarak görünür:

• CAPTCHA ve bot kontrolü: "Kod gönder" düğmesinden önce resim seçtirme, kutucuk işaretletme ya da arka planda çalışan görünmez kontroller. Formun otomatik yazılımlarca kullanılmasını zorlaştırır.
• Ülke izinleri: Uygulama SMS gönderdiği ülkeleri kısıtlayabilir. Kötüye kullanımın yoğun görüldüğü ülkelere SMS kapatılabilir ya da yalnızca sesli arama veya uygulama içi doğrulama sunulabilir.
• Numara aralığı ve tür kontrolü: Belirli numara bloklarına, VoIP ya da sabit hatlara kod gönderilmeyebilir. Uyarı genellikle "geçersiz numara" ya da "bu numara kullanılamaz" biçimindedir.
• Risk puanı: Cihaz, bağlantı ve davranış birlikte değerlendirilir; şüpheli görülen istekler sessizce düşürülebilir. Bu durumda ekranda "kod gönderildi" yazsa bile SMS hiç yola çıkmamış olabilir.

Sanal numarayla SMS onay alırken karşılaşılan sorunların bir kısmı doğrudan bu önlemlerden kaynaklanır. Bir ülke bir uygulamada kötüye kullanım nedeniyle kısıtlanmışsa o ülkeden alınan numaraya kod gelmez; bu, numaranın bozuk olduğu anlamına gelmez. Aynı ülke başka bir uygulamada sorunsuz çalışabilir. Numara aralıklarını sıkı denetleyen WhatsApp SMS onay gibi işlemlerde bu fark daha belirgindir.

Bir SMS onay sitesi bu kısıtları ortadan kaldıramaz; yapabileceği, kodun hangi ülkelerde gerçekten geldiğini size göstermektir. SMS Onay Evi'nde her ülke satırında canlı stok ve o uygulama için başarı oranı rozeti görünür. Kod gelmezse ücret iade edilir. Ülke seçmek istemiyorsanız kod garantili mod ülkeleri sizin yerinize sırayla dener; her ülkede 5 dakika bekler ve en fazla 3 ülke dener. Hangi ülkelerin genellikle iyi sonuç verdiğini SMS onay için en iyi ülkeler yazısında anlattık.

Deneme sınırına takılmamak için şu beş alışkanlık yeterlidir:

• Kodu bir kez isteyin ve bekleyin. SMS birkaç dakika gecikebilir. Sayaç bitmeden yeni kod istemeyin.
• En fazla bir kez daha isteyin. İki denemede gelmeyen kod üçüncüde de büyük ihtimalle gelmez; art arda istekler ise sizi deneme sınırına taşır.
• Numarayı değil ülkeyi değiştirin. Sanal numarada kod gelmezse aynı ülkeden art arda numara almak yerine başarı oranı daha yüksek bir ülke deneyin. Fiyatı düşük ama rozeti gri olan ülke genellikle vakit kaybettirir; fiyatla oranı birlikte okumayı ucuz SMS onay rehberinde anlattık.
• Beklerken cihaz ve bağlantı değiştirmeyin. Kısa sürede farklı cihazlardan ya da bağlantılardan gelen istekler risk puanını yükseltebilir.
• İade kuralını bilin. SMS Onay Evi'nde kod 20 dakika içinde gelmezse ücret kendiliğinden bakiyenize döner. Beklemek istemezseniz kartın üzerindeki geri sayım bitince numarayı iptal edebilirsiniz; bu süre numaraya göre değişir ve yaklaşık 2 dakika kadar sürebilir.

Kendi uygulamanızda SMS ile doğrulama kullanıyorsanız SMS pompalama faturanıza doğrudan yansır. Temel önlemler şunlardır:

• Hız sınırı koyun: Numara, cihaz, IP adresi ve oturum başına kod isteklerini sınırlayın; tekrar gönderme süresini her denemede uzatın.
• Ülke izinlerini daraltın: Yalnızca gerçekten kullanıcınız olan ülkelere SMS gönderin ve beklenmedik bir ülkeden gelen ani artışları izleyin.
• Dönüşüm oranını takip edin: Gönderilen kod sayısı ile doğrulanan kod sayısı arasındaki fark birden açılıyorsa trafik şişiriliyor olabilir.
• Bot kontrolü ekleyin: Kod gönder düğmesinin önüne görünmez ya da etkileşimli bir bot kontrolü koyun.
• Harcama sınırı ve uyarı tanımlayın: SMS sağlayıcınızda günlük bütçe ve olağan dışı trafik uyarısı açın.
• Alternatif kanallar sunun: Uygun olduğunda e-posta, doğrulayıcı uygulama ya da passkey ile doğrulama, SMS'e bağımlılığı ve saldırı yüzeyini azaltır.