Cómo detener un ataque de verificación móvil

Algo que podría considerar es un período de recuperación para una IP después de que solicitó la verificación de SMS. Esto no resolvería un ataque distribuido como se indica en la pregunta, pero limitaría en gran medida el efecto de un ataque de origen único. La efectividad de un ataque distribuido también se reduciría en cierta medida.

Aunque esta podría no ser la mejor solución para su problema, es algo que debe considerarse como una capa adicional de su seguridad.

Los grandes sitios web tratan esto por volumen. Tienen paquetes de SMS grandes, básicamente "SMS ilimitados", por lo que incluso miles de SMS maliciosos no los "morderán".

Para sitios más pequeños, generalmente es mejor tener un sistema de solicitud-respuesta. Hay 2 cosas que puedes hacer:

O bien, tiene un número de SMS premium y cobra la tarifa equivalente que tiene el costo de enviar el SMS; 5 centavos por ejemplo. Normalmente, con las tarifas de los operadores y todo lo agregado, se obtendrá una tarifa final para el usuario final de 0,1 $ por SMS. Esta es la solución más segura, ya que el usuario que se registra debe enviar un SMS desde su teléfono a su servicio para recibir un código de "registro" o de autenticación de una sola vez, y luego la solución será básicamente gratuita para usted (a excepción del cuota mensual).

La otra solución es utilizar SMS con carga inversa. Esto significa que usa un paquete que le permite enviar SMS "con carga inversa", como el receptor paga por el SMS. Por lo general, esto significa que el operador del cliente cobrará el SMS en su tarifa, por lo tanto, la tarifa pagada por el cliente variará según el operador que el cliente utilice. El problema con esto es que algunas tarjetas prepagas no permiten el ingreso de SMS con carga inversa (ya que esto puede hacer que la tarjeta se vuelva negativa). El segundo problema es que si el servicio se usa de manera maliciosa, los usuarios recibirán un cargo por los SMS que no solicitaron, por lo que debe limitarlo en consecuencia, como 1 SMS por 7 días y número de teléfono.

La adición de Google recaptcha evitará las solicitudes automatizadas y también funciona en dispositivos móviles, pero no evitará las solicitudes maliciosas manuales.

Si es posible, entrégueles el código en su aplicación web y pídales que le envíen un mensaje de texto en lugar de hacerlo al revés.