你发出的每一条登录验证码，都可能被「不存在的人」收走。2025年，全球最大规模的SMS pumping（短信灌注）攻击让一家法国平台单月拦下186万次 fraudulent 请求——而这只是冰山一角。据 CFCA 2025年调查，全球电信欺诈损失已达418.2亿美元，其中与SMS pumping密切相关的国际结算分成欺诈（IRSF）单2023年就吞噬62.3亿美元。本文解剖这条最隐蔽的黑产链：企业为「幽灵用户」的短信账单买单，猫池与灰色运营商坐地分赃；拆解 Twilio、Prelude 等平台的实测数据与法国、尼日利亚、马达加斯加三场典型围猎，最后给出一套工程师可直接落地的反制清单。
任何平台，只要用手机号注册、找回密码、二次登录，就天然拥有一条「自动发短信」的流水线：用户提交号码 → 系统生成验证码 → 短信网关下发 → 用户回填 → 登录完成。
问题在于这条流水线的第一环。系统只验证「号码格式是否合法」，从不验证「提交者是不是真人」「号码是不是他的」「他到底想不想登录」。攻击者要做的，就是写一个脚本，伪装成用户，把成千上万个手机号塞进这个入口。
2025年，认证安全平台 Prelude 发布了年度短信欺诈报告，样本量是2.05亿次真实认证请求。结果：拦下2430万次欺诈请求，占总流量的11.83%——每8次验证码申请，就有1次是假的。这些假请求产生的短信，全部由被攻击平台付钱。
最讽刺的是，很多公司根本没发现。因为短信费在生产成本里属于「随业务量增长的可变成本」，账单涨了，财务默认是用户涨了，产品团队看DAU（日活跃用户）涨了，还在开香槟庆祝增长。攻击流量被计入了DAU，假繁荣掩盖了真账单。Prelude 在报告里专门用一节讲这件事：很多欺诈能潜伏数年，是因为它在污染你的增长指标。
这是理解SMS pumping的钥匙，也是它区别于短信轰炸、验证码窃取等其他短信类攻击的根本。
攻击者的脚本对着验证码入口狂轰滥炸，触发平台向一批手机号发出海量短信。但请注意两个细节：
那他图什么？答案是：短信本身。
全球短信网络有一套延续几十年的结算体系：跨网短信落地到某张网，那张网的运营商就赚一笔「落地结算费」（termination fee）。一个与诈骗团伙勾结的运营商（或它控制的灰色代理），每落地一条短信就赚一份钱，然后按约定把其中一部分返还给触发这些短信的攻击者。
于是形成闭环：攻击者触发一百万条短信 → 企业向云通信商（CPaaS）付费一百万条 → CPaaS向目标运营商支付结算费 → 运营商返点给攻击者。企业自掏腰包，给黑产发了工资。哪怕每一次登录都失败、每一个验证码都没人看，攻击照样赚钱。CybelAngel 在分析中点破了这句话的本质：「那句话就是全部罪行」——攻击者控制一段号段，诱导合法企业向这些号段发短信，再通过落地费分成收钱。
把整条链路画出来，你会看清为什么它如此难缠：
flowchart TD
A["攻击脚本伪装用户"] --> B["企业验证码接口"]
B --> C["生成验证码下发短信"]
C --> D["CPaaS短信网关"]
D --> E["国际短信结算网络"]
E --> F["灰色落地运营商"]
F --> G["猫池号卡批量收码"]
G --> H["落地费沉淀在灰网"]
H --> I["按约定返点给攻击者"]
I --> A
J["企业为全部短信买单"] -.-> C
K["真实用户被挤占通道"] -.-> C
这张图里，除了最右一环「返点」，其余每一笔交易在商业上都是合法的：企业买CPaaS服务天经地义，CPaaS向运营商支付结算费是行业惯例，运营商收落地费是国际通则。正是这种「每一环都干净、合起来是犯罪」的结构，让它在任何单点都无法被彻底拦死——这就是它比 DDoS 更阴的地方：DDoS 攻击的是可用性，它攻击的是信任与结算模型本身。
Prelude 的2025年报告里，三场攻击呈现出三种截然不同的战术风格，合起来几乎是一部教科书。
第一场：法国，2025年10月——重炮压顶。 10月8日22点（UTC）开打，起始每小时585次请求，看似风平浪静；10月9日上午爬升到5000+次/小时；10月10-11日7×24小时不间断；10月12日达到峰值每小时1.2万-1.5万次；10月14日16点攻击退潮。整场攻击单月产生186万次被拦截请求，拦截率41.31%。它同时打击了法国三大运营商（SFR、Orange、Bouygues），但火力高度集中在特定MVNO（虚拟运营商）号段——例如 +3365041、+3366916、+3366915 这几个前缀，单个号段被拦超过4万次。MVNO号段成为靶心的原因很直接：欺诈管控相对薄弱，且更容易建立有利的结算分成安排。
第二场：尼日利亚，2025年5月——闪电突袭。 5月12日21点（UTC）突然开火，第一个小时就打了16797次请求；随后12小时内持续在每小时6万-8.7万次；5月13日08:00戛然而止。这12小时里，尼日利亚流量的96.7%都是欺诈，且几乎全部打向单一运营商（MTN Nigeria，MCC-MNC 621-60）。这是典型的「打了就跑」：赶在防御方反应过来之前，把利润抽干就撤。
第三场：马达加斯加，2025年6月——细水长流。 整个6月持续输出99.6万次请求，拦截率高达98.64%——意味着那段时间里，该平台发往马达加斯加的验证码流量，几乎100%是黑的。但它的规模控制得极其克制，不搞尖峰，只做平稳的低速流量，整整铺满一个月。这种模式几乎必然背后是长期稳定的分成合约，而不是短期投机——攻击者和某张网已经形成了「月结」的生意。
三场对比：
| 维度 | 法国（2025-10） | 尼日利亚（2025-05） | 马达加斯加（2025-06） |
|---|---|---|---|
| 战术 | 重炮压顶 | 闪电突袭 | 细水长流 |
| 持续时长 | 7天 | 约12小时 | 整月 |
| 峰值请求 | 1.2-1.5万/时 | 8.7万/时 | 平稳低速 |
| 单月拦截量 | 186万 | 76.3万 | 99.6万 |
| 拦截率 | 41.31% | 96.7%（尼全国流量） | 98.64% |
| 打击目标 | 三大运营商多MVNO号段 | 单一运营商MTN | Telma（MCC-MNC 646-04） |
| 推测模式 | 自动化吞吐 | 快进快出抽水 | 长期分成合约 |
把2.05亿样本摊开看，攻击者呈现出的「职业素养」令人咋舌：
极度头部的集中度。 法国一国占了全部被拦请求的13.19%（319.8万次）；前几名（法国、印尼、马达加斯加、马来西亚、尼日利亚）加起来占比接近30%。运营商维度更夸张：马达加斯加 Telma 一个网就吃下4.40%的全球拦截量。攻击者不是漫无目的撒网，而是精准锁定少数几张「结算利润高、防御薄弱」的网络。
诡异的时间偏好。 一周里周二是被攻击最狠的一天（占18.2%），周日最低（11.4%）；一天里高峰在06:00-07:00 UTC、03:00-04:00 UTC、22:00-23:00 UTC——都是目标企业夜班人最少、响应最慢的时段。攻击者在挑你最困的时候上门。
机器学习成为主战场。 Prelude 拦下的2430万次欺诈里，77.85%靠ML风控模型（Smart Antispam），静态规则（黑名单、频次阈值、号码格式校验）合计只贡献了约20%。原因在于攻击基础设施全面转向住宅代理（residential proxy）——IP来自真实家庭宽带，轮换成本低、难以被封禁，静态规则形同虚设。
每一条规律都在提醒企业： 那些你以为的「自然增长」，可能是一次精心设计的财务漏洞。Twilio 自2022年推出 Verify Fraud Guard 以来，累计为客户拦下超过6200万美元的 pumping 损失、拦截5.69亿次可疑请求——这个数字本身就说明，就算不是 Twitter 那种年损6000万美元的巨无霸，中小企业在这条看不见的战线上失血的总量，已经大到 CPaaS 不得不把它做成一个单独的产品线。
防线不缺，缺的是部署的深度。综合 Twilio、Prelude、Infobip、CybelAngel 的公开实践，有效的反制分三层：
第一层：掐断攻击者的经济学。 攻击者不需要很高的成功率，只需要「账能算平」。任何让单次攻击成本上升的措施都在瓦解它：
第二层：多信号交叉验证。 号码是弱身份信号，必须叠加：设备指纹（如JA4）、IP信誉、请求速度、行为模式、浏览器/APP attestation。发送前加一道人机校验（CAPTCHA），或改成用户主动点击「发送验证码」而非自动发送。
第三层：绕开短信这个通道。 长期看，让攻击者无码可触发才是终极解：WhatsApp/RCS验证、运营商一键登录、FIDO2/Passkey。一个不发短信验证码的平台，天然免疫SMS pumping——这可能是说服老板迁Passkey最硬的财务理由。
按优先级排序，前三条是止血，后三条是断根：
| 优先级 | 措施 | 预期效果 |
|---|---|---|
| P0 | 发送前人机校验 + 用户主动触发 | 挡掉绝大多数脚本批量请求 |
| P0 | 号段级限速（前缀6-8位） | 即便被穿透，损失封顶 |
| P0 | 国家/地区白名单 | 消灭无业务覆盖国家的流量 |
| P1 | 运营商维度基线告警 + 自动限流 | 把发现时间从「月」缩到「分钟」 |
| P1 | 「发送-回填转化率」监控（某国转化率骤降即告警） | 最早的内部信号，比账单早几周 |
| P2 | 迁移 Passkey / RCS / 运营商一键登录 | 根除攻击面 |
| P2 | 与CPaaS签欺诈赔付条款 | 转移残余风险 |
SMS pumping 这个名字容易让人误以为它是「垃圾短信」的近亲，但它实际是对企业认证基础设施的一次经济学攻击：不破密码、不偷账号、不留任何SIEM告警，却让企业在每个月的电信账单里持续失血，同时用假流量污染你的增长仪表盘，让管理层在错误的信号上做出决策。
对运营商而言，这个故事还有一个更冷的注脚：灰色落地运营商在全球结算网络里永远存在，只要结算分成模型还在，打击就永远是猫鼠游戏。Prelude 的判断是——组织一旦快速反击打破攻击者经济学，就很少被二次攻击；反之则会成为惯犯的目标。 安全从来不是静态的墙，而是一场「谁的账先算不平谁先退场」的消耗战。
短信作为认证通道正在走进黄昏。它太贵、太慢、太容易被滥用。但它不会立刻消失——而这个过渡期，恰恰是 SMS pumping 黑产最肥的窗口。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。