AIT: qué es y por qué es importante

AIT: qué es y por qué es importante

Pocas personas fuera de los círculos especializados en tecnología habían oído hablar de la AIT hasta este año; ahora es una especie de frase de moda.

La razón más importante es: Elon Musk.

El personaje de más alto perfil del sector tecnológico -el hombre franco y performativo que está detrás de PayPal, Tesla, SpaceX y los cohetes al espacio- lo arrastró gritando hacia el centro de atención en los primeros días de su nuevo papel como propietario de Twitter.

“Descubrí que Twitter estaba siendo estafado por valor de 60 millones de dólares al año por mensajes SMS”, se enfureció. “Básicamente, hay empresas de telecomunicaciones que no están siendo muy honestas, en otras partes del mundo, y que básicamente estaban manipulando el sistema y enviando SMS con autenticación de dos factores una y otra vez, y creando millones de cuentas de bots para que Twitter les enviara SMS y les pagara millones de dólares, sin siquiera preguntarles”.

Elon – bienvenido al Tráfico Artificialmente Inflado.

Como muchas cosas en el mundo digital, esta prolija frase suele reducirse a su acrónimo, AIT. O a veces se describe alternativamente como AGT -Tráfico Generado Artificialmente-, pero viene a ser lo mismo.

Y la descripción de Musk fue bastante acertada, aunque suele describirse con algo menos de franqueza.

Se trata esencialmente de un escenario en el que los actores maliciosos utilizan bots para registrar nuevas cuentas en sitios web, y cada nueva solicitud genera automáticamente el envío de un código de acceso de un solo uso (OTP) por SMS.

La razón por la que lo hacen es que el cliente final -en el caso de Musk, Twitter- pagará la factura de los mensajes OTP enviados a todas estas cuentas de bots. Y aunque la cantidad cobrada por cada mensaje enviado es relativamente baja, si esos bots pueden generar cientos de miles o incluso millones de nuevas solicitudes, la suma total para el estafador puede ser muy lucrativa.

Inflando artificialmente el tráfico, generan ingresos en ausencia de un solo cliente nuevo real.

Y, como dice Musk, como el pago se produce casi automáticamente, el dinero puede desaparecer antes de que nadie se dé cuenta de que está ocurriendo. Los estafadores trabajarán además este aspecto bajo el radar deliberadamente. Por ejemplo, les gusta iniciar una oleada de solicitudes un viernes por la noche, cuando es menos probable que se detecten -y se aborden- durante horas que en otro momento.

Pero donde Musk sí simplifica demasiado es en su atribución de culpas: “hay telecos que no están siendo súper honestas”.

Esta afirmación reductora sugiere que hay un único culpable visible para cada estafa AIT; de hecho, resulta exasperante que casi siempre no lo haya, lo que hace tan difícil denunciar al infractor y dejar de comerciar con él.

Esto se debe a la complejidad de las cadenas digitales que intervienen en estos procesos, con múltiples agencias que interactúan entre sí y cada una paga y recibe comisiones en pequeñas cantidades.

Por lo tanto, intentar identificar al “culpable” e iniciar sanciones contra él después de que “lo haya hecho” suele ser una empresa condenada al fracaso: es muy difícil averiguar quién es el culpable y, si interrumpes especulativamente las conexiones existentes, podrías estar cortando el paso a auténticos nuevos clientes a los que, por supuesto, estás desesperado por captar.

Tiene mucho más sentido adoptar los procedimientos más actualizados en el momento del alta. Utilizando procesos de filtrado basados en datos de telecomunicaciones, las empresas de acogida pueden detectar en segundos si el número utilizado en el punto de inscripción es auténtico y está conectado a una persona real. Nuestra versión de esto se llama TMT Authenticate , pero hay otros productos disponibles, como dicen en la BBC. La cuestión con estos procedimientos es que no dejas que tu plataforma se inunde de clientes falsos, de modo que ya no sabes quién es real y quién no, y no necesitas enviar OTPs en absoluto porque la seguridad de la verificación es de tan alta integridad que simplemente no son necesarios. Por tanto, no hay riesgo alguno de ataques AIT.

Pero, por supuesto, a veces simplemente no estás en el lugar adecuado para destrozar tus procedimientos de onboarding y empezar de nuevo. Si todavía necesitas utilizar OTPs enviados por SMS como herramienta de comunicación con el cliente, tenemos un producto alternativo, TMT TeleShieldque puede funcionar con lo que tienes y hacerlo mucho más seguro. Esto elimina los números de bots y garantiza que sólo los números auténticos y activos vinculados a una persona real en el lugar que dicen estar puedan recibirlos, y bloquea, por ejemplo, los números de tarificación adicional o los números no válidos vinculados a intentos de AIT.

Musk, característicamente, intentó idear su propia solución: “Dije que se cortara el suministro a cualquier empresa de telecomunicaciones que tuviera un fraude superior al 10%. Eso ha causado estragos en muchas partes del mundo. Ahora nos dirigimos a las empresas de telecomunicaciones y les decimos: ‘Escuchad, si dejáis de estafarnos, os pagaremos gustosamente una cierta cantidad de dinero por los SMS, pero no podéis hacer la vista gorda’. Aceptaremos el 10% de fraude, pero no el 90%”.

No estoy seguro de que este enfoque pueda llegar a ser funcional o incluso rentable. Es mucho más barato invertir en protocolos para evitar el problema. Pero Musk será Musk.

Para el resto de nosotros se trata más bien de formas prácticas de avanzar. Porque, por supuesto, este asunto es global. Twitter es sólo la punta de un iceberg AIT muy lucrativo y resbaladizo.