Кейс · 02 · Информационная безопасность

Защита бюджета OTP-кодов

Злоумышленники генерировали случайные номера, запрашивали одноразовые коды авторизации и сжигали сотни тысяч рублей в сутки. Фильтр аномалий перестал отправлять такие СМС, но отвечал без подсказки: бот продолжал платить за атаку, а её отражение для нас стало бесплатным.

• Отделили реальные запросы кода от массовой генерации случайных телефонов
• Не отправляли СМС на подозрительные номера и не тратили бюджет
• Учитывали, что после каждой защиты злоумышленник возвращался через неделю с новым обходом
• Не раскрывали факт блокировки, чтобы злоумышленник не мог быстро перестроить атаку

В итоге каждая новая волна скрутки стоила денег атакующему, но больше не списывала SMS-бюджет сервиса.