Защита сайта от СМС-бомберов
Бомбер — сервис, который заваливает чей-то телефон звонками и СМС. Работает он через формы на чужих сайтах — возможно, и на вашем. Объясняем, как это устроено и как перестать быть частью атаки.
Содержание
Коротко
- Бомбер подставляет номер жертвы в формы на тысячах сайтов — и ваш сайт звонит или пишет ей.
- Если форма шлёт СМС, атака стоит вам денег.
- Главное — лимит на номер и IP и проверка, что форму отправил человек.
Как работает бомбер
Бомбер знает адреса тысяч форм в интернете: заявки, обратный звонок, вход по СМС, подписка. Получив номер жертвы, он одновременно отправляет его во все эти формы. В результате человеку звонят менеджеры десятков компаний и приходят коды подтверждения.
Для владельца сайта это выглядит как обычная заявка — с настоящим номером. Только человек на том конце ничего не оставлял и очень недоволен.
Чем это опасно для вас
- Деньги на СМС. Если форма отправляет СМС-код или уведомление, каждую рассылку оплачиваете вы. Бомбер может потратить весь баланс СМС-сервиса за ночь.
- Звонок вашего менеджера человеку, которого атакуют, — гарантированный негатив и жалобы.
- Мусор в CRM и целях рекламы.
- Блокировки у СМС-провайдера или операторов за подозрительные рассылки.
- Отправлено СМС
- —
- Стоимость
- —
Признаки, что ваши формы использует бомбер
- серии заявок на один номер за короткое время;
- много заявок с разными номерами и пустыми или случайными именами;
- резкий рост отправленных СМС-кодов без роста регистраций;
- люди отвечают, что ничего не оставляли.
Как защитить формы
- Лимит на номер. Не больше 1–2 заявок или СМС на один номер в течение, например, часа. Это главная мера, особенно для форм с СМС-кодом.
- Лимит на IP и сессию. Бомберы часто отправляют формы с серверов.
- Не отправлять СМС мгновенно на новые номера без проверки посетителя.
- Проверять отправителя. Бомбер — это программа, а не человек в браузере. Антибот на сервере видит это до того, как заявка попадёт в CRM или уйдёт СМС.
- Капча как запасной вариант — отсекает часть бомберов, но мешает людям.
nbots проверяет отправителя формы на сервере и отсекает бомберов, фейковые номера и ботов. Номер при этом не хранится в открытом виде — только хеш и маска. Подробнее о защите форм — в статье про спам-заявки.
Частые вопросы
Как бомбер использует мой сайт?
Бомбер подставляет номер жертвы в формы на тысячах сайтов. Ваш сайт отправляет человеку СМС или передаёт номер менеджеру — и становится частью атаки.
Как защитить форму с СМС-кодом от бомбера?
Ограничить число СМС на один номер и IP, не отправлять код без проверки посетителя и отсекать отправки от программ, а не людей. Капча помогает частично.
Что делать, если на сайт пошли заявки от бомбера?
Не перезванивать по этим заявкам, временно включить лимит заявок на номер и подключить проверку отправителя на сервере.
Законно ли использовать бомберы?
Массовые звонки и СМС на чужой номер без согласия нарушают права человека и могут повлечь ответственность. Владельцам сайтов важно не дать использовать свои формы в таких атаках.
Почему бомберы выбирают именно мой сайт?
Бомберу подходит любая форма, которая мгновенно звонит или шлёт СМС на указанный номер без проверок. Сайт попадает в базу автоматически.
Поможет ли капча от бомберов?
Частично. Продвинутые бомберы решают капчу через сервисы распознавания. Надёжнее лимиты на номер и проверка посетителя.
Как понять, что атака закончилась?
Число заявок и СМС на новые номера вернулось к обычному уровню, а повторов на один номер нет. Лимиты лучше оставить включёнными навсегда.