Detecta y evita el fraude por SMS

En este documento, se muestra cómo usar SMS defense para detectar y prevenir ataques de SMS pumping en empresas que dependen de los SMS para la autenticación de dos factores (2FA) o la verificación telefónica, que son objetivos potenciales del fraude de cargos telefónicos por SMS.

La autenticación basada en SMS (2FA y acceso) es un estándar de la industria para la seguridad de acceso y registro, pero no brinda protección contra el fraude de cargos telefónicos por SMS ni el fraude de SMS pumping. Antes de enviar un SMS, SMS defense te proporciona una puntuación de riesgo que indica la probabilidad de que ese número de teléfono cometa fraude de cargos telefónicos por SMS. Según esta puntuación, puedes permitir o bloquear los mensajes SMS fraudulentos antes de que se envíen a tu proveedor de SMS.

La puntuación de riesgo de SMS defense funciona de forma inversa en comparación con la puntuación global de reCAPTCHA. Una puntuación de riesgo de SMS defense de 0.0 muestra una baja confianza en que se produzca fraude de cargos telefónicos por SMS, mientras que una puntuación de riesgo de 1.0 muestra una alta confianza en que se produzca fraude de cargos telefónicos por SMS. Para obtener más información sobre las puntuaciones de reCAPTCHA, consulta Cómo interpretar las evaluaciones para sitios web. Si usas Firebase Authentication o Identity Platform, consulta la documentación de Identity Platform.

Para obtener más información, consulta el blog sobre la defensa contra SMS.

Antes de comenzar

Según si ya eres usuario de reCAPTCHA o si es la primera vez que lo usas, sigue las instrucciones de la pestaña correspondiente:

Usuario existente de reCAPTCHA

Si ya usas reCAPTCHA, habilita la función SMS defense en tu proyecto de Google Cloud :

  1. En la consola de Google Cloud , ve a la página de reCAPTCHA.

    Ir a reCAPTCHA

  2. Verifica que el nombre de tu proyecto aparezca en el selector de recursos.

    Si no ves el nombre de tu proyecto, haz clic en el selector de recursos y, luego, selecciona tu proyecto.

  3. Haz clic en Configuración.

  4. En el panel SMS defense, haz clic en Configurar.

  5. Haz clic en el botón de activación Habilitar y, luego, en Guardar.

    La habilitación de la defensa contra SMS puede tardar unos minutos en propagarse a nuestros sistemas. Una vez que la habilitación de la función se propague a nuestros sistemas, comenzarás a recibir respuestas relacionadas con SMS defense como parte de las evaluaciones.

Usuario nuevo de reCAPTCHA

Si es la primera vez que usas reCAPTCHA, haz lo siguiente:

  1. Según si deseas usar la defensa contra SMS en un sitio web o una aplicación para dispositivos móviles, sigue estos pasos para integrar reCAPTCHA:

  2. Habilita la función SMS defense en tu proyecto de Google Cloud :

    1. En la consola de Google Cloud , ve a la página de reCAPTCHA.

      Ir a reCAPTCHA

    2. Verifica que el nombre de tu proyecto aparezca en el selector de recursos.

      Si no ves el nombre de tu proyecto, haz clic en el selector de recursos y, luego, selecciona tu proyecto.

    3. Haz clic en Configuración.

    4. En el panel SMS defense, haz clic en Configurar.

    5. Haz clic en el botón de activación Habilitar y, luego, en Guardar.

      La habilitación de la defensa contra SMS puede tardar unos minutos en propagarse a nuestros sistemas. Una vez que la habilitación de la función se propague a nuestros sistemas, comenzarás a recibir respuestas relacionadas con SMS defense como parte de las evaluaciones.

Crea una evaluación con el número de teléfono

Para SMS defense, crea evaluaciones con el token que genera la función execute() y el número de teléfono, ya sea con las bibliotecas cliente de reCAPTCHA o la API de REST desde tu backend.

En este documento, se muestra cómo crear una evaluación con la API de REST. Para obtener información sobre cómo crear una evaluación con las bibliotecas cliente, consulta Crea evaluaciones.

Antes de crear una evaluación, haz lo siguiente:

  • Configura la autenticación en Fraud Defense.

    El método de autenticación que elijas dependerá del entorno en el que se configure Fraud Defense. En la siguiente tabla, se te ayuda a elegir el método de autenticación adecuado y la interfaz compatible para configurar la autenticación:

    Entorno Interfaz Método de autenticación
    Google Cloud
    • REST
    • Bibliotecas cliente
    		 Usa cuentas de servicio conectadas.
    Local o en un proveedor de servicios en la nube diferente REST Usa claves de API o la federación de identidades para cargas de trabajo.

    Si quieres usar claves de API, te recomendamos que las protejas aplicando restricciones.
    Bibliotecas cliente

    Para ello, usa los siguientes recursos:

  • Elige un identificador de cuenta estable accountId que el usuario no cambie con frecuencia y proporciónalo a la evaluación en el método projects.assessments.create. Este identificador de cuenta estable debe tener el mismo valor para todos los eventos relacionados con el mismo usuario. Puedes proporcionar lo siguiente como identificador de la cuenta:

    Identificadores de usuario

    Si cada cuenta se puede asociar de forma única con un nombre de usuario, una dirección de correo electrónico o un número de teléfono estables, puedes usarlo como accountId. Cuando proporcionas esos identificadores entre sitios (identificadores que se pueden reutilizar en diferentes sitios), Fraud Defense usa esta información para mejorar la protección de tus cuentas de usuario en función de los modelos entre sitios, ya que marca los identificadores de cuentas abusivas y usa el conocimiento de los patrones de abuso entre sitios relacionados con estos identificadores.

    Como alternativa, si tienes un ID de usuario interno asociado de forma única a cada cuenta, puedes proporcionarlo como accountId.

    Con hash o encriptado

    Si no tienes un ID de usuario interno asociado de forma única a cada cuenta, puedes convertir cualquier identificador estable en un identificador de cuenta opaco y específico del sitio. Este identificador sigue siendo necesario para que Fraud Defense protección de cuentas comprenda los patrones de actividad del usuario y detecte comportamientos anómalos, pero no se comparte en otros sitios.

    Elige cualquier identificador de cuenta estable y hazlo opaco antes de enviarlo a Fraud Defense. Para ello, usa encriptación o hash:

    • Encriptación (recomendada): Encripta el identificador de la cuenta con un método de encriptación determinístico que produzca un texto cifrado estable. Para obtener instrucciones detalladas, consulta cómo encriptar datos de forma determinística. Cuando eliges el cifrado simétrico en lugar del hash, no necesitas mantener una asignación entre tus identificadores de usuario y los identificadores de usuario opacos correspondientes. Descifrar los identificadores opacos que devuelve Fraud Defense para convertirlos en el identificador de usuario

    • Codificación hash: Recomendamos codificar el identificador de la cuenta con el método SHA256-HMAC y una sal personalizada de tu elección. Dado que los hashes son unidireccionales, debes mantener una asignación entre los hashes generados y tus identificadores de usuario para poder asignar el identificador de cuenta con hash que se devuelve a las cuentas originales.

Agrega el parámetro accountId y el número de teléfono en formato E.164 como el UserId que se verificará en la evaluación en el método projects.assessments.create.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

  • PROJECT_ID: Es el ID del proyecto de Google Cloud .
  • TOKEN: Es el token que se muestra a partir de la llamada grecaptcha.enterprise.execute().
  • KEY_ID: Es la clave basada en la puntuación que instalaste en tu sitio web.
  • ACCOUNT_ID: Es un identificador de una cuenta de usuario que es único para tu sitio web.
  • PHONE_NUMBER: Es el número de teléfono que se debe verificar para detectar si es malicioso. El número de teléfono debe estar en formato E.164 y no debe estar codificado con hash ni encriptado.

Método HTTP y URL: 

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/assessments

Cuerpo JSON de la solicitud:


{
  "event": {
    "token": "TOKEN",
    "siteKey": "KEY_ID",
    "userInfo": {
      "accountId": "ACCOUNT_ID",
      "userIds": [
        {
          "phoneNumber": "PHONE_NUMBER"
        }
      ]
    }
  }
}

Para enviar tu solicitud, elige una de estas opciones:

curl

Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/assessments"

PowerShell

Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/assessments" | Select-Object -Expand Content

Deberías recibir una respuesta JSON similar a la que se muestra a continuación:


{
  "event": {
     …
  },
  "name": "ASSESSMENT_ID",
  "phoneFraudAssessment": {
    "smsTollFraudVerdict": {
      "risk": 0.3
    }
  }
}

La respuesta que recibes incluye la puntuación risk en el campo phoneFraudAssessment.smsTollFraudVerdict . Cuanto más alta sea la puntuación, es más probable que el número de teléfono sea riesgoso. Cuanto más baja sea la puntuación, es más probable que el número de teléfono sea legítimo.

Eres responsable de las acciones que tomes en función de la evaluación. Para la integración más simple, puedes establecer umbrales en phoneFraudAssessment.smsTollFraudVerdict.risk para que contribuyan a tu decisión.

Anota la evaluación

Para hacer un seguimiento del tráfico de SMS y mejorar la detección de fraude, debes anotar las evaluaciones en un plazo de 10 minutos después de que se envíe el SMS o después de que se verifique correctamente el número de teléfono.

Para anotar una evaluación, envía una solicitud al método projects.assessments.annotate con el ID de la evaluación. En el cuerpo de esa solicitud, incluye el número de teléfono en formato E.164 en el campo phoneAuthenticationEvent.

Para anotar una evaluación, haz lo siguiente:

  1. Determina la información y las etiquetas que se agregarán en el cuerpo de la solicitud JSON según tu caso de uso.

    En la siguiente tabla, se enumeran las etiquetas y los valores que puedes usar para anotar eventos:

    Etiqueta Descripción Ejemplo de solicitud
    reasons

    Obligatorio. Una etiqueta para respaldar tus evaluaciones.

    Proporciona detalles del evento en tiempo real en la etiqueta reasons en unos segundos o minutos después del evento, ya que influyen en la detección en tiempo real.

    Valores posibles:

    • INITIATED_TWO_FACTOR: Se envía un código de verificación por SMS.
    • PASSED_TWO_FACTOR: El código de verificación se verificó correctamente.
    • FAILED_TWO_FACTOR: El código de verificación no es válido.
    		 
        {
      "reasons": ["INITIATED_TWO_FACTOR"],
      "phoneAuthenticationEvent": {
        "phoneNumber": "+18005550175"
      }
    }
    annotation

    Es opcional. Es una etiqueta para indicar la legitimidad de las evaluaciones.

    Proporciona datos sobre los eventos de registro y acceso para validar o corregir tus evaluaciones de riesgo en la etiqueta annotation.

    Los valores posibles son LEGITIMATE o FRAUDULENT.

    Te recomendamos que envíes esta información unos segundos o minutos después del evento, ya que influye en la detección en tiempo real.

    		 
      {
   "annotation": "LEGITIMATE"
  }

  2. Crea una solicitud de anotación con las etiquetas adecuadas.

    Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

    • ASSESSMENT_ID: Es el valor del campo name que se devolvió de la llamada projects.assessments.create.
    • ANNOTATION: Opcional Es una etiqueta para indicar si la evaluación es legítima o fraudulenta.
    • REASONS: Son los motivos que respaldan tu anotación. Para obtener la lista de valores posibles, consulta valores de motivos.
    • PHONE_NUMBER: Es el número de teléfono que se evaluó. El número de teléfono debe estar en formato E.164 y no debe estar codificado con hash ni encriptado.

    Método HTTP y URL: 

    POST https://recaptchaenterprise.googleapis.com/v1/ASSESSMENT_ID:annotate

    Cuerpo JSON de la solicitud:

    {
  "annotation": ANNOTATION,
  "reasons": REASONS,
  "phoneAuthenticationEvent": {
    "phoneNumber": "PHONE_NUMBER"
  }
}

    Para enviar tu solicitud, elige una de estas opciones:

    curl

    Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

    curl -X POST \
         -H "Authorization: Bearer $(gcloud auth print-access-token)" \
         -H "Content-Type: application/json; charset=utf-8" \
         -d @request.json \
         "https://recaptchaenterprise.googleapis.com/v1/ASSESSMENT_ID:annotate"

    PowerShell

    Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

    $cred = gcloud auth print-access-token
    $headers = @{ "Authorization" = "Bearer $cred" }

    Invoke-WebRequest `
        -Method POST `
        -Headers $headers `
        -ContentType: "application/json; charset=utf-8" `
        -InFile request.json `
        -Uri "https://recaptchaenterprise.googleapis.com/v1/ASSESSMENT_ID:annotate" | Select-Object -Expand Content

    Deberías recibir un código de estado exitoso (2xx) y una respuesta vacía.

¿Qué sigue?