Спам форм, накрутка заявок и SMS-бомбинг

Сценарии

Сценарий	Ущерб
Спам в формах обратной связи	Менеджеры тратят время, настоящие заявки теряются
Накрутка заявок конкурентом	Искажение аналитики и расход рекламного бюджета
Массовые регистрации	Злоупотребление бонусами и пробными периодами
SMS-бомбинг	Счёт за SMS и блокировка отправителя оператором

Признаки

Заявки с бессмысленными именами, одинаковым текстом или ссылками на сторонние сайты.
POST-запросы к обработчику формы без предварительной загрузки страницы с формой.
Форма заполнена за доли секунды или заполнено скрытое поле, которое человек не видит.
Всплеск запросов кода подтверждения на номера одного диапазона или зарубежных операторов.
Регистрации на одноразовые почтовые адреса сериями, с одинаковым отпечатком клиента.

Отличие от настоящих заявок

Рост заявок после рекламной кампании или публикации — нормальное явление. Настоящие посетители приходят с рекламных и поисковых переходов, проводят на странице время, заполняют поля с ошибками и исправлениями. Ботовые заявки обычно идут прямо в обработчик, без визита на сайт, и не оставляют следов в веб-аналитике.

Сколько это стоит

Самый прямой ущерб — SMS-бомбинг: каждая отправка кода оплачивается, а при атаке на международные номера стоимость одного сообщения бывает в разы выше обычной. Кроме счёта, оператор может временно заблокировать имя отправителя за подозрительную активность — и тогда коды не придут и настоящим клиентам. Спам в формах обходится дешевле, но съедает время отдела продаж и прячет настоящие обращения.

Защита

Проверка браузера перед отправкой формы для подозрительных источников.
Жёсткие лимиты на отправку кодов подтверждения по номеру и источнику, ограничение стран, в которые разрешена отправка.
Скрытые поля-ловушки и проверка времени заполнения формы.
Блокировка сетей, с которых идёт спам, — см. гео- и ASN-фильтры.
Лимиты частоты на сам обработчик формы, а не только на страницу.

Вопросы и ответы

Чем это лучше капчи?

Капча мешает всем посетителям и снижает конверсию форм. Проверка браузера показывается только подозрительным источникам, а остальные заполняют форму как обычно.

Как защитить форму, которая отправляется в CRM напрямую?

Защищать нужно адрес, на который отправляются данные. Если форма шлёт их сразу во внешний сервис, ограничения на вашем сайте не помогут — лучше перевести отправку через свой обработчик.

Что делать, если SMS-бомбинг уже идёт?

Временно ограничьте отправку кодов: по странам, по числу запросов на номер и с источника, включите проверку браузера на форме запроса кода. Затем разберите журналы, чтобы настроить постоянные правила.