Problem z oszustwami Twilio

W Nowy Rok obudziło mnie 40 e-maili od Twilio, każdy z tematem „Twoje konto Twilio zostało doładowane”. W sumie w ciągu godziny dodali do 4600 USD opłat.

Podobnie jak większość aplikacji, weryfikujemy użytkowników, wysyłając im wiadomość tekstową. Zdecydowaliśmy się na użycie Twilio Verify z wielu powodów, ale konkretnie mówią: „Ogranicz oszustwa na dużą skalę bez obciążenia pracą”. Większość startupów chętnie odciąża duże zadania, aby mogły skupić się na swoim podstawowym produkcie, w tym na nas.

Więc kiedy wysłałem e-mail do Twilio, pomyślałem, że powiedzą po prostu: bez obaw, nasza wina, oto zwrot pieniędzy. Zamiast tego natychmiast wskazali swoje Warunki świadczenia usług i poprosili nas, abyśmy nie kwestionowali opłat. Jeśli się zgodzimy, rozważą „częściowy zwrot pieniędzy”. Wkleili mi to z powrotem:

(a) Jesteś odpowiedzialny za wszelkie korzystanie z naszych usług na swoim koncie;
e) Zapobiegniesz nieautoryzowanemu dostępowi do naszych usług lub korzystaniu z nich;

Pomyślałem, że to naprawdę dziwna odpowiedź, zwłaszcza że Twilio spędził tyle lat na budowaniu wiarygodności w społeczności start-upów. Byłem bardzo wczesnym użytkownikiem ich produktów, a nawet wygrałem ich konkurs , tworząc zamek do drzwi SMS 10 lat temu.

Wysłali również „pomocne” sposoby, aby upewnić się, że możemy tego uniknąć w przyszłości. Wiele z ich wskazówek to kroki, które już podjęliśmy, takie jak ograniczanie żądań na podstawie adresów IP, blokowanie geograficzne i ograniczanie liczby połączeń SMS do określonego numeru telefonu.

To był mój sposób na nauczenie się, że „oszustwa związane z opłatami” to narastający problem, który dotyka coraz więcej startupów. Rozmawiając z innymi założycielami, słyszałem rosnący chór skarg, a Twilio niechętnie cokolwiek z tym zrobił. Nasz zespół nie przeżył nawet najgorszego i powiedziano mi, że „powinniśmy mieć szczęście”.

Szybkie wyszukiwanie na Twitterze pokazuje kilka z tych osób.

Kiedy przeanalizowaliśmy ruch, stało się jasne, że pochodzi on z botnetu, który ostrożnie wykorzystywał zarówno adresy IP VPN, jak i inne adresy IP z całego świata. Uważali również, aby wykonać tylko kilka połączeń z każdego adresu IP. To był wyrafinowany atak, który nawet gdy Twilio wkroczył i zablokował kilka krajów, nadal opróżnił pozostałe 100 $ z naszego konta (w tym momencie wyłączyłem automatyczne doładowanie, co uratowało nas przed jeszcze większym drenażem).

Twilio popełnił kilka kluczowych błędów.

1. Dodali przełącznik „ochrony przed oszustwami”, który jest najwyraźniej nową opcją, ale nie włączyli jej domyślnie . Więc odkąd zaczęliśmy używać ich produktu Verify, zanim dodali przełącznik, nawet nie widzieliśmy tego jako opcji (i było wyłączone).

3. Ich obsługa klienta próbowała całkowicie zrzucić winę na nas i zmusić nas do niekwestionowania opłaty. Powiedzieli, że zwrot pieniędzy należy do zespołu finansowego i może zająć do 10 dni na podjęcie decyzji.

Ostatecznie zwrócili nam 1700 USD, czyli około 37% rachunku i zostawili nam opłatę w wysokości 2900 USD.