Vấn đề gian lận Toll của Twilio

Vào ngày đầu năm mới, tôi nhận được 40 email từ Twilio, mỗi email có dòng chủ đề là “Tài khoản Twilio của bạn đã được nạp tiền”. Tổng cộng, họ đã thêm tới 4.600 đô la phí trong khoảng thời gian một giờ.

Giống như hầu hết các ứng dụng, chúng tôi xác minh người dùng bằng cách gửi tin nhắn văn bản cho họ. Chúng tôi đã chọn sử dụng Twilio Verify vì nhiều lý do, nhưng cụ thể là họ nói: “Giảm gian lận trên quy mô lớn mà không cần khối lượng công việc”. Hầu hết các công ty khởi nghiệp sẵn sàng giảm tải các nhiệm vụ lớn để họ có thể tập trung vào sản phẩm cốt lõi của mình, bao gồm cả chúng tôi.

Vì vậy, khi tôi gửi email cho Twilio, tôi hình dung họ sẽ chỉ nói, đừng lo, lỗi của chúng tôi, đây là khoản tiền hoàn lại. Thay vào đó, họ ngay lập tức chỉ ra Điều khoản dịch vụ của họ và yêu cầu chúng tôi không phản đối các khoản phí. Nếu chúng tôi đồng ý, họ sẽ xem xét "hoàn trả một phần". Họ dán cái này lại cho tôi:

(a) Bạn chịu trách nhiệm cho tất cả việc sử dụng các dịch vụ của chúng tôi trong tài khoản của bạn;
e) Bạn sẽ ngăn chặn việc truy cập hoặc sử dụng trái phép các dịch vụ của chúng tôi;

Tôi nghĩ đây là một phản ứng thực sự kỳ lạ, đặc biệt là khi Twilio đã dành rất nhiều năm để xây dựng uy tín với cộng đồng khởi nghiệp. Tôi là người sử dụng siêu sớm các sản phẩm của họ và thậm chí đã giành chiến thắng trong cuộc thi của họ bằng cách thực hiện khóa cửa SMS cách đây 10 năm.

Họ cũng gửi những cách “hữu ích” để đảm bảo chúng tôi có thể tránh điều này trong tương lai. Nhiều mẹo của họ là những bước chúng tôi đã thực hiện, chẳng hạn như điều chỉnh yêu cầu dựa trên địa chỉ IP, chặn địa lý và giới hạn số lượng cuộc gọi SMS đến một số điện thoại cụ thể.

Đây là cách tôi học được rằng “gian lận thu phí” là một vấn đề và đó là một vấn đề ngày càng gia tăng đang tấn công ngày càng nhiều công ty khởi nghiệp. Nói chuyện với những người sáng lập khác, tôi đã nghe thấy ngày càng nhiều lời phàn nàn và Twilio đã miễn cưỡng làm bất cứ điều gì về nó. Nhóm của chúng tôi thậm chí còn không gặp phải điều tồi tệ nhất và tôi đã nói với chúng tôi rằng “hãy cảm thấy may mắn”.

Một tìm kiếm nhanh trên twitter cho thấy một vài người trong số đó.

Khi chúng tôi phân tích lưu lượng, rõ ràng là từ một mạng botnet đã sử dụng cẩn thận cả IP VPN và không phải VPN từ khắp nơi trên thế giới. Họ cũng cẩn thận chỉ thực hiện một vài cuộc gọi từ mỗi IP. Đó là một cuộc tấn công tinh vi mà ngay cả khi Twilio can thiệp và chặn một số quốc gia, nó vẫn rút 100 đô la còn lại trong tài khoản của chúng tôi (tôi đã tắt tính năng tự động tải lại vào thời điểm này, điều này đã cứu chúng tôi khỏi một khoản thậm chí còn lớn hơn).

Twilio mắc một số lỗi chính.

1. Họ đã thêm nút chuyển đổi cho “bảo vệ gian lận”, đây rõ ràng là một tùy chọn mới, nhưng họ không bật tùy chọn này theo mặc định . Vì vậy, kể từ khi chúng tôi bắt đầu sử dụng sản phẩm Xác minh của họ trước khi họ thêm nút chuyển đổi, chúng tôi thậm chí không xem đó là một tùy chọn (và nó đã bị tắt).

3. Dịch vụ khách hàng của họ đã cố gắng đổ lỗi hoàn toàn cho chúng tôi và ép buộc chúng tôi không tranh chấp khoản phí. Họ cho biết việc hoàn tiền tùy thuộc vào Nhóm tài chính và có thể mất tới 10 ngày để đưa ra quyết định.

Cuối cùng, họ đã hoàn trả cho chúng tôi 1.700 đô la, khoảng 37% hóa đơn và để lại cho chúng tôi khoản phí 2.900 đô la.