Summary

  • Twilio kann Verify- und SMS-Gebühren für betrügerische Pumping-Nachrichten gutschreiben, die Fraud Guard hätte stoppen sollen. Dafür muss Max Protection Mode durchgehend aktiv sein; der Supportfall ist binnen 30 Tagen nach Ende des Versandmonats einzureichen und von Twilio zu bestätigen.
  • Auf den betroffenen Nummern dürfen laut Zusage Verify Geo Permissions, Safe List oder der RiskCheck-Parameter nicht aktiviert sein. Genau solche Einstellungen können zugleich helfen, irrtümliche Sperren legitimer Nutzer zu beheben.

Wenn der Kundendienst die Tür öffnet

Ein echter Nutzer wartet auf seinen Anmeldecode. Der Support setzt seine Nummer auf die Safe List, damit weder Fraud Guard noch geografische Berechtigungen sie blockieren. Twilio beschreibt diese Funktion selbst als Mittel gegen Fehlalarme. In den Bedingungen seiner Fraud Guard Promise taucht dieselbe Safe List als Ausschluss für eine Gutschrift auf, sofern die betreffende Nummer vom SMS-Pumping betroffen ist. Eine kleine Ausnahme im Betrieb kann eine große Rolle bei der Kostenfrage bekommen.

Fraud Guard soll ungewöhnlichen SMS-Verkehr erkennen und verdächtige Sendungen verhindern. Gelangen betrügerische Nachrichten trotzdem durch, sieht die Promise eine Gutschrift für die zugehörigen Verify- und SMS-Gebühren vor. Twilio prüft die Forderung und entscheidet, ob Max die Nachrichten hätte stoppen sollen. Die im Analysebereich angezeigte geschätzte Kostenersparnis aus blockierten Versuchen ist weder eine bestätigte Forderung noch eine ausgezahlte Summe.

Schon die Wahl der Schutzstufe setzt die Grenze. Standard ist laut Produktdokumentation der Ausgangswert. Für die Gutschrift muss Fraud Guard dagegen aktiviert und in Max Protection Mode gehalten werden. Max greift strenger ein; Twilio nennt gelegentliche Fehlalarme als mögliche Folge. Wer die Hürde für echte Nutzer senkt, kann den wirtschaftlichen Schutz der Zusage zugleich verschieben. Über diesen Zielkonflikt entscheidet nicht allein das Sicherheitsteam.

Die Klausel über Ausnahmen ist präzise auf die betroffenen Telefonnummern bezogen. Dort dürfen Verify Geo Permissions, Safe List und der RiskCheck-Parameter nicht aktiviert sein. Die API-Dokumentation erklärt, dass RiskCheck Schutzmaßnahmen bei einzelnen SMS-Prüfungen umgehen kann. Aus einem Listeneintrag auf einer anderen Nummer folgt daher keine Aussage über jede Forderung des Kontos. Für Konten, die Nachrichten im Auftrag Dritter senden, und für eigene Bestätigungscodes nennt Twilio weitere Voraussetzungen.

Der Anspruch braucht schließlich einen Termin. Binnen 30 Tagen nach Ablauf des Kalendermonats der Sendung muss ein Supportticket mit den verlangten Angaben vorliegen; Twilio kann weitere Informationen anfordern. Eine öffentlich belegte Bewilligungsquote oder einen konkreten Kundenschaden liefern diese Texte nicht. Für einen Einzelfall fehlen der Verlauf der Einstellungen auf den betroffenen Nummern und Twilios Entscheidung. Wer beides erst nach der Rechnung sucht, hat den wichtigsten Teil der Nachweise bereits dem Zufall überlassen.

Sources