Jawaban singkat
Untuk menghentikan fraud SMS pumping, batasi siapa yang dapat memicu OTP, seberapa sering, dan ke negara mana saja. Terapkan rate limit per nomor telepon, IP, perangkat, dan sesi; izinkan hanya negara yang Anda layani; pasang proteksi bot sebelum pengiriman; perlambat permintaan kirim ulang; dan buat peringatan saat persentase kode yang benar-benar dimasukkan menurun. Minta provider Anda memblokir range nomor yang disalahgunakan.
Apa itu SMS pumping
SMS pumping, yang oleh GSMA disebut artificial inflation of traffic (AIT), terjadi ketika bot mengirimkan ribuan nomor telepon ke formulir pendaftaran, login, atau reset kata sandi. Pihak di sisi terminasi berbagi pendapatan dari setiap pesan dengan pelaku fraud. Kode tidak pernah dimasukkan, tetapi bisnis Anda tetap membayar setiap pesan.
Tanda-tanda peringatan
- Volume OTP naik tanpa diikuti kenaikan pendaftaran atau login.
- Trafik mengarah ke negara yang tidak Anda layani.
- Permintaan menggunakan nomor yang berurutan atau sangat mirip.
- Tingkat penyelesaian verifikasi (kode yang dimasukkan dibagi kode yang dikirim) turun, sering kali di satu atau dua negara.
Kontrol yang perlu diterapkan
- Tetapkan allowlist negara tujuan yang sesuai dengan basis pelanggan Anda.
- Terapkan rate limit per nomor telepon, alamat IP, perangkat, dan sesi.
- Pasang CAPTCHA atau device attestation sebelum SMS apa pun dikirim.
- Gunakan exponential back-off pada permintaan kirim ulang.
- Pantau tingkat penyelesaian per negara dan buat peringatan saat angkanya turun.
- Tetapkan batas biaya (spend cap) dan peringatan per negara tujuan bersama provider Anda.
Saat serangan berlangsung
Tinjau biaya per negara tujuan setiap hari, blokir negara atau range yang terdampak segera, dan minta provider Anda ikut memblokirnya di sisi mereka. Memindahkan sebagian pengguna ke template autentikasi WhatsApp atau aplikasi authenticator dapat mengurangi risiko, tetapi tidak ada kanal yang kebal; OTP suara dan flash call juga dapat disalahgunakan untuk fraud bagi hasil pendapatan.