---
title: "SMS Pumping Fraud: Cara Kerja AIT dan Cara Mencegahnya"
description: "SMS pumping fraud atau artificially inflated traffic (AIT): cara serangan bekerja, tanda-tandanya, dan kontrol berlapis agar Anda tidak membayar SMS palsu."
canonical: "https://omnichannels.ai/id/blog/sms-pumping-fraud-prevention/"
language: "id"
updated: "2026-10-10"
publisher: "BroadNet Technologies"
brand: "OmniChannels.ai"
category: "sms"
primaryQuery: "sms pumping fraud"
keywords: ["SMS pumping", "artificially inflated traffic", "fraud OTP SMS", "pencegahan fraud OTP", "deteksi SMS pumping", "rate limiting OTP", "SMS toll fraud", "IRSF"]
published: "2026-10-09"
author: "OmniChannels.ai Editorial Team"
reviewer: "BroadNet Messaging Solutions Team"
readingMinutes: 9
answer: "SMS pumping, juga disebut artificially inflated traffic (AIT), adalah fraud ketika bot memicu aplikasi Anda mengirim SMS, biasanya OTP (kode verifikasi), ke nomor yang pemiliknya, yaitu komplotan penyerang, mendapat bagian dari biaya terminasi. Anda membayar setiap pesan, sementara tidak ada pengguna asli yang diuntungkan. Hentikan secara berlapis: blokir bot sebelum SMS dikirim, izinkan hanya negara yang Anda layani, batasi permintaan per nomor, prefix, IP, dan perangkat, pasang batas pengeluaran, serta beri peringatan saat konversi verifikasi turun."
takeaways: ["SMS pumping mengeksploitasi fitur apa pun tanpa autentikasi yang mengirim SMS, seperti OTP pendaftaran, reset kata sandi, undangan, atau formulir 'kirim tautan ke saya'.", "Penyerang meraup keuntungan dari pendapatan terminasi pada nomor tujuan, sehingga bisnis tetap membayar meski tidak ada pengguna asli yang meminta pesan tersebut.", "Sinyal tunggal yang paling kuat adalah konversi verifikasi: kode yang dimasukkan dibagi kode yang dikirim, dipantau per negara dan per prefix nomor.", "Kontrol paling efektif jika berlapis: perlindungan dari bot sebelum pengiriman, allow-list tujuan, rate limit multi-dimensi, circuit breaker pengeluaran, dan pemantauan.", "MITRE ATT&CK mencatat SMS pumping sebagai teknik T1496.003 dan merekomendasikan perlindungan CAPTCHA pada formulir yang mengirim SMS."]
faq: 
  - q: "Apa itu SMS pumping fraud?"
    a: "SMS pumping, atau artificially inflated traffic (AIT), adalah fraud ketika penyerang memakai bot agar bisnis mengirim SMS dalam jumlah besar, biasanya kata sandi sekali pakai, ke nomor telepon yang mereka kuasai atau dari mana mereka memperoleh keuntungan. Salah satu pihak dalam rantai pengiriman berbagi pendapatan terminasi dengan penyerang. Bisnis membayar setiap pesan, sementara tidak ada pengguna asli yang melakukan verifikasi."
  - q: "Bagaimana saya tahu apakah terkena SMS pumping?"
    a: "Perhatikan volume SMS yang naik tanpa diikuti kenaikan pendaftaran atau login yang selesai. Tanda yang umum: trafik ke negara yang hanya memiliki sedikit pelanggan Anda, banyak permintaan ke nomor dengan prefix sama atau digit berurutan, permintaan beruntun dari alamat IP yang terus berganti, dan konversi verifikasi anjlok untuk satu negara atau prefix sementara yang lain tetap normal."
  - q: "Apakah CAPTCHA bisa menghentikan SMS pumping?"
    a: "CAPTCHA menaikkan biaya otomatisasi dan MITRE ATT&CK merekomendasikannya pada formulir yang mengirim SMS, tetapi CAPTCHA saja tidak cukup. Sebagian penyerang memakai layanan penyelesai CAPTCHA atau tenaga manusia. Gabungkan bot challenge atau risk score dengan allow-list negara, rate limit per nomor, prefix, IP, dan perangkat, serta batas pengeluaran, agar challenge yang berhasil dilewati tidak berubah menjadi tagihan tanpa batas."
  - q: "Haruskah saya memblokir seluruh negara untuk menghentikan SMS pumping?"
    a: "Aktifkan hanya negara tempat Anda memiliki pengguna nyata, daripada membuka semuanya lalu memblokir setelah serangan terjadi. Untuk negara aktif yang mengalami sebagian fraud, gunakan batas yang lebih ketat, blokir tingkat prefix, atau challenge yang lebih kuat, bukan blokir penuh. Tinjau permintaan negara baru lewat proses persetujuan singkat yang dikaitkan dengan kebutuhan bisnis."
  - q: "Bisakah provider SMS saya menghentikan SMS pumping untuk saya?"
    a: "Provider dapat membantu dengan pembatasan tujuan, data pengiriman, dan pemantauan anomali, tetapi tidak dapat melihat apakah sebuah kode digunakan, padahal itu sinyal fraud yang paling jelas. Aplikasi Andalah yang mengatur siapa yang dapat memicu SMS. Karena itu, pencegahan yang efektif membutuhkan kontrol di produk Anda dan sinyal yang dibagikan dengan provider."
  - q: "Apakah SMS pumping sama dengan IRSF?"
    a: "Keduanya berkaitan. International revenue share fraud (IRSF) adalah praktik yang lebih luas, yaitu membangkitkan trafik ke rentang nomor yang pemiliknya mendapat bagian dari pendapatan terminasi. SMS pumping menerapkan model itu pada SMS yang dipicu aplikasi. GSMA mengelompokkan artificial inflation of traffic pada SMS bersama risiko bypass dan fraud A2P SMS lainnya dalam pekerjaan interworking security mereka."
sources: 
  - title: "Resource Hijacking: SMS Pumping (T1496.003) — MITRE ATT&CK"
    url: "https://attack.mitre.org/techniques/T1496/003/"
  - title: "Interworking Security — GSMA"
    url: "https://www.gsma.com/solutions-and-impact/technologies/security/cybersecurity-knowledge-base/interworking-security/"
  - title: "NIST SP 800-63B: Authentication and Authenticator Management"
    url: "https://pages.nist.gov/800-63-4/sp800-63b.html"
---

# SMS Pumping Fraud: Cara Kerja AIT dan Cara Mencegahnya

Canonical: https://omnichannels.ai/id/blog/sms-pumping-fraud-prevention/
Language: id
Publisher: OmniChannels.ai by BroadNet Technologies

Panduan ini untuk engineer, product owner, dan tim fraud yang menjalankan fitur apa pun yang mengirim SMS ke nomor telepon yang diketik pengguna. Isinya lebih dalam daripada [panduan pesan OTP](/id/blog/otp-authentication-messages-guide/) kami: bagaimana serangan pumping dirancang, sinyal apa yang mengungkapnya sejak dini, dan bagaimana merancang kontrol yang menghentikan tagihan tanpa memblokir pelanggan asli.

## Apa itu SMS pumping, dan siapa yang diuntungkan?

SMS pumping, juga disebut artificially inflated traffic (AIT), adalah fraud ketika penyerang membuat aplikasi Anda mengirim SMS ke nomor yang dipilih agar seseorang mendapat uang dari setiap pesan yang terkirim. MITRE ATT&CK mencatatnya sebagai teknik T1496.003, yang menggambarkan pelaku yang memperoleh nomor yang mereka kuasai lalu memicu pesan dalam volume besar ke nomor tersebut.

Faktor ekonominya menjelaskan perilaku ini. Setiap A2P SMS membawa biaya terminasi yang dibayarkan sepanjang rantai pengiriman hingga ke jaringan tujuan. Ketika pihak dalam rantai itu, atau pihak yang menguasai rentang nomor, membagi pendapatan tersebut dengan penyerang, setiap OTP palsu menjadi penghasilan bagi mereka dan biaya bagi Anda. Penyerang tidak perlu pesan Anda sampai ke orang sungguhan, apalagi dibaca.

## Bagaimana serangan SMS pumping bekerja?

Serangan yang umum mengikuti lima langkah, dan penyerang akan beradaptasi jika satu langkah diblokir.

1. **Mencari pemicu SMS** yang bekerja tanpa akun yang login: pendaftaran, OTP login, reset kata sandi, verifikasi telepon, "kirim tautan aplikasi lewat SMS", undangan referral, atau double opt-in pemasaran.
2. **Mendapatkan nomor tujuan** pada rentang yang menghasilkan pendapatan, sering kali di negara dengan tarif terminasi tinggi dan tempat bisnis target hanya memiliki sedikit pengguna asli.
3. **Mengotomatiskan permintaan** dengan skrip atau bot, sambil mengganti-ganti alamat IP, sidik jari perangkat, dan user agent untuk menghindari batas sederhana.
4. **Menyebar beban**: banyak nomor dalam prefix yang sama, atau nomor berurutan, dengan laju tepat di bawah ambang peringatan yang jelas.
5. **Meningkatkan skala atau berpindah**: jika trafik lolos, volume dinaikkan, sering kali malam hari atau akhir pekan saat pemantauan longgar; jika diblokir, penyerang pindah ke negara lain atau endpoint pengirim SMS lain.

Endpoint pengirim SMS apa pun yang dapat diakses sebelum autentikasi adalah target, bukan hanya layar OTP.

## Apa saja tanda peringatannya?

Sinyal yang paling andal adalah volume SMS tumbuh tanpa pertumbuhan tindakan yang selesai. Pantau indikator berikut per negara dan per prefix nomor, bukan hanya secara total.

| Sinyal | Tampilannya | Mengapa penting |
|---|---|---|
| Konversi verifikasi turun | Kode terkirim naik, kode yang dimasukkan tidak | Pengguna asli memasukkan kode; bot biasanya tidak |
| Tujuan baru atau tidak biasa | Trafik ke negara dengan sedikit atau tanpa pelanggan | Penyerang memilih rentang dengan pendapatan tinggi |
| Konsentrasi prefix | Banyak permintaan ke nomor dengan digit awal sama | Rentang nomor dialokasikan dalam blok |
| Nomor berurutan | Permintaan ke +XX…001, …002, …003 | Target dibuat lewat skrip |
| Pola waktu lonjakan | Lonjakan di malam hari, akhir pekan, atau dengan interval tetap seperti mesin | Penyerang memanfaatkan periode pemantauan rendah |
| Anomali sesi | Tidak ada page view atau event aplikasi sebelum permintaan SMS | Bot memanggil endpoint secara langsung |
| Penyalahgunaan kirim ulang | Banyak kirim ulang per nomor, semuanya tidak terverifikasi | Setiap kirim ulang adalah pesan berbayar tambahan |
| Biaya per pengguna terverifikasi naik | Biaya naik sementara pendaftaran stagnan | Ukuran langsung dampak finansial |

Tetapkan ambang peringatan sebagai deviasi dari baseline Anda sendiri untuk setiap negara dan endpoint. Tingkat konversi normal di pasar yang matang berbeda dengan pasar yang baru diluncurkan, sehingga angka global yang tetap akan memicu alarm palsu.

## Bagaimana cara mencegah SMS pumping?

Gunakan kontrol berlapis, agar lolosnya satu kontrol tidak membuat Anda terekspos. Tujuannya: penyerang yang berhasil hanya dapat menimbulkan biaya kecil dan terbatas sebelum dihentikan.

### Lapisan 1: hentikan bot sebelum SMS dipicu

- **Bot challenge atau risk scoring** pada setiap formulir pengirim SMS, seperti yang direkomendasikan MITRE dengan perlindungan CAPTCHA.
- **Pemeriksaan integritas aplikasi** untuk aplikasi mobile, seperti Google Play Integrity dan Apple App Attest, agar permintaan harus berasal dari instalasi aplikasi yang asli.
- **Wajibkan perilaku sebelumnya**: endpoint SMS hanya menerima permintaan dari sesi yang telah memuat halaman atau layar aplikasi, dengan token valid yang diterbitkan server.

### Lapisan 2: kendalikan tujuan

- **Allow-list negara** tempat Anda memiliki pengguna asli. Negara baru memerlukan permintaan bisnis yang eksplisit.
- **Blokir atau beri challenge pada prefix berisiko** di dalam negara yang diizinkan ketika menunjukkan pola serangan.
- **Validasi nomor** sebelum mengirim: panjang dan format yang benar untuk negara tersebut, dan untuk alur bervolume tinggi, pemeriksaan jenis atau status line lewat [pengecekan nomor (number lookup)](/id/blog/hlr-lookup-number-validation/).

### Lapisan 3: rate limit pada beberapa dimensi

Batasi per nomor telepon, per prefix, per alamat IP dan jaringan, per perangkat, dan per sesi, dengan jendela waktu pendek dan panjang. Batas pada nomor telepon saja gagal jika penyerang mengganti-ganti nomor; batas pada IP saja gagal jika mereka mengganti proxy.

### Lapisan 4: circuit breaker pengeluaran

- **Batas pengeluaran harian dan per jam** per negara dan per endpoint.
- **Jeda otomatis** untuk suatu tujuan ketika volume melebihi kelipatan dari level normalnya, disertai notifikasi ke petugas untuk meninjau.

### Lapisan 5: desain verifikasi

- **Satu kode per sesi**, masa berlaku singkat, sekali pakai, seperti yang dijelaskan NIST SP 800-63B untuk out-of-band authenticator.
- **Jeda kirim ulang yang bertahap** dan batas maksimum kirim ulang.
- **Tawarkan alternatif** seperti tautan email atau template autentikasi WhatsApp bagi pengguna yang memilikinya, sehingga SMS bukan satu-satunya jalur.
- **Jangan kirim SMS untuk tindakan berisiko rendah** yang tidak memerlukan verifikasi telepon.

### Lapisan 6: pemantauan dan respons

Dashboard konversi verifikasi, volume, dan pengeluaran per negara dan prefix yang ditinjau setiap hari, ditambah runbook yang menyebutkan siapa yang dapat memblokir negara atau menjeda endpoint, dan seberapa cepat.

## Contoh kasus: marketplace di Dubai yang diserang

"Souq Rafiq" (fiktif), sebuah marketplace iklan baris, mengirim OTP SMS saat pendaftaran. Penggunanya sebagian besar berada di Uni Emirat Arab (UEA), Arab Saudi, dan Mesir, tetapi formulir pendaftaran menerima kode negara apa pun.

- **Deteksi:** pada Jumat malam, volume OTP ke sebuah negara yang jauh naik tiga kali lipat. Konversi verifikasi untuk negara itu turun mendekati nol, sedangkan konversi UEA tidak berubah. Permintaan menyasar nomor dengan prefix yang sama.
- **Respons langsung:** engineer on-call memakai runbook untuk menonaktifkan tujuan tersebut dan menambahkan blokir prefix sementara.
- **Penguatan:** tim beralih ke allow-list negara, menambahkan bot challenge dan token sesi pada formulir pendaftaran, memberlakukan batas per nomor, IP, dan perangkat, serta menetapkan batas pengeluaran harian per negara.
- **Tindak lanjut:** seminggu kemudian penyerang menguji formulir reset kata sandi, yang masih belum memiliki challenge. Batas pengeluaran menjeda trafik dalam hitungan menit; tim menerapkan kontrol yang sama di sana dan mengaudit setiap endpoint pengirim SMS.

## Kesalahan umum dan keterbatasan

- **Hanya melindungi layar OTP** sementara formulir reset kata sandi, undangan, dan tautan unduhan dibiarkan terbuka.
- **Mengizinkan semua negara secara default** karena pustaka formulir memang begitu.
- **Mengandalkan satu kontrol**, seperti CAPTCHA, tanpa batas pengeluaran.
- **Hanya memantau volume total.** Serangan bersembunyi di dalam angka agregat.
- **Memblokir terlalu luas** sehingga pengguna asli yang sedang bepergian atau ekspatriat ikut terkunci. Pilih challenge dan batas yang lebih ketat daripada larangan menyeluruh di pasar yang Anda layani.
- **Keterbatasan:** tidak ada kontrol yang sempurna; penyerang beradaptasi. Perkiraan kerugian industri sangat beragam dan sebagian besar berasal dari vendor, jadi ukur eksposur Anda sendiri lewat biaya per pengguna terverifikasi, bukan mengandalkan angka di judul berita.

## Bagaimana OmniChannels.ai membantu

OmniChannels.ai mendukung [OTP dan notifikasi transaksional](/solutions/otp-notifications/) lewat template autentikasi WhatsApp, dengan OTP one-tap, zero-tap, dan copy-code, lewat SMS yang dikirim melalui konektivitas operator BroadNet Technologies, serta lewat [voice](/channels/voice/). HLR dan number lookup membantu Anda memeriksa nomor sebelum mengirim, dan laporan pengiriman (DLR), dengan tampilan ringkasan dan lanjutan, filter, serta ekspor CSV, membantu Anda meninjau trafik per tujuan dan status. Penagihan berjalan dengan wallet prabayar. Pengiriman OTP dan webhook pengiriman didokumentasikan di [REST API](/developers/) publik.