Bahaya Tersembunyi SMS Traffic Pumping

Apa itu SMS traffic pumping (AIT)?

SMS traffic pumping, atau Artificially Inflated Traffic (AIT), adalah bentuk International Revenue Share Fraud (IRSF). Penyerang mengeksploitasi form login, register, atau reset password untuk memicu ribuan permintaan SMS OTP ke rentang nomor premium atau operator telekomunikasi tertentu.

Dalam skema ini, penyerang dan oknum perantara membagi keuntungan dari tarif terminasi SMS internasional yang mahal, sementara bisnis Anda menanggung seluruh tagihan pengiriman SMS yang tidak pernah dibuka oleh pengguna asli.

Dampak nyata: biaya meledak dan konversi anjlok

Sinyal deteksi dini serangan SMS pumping

Mengapa Inbound WhatsApp menghentikan akar masalah SMS pumping?

SMS OTP rentan karena arsitekturnya bersifat outbound push: siapa pun yang menembak form web Anda langsung memaksa server mengirim SMS berbayar.

LessOTP membalik model ini menjadi inbound pull verification:

• Tidak ada SMS outbound berbayar: Verifikasi dimulai dengan pesan WhatsApp masuk /START kode dari ponsel pengguna.
• Penyerang menanggung biaya: Bot tidak bisa mengeksploitasi saldo platform Anda karena pengirim pesan WhatsApp adalah akun pengguna akhir.
• Billing hanya saat sukses: Saldo LessOTP dipotong per verifikasi valid di production, bukan per request kode atau pesan pending.

Uji flow inbound di environment staging

Anda dapat memvalidasi arsitektur inbound sebelum beralih dari SMS. Buat App staging, gunakan staging API key, lalu panggil endpoint request berikut:

curl -X POST https://lessotp.com/api/v1/staging/auth/request \
  -H "Authorization: Bearer YOUR_STAGING_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "channel": "whatsapp"
  }'

Response request kode:

{
  "status": "success",
  "data": {
    "request_id": "req_8f7d6c5b4a",
    "unique_code": "A7X92",
    "channel": "whatsapp",
    "wa_link": "https://wa.me/628999999999?text=/START+A7X92",
    "expires_in": 180,
    "mode": "frictionless"
  }
}

Gunakan Dashboard → Simulator untuk menyimulasikan inbound tanpa kirim pesan WhatsApp riil. Webhook URL App Anda menerima payload terverifikasi:

{
  "event": "verification.success",
  "channel": "whatsapp",
  "request_id": "req_8f7d6c5b4a",
  "phone_number": "6281234567890",
  "timestamp": "2026-08-24T10:00:00Z"
}

Validasi signature webhook backend

Amankan endpoint webhook Anda dengan memvalidasi header X-Signature dan menggunakan Idempotency-Key agar event replay tidak memicu proses login ganda.

import { createHmac, timingSafeEqual } from "node:crypto";

function verifyLessOTPWebhook(rawBody: string, signature: string, secret: string) {
  const expected = createHmac("sha256", secret).update(rawBody).digest("hex");
  const received = Buffer.from(signature, "hex");
  const expectedBuffer = Buffer.from(expected, "hex");

  return received.length === expectedBuffer.length &&
    timingSafeEqual(received, expectedBuffer);
}

// Simpan Idempotency-Key dan abaikan delivery yang sudah pernah diproses.

Pelajari detail kontrak error code dan webhook retry pada dokumentasi developer LessOTP.