Semua yang perlu diketahui, tidak ada yang tidak perlu.
Cara kerja serangan pumping
AIT menyalahgunakan formulir web atau aplikasi apa pun yang mengirimkan SMS sesuai permintaan — pendaftaran, login, verifikasi telepon, "kirim ulang kode." Penipu menggunakan skrip bot untuk meminta SMS tersebut ribuan atau jutaan kali, menargetkan nomor telepon dalam rentang yang mereka kendalikan atau yang melewati pihak yang berkolusi dalam rantai pengiriman (agregator atau operator terminasi yang mengambil bagi hasil pendapatan). Setiap pesan yang dikirim oleh penyedia merek menghasilkan biaya terminasi yang dapat ditagih, yang sebagian mengalir ke penipu.
- Titik masuk: endpoint "kirimkan saya SMS" yang tidak terautentikasi apa pun (OTP, verifikasi, kirim ulang).
- Bot menghasilkan permintaan massal ke rentang nomor yang dikendalikan penipu atau nomor yang berkolusi.
- Kolusi bagi hasil dalam rantai pengiriman mengubah volume menjadi pembayaran.
- Merek yang membayar; pengguna asli tidak pernah menerima nilai apa pun.
Ekonomi penipuan — mengapa AIT adalah sebuah bisnis
AIT adalah penipuan bagi hasil pendapatan. Ini hanya berhasil ketika seseorang dalam rantai terminasi — aggregator nakal atau operator yang bersedia menutup mata — membagi biaya terminasi yang digelembungkan dengan pihak yang menghasilkan trafik. Rentang nomor internasional berbiaya tinggi sangat menarik karena setiap pesan yang di-pump membawa biaya yang lebih besar untuk dibagi. Rute abu-abu adalah saluran alaminya, karena rute langsung ke operator yang disetujui dipantau dan direkonsiliasi.
- Memerlukan kolusi dalam rantai terminasi untuk monetisasi.
- Rentang tujuan berbiaya tinggi memaksimalkan keuntungan penipu per pesan.
- Rute abu-abu adalah saluran yang lebih disukai namun lebih sulit untuk direkonsiliasi.
- Skala industri — Juniper Research memperkirakan AIT yang diketahui sebesar ~18% dari SMS A2P internasional pada tahun 2023.
Berapa kerugian bagi industri
Estimasi bervariasi tergantung cakupan, jadi kutip dengan hati-hati. Juniper Research (diterbitkan Maret 2024, bersama VOX Solutions) menetapkan biaya global akibat AIT dan SMS trashing bagi USD sebesar kira-kira USD 8,5 miliar pada 2023, dan memproyeksikan biayanya masih akan mencapai sekitar USD 23,4 miliar pada 2027. Sebagai konteks, CFCA Global Fraud Loss Survey 2023 memperkirakan total penipuan telekomunikasi sekitar USD 38,95 miliar.
- Juniper Research: ~USD 8,5 miliar biaya bagi perusahaan pada 2023; ~USD 23,4 miliar pada 2027.
- CFCA 2023: total penipuan telekomunikasi ~USD 38,95 miliar.
- Atribusikan setiap nomor ke sumber dan tahunnya — cakupan berbeda-beda.
Sinyal deteksi — cara mengetahui jika Anda sedang mengalami pumping
AIT meninggalkan jejak yang khas karena trafik tersebut dirancang untuk biaya, bukan untuk pengguna. Indikator yang paling jelas adalah lonjakan permintaan OTP/verifikasi yang tidak dikonversi menjadi pendaftaran, login, atau aktivitas hilir lainnya — volume pengiriman tinggi, namun keterlibatan hampir nol. Nomor yang di-pump sering kali tidak ada di jaringan, sehingga laporan pengiriman kembali dengan status tidak terkirim dengan kode pelanggan tidak ditemukan. Memantau rasio pengiriman-ke-konversi berdasarkan tujuan sering kali menjadi metrik tunggal yang paling mengungkapkan.
- Lonjakan permintaan OTP tanpa konversi pendaftaran/login.
- Trafik tiba-tiba terkonsentrasi di negara atau rentang nomor yang tidak biasa.
- Pola waktu harian dan lonjakan yang dibentuk oleh otomatisasi.
- Keberhasilan DLR rendah (kode subscriber tidak aktif) pada rentang yang dipompa.
Pertahanan sisi pengirim — hal yang dikendalikan oleh brand
Karena AIT dimulai dari endpoint merek itu sendiri, lini pertahanan pertama ada di sana. Terapkan pembatasan laju (rate-limit) dan tambahkan CAPTCHA atau deteksi bot pada endpoint OTP. Terapkan kontrol geo dan kecepatan — blokir atau tantang permintaan verifikasi ke destinasi yang tidak Anda layani. Validasi nomor tujuan dengan HLR Lookup sebelum mengirim; nomor yang dipompa sering kali gagal. Jika memungkinkan, pindahkan alur berisiko tinggi ke aplikasi autentikator atau verifikasi jaringan senyap, yang sepenuhnya menghilangkan SMS yang dapat dipompa.
- Pembatasan laju (rate limiting) ditambah deteksi CAPTCHA/bot pada endpoint OTP.
- Batasan geo/kecepatan; blokir destinasi yang tidak Anda layani.
- Pra-validasi HLR dan daftar blok rentang nomor.
- Migrasikan alur berisiko tinggi ke flash-call atau verifikasi jaringan senyap.
Pertahanan sisi jaringan — apa yang dikendalikan operator dan firewall
Dari sisi jaringan, firewall SMS dan pemantauan rute menangkap apa yang terlewatkan oleh brand. Firewall mendeteksi konsentrasi permintaan OTP yang tidak normal serta anomali tujuan, dan dapat melakukan pembatasan atau pemblokiran aliran yang mencurigakan, sementara rekonsiliasi rute mengungkap rute abu-abu dan rentang biaya tinggi yang bergantung pada AIT. Beroperasi melalui rute langsung ke operator yang resmi alih-alih rute abu-abu menghilangkan saluran pilihan penipu dan menghasilkan laporan pengiriman yang akurat dan terkonfirmasi oleh perangkat genggam, sehingga memudahkan pendeteksian aktivitas ilegal.
- Deteksi anomali tingkat firewall pada OTP dan pola tujuan.
- Rekonsiliasi rute untuk memunculkan rute abu-abu dan rentang biaya tinggi.
- Rute langsung ke operator menghilangkan saluran rute abu-abu yang diandalkan AIT.
- DLR yang akurat membuat trafik yang digelembungkan dan tidak pernah dibaca menjadi terlihat.
Bagaimana BroadNet membantu
Produk OTP milik BroadNet (/products/myotp) dilengkapi dengan perlindungan AIT secara default: pembatasan laju (rate limiting) per-MSISDN, per-IP, dan per-perangkat; pra-validasi HLR; pemblokiran otomatis rentang MCC/MNC yang tidak memiliki riwayat keberhasilan pengiriman di akun Anda; serta model deteksi AIT yang dilatih pada pola serangan lintas pelanggan. Dikombinasikan dengan perutean langsung ke operator, hal ini mempersempit ruang bagi trafik yang dimanipulasi (pumped traffic) untuk bersembunyi dan dimonetisasi.
- Pembatasan laju (rate limiting) per MSISDN, IP, dan perangkat secara default.
- Pra-validasi HLR + pemblokiran otomatis untuk rentang tanpa pengiriman.
- Model deteksi AIT pada pola lintas pelanggan.
- Perutean langsung ke operator + DLR yang jujur untuk mengungkap trafik yang dipompa.
Pertahanan AIT: sisi pengirim vs. sisi jaringan
| Sisi pengirim (brand) | Sisi jaringan (operator / firewall) | |
|---|---|---|
| Rate limiting + CAPTCHA pada endpoint OTP | — | |
| Blocklist geo/velocity + rentang nomor | ||
| Pra-validasi HLR sebelum pengiriman | — | |
| Deteksi anomali firewall + throttling | — | |
| Rute langsung ke operator + DLR yang jujur | — | |
| Pindahkan alur dari SMS (authenticator / verifikasi silent) | — |