このバックエンドのバリデーション設定はかなり脆弱に見えます。アーキテクチャがしっかりしていれば、OTP認証後のリクエストはすべて即座にブロックされるはずです。しかし、実際には十分な情報が漏れており、アクセスが実際に許可されたかのように見えています。フロントエンドのチェックだけでなく、サーバー側で適切に制御を行うことが重要です。