так это запросы отправляются средствами php, т.е. без взлома вашего сервера этой информации не увидеть.
Это можно решить глобально с помощью HTTPS Также в случае логирования смс на стороне партнера, если будут приходить запросы с уже существующим key, а значит сущесвующим sms id - они левые, т.к. запрос приходит только один раз и ключ у него уникальный.
