Mau daftar aplikasi belanja, dompet digital, atau sekadar bikin akun forum, ujung-ujungnya sama: "Masukkan nomor HP Anda, kami akan mengirim kode verifikasi." Beberapa detik kemudian masuk SMS berisi enam angka. Proses ini disebut verifikasi SMS atau kode OTP, dan hampir semua orang Indonesia sudah menemuinya. Yang jarang dijelaskan adalah cara kerjanya, kenapa layanan suka memakainya, dan di mana kelemahannya.
Apa itu kode OTP?
OTP (one-time password) adalah kode sekali pakai yang berlaku sangat singkat, biasanya 4-6 digit dan hangus dalam 1-10 menit. Berbeda dengan password yang dipakai berulang, OTP dibuat khusus untuk satu transaksi atau satu kali login, lalu dibuang. Fungsinya membuktikan bahwa saat itu juga Anda benar-benar memegang nomor HP tersebut.
Alur kerjanya langkah demi langkah
- Anda mengetik nomor HP di formulir pendaftaran atau login.
- Server membuat angka acak, menyimpannya bersama nomor Anda dan waktu kedaluwarsanya, lalu menandainya untuk sekali pakai.
- Kode dikirim ke gateway SMS, yang meneruskannya ke operator seluler Anda (Telkomsel, XL, Indosat, dan seterusnya).
- SMS masuk ke HP Anda, dan Anda mengetik ulang kodenya di aplikasi.
- Server mencocokkan kode itu dengan yang tersimpan, sekaligus mengecek masa berlaku dan status pakainya. Kalau cocok, verifikasi lolos dan kode dihapus.
Biasanya ada juga batas percobaan, misalnya tiga kali salah lalu kode dibatalkan, supaya tidak bisa ditebak satu per satu.
Kenapa banyak layanan memakainya?
Alasannya praktis. Pertama, murah: biaya kirim satu SMS jauh lebih kecil daripada membangun sistem verifikasi identitas. Kedua, tidak butuh instalasi, bahkan pemilik HP jadul bisa menerima SMS. Ketiga, verifikasi ini membuktikan kendali atas nomor, bukan sekadar hafal password. Keempat, nomor HP relatif mahal untuk dibuat massal, sehingga OTP memotong sebagian besar pendaftaran akun palsu oleh bot.
Untuk pengembang yang ingin menguji alur pendaftaran tanpa menghabiskan pulsa atau memakai nomor pribadi, tersedia nomor SMS sementara gratis dari 1mail.lt.
Kelemahan yang nyata
SIM swap
Penipu mengaku sebagai Anda ke gerai operator dengan data pribadi hasil kebocoran, lalu meminta penggantian kartu SIM. Begitu SIM baru aktif, SIM Anda mati dan semua OTP masuk ke tangan mereka. Modus ini sudah beberapa kali dilaporkan di Indonesia dan biasanya menyasar rekening bank atau dompet digital.
Intersepsi jaringan (SS7)
Protokol lama penghubung antaroperator punya celah yang, dalam kondisi tertentu, memungkinkan pihak dengan akses jaringan membaca atau mengalihkan SMS. Risikonya kecil untuk orang biasa, tapi nyata untuk target bernilai tinggi.
Phishing dan serangan relay
Ini yang paling sering terjadi. Anda dipancing membuka situs tiruan, memasukkan password, lalu memasukkan OTP. Di detik yang sama penipu meneruskan kode itu ke situs asli. Karena OTP berlaku beberapa menit, waktunya lebih dari cukup.
Kode terbaca di notifikasi
Isi SMS sering muncul di layar terkunci, sehingga siapa pun yang sempat melihat HP Anda bisa membacanya tanpa membuka kunci layar.
Gagal terkirim dan roaming
SMS tidak dijamin sampai. Sinyal jelek, gateway antre, atau Anda sedang di luar negeri, dan kode tidak pernah datang. Kalau OTP satu-satunya cara masuk, Anda terkunci dari akun sendiri.
Peringatan penting: jangan pernah bagikan OTP
Ini bagian yang paling perlu ditekankan. Tidak ada bank, e-wallet, marketplace, kurir, atau petugas resmi mana pun yang berhak meminta kode OTP Anda melalui telepon, WhatsApp, SMS, atau chat. Modusnya bermacam-macam: mengaku customer service yang sedang "memverifikasi akun", mengaku pembeli yang salah transfer, mengaku panitia undian, atau mengirim link "cek resi" lalu menelepon meminta kode. Semuanya penipuan.
Pegang aturan sederhana ini: OTP hanya boleh diketik di aplikasi atau situs resmi yang sedang Anda buka sendiri, bukan didiktekan ke orang lain. Kalau ada OTP masuk padahal Anda tidak sedang melakukan apa-apa, berarti seseorang sedang mencoba masuk ke akun Anda. Segera ganti password.
Kapan SMS cukup, kapan harus naik kelas?
Untuk akun berisiko rendah seperti forum, aplikasi diskon, atau layanan pesan antar makanan, verifikasi SMS masih memadai dan jauh lebih baik daripada tanpa lapisan kedua. Tetapi untuk email utama, rekening bank, dompet digital, akun media sosial sumber penghasilan, dan akun kerja, sebaiknya beralih ke aplikasi autentikator yang menghasilkan kode di perangkat Anda sendiri tanpa lewat jaringan seluler. Perbandingannya kami bahas di artikel aplikasi autentikator versus SMS 2FA, sementara cara kerja kodenya dijelaskan di penjelasan tentang kode TOTP. Untuk mencobanya langsung, ada generator kode 2FA berbasis web.
Soal privasi nomor Anda
Setiap kali menyerahkan nomor HP, Anda menyerahkan identitas yang menempel seumur hidup. Nomor itu bisa dipakai mencocokkan data antar-layanan, masuk daftar telemarketing, dan ikut bocor kalau database layanan tersebut jebol. Masuk akal untuk memisahkan: pakai nomor pribadi untuk bank, layanan pemerintah, dan akun penting; untuk sekadar mencoba aplikasi, pertimbangkan nomor virtual untuk menerima SMS agar nomor asli tidak menyebar. Ingat, nomor publik semacam itu tidak boleh dipakai untuk akun berisi uang atau data pribadi, karena orang lain juga bisa melihat pesan yang masuk. Alat gratis lainnya ada di halaman utama 1mail.lt.
FAQ
Kenapa kode OTP saya tidak kunjung datang?
Penyebab paling umum adalah sinyal lemah, memori SMS penuh, nomor salah ketik, atau antrean di gateway pengirim. Tunggu satu-dua menit sebelum menekan "kirim ulang", karena permintaan berulang justru membuat kode lama hangus. Jika sedang di luar negeri, pastikan layanan roaming SMS aktif.
Apakah aman menyimpan nomor HP di banyak aplikasi?
Semakin banyak layanan yang menyimpan nomor Anda, semakin besar kemungkinan nomor itu ikut bocor saat salah satunya diretas. Batasi nomor asli hanya untuk layanan yang benar-benar butuh, dan periksa pengaturan privasi agar nomor Anda tidak bisa dipakai orang lain untuk mencari profil Anda.
Kalau saya ganti nomor HP, apa yang harus dilakukan?
Perbarui nomor di semua akun penting sebelum nomor lama dinonaktifkan. Nomor bekas biasanya didaur ulang operator dan diberikan ke pengguna baru, sehingga OTP akun Anda bisa masuk ke HP orang lain. Prioritaskan bank, dompet digital, dan email utama.
