Untuk hampir semua orang, aplikasi autentikator lebih aman daripada 2FA lewat SMS. Kode dari aplikasi dibuat langsung di ponselmu tanpa melewati jaringan operator, sehingga tidak bisa dicegat, dialihkan, atau dicuri lewat pembajakan kartu SIM. Kalau kamu ingin langsung pindah, kamu bisa membuat kode enam digit pertama lewat autentikator TOTP berbasis peramban dalam waktu kurang dari satu menit.
Meski begitu, jawabannya tidak sesederhana "SMS itu buruk". SMS masih jauh lebih baik daripada tidak memakai verifikasi dua langkah sama sekali, dan sebagian bank di Indonesia memang belum menyediakan pilihan lain. Artikel ini membandingkan keduanya secara jujur, lalu menutup dengan langkah praktis yang bisa kamu kerjakan hari ini juga.
Bagaimana keduanya bekerja
2FA lewat SMS: setelah kata sandi benar, layanan mengirim OTP ke nomor ponselmu melalui operator seluler. Kamu menyalin angka itu ke halaman login. Sederhana, tidak butuh instalasi, dan siapa pun yang punya HP bisa memakainya.
Aplikasi autentikator: saat mengaktifkannya, layanan menampilkan kode QR yang berisi kunci rahasia. Kunci itu disimpan di aplikasi, lalu aplikasi dan server sama-sama menghitung kode enam digit dari kunci tersebut plus jam saat ini. Kode berganti setiap 30 detik. Tidak ada pesan yang dikirim ke mana pun — dua sisi cuma menghitung angka yang sama secara terpisah. Penjelasan teknisnya kami bahas lebih dalam di artikel tentang apa itu kode TOTP dan cara kerjanya.
Risiko nyata dari 2FA lewat SMS
- Pembajakan kartu SIM (SIM swap). Penipu menghubungi gerai operator sambil berpura-pura menjadi kamu, mengaku kartu SIM hilang, lalu meminta penggantian. Begitu nomormu pindah ke SIM mereka, semua OTP-mu ikut pindah. Kasus ini sudah berkali-kali menimpa nasabah di Indonesia dan biasanya berakhir dengan rekening terkuras.
- Penyadapan jaringan SS7. Protokol lama yang menghubungkan antaroperator memungkinkan pihak dengan akses jaringan mencegat SMS. Ini bukan teori — sudah pernah dipakai untuk membobol rekening.
- Sinyal hilang dan roaming. Sedang di kapal menuju pulau, di basement mal, atau baru mendarat di luar negeri dengan kartu SIM lokal baru? OTP-mu tidak akan pernah datang, dan kamu terkunci dari akunmu sendiri.
- Keterlambatan operator. Saat jam sibuk atau musim promo, OTP kerap datang setelah masa berlakunya habis, memaksa kamu mengulang dari awal.
- Notifikasi di layar terkunci. Isi SMS sering tampil di layar kunci sehingga bisa dibaca siapa pun yang memegang ponselmu sebentar.
- Phishing. Situs palsu meminta kata sandi lalu OTP, dan meneruskannya ke situs asli secara real time. Kode dari aplikasi juga rentan cara ini, tetapi SMS lebih mudah dipakai untuk menekan korban dengan pesan "segera masukkan kode".
Perbandingan singkat
| Aspek | 2FA lewat SMS | Aplikasi autentikator (TOTP) | Kunci keamanan / passkey |
|---|---|---|---|
| Tahan pembajakan SIM | Tidak | Ya | Ya |
| Butuh sinyal seluler | Ya | Tidak | Tidak |
| Jalan saat offline atau roaming | Tidak | Ya | Ya |
| Tahan phishing | Rendah | Sedang | Tinggi |
| Biaya | Kadang berbayar bagi layanan | Gratis | Perlu beli perangkat (opsional untuk passkey) |
| Kemudahan bagi pemula | Sangat mudah | Mudah | Sedang |
| Risiko kehilangan akses | Rendah | Sedang, kecuali kode cadangan disimpan | Sedang |
Kenapa TOTP menang
Keunggulan utamanya bukan soal algoritma yang canggih, melainkan soal siapa yang terlibat. Kode TOTP tidak pernah melintasi jaringan siapa pun: tidak ada operator, tidak ada menara BTS, tidak ada pegawai gerai yang bisa dibohongi. Rahasianya hanya ada di dua tempat — server layanan dan ponselmu.
Efek sampingnya menyenangkan: aplikasi autentikator tetap bekerja di pesawat, di daerah tanpa sinyal, dan saat kartu SIM-mu diganti kartu lokal di luar negeri. Tidak ada biaya, tidak ada antrean pengiriman, tidak ada penundaan.
Kapan SMS masih boleh dipakai
SMS tetap jauh lebih baik daripada hanya mengandalkan kata sandi. Kalau sebuah layanan cuma menawarkan SMS — dan banyak bank serta layanan pemerintah di Indonesia memang begitu — pakailah, jangan dilewatkan. Gunakan juga SMS sebagai cadangan bila kamu takut kehilangan ponsel, atau untuk akun yang risikonya rendah seperti forum dan aplikasi belanja kecil.
Satu tips tambahan: untuk pendaftaran layanan yang tidak penting dan tidak menyimpan uang atau data pribadi, banyak orang memilih memakai nomor SMS sementara untuk menerima kode verifikasi agar nomor asli tidak beredar ke mana-mana. Jangan pernah memakainya untuk akun penting seperti bank, email utama, atau dompet digital.
Tingkat tertinggi: kunci keamanan dan passkey
Kalau kamu ingin perlindungan terbaik, targetnya adalah kunci keamanan fisik (YubiKey dan sejenisnya) atau passkey yang tersimpan di ponsel dan laptopmu. Keduanya terikat pada alamat situs asli, jadi meski kamu tertipu situs palsu, kredensialnya tidak bisa dipakai. Inilah satu-satunya metode yang benar-benar tahan phishing. Banyak layanan besar sudah mendukungnya, dan aktivasinya biasanya cuma butuh dua klik.
Pertanyaan yang sering diajukan
Apa yang terjadi kalau ponsel dengan aplikasi autentikator hilang?
Kamu masuk dengan kode cadangan yang diberikan saat mengaktifkan 2FA. Simpan kode itu di pengelola kata sandi atau cetak dan taruh di tempat aman. Tanpa kode cadangan, pemulihan akun bisa memakan waktu berhari-hari.
Bolehkah satu akun punya dua metode 2FA sekaligus?
Boleh, dan justru dianjurkan. Jadikan aplikasi autentikator sebagai metode utama, lalu tambahkan kunci keamanan atau kode cadangan sebagai jaring pengaman. Hindari menjadikan SMS satu-satunya cadangan pada akun bernilai tinggi, karena penyerang akan memilih jalur terlemah.
Apakah 2FA membuat kata sandi tidak penting lagi?
Tidak. 2FA adalah lapisan kedua, bukan pengganti lapisan pertama. Kata sandi yang panjang dan unik tetap wajib; lihat panduan kami tentang cara membuat passphrase yang kuat dan mudah diingat.
Aman tidak memakai autentikator berbasis peramban?
Aman selama kuncinya tidak dikirim ke server dan hanya diproses di perangkatmu. Alat semacam ini praktis untuk mencoba TOTP atau membuat kode saat ponsel utama tidak ada di tangan. Untuk akun paling penting, tetap gunakan aplikasi yang terpasang di ponselmu.
Yang bisa kamu lakukan hari ini
Mulailah dari tiga akun paling berharga — email utama, dompet digital, dan media sosial yang terhubung ke pekerjaanmu. Buka pengaturan keamanan, ganti metode 2FA dari SMS ke aplikasi autentikator, lalu simpan kode cadangannya. Kamu bisa menguji dan membuat kodenya lewat generator kode 2FA dari 1mail sebelum menyimpan pengaturannya. Kalau ada layanan yang mendukung passkey, aktifkan sekalian.
Selesaikan satu akun per hari, dan dalam seminggu profil keamananmu sudah jauh lebih kokoh. Perkakas pendukung lainnya bisa kamu temukan di kumpulan alat gratis 1mail.
