Serangan tukar SIM: kenapa SMS adalah faktor kedua paling lemah dan apa gantinya

Ponselmu tergeletak di meja dan tiba-tiba diam. Bukan mati, hanya kehilangan sinyal, dengan tulisan "Tidak ada layanan" di pojok atas. Kamu mengira jaringan operator sedang gangguan dan melanjutkan pekerjaan. Empat puluh menit berikutnya, seseorang di kota lain memakai nomormu untuk meminta kode reset ke email utamamu, masuk, lalu mengganti kata sandinya. Waktu antara sinyal hilang dan akun hilang biasanya sesingkat itu.

Serangan ini disebut tukar SIM atau SIM swap. Yang membuatnya berbahaya adalah pelaku tidak perlu membobol apa pun secara teknis.

Serangan lewat layanan pelanggan, bukan lewat kode

Pelaku menghubungi operator selulermu dan mengaku sebagai kamu. Ia bilang ponselnya hilang atau kartunya rusak, lalu minta nomor dipindahkan ke SIM baru. Untuk meyakinkan petugas, ia menyodorkan data yang sudah dikumpulkan lebih dulu: nama ibu kandung, nomor identitas, tanggal lahir, alamat, transaksi terakhir. Data seperti itu beredar dari kebocoran basis data, dari media sosialmu sendiri, atau dari telepon penipuan sebelumnya. Kalau bujukan gagal, jalur berikutnya adalah menyuap karyawan gerai agar memindahkan nomor dari dalam.

Begitu pemindahan selesai, SIM di ponselmu langsung berhenti bekerja dan setiap SMS serta panggilan masuk ke perangkat pelaku. Termasuk semua kode verifikasi. Kata sandimu tidak bocor, ponselmu tidak diretas, tapi faktor kedua yang seharusnya melindungimu kini berada di tangan orang lain.

Tanda bahaya yang hampir selalu terlewat

Gejalanya cuma satu dan sangat mudah disalahartikan: ponsel kehilangan sinyal tanpa sebab dan tetap "Tidak ada layanan". Wi-Fi tetap jalan, WhatsApp masih menyala di rumah, jadi rasanya tidak ada yang aneh. Orang biasanya menunggu sampai besok pagi.

Aturan yang perlu kamu tanam: jika sinyal hilang lebih dari lima belas menit sementara orang lain di ruangan yang sama masih punya sinyal, jangan menunggu. Restart ponsel sekali; kalau masih kosong, perlakukan sebagai serangan sampai terbukti sebaliknya. Petunjuk lain yang muncul beriringan adalah email "SIM diaktifkan" atau "kata sandi diubah" saat kamu tidak melakukan apa-apa.

SMS tetap lebih baik daripada tidak ada 2FA

Jangan salah paham dan mematikan 2FA SMS. Bagi mayoritas serangan sehari-hari, yaitu kata sandi bocor lalu dicoba massal, SMS tetap menghentikan penyerang. Faktor kedua yang lemah jauh lebih baik daripada tidak ada faktor kedua sama sekali.

Masalahnya bukan SMS itu sendiri, melainkan di mana SMS dipakai. Jangan menggantungkan SMS pada akun yang bisa mereset semua akun lain: email utama, pengelola kata sandi, aplikasi bank dan dompet digital, serta bursa kripto. Akun-akun itu adalah kunci induk. Kalau kunci induk dijaga oleh sesuatu yang bisa dipindahkan lewat percakapan telepon dengan petugas gerai, seluruh rangkaian pengamanan lainnya ikut selemah itu.

Tangga dari yang lemah ke yang kuat

1. SMS — bisa dipindahkan lewat tukar SIM, dan kodenya bisa dibacakan korban kepada penipu di telepon.
2. Kode lewat email — sedikit lebih baik, asalkan email itu sendiri dijaga sesuatu yang lebih kuat dari SMS. Kalau tidak, kamu cuma memindahkan titik lemahnya.
3. Aplikasi autentikator TOTP — kode dihasilkan di dalam ponselmu tanpa jaringan seluler, jadi tukar SIM tidak berpengaruh sama sekali. Perbandingan lengkapnya ada di aplikasi autentikator vs 2FA SMS, dan kamu bisa mulai memakainya lewat pembuat kode TOTP.
4. Kunci keamanan fisik atau passkey — tingkat tertinggi, karena terikat pada alamat situs sehingga halaman palsu tidak bisa menipunya. Tidak ada kode yang bisa dibacakan kepada siapa pun, sebab memang tidak ada kode.

Naik satu anak tangga saja, dari SMS ke aplikasi autentikator, sudah menghapus seluruh kelas serangan tukar SIM dari daftar risikomu.

Yang bisa kamu kerjakan minggu ini

• Pasang PIN atau kunci nomor di operator. Datangi gerai atau hubungi layanan pelanggan dan minta agar penggantian kartu memerlukan PIN atau kehadiran fisik. Ini satu-satunya langkah yang menutup serangan di sumbernya.
• Pindahkan akun penting ke autentikator atau passkey, mulai dari email utama, lalu pengelola kata sandi, lalu bank dan kripto.
• Hapus nomor telepon sebagai metode pemulihan pada akun yang sudah punya metode lebih kuat. Nomor yang tetap terpasang membuat semua pengamanan di atasnya bisa dilewati.
• Simpan kode pemulihan secara luring. Cetak atau tulis tangan, simpan di tempat terkunci, jangan di galeri foto atau catatan ponsel. Apa saja kode ini dan cara memakainya dijelaskan di apa itu kode pemulihan 2FA.
• Pakai kata sandi berbeda untuk tiap akun lewat pembuat kata sandi acak, supaya satu kebocoran tidak menular ke mana-mana.

Jam pertama saat nomormu direbut

Urutannya penting, dan hampir semua orang salah urutan karena panik.

1. Hubungi operator dari nomor lain lebih dulu. Pinjam ponsel siapa pun. Katakan nomormu diambil alih lewat tukar SIM dan minta diblokir serta dikembalikan segera. Merebut kembali nomor itulah yang benar-benar menghentikan serangan; selama pelaku memegang nomormu, semua reset yang kamu lakukan bisa dibalik lagi olehnya.
2. Amankan email utama. Ganti kata sandi, keluarkan semua sesi aktif, periksa aturan penerusan dan alamat pemulihan yang mungkin ditambahkan diam-diam.
3. Hubungi bank dan dompet digital. Minta pembekuan sementara dan periksa transaksi terakhir.
4. Lapor polisi dan simpan bukti: tangkapan layar, waktu kejadian, nomor tiket operator.

Satu peringatan yang tidak boleh dilewat

Jangan pernah membacakan kode OTP kepada siapa pun yang menelepon, sekalipun ia mengaku petugas bank, petugas operator, kurir paket, atau panitia undian. Tidak ada bank dan tidak ada operator yang pernah meminta OTP lewat telepon, WhatsApp, atau SMS. Penipu sering menelepon dari nomor yang tampak resmi, sudah tahu namamu dan sebagian data pribadimu, lalu memakai alasan mendesak seperti pemblokiran rekening atau pembaruan data. Tutup telepon, lalu hubungi sendiri nomor resmi yang tertera di aplikasi atau kartu.

Tanya jawab

Apakah saya harus mematikan 2FA SMS sekarang juga?

Tidak. Matikan hanya setelah metode yang lebih kuat sudah aktif dan kode pemulihannya sudah kamu simpan. Mematikan SMS tanpa pengganti justru mengembalikanmu ke perlindungan kata sandi tunggal. Untuk akun yang tidak menyediakan pilihan lain, SMS tetap layak dipakai.

Kalau ponsel saya hilang, apakah kode autentikator ikut hilang?

Hanya kalau kamu tidak menyiapkan cadangan. Karena itu kode pemulihan wajib disimpan luring, dan sebagian aplikasi autentikator punya cadangan terenkripsi antar perangkat. Siapkan sebelum memindahkan akun penting, bukan sesudah ponsel hilang.

Apakah eSIM lebih aman dari tukar SIM?

Sedikit membantu karena tidak ada kartu fisik yang bisa diambil di gerai, tapi celahnya tidak tertutup. Pemindahan eSIM tetap lewat proses layanan pelanggan yang sama, dan proses itulah yang dieksploitasi. PIN nomor di operator dan meninggalkan SMS untuk akun penting jauh lebih menentukan.