Eksploitasi OTP SMS dan antisipasinya

Peran internet dan digitalisasi mengubah banyak aspek kehidupan dalam dunia nyata, memberikan peluang yang besar bagi siapapun yang cukup jeli memanfaatkannya, menciptakan efisiensi dan memangkas birokrasi. Namun, karena sifatnya yang universal dan anonim, tantangan besar dalam pemanfaatan internet adalah identifikasi penggunanya karena identifikasi yang dibutuhkan dalam penyediaan layanan bertentangan dengan sifat dasar internet yang anonim.

Tidak dapat disangkal kalau digitalisasi memberikan banyak keuntungan penghematan biaya dan efisiensi bagi layanan finansial seperti dompet digital, mobile banking dan layanan aplikasi yang memberikan banyak manfaat dan bahkan mengubah gaya hidup dan komunikasi masyarakat terlihat dengan pola komunikasi yang memanfaatkan aplikasi digital seperti media sosial dan pesan instan.

Untuk mengidentifikasi penggunanya, penyedia layanan menggunakan kredensial seperti username dan password, namun karena berkembangnya ancaman dan perlindungan kredensial tidak cukup aman, maka digunakan perlindungan tambahan OTP One Time Password yang secara teknis sangat handal jika diimplementasikan dengan baik. Dan OTP yang secara de facto paling populer digunakan untuk melindungi kredensial adalah OTP menggunakan SMS.

OTP SMS merupakan OTP paling lemah

OTP yang paling lemah adalah OTP SMS, tetapi OTP SMS masih lebih aman daripada perlindungan kredensial username dan password saja. OTP SMS kurang aman karena memanfaatkan protokol jadul SMS yang tidak terenkripsi sehingga OTP SMS ini bisa disadap dan dibaca ditengah jalan. Buktinya adalah APK pencuri SMS yang bisa membaca dan memforwardkan OTP SMS ke telegram penipu.

Selain itu, jika kartu SIM ponsel berhasil dikuasai orang lain, baik karena SIM Swap atau pengguna kartu prabayar yang melewati masa tenggang dan nomornya dijual kembali, maka OTP SMS ini tentu akan bisa dikuasai dan dibaca oleh pemegang kartu baru dan digunakan untuk mengeksploitasi akun yang bukan haknya.

Dalam kasus SIM Swap yang pernah menimpa pesohor Ilham Bintang dimana ketika yang bersangkutan keluar negeri lalu penipu menghubungi penyedia layanan seluler dan melakukan SIM Swap dengan KTP palsu. Tindakan ini termasuk nekad karena penipu harus memiliki KTP Ilham Bintang bodong dan berani tampil secara fisik ke operator.

Setelah kasus ini, operator seluler belajar banyak dan sangat memperketat proses penggantian kartu SIM karena jika operator memberikan penggantian kartu SIM kepada penipu yang menggunakan KTP bodong hal ini sepenuhnya berada diluar kontrol pemilik kartu SIM dan operator bertanggung jawab untuk melakukan verifikasi identitas terhadap pihak yang melakukan penggantian kartu SIM. Salah satunya adalah menggunakan scanner e KTP yang bisa didapatkan dari dukcapil. Alat ini bisa mengidentifikasi KTP bodong dan juga banyak digunakan oleh pihak perbankan untuk mendeteksi KTP bodong yang juga banyak digunakan untuk membuka akun bank bodong guna menampung hasil kejahatan.

Mengapa OTP SMS termasuk yang paling lemah tetapi tetap digunakan ?

Meskipun OTP SMS rentan disadap dan mudah dieksploitasi, namun kenyataannya penggunaannya paling banyak dibandingkan metode OTP lain seperti Kalkulator Token yang lebih mahal karena harus membeli kalkulator token fisik atau Aplikasi Otentikasi seperti Google Authenticator atau Authy yang gratis tetapi sedikit lebih rumit dibandingkan OTP SMS. OTP SMS paling banyak digunakan karena kemudahan penggunaannya dibandingkan OTP lain dimana layanan SMS sudah otomatis tersedia pada setiap nomor ponsel yang aktif.

Sebenarnya OTP SMS dapat ditingkatkan keamanannya jika pengguna dan pengelolanya bagaimana melakukan langkah pengamanan yang baik dan menutup celah kelemahan OTP SMS seperti :

1. Lindungi ponsel anda dari akses ilegal dengan menggunakan PIN / password yang baik atau perlindungan biometrik.
2. Jika anda mengganti nomor ponsel, ingat harus ganti semua layanan OTP anda khususnya layanan finansial seperti mobile banking, dompet digital, akun penting seperti email utama dan akun media sosial penting yang menggunakan OTP SMS.
3. Hindari menggunakan kartu pra bayar dan usahakan gunakan kartu pasca bayar pada nomor OTP dan jangan pernah terlambat membayar tagihan ponsel yang akan berakibat nomor dinonaktifkan. Jika terpaksa menggunakan kartu prabayar, pastikan kartu selalu dalam kekuasaan anda dan tidak pernah melewati masa tenggang.
4. Sekalipun anda menggunakan kartu pasca bayar, ancaman APK pencuri SMS tetap berbahaya karena itu pengguna Android harus ektra hati-hati dengan APK pencuri SMS yang memalsukan dirinya sebagai APK : Kurir Online, Undangan Pernikahan, Surat Tilang atau Tagihan Pajak.
5. Gunakan program antivirus seperti GData Mobile Security dan pastikan anda tidak pernah menginstal aplikasi dari luar play store. Nonaktifkan pilihan fitur "instal unkown apps" atau "instal dari sumber tidak dikenal" pada Android sehingga tidak ada aplikasi yang diizinkan menginstal aplikasi dari luar play store. Jika anda menggunakan iPhone, anda cukup aman dari ancaman APK pencuri SMS yang hanya bisa berjalan di platform Android.
6. Hati-hati dengan phishing dengan berbagai macam trik "ancaman" seperti ancaman kenaikan biaya transfer, ancaman blokir akun dari pengelola layanan karena anda melanggar aturan atau ancaman lainnya yang tujuan utamanya menakuti anda sehingga anda ketakutan memasukkan data kredensial ke situs phishing. Pengguna Android dan iPhone sama rentannya dari ancaman ini. Penipu akan mengelabui korbannya memasukkan kredensial dan OTP yang jika dituruti akan berakibat eksploitasi akun medsos, email atau mobile banking korbannya.
7. Bank menambahkan verifikasi fisik tambahan seperti mengunjungi CS, verifikasi ke mesin ATM, face recognition atau verifikasi ketat call center menghubungi dan jangan hanya bergantung pada OTP SMS "setiap kali" mobile banking berganti nomor ponsel / ponsel. Hal ini akan mencegah akun mobile banking diambilalih sekalipun kredensial dan OTP SMS berhasil dicuri.

Apa yang harus dilakukan jika anda menjadi korban ?

Jika kartu SIM anda di swap, cara mendeteksi SIM swap adalah ponsel anda mendadak tidak mendapatkan koneksi jaringan seluler. Jangan panik berlebihan, cek kepada rekan anda yang menggunakan operator yang sama apakah memang sedang ada masalah jaringan atau hanya anda yang mengalami masalah ini. Jika benar hanya anda yang mengalami, pastikan bahwa bukan ponsel anda yang rusak dan segera hubungi call center layanan seluler untuk melakukan antisipasi jika anda mengalami SIM Swap.

Jika anda terlambat membaca artikel ini dan anda menggunakan kartu prabayar untuk menerima OTP SMS penting dan anda lupa perpanjang dan diambil alih dan OTPnya dieksploitasi oleh penipu :

1. Segera hubungi institusi penyedia layanan finansial seperti kartu kredit, mobile banking dan dompet digital untuk segera memblokir akun anda.
2. Jika eksploitasi masih berlangsung laporkan segera ke kantor polisi dan minta bantuan operator layanan seluler untuk menonaktifkan nomor tersebut.

Apa yang harus dilakukan oleh pemerintah dan operator ?

Sebenarnya secara hukum posisi operator cukup kuat dan tidak bisa disalahkan jika mendaur ulang nomor kartu prabayar yang sudah melewati masa tenggang karena dilakukan sesuai peraturan pemerintah. Tetapi dalam kasus kartu prabayar yang digunakan untuk aktivitas jahat, maka operator harusnya cukup tanggap karena kartu SIMnya digunakan untuk melakukan kejahatan, baik itu kartu prabayar maupun kartu pascabayar sekalipun jika digunakan untuk melakukan tindak kejahatan operator wajib melakukan tindakan yang diperlukan. Asalkan memiliki bukti dan dasar yang cukup seperti adanya Surat Laporan Kepolisian dan verifikasi data base user yang dimiliki oleh operator.

Pihak pemerintah sebagai regulator harusnya selalu tanggap dan menyesuaikan aturan yang ada. Banyaknya kejahatan memanfaatkan kartu prabayar ini sangat erat kaitannya dengan masifnya penggunaan kartu SIM prabayar dan kebocoran data kependudukan yang masif. Hanya bermodalkan kartu prabayar seharga Rp. 10.000,- rupiah penipu dengan mudah mendapatkan identitas baru untuk melakukan penipuan. Hal ini diharapkan menjadi pijakan untuk melakukan antisipasi dan menelurkan aturan yang lebih baik dan aman.

Penegak hukum diharapkan untuk dapat cepat menindaklanjuti aksi penipuan memanfaatkan kartu seluler yang sudah sangat meresahkan dan banyak memakan korban. Kepolisian adalah pihak yang berhak menindaklanjuti aksi kejahatan dan memiliki hak untuk meminta data kepada operator untuk mengidentifikasi penipu yang memanfaatkan kartu seluler untuk kejahatan. Jangan sampai jika korban kejahatannya adalah pejabat penting pihak kepolisian baru bergerak cepat meringkus pelaku kejahatan tetapi ketika masyarakat umum yang menjadi korban kejahatan, layanan yang sama tidak diberikan kepada masyarakat.