Mana Lebih Aman, 2FA Aplikasi atau SMS OTP?

Verifikasi dua langkah (2FA) baru benar-benar diuji pada hari password kamu bocor. Saat itu, yang menentukan adalah dari mana kode kedua datang: SMS, aplikasi authenticator, notifikasi push, atau kunci keamanan. Jawaban singkatnya, aplikasi authenticator lebih aman daripada SMS OTP, dan kunci keamanan fisik atau passkey lebih aman lagi.

Kalau lapisan kedua mudah dibobol, perlindungannya tinggal separuh. Dan untuk akun bisnis seperti email kantor, panel domain, atau akun iklan, separuh perlindungan bisa berarti kehilangan akses ke seluruh usaha.

Meski begitu, SMS OTP tetap jauh lebih baik daripada tidak ada 2FA sama sekali. Jadi, kalau sebuah layanan hanya menyediakan SMS, aktifkan saja sambil menunggu pilihan yang lebih kuat.

Empat metode 2FA yang umum

Urutan kasarnya, dari yang paling mudah ditembus serangan jarak jauh ke yang paling tahan:

• SMS OTP: kode dikirim lewat SMS ke nomor HP.
  • Kelebihan: tidak perlu memasang apa pun, semua HP bisa menerima.
  • Kelemahan: bergantung pada nomor dan jaringan seluler, bisa dicegat atau dialihkan.
• Aplikasi authenticator (TOTP): aplikasi di HP menghasilkan kode dari kunci rahasia dan waktu, umumnya 6 digit yang berganti setiap 30 detik (nilai bawaan yang lazim dipakai berdasarkan standar RFC 6238).
  • Kelebihan: kode dibuat di perangkat, tidak lewat jaringan, tetap bekerja tanpa sinyal.
  • Kelemahan: kode masih bisa diketik di situs phishing.
• Notifikasi push: layanan mengirim permintaan "Apakah ini kamu?" ke aplikasi resmi, cukup ketuk setuju.
  • Kelebihan: praktis.
  • Kelemahan: rawan "kelelahan notifikasi", ketika pelaku mengirim permintaan berulang sampai korban menekan setuju agar berhenti.
• Kunci keamanan dan passkey (FIDO2): verifikasi lewat perangkat fisik atau passkey yang terikat ke alamat situs asli.
  • Kelebihan: tahan phishing karena perangkat menolak situs palsu.
  • Kelemahan: perlu perangkat cadangan, dan belum semua layanan mendukung.

Penjelasan rinci soal passkey ada di apa itu passkey.

Apa itu SIM swap dan kenapa SMS OTP rentan?

SIM swap adalah ketika pelaku berhasil memindahkan nomor HP korban ke kartu SIM baru miliknya, biasanya dengan menyamar sebagai pemilik nomor dan memakai data pribadi yang bocor. Begitu berhasil, semua SMS, termasuk OTP bank dan email, masuk ke HP pelaku. Tanda awalnya sering berupa sinyal HP tiba-tiba hilang tanpa sebab yang jelas.

Selain SIM swap, SMS juga bisa dicuri oleh malware di HP sendiri. Aplikasi palsu yang mendapat izin membaca SMS atau notifikasi bisa meneruskan kode OTP ke pelaku, modus yang sering ditemui lewat file APK di WhatsApp. Nomor HP yang sudah tidak aktif juga bisa didaur ulang operator dan jatuh ke orang lain, sehingga akun yang masih terhubung ke nomor itu ikut terancam.

Phishing OTP: kelemahan yang dimiliki SMS dan TOTP

Ada satu serangan yang bisa menembus SMS OTP maupun TOTP: phishing waktu nyata. Pelaku memasang halaman login palsu yang meneruskan semua isian ke situs asli secara langsung. Korban memasukkan password, lalu kode OTP, dan pelaku memakainya dalam hitungan detik sebelum kode kedaluwarsa.

Varian yang lebih sederhana adalah penelepon yang mengaku petugas bank atau marketplace dan meminta korban "membacakan kode yang baru masuk". Aturannya mudah: kode OTP tidak pernah dibagikan kepada siapa pun, termasuk orang yang mengaku dari layanan itu.

Karena kelemahan ini, akun yang paling penting sebaiknya memakai kunci keamanan atau passkey bila layanannya mendukung.

Mana yang dipilih untuk tiap akun?

Tidak semua akun perlu metode yang sama. Panduan praktisnya:

Daftar akun bisnis yang perlu diprioritaskan, lengkap dengan letak pengaturan 2FA-nya, ada di checklist 2FA akun bisnis.

Jangan lupa mencadangkan 2FA

Masalah paling umum setelah mengaktifkan 2FA bukan peretasan, melainkan terkunci sendiri karena HP hilang atau rusak. Siapkan cadangannya sejak awal:

1. Simpan kode cadangan (backup codes) yang diberikan layanan saat 2FA diaktifkan. Cetak atau simpan di password manager, jangan di galeri foto HP yang sama.
2. Daftarkan lebih dari satu metode, misalnya TOTP ditambah kunci keamanan cadangan.
3. Pilih aplikasi authenticator yang mendukung pencadangan terenkripsi atau pemindahan ke HP baru, lalu uji proses pemindahannya.
4. Untuk akun bersama tim, simpan kunci TOTP dan kode cadangan di password manager tim, bukan di HP satu orang. Sebagian password manager bisa menyimpan dan menampilkan kode TOTP. Pembahasannya ada di password manager untuk tim dengan Vaultwarden.