Bisnis.com, JAKARTA - Kata sandi sekali pakai atau one-time password (OTP) menjadi metode keamanan yang banyak digunakan saat ini. Kemudahan serta kepraktisan yang ditawarkan membuatnya banyak digunakan oleh sejumlah penyedia layanan digital.
Namun, dibalik kemudahan dan kepraktisan yang ditawarkan oleh OTP, ada bahaya yang mengintai pengguna layanan digital. Menurut Pakar Forensik Digital Ruby Alamsyah, ada dua cara yang dapat digunakan oleh pelaku kejahatan siber untuk mendapatkan kode OTP korbannya.
Cara pertama melalui malware berupa aplikasi mata-mata (spyware) yang menyusup melalui aplikasi yang terpasang pada perangkat. Lewat aplikasi tersebut, peretas bisa mengambil setiap data yang masuk dan menyalahgunakannya.
Walaupun jarang terjadi, Ruby menyebut spyware ini banyak ditemukan pada sejumlah aplikasi pinjaman daring ilegal yang kini banyak digunakan oleh masyarakat sebagai alternatif pendanaan cepat.
“Spyware ini memantau data-data di ponsel, termasuk SMS [yang masuk]. Spyware juga bisa membaca atau membajak kode OTP. Tidak banyak, tetapi ada,” katanya akhir pekan lalu.
Selain itu, untuk OTP yang dikirimkan melalui panggilan telepon dapat dengan mudah bocor lewat fitur pengalihan panggilan atau call forwarding. Fitur tersebut akan mengalihkan seluruh panggilan telepon agar masuk ke ponsel korban sekaligus pelaku.
Cara lain yang dapat digunakan adalah pembajaka kartu SIM atau SIM swap. Kejahatan SIM swap dilakukan dengan membuat kartu SIM dengan nomor korban untuk mengambil alih data. Sebelum melakukan SIM swap, pelaku terlebih dahulu mengirimkan umpan untuk mendapatkan data-data calon korban lewat surel atau SMS.
Terakhir tentunya adalah penipuan yang memanfaatkan kelemahan korbannya atau social engineering. Contohnya adalah iming-iming hadiah yang disampaikan melalui telepon.
Oleh karena itu, Ruby menilai OTP tidak tepat apabila digunakan untuk layanan digital dengan risiko tinggi, seperti layanan perbankan dan platform dagang el.
“OTP itu secara teknologi cukup aman dan paling simple, tetapi ternyata ini banyak disalahgunakan, karena tingkat edukasi [pengguna] masih rendah. Saya sih lebih menyarankan multi-factor authentification [MFA] dibanding OTP untuk high risk,”
Komisioner Badan Regulasi Telekomunikasi Indonesia (BRTI) Agung Harsoyo menilai OTP merupakan metode keamanan yang paling aman. Pasalnya, metode tersebut merupakan bagian dari otentifikasi dua faktor atau two step authentification.
Namun, Agung tak menampik bahwa ada celah yang bisa dimanfaatkan oleh pelaku kejahatan siber untuk mengelabui pengguna agar menyerahkan kode OTP yang mereka terima.
Celah yang dimaksud adalah malware yang mencuri data pengguna. Malware tersebut menyusup ke perangkat yang digunakan melalui aplikasi yang dipasang atau tautan yang dikunjungi oleh pengguna.
Oleh karena itu, Agung mengimbau agar masyarakat tidak sembarangan memasang aplikasi atau mengunjungi tautan yang asal-usulnya tidak jelas.
Adapun, upaya yang dapat dilakukan untuk meminimalisasi kejahatan siber melalui OTP, menurut Kepala Sub Direktorat Identifikasi Kerentanan dan Penilaian Risiko Infrastruktur Informasi Kritikal Nasional III Badan Siber dan Sandi Negara (BSSN) Sigit Kurniawan adalah dengan tidak menggunakan Wi-Fi publik saat mengakses layanan keuangan atau memperbarui sistem operasi perangkat.
Selain itu, masyarakat juga diminta tidak mudah percaya dengan permintaan data pribadi yang mengatasnamakan bank atau penyedia layanan lainnya.
“Juga yang tak kalah penting, tidak sembarangan membagikan nomor handphone yang digunakan untuk transaksi keuangan atau data pribadi lainnya,” tegas Sigit.
