Kode SMS telah lama dianggap sebagai cara sederhana dan andal untuk melindungi akun. Bank, jejaring sosial, dan layanan online banyak menggunakan SMS sebagai faktor otentikasi kedua. Namun, pada tahun 2026 menjadi jelas: Kode SMS tidak lagi memberikan keamanan nyata dan dalam banyak kasus hanya menciptakan ilusi perlindungan.
Mengapa SMS dianggap aman
Ide di balik otentikasi SMS didasarkan pada beberapa asumsi:
- Telepon selalu bersama pemiliknya.
- Nomor telepon sulit disadap dari jarak jauh.
- Kode satu kali berlaku untuk waktu terbatas.
Dalam praktiknya, semua asumsi tersebut tidak lagi mencerminkan kenyataan.
Pertukaran SIM — ancaman utama terhadap otentikasi SMS
SIM swap adalah salah satu metode serangan yang paling umum dalam beberapa tahun terakhir.
Seorang penyerang:
- Mendapatkan data pribadi korban.
- Menghubungi operator seluler.
- Menerbitkan ulang kartu SIM atas nama mereka sendiri.
Setelah itu, semua pesan SMS – termasuk kode verifikasi – dikirimkan langsung ke penyerang.
Mengapa pertukaran SIM berfungsi
- Operator seluler sering kali mengandalkan verifikasi identitas yang lemah.
- Kesalahan manusia dalam dukungan pelanggan.
- Pelanggaran data pribadi membuat serangan lebih mudah.
Hasilnya, penyerang mendapatkan kendali penuh atas akun korban.
Kerentanan dalam infrastruktur seluler (SS7)
Jaringan seluler mengandalkan protokol pemberian sinyal lama seperti SS7, yang tidak dirancang dengan mempertimbangkan ancaman keamanan modern.
Hal ini memungkinkan penyerang untuk:
- Mencegat pesan SMS tanpa akses ke telepon.
- Lacak lokasi pelanggan.
- Memanipulasi pengiriman pesan.
Akses terhadap serangan semacam ini tidak lagi terbatas pada pemerintah – namun juga tersedia bagi entitas komersial dan penjahat dunia maya.
Intersepsi SMS melalui aplikasi jahat
Di ponsel cerdas, pesan SMS dapat disusupi melalui aplikasi:
- Perangkat lunak perusak dan spyware.
- Aplikasi dengan izin berlebihan.
- SDKs yang memiliki akses ke pesan.
Perangkat Android sangat rentan, karena pengguna sering kali memberikan izin SMS tanpa sepenuhnya memahami konsekuensinya.
Rekayasa sosial dan phishing
Kode SMS sering dieksploitasi dalam serangan rekayasa sosial:
- Pengguna tertipu untuk mengungkapkan kodenya.
- Kode dimasukkan di situs web phishing.
- Serangan itu terjadi secara real time.
Sifat kode yang hanya digunakan satu kali tidak membantu jika pengguna sendiri yang memberikannya kepada penyerang.
Ketergantungan pada nomor telepon
Nomor telepon tidak lagi menjadi pengenal yang dapat diandalkan:
- Nomor dijual dan dijual kembali.
- Operator menggunakan kembali nomor lama.
- Ponsel bisa hilang atau terputus sementara.
Pada saat yang sama, banyak layanan yang secara ketat mengikat akses akun ke nomor telepon, sehingga meningkatkan risiko penguncian atau pengambilalihan akun.
Mengapa bank dan layanan masih menggunakan SMS
Meski berisiko, SMS tetap populer karena:
- Pengguna sudah familiar dengannya.
- Tidak diperlukan aplikasi tambahan.
- Ini berfungsi di ponsel apa pun.
Ini adalah trade-off antara kenyamanan dan keamanan – dan keamananlah yang hilang.
Apa yang harus menggantikan kode SMS
Alternatif yang lebih andal meliputi:
- Aplikasi autentikator (TOTP).
- Kunci keamanan perangkat keras (U2F / FIDO2).
- Otentikasi berbasis push dengan tanda tangan kriptografi.
- Kunci sandi dan login tanpa kata sandi.
Metode-metode ini tidak bergantung pada operator seluler dan jauh lebih sulit untuk diserang.
Saat SMS mungkin masih bisa diterima
SMS hanya dapat digunakan sebagai:
- Solusi sementara.
- Metode pemulihan cadangan.
Namun bukan sebagai mekanisme perlindungan utama untuk akun kritis.
Kesimpulan
Pada tahun 2026, kode SMS merupakan teknologi usang yang tidak cocok dengan model ancaman modern. Serangan pertukaran SIM, kerentanan jaringan seluler, aplikasi berbahaya, dan manipulasi psikologis menjadikan SMS sebagai metode autentikasi yang tidak dapat diandalkan.
Menggunakan SMS untuk autentikasi bukanlah soal kenyamanan — ini soal risiko. Untuk melindungi akun, keuangan, dan data pribadi, penting untuk beralih ke metode autentikasi yang modern dan aman secara kriptografis.