Apa Itu Otentikasi OTP? Cara Kerjanya, Risiko, dan Alternatifnya (2026)

Kode Sandi Sekali Pakai (OTP) telah menjadi landasan keamanan daring selama lebih dari dua dekade. Jika Anda pernah menerima kode enam digit melalui pesan teks untuk masuk ke akun bank Anda, berarti Anda telah menggunakannya. Namun, seiring dengan semakin canggihnya serangan siber, pertanyaan yang diajukan oleh organisasi dan tim keamanan kini berubah dari “apakah kita harus menggunakan OTP?” menjadi “apakah OTP masih cukup aman?”

Artikel ini menjelaskan apa itu otentikasi OTP, bagaimana berbagai jenisnya bekerja, risiko keamanan spesifik yang ditimbulkannya masing-masing, serta mengapa verifikasi wajah biometrik semakin menggantikan OTP sebagai metode otentikasi pilihan untuk kasus penggunaan yang membutuhkan tingkat keamanan tinggi.

Apa itu OTP? Arti dan Definisi

OTP adalah kode yang dihasilkan oleh komputer yang hanya berlaku untuk satu sesi otentikasi dan kedaluwarsa dalam waktu singkat – biasanya 30 hingga 120 detik, atau segera setelah digunakan.

Berbeda dengan kata sandi statis, yang tetap sama hingga pengguna mengubahnya, OTP selalu unik setiap kali digunakan. Hal ini menghilangkan risiko serangan replay kredensial, di mana penyerang menggunakan kembali kata sandi yang telah disadap. OTP dikirimkan melalui pesan teks SMS, email, aplikasi otentikator, atau perangkat token fisik.

Otentikasi OTP umumnya digunakan sebagai bagian dari otentikasi multi-faktor (MFA), yang memenuhi faktor kepemilikan – lapisan jaminan ‘apa yang Anda miliki’. Asumsinya adalah bahwa hanya pengguna yang sah yang memiliki akses ke perangkat atau kotak masuk yang menerima kode tersebut.

Bagaimana Cara Kerja OTP?

Proses OTP dasar terdiri dari tiga langkah:

1. Pengguna mencoba masuk atau menyelesaikan transaksi.
2. Sistem ini menghasilkan kode unik yang berlaku untuk jangka waktu tertentu dan mengirimkannya ke perangkat atau alamat email yang terdaftar milik pengguna.
3. Pengguna memasukkan kode untuk melakukan otentikasi. Sesi akan diberikan jika kode tersebut cocok dan belum kedaluwarsa.

OTP dihasilkan menggunakan salah satu dari dua algoritma dasar berikut:

• HOTP (Kata Sandi Sekali Pakai Berbasis HMAC): kode ini dihasilkan berdasarkan penghitung yang bertambah setiap kali terjadi proses otentikasi. Kode ini tetap berlaku hingga digunakan, bukan kedaluwarsa berdasarkan waktu.
• TOTP (Time-Based One-Time Password):kode ini dihasilkan berdasarkan waktu saat ini dan kedaluwarsa setelah jangka waktu tertentu, biasanya 30 detik. Aplikasi otentikator seperti Google Authenticator menggunakan TOTP.

Dalam kasus SMS OTP, tidak ada algoritma yang digunakan — kode tersebut hanya dihasilkan di sisi server dan dikirimkan melalui jaringan seluler, tanpa adanya ikatan kriptografis dengan perangkat pengguna.

Jenis-Jenis Utama Otentikasi OTP

• SMS OTP: kode satu kali yang dikirimkan ke nomor ponsel Anda melalui pesan teks. Format yang paling umum digunakan, namun juga yang paling rentan.
• Kode OTP via email:kode yang dikirimkan ke kotak masuk email yang terdaftar. Praktis, tetapi bergantung pada tingkat keamanan akun email tersebut.
• TOTP (Time-Based, App-Generated): kode bergulir yang dihasilkan oleh aplikasi otentikasi (Google Authenticator, Microsoft Authenticator, Authy). Lebih aman daripada SMS karena tidak dikirim melalui jaringan telepon. Biasanya berlaku selama 30 detik.
• HOTP (Berbasis Penghitung): kode yang nilainya bertambah setiap kali digunakan, bukan kedaluwarsa berdasarkan waktu. Digunakan dalam beberapa implementasi token perangkat keras.
• Token perangkat keras:perangkat fisik khusus (bukan ponsel pintar) yang menampilkan kode sekali pakai. Umum digunakan di lingkungan perusahaan dan layanan keuangan.

Otentikasi OTP: Apa Masalahnya?

Mela Abesamis selalu menganggap dirinya berhati-hati dalam hal keamanan siber. Dia sangat paham Tentang iProov serangan phishing dan taktik penipuan umum lainnya, serta cara mengetahuinya. Dia juga terbiasa menerima One-Time Passcode (OTP) dari banknya, yang dikirim melalui SMS ke perangkat selulernya untuk mengautentikasi identitasnya.

Namun, pada Desember 2021, Mela menerima pesan dari banknya yang menyatakan bahwa 50.025 peso Filipina (sekitar $950) telah ditransfer dari rekeningnya ke rekening Mark Nagoyo. Ini adalah satu-satunya tanda yang diterimanya bahwa uang tersebut telah ditransfer. Dia belum pernah mendengar nama Mark Nagoyo, dia jelas tidak melakukan pembayaran tersebut, dan dia tidak menerima kode sandi satu kali selama transaksi berlangsung.

Dia tidak sendirian. Lebih dari 700 pemegang rekening menjadi korban penipuan tersebut. Dalam bahasa Filipina, kata “nagoyo” berarti mempermalukan seseorang.

Lima orang akhirnya didakwa atas kasus penipuan tersebut. Para penipu menggunakan teknik phishing untuk mencuri data login rekening bank. Mereka kemudian berhasil sepenuhnya mengelabui sistem keamanan OTP bank – para korban melaporkan bahwa transaksi diproses tanpa pemicu OTP sama sekali – dan menguras rekening bank para korban.

Bank telah membayar kembali jumlah yang terdampak, namun hal ini tidak sepenuhnya mengimbangi pengalaman traumatis para korban.

Ini hanyalah salah satu contoh bagaimana membobol otentikasi OTP semakin mudah dilakukan oleh para penyerang yang semakin canggih. Artikel ini membahas secara rinci bagaimana serangan-serangan tersebut bekerja — serta seperti apa alternatif yang lebih aman.

Apakah OTP Aman?

OTP lebih aman daripada kata sandi statis saja. Karena setiap kode bersifat unik dan masa berlakunya cepat habis, menyadap kode tersebut tidak akan memberi penyerang kredensial yang dapat digunakan kembali.

Namun, OTP memiliki keterbatasan struktural mendasar: OTP hanya memenuhi faktor kepemilikan dalam otentikasi—“apa yang Anda miliki.” Perangkat atau kotak masuk apa pun yang menerima kode tersebut dapat disusupi. Ponsel yang dicuri, nomor telepon yang dibajak, atau kode yang diperoleh melalui phishing semuanya dapat menggagalkan otentikasi OTP sepenuhnya, tanpa penyerang perlu memecahkan enkripsi apa pun.

Konsensus di kalangan peneliti keamanan dan regulator telah berubah. Pedoman Identitas Digital NIST (SP 800-63B) kini secara eksplisit membatasi penggunaan OTP melalui SMS untuk otentikasi tingkat tinggi karena rentan terhadap penyadapan. Pusat Keamanan Siber Nasional Inggris (NCSC ) juga menyarankan organisasi untuk beralih dari faktor kedua berbasis SMS jika tersedia alternatif lain.

Jadi: OTP memang lebih baik daripada kata sandi biasa, tetapi tidak cukup aman untuk kasus penggunaan yang membutuhkan tingkat keamanan tinggi — dan teknik serangan yang menargetkan OTP semakin mudah dilakukan dalam skala besar.

Apakah OTP Bisa Diretas?

Ya – dan ada beberapa metode yang telah didokumentasikan dengan baik yang digunakan penyerang untuk menyadap atau mengelabui otentikasi OTP tanpa perlu mengakses perangkat target secara fisik.

Serangan Penukaran Kartu SIM

Serangan SMS OTP yang paling umum. Penipu mengumpulkan data pribadi korban — melalui phishing, kebocoran data, atau rekayasa sosial — dan menggunakannya untuk meyakinkan operator seluler korban agar memindahkan nomor telepon tersebut ke kartu SIM yang dikendalikan oleh penyerang. Semua pesan SMS selanjutnya, termasuk OTP, kemudian dikirimkan ke penyerang.

Penipuan penggantian SIM meningkat pesat. Lembaga pengawas penipuan Inggris, Cifas, mencatat lonjakan sebesar 1.055% dalam kasus penggantian SIM tanpa izin pada tahun 2024, naik dari 289 kasus pada tahun 2023 menjadi hampir 3.000 kasus. Di AS, Pusat Pengaduan Kejahatan Internet FBI mencatat kerugian akibat penukaran SIM yang dilaporkan sebesar $26 juta pada tahun 2024, dan satu kasus saja mengakibatkan putusan arbitrase sebesar $33 juta terhadap T-Mobile setelah penukaran SIM memfasilitasi pencurian mata uang kripto.

Kelemahan Protokol SS7

SS7 (Signaling System No. 7) adalah protokol yang telah ada selama puluhan tahun dan menjadi fondasi utama jaringan seluler 2G dan 3G, termasuk pengiriman SMS. Protokol ini memiliki kelemahan desain yang memungkinkan penyerang yang memiliki akses ke jaringan SS7—biasanya kelompok kriminal yang canggih atau aktor negara—untuk menyadap panggilan dan pesan teks yang sedang dikirim, termasuk kode OTP.

Di Jerman, para penipu memanfaatkan protokol SS7 melalui operator jaringan asing untuk menyadap kode OTP SMS yang dikirimkan kepada pelanggan O2 Telefonica dalam skala besar, sehingga memungkinkan mereka menguras rekening bank milik sejumlah pelanggan yang tidak diungkapkan.

Penangkapan Phishing dan OTP Secara Real-Time

Jenis serangan yang semakin marak dan sangat berbahaya. Perangkat lunak serangan man-in-the-middle — termasuk kerangka kerja yang mudah diakses seperti Evilginx — memungkinkan penyerang membuat versi proxy yang tampak meyakinkan dari halaman login resmi. Ketika korban memasukkan kredensial dan OTP-nya, server penyerang menangkap kedua data tersebut secara real-time dan meneruskannya ke situs asli sebelum OTP kedaluwarsa. Penyerang pun memperoleh akses penuh ke sesi tersebut meskipun korban telah menyelesaikan proses MFA dengan benar.

Serangan ini tidak memerlukan akses SIM, eksploitasi SS7, maupun malware – cukup dengan halaman phishing yang meyakinkan dan sistem pengiriman otomatis. Serangan ini mampu mengelabui SMS OTP, email OTP, dan TOTP dengan cara yang sama.

Risiko Khusus TOTP

TOTP berbasis aplikasi lebih tahan terhadap penyadapan daripada SMS, tetapi tetap memiliki kelemahan yang dapat dimanfaatkan:

• Pencurian atau peretasan perangkat. Jika seorang penyerang berhasil mengakses perangkat yang berisi aplikasi otentikator — dan perangkat yang sama digunakan untuk menyelesaikan transaksi — maka “dua faktor” tersebut menyatu menjadi satu. Klasifikasi MFA pun menjadi dipertanyakan.
• Risiko paparan kode cadangan. Sebagian besar aplikasi otentikator menghasilkan kode pemulihan saat proses pengaturan. Jika kode-kode tersebut disimpan secara tidak aman (di aplikasi catatan, email, atau cadangan cloud), hal itu dapat menjadi titik kegagalan tunggal.
• Rekayasa sosial. Para penyerang semakin sering menelepon korban secara langsung, menyamar sebagai tim penanggulangan penipuan bank, dan memaksa mereka untuk membacakan kode TOTP mereka selama panggilan “verifikasi akun”.

Apa Saja Risiko Keamanan Otentikasi OTP?

Masalah mendasar pada otentikasi OTP adalah bahwa metode ini hanya memenuhi faktor kepemilikan dalam proses otentikasi. Apa yang Anda miliki — baik itu ponsel Anda atau token perangkat keras — dapat hilang, dicuri, disusupi, atau dipalsukan pada tingkat penyedia layanan. Berikut ini adalah ringkasan vektor risiko utama berdasarkan jenis OTP.

Risiko Keamanan SMS OTP

Sebagaimana terlihat pada kasus di Filipina, penyerang tidak perlu mencuri ponsel Anda untuk mengelabui sistem SMS OTP. Pesan teks tidak dienkripsi dan terikat pada nomor telepon, bukan pada perangkat tertentu. Vektor serangan utamanya adalah penggantian SIM, eksploitasi SS7, dan phishing real-time – semuanya telah dijelaskan secara rinci di atas.

Risiko Keamanan TOTP

TOTP dan otentikasi berbasis aplikasi menawarkan keamanan yang lebih baik daripada SMS, karena kode dihasilkan secara lokal dan tidak dikirimkan melalui jaringan operator. Namun, seperti yang telah disebutkan, peretasan perangkat, phishing real-time, dan rekayasa sosial tetap menjadi jalur serangan yang potensial. Selain itu, TOTP juga masih hanya memenuhi faktor kepemilikan – sehingga menimbulkan pertanyaan apakah metode ini benar-benar dapat dikategorikan sebagai otentikasi multi-faktor ketika transaksi dan proses otentikasi berlangsung di perangkat yang sama.

Apakah Otentikasi OTP Menawarkan Pengalaman Pengguna yang Ketinggalan Zaman?

Pandemi telah mempercepat meningkatnya permintaan akan pengalaman pengguna yang lancar dan mengutamakan kerja jarak jauh. Otentikasi OTP masih tertinggal dalam beberapa aspek.

Proses yang Sedang Berjalan

Otentikasi OTP memerlukan tindakan dari pengguna: mengambil perangkat, membuka aplikasi, atau berpindah antar layar. Jangka waktu kedaluwarsa TOTP yang hanya 30 detik berarti pengguna yang tidak bertindak cukup cepat akan mengalami kegagalan otentikasi, yang menambah hambatan dan terkadang bahkan menyebabkan pengguna membatalkan prosesnya sama sekali.

Kurangnya Inklusivitas

Otentikasi OTP mengasumsikan bahwa pengguna memiliki perangkat seluler, nomor telepon yang aktif, dan kemampuan untuk mengikuti petunjuk bertahap di berbagai layar. Namun, tidak semua orang memiliki hal tersebut. Bagi pengguna dengan disabilitas tertentu, kelompok usia lanjut, atau mereka yang tidak memiliki akses seluler yang konsisten, sistem keamanan berbasis OTP menciptakan hambatan eksklusi yang nyata. Verifikasi biometrik juga memerlukan perangkat, tetapi menghilangkan kebutuhan akan nomor telepon yang aktif dan menyederhanakan langkah-langkah kognitif menjadi satu tindakan pasif saja, sehingga sesuai dengan standar WCAG 2.2 AA.

OTP vs Otentikasi Biometrik: Sebuah Perbandingan

Sementara otentikasi OTP memenuhi faktor kepemilikan (“apa yang Anda miliki”), otentikasi biometrik memenuhi faktor bawaan — “siapa diri Anda.” Wajah Anda tidak bisa hilang, dicuri, atau dialihkan ke nomor lain.