Security Key vs OTP SMS: Mana yang Tahan Phishing?

Perdebatan security key vs OTP SMS sering direduksi menjadi soal kenyamanan versus keamanan. Padahal perbedaan keduanya jauh lebih mendasar: keduanya berdiri di atas model ancaman yang berbeda. OTP SMS adalah shared secret — sebuah rahasia yang dikirim melalui pihak ketiga dan bisa diketik ulang oleh siapa pun yang berhasil membujuk penggunanya. Security key FIDO2 adalah kriptografi kunci publik yang terikat pada domain, tidak pernah meninggalkan perangkat keras, dan secara arsitektural tidak bisa diteruskan ke situs palsu. Artikel ini membedah perbedaan itu secara praktis untuk institusi perbankan dan organisasi enterprise di Indonesia, tanpa mengklaim bahwa OTP SMS dilarang, karena memang tidak. Untuk gambaran menyeluruh soal MFA yang tahan phishing, lihat panduan lengkap MFA tahan phishing untuk enterprise dan perbankan.

Security key vs OTP SMS: perbedaan pada model ancaman, bukan sekadar kenyamanan

OTP SMS bekerja dengan asumsi bahwa hanya pemilik sah yang dapat membaca pesan pada nomor terdaftar, dan bahwa pengguna akan mengetikkan kode itu hanya di tempat yang benar. Dua asumsi ini persis yang diserang oleh teknik penipuan modern. Sebaliknya, protokol WebAuthn/FIDO2 tidak mengirimkan rahasia apa pun. Browser hanya menandatangani challenge memakai kunci privat yang tersimpan di elemen aman kunci fisik, dan tanda tangan itu hanya sah untuk origin (domain) yang persis sama dengan tempat kredensial didaftarkan. Mekanisme teknisnya kami uraikan lebih rinci pada pembahasan cara kerja FIDO2 WebAuthn.

Konsekuensinya sederhana namun menentukan: pada OTP SMS, korban adalah bagian dari rantai keamanan; pada FIDO2, korban dikeluarkan dari rantai itu. Pengguna boleh saja tertipu situs tiruan — kunci fisik tetap menolak menandatangani karena domainnya tidak cocok.

Empat jalur serangan yang menembus OTP SMS

1. SIM swap dan pengambilalihan nomor

Penyerang mengumpulkan data identitas korban, lalu mengajukan penggantian kartu SIM ke gerai operator. Begitu nomor berpindah, seluruh OTP mengalir ke perangkat penyerang. Tidak ada kelemahan di sistem bank atau rumah sakit yang dieksploitasi di sini — titik lemahnya ada di proses verifikasi pihak ketiga yang berada di luar kendali organisasi Anda. Kunci FIDO2 tidak terpengaruh sama sekali karena kredensialnya tidak terikat pada nomor telepon.

2. Phishing real-time (adversary-in-the-middle)

Ini ancaman yang paling sering diremehkan. Kit phishing modern bertindak sebagai proksi transparan: korban login di situs tiruan, kredensial dan OTP diteruskan ke situs asli dalam hitungan detik, lalu penyerang mencuri session cookie yang sudah terautentikasi. Karena OTP tetap valid pada saat itu, masa berlaku 60 detik tidak menolong. FIDO2 memutus serangan ini secara struktural melalui origin binding — inilah yang dimaksud NIST sebagai verifier impersonation resistance dalam SP 800-63B.

3. Penyadapan dan malware pada perangkat

SMS melintasi jaringan pensinyalan telekomunikasi yang tidak dirancang dengan asumsi kerahasiaan tinggi. Di sisi perangkat, aplikasi berbahaya dengan izin baca SMS dapat meneruskan kode secara diam-diam. Kunci privat pada YubiKey tidak bisa diekspor keluar dari elemen aman, bahkan oleh pemiliknya sendiri.

4. Rekayasa sosial langsung

Penipu menelepon mengaku petugas bank atau tim IT internal dan meminta kode yang baru saja masuk. Selama sebuah metode menghasilkan angka yang bisa dibacakan manusia, metode itu bisa dibujuk keluar. Menyentuh kunci fisik tidak menghasilkan apa pun yang dapat didiktekan lewat telepon.

Perbandingan langsung untuk keperluan evaluasi

Apa yang benar-benar dikatakan regulasi Indonesia

Penting untuk berhati-hati di sini. Sampai saat ini, tidak ada regulasi Indonesia yang mewajibkan FIDO2 secara eksplisit, dan tidak ada pula yang melarang OTP SMS. Yang ada adalah kewajiban berbasis hasil dan berbasis risiko:

• PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik mewajibkan penyelenggara sistem elektronik menyelenggarakan sistem yang andal, aman, dan bertanggung jawab, termasuk melindungi keutuhan serta autentikasi transaksi elektronik.
• UU PDP (UU 27/2022) membebankan kewajibkan pengendali data pribadi melindungi data dari akses tidak sah dan mencegah kebocoran, dengan potensi sanksi administratif. Masa transisi kepatuhannya telah berakhir pada 17 Oktober 2024, sehingga kontrol akses yang lemah kini berkonsekuensi hukum nyata.
• UU ITE (UU 11/2008 sebagaimana diubah terakhir dengan UU 1/2024) menempatkan akses tanpa hak ke sistem elektronik sebagai perbuatan yang dilarang — namun tetap organisasi yang menanggung akibat operasional dan reputasional dari pengambilalihan akun.
• POJK 11/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum menganut pendekatan risk-based: kekuatan autentikasi harus sepadan dengan tingkat risiko transaksi dan kekritisan sistem. Untuk akses istimewa (privileged access), administrator core banking, dan persetujuan transaksi bernilai besar, argumen bahwa OTP SMS sudah memadai semakin sulit dipertahankan di hadapan auditor. Pembahasan lebih rinci soal penerapan berbasis risiko ini ada pada MFA berbasis risiko sesuai POJK 11/2022.
• Permenkes 24/2022 tentang Rekam Medis Elektronik mensyaratkan pengamanan dan pembatasan hak akses RME. Autentikasi kuat pada akun dokter dan admin sistem adalah cara konkret memenuhi syarat tersebut.

Rujukan teknis yang lazim dipakai auditor adalah NIST SP 800-63B, yang menempatkan pengiriman kode lewat jaringan telepon publik sebagai kanal restricted — bukan terlarang, tetapi disertai kewajiban menilai risiko dan menyiapkan alternatif. Sementara Authenticator Assurance Level 3 mensyaratkan autentikator berbasis perangkat keras yang tahan peniruan verifier. Kunci FIDO2 memenuhi kriteria itu, dan varian bersertifikasi FIPS 140-3 tersedia bagi organisasi yang membutuhkan bukti validasi kriptografi formal.

Kapan OTP SMS masih masuk akal

Menyingkirkan OTP SMS sepenuhnya sering tidak realistis, dan tidak selalu perlu. OTP SMS tetap berguna sebagai lapisan untuk basis nasabah ritel yang sangat luas dengan literasi digital beragam, sebagai jalur pemulihan darurat, dan sebagai konfirmasi transaksi bernilai rendah. Pendekatan yang proporsional adalah tiering: terapkan security key pada populasi berisiko tinggi, dan pertahankan OTP sebagai lapisan tambahan di segmen berisiko rendah — sambil memastikan OTP tidak dijadikan jalur pintas yang menganulir kekuatan security key.

Langkah adopsi bertahap yang realistis

• Petakan populasi berisiko. Mulai dari administrator domain, tim DevOps, pemegang akses basis data, eksekutif keuangan, dan pengguna dengan kewenangan persetujuan transaksi.
• Jalankan pilot 20–50 pengguna selama satu hingga dua bulan, ukur tiket bantuan dan waktu login sebelum meluas.
• Wajibkan dua kunci per pengguna sejak awal — satu harian, satu cadangan yang disimpan aman. Ini menghilangkan alasan terbesar organisasi kembali ke OTP.
• Perkuat proses help desk. Prosedur reset akun yang lemah membatalkan seluruh investasi autentikasi kuat.
• Tutup jalur mundur secara bertahap, setelah cakupan kunci memadai, agar penyerang tidak sekadar memilih metode terlemah yang masih aktif.

Pemilihan model kunci — USB-A atau USB-C, dukungan NFC, varian FIPS, serta protokol yang dibutuhkan seperti PIV dan OpenPGP — sebaiknya ditentukan setelah pemetaan populasi selesai. Pertimbangan detailnya dapat Anda telusuri pada panduan memilih YubiKey untuk perusahaan.

Pertanyaan yang sering diajukan

Apakah OTP SMS dilarang oleh regulasi Indonesia? Tidak. Tidak ada ketentuan yang melarang OTP SMS. Yang diwajibkan adalah pengamanan sistem elektronik dan pelindungan data pribadi yang memadai serta sepadan dengan risiko, sebagaimana diatur dalam PP 71/2019 dan UU PDP. Pemilihan metode autentikasi adalah keputusan berbasis penilaian risiko organisasi.

Apakah FIDO2 wajib untuk bank? Tidak ada kewajiban eksplisit. POJK 11/2022 menuntut kontrol pengamanan yang proporsional terhadap risiko; FIDO2 adalah salah satu cara memenuhinya, khususnya untuk akses istimewa dan sistem kritikal, tetapi bukan satu-satunya jalur kepatuhan yang diakui.

Bagaimana jika kunci fisik hilang atau rusak? Karena itu kebijakan standar adalah mendaftarkan minimal dua kunci per pengguna. Bila satu hilang, pengguna memakai cadangan dan administrator mencabut kredensial kunci yang hilang. Kunci yang hilang tanpa PIN dan tanpa kehadiran fisik pemiliknya tidak dapat langsung dipakai penyerang.

Apakah security key lebih mahal daripada OTP SMS? Security key adalah belanja modal sekali per unit dengan umur pakai bertahun-tahun, sedangkan OTP SMS menimbulkan biaya per pesan yang terus berjalan. Pada populasi karyawan internal, titik impasnya umumnya tercapai dalam satu hingga dua tahun — sebagai estimasi kasar, bukan angka baku, dan belum menghitung biaya insiden yang dihindari.