Security Key vs OTP SMS Perbankan: Panduan Perbandingan

Perdebatan security key vs OTP SMS perbankan bukan lagi soal mana yang “paling canggih”, melainkan soal mana yang tepat untuk setiap lapisan risiko. OTP SMS masih menjadi tulang punggung autentikasi ritel di Indonesia karena jangkauannya nyaris universal, sementara security key berbasis FIDO2 menawarkan ketahanan terhadap serangan yang justru paling merugikan bank: phishing real-time dan pengambilalihan nomor seluler. Artikel ini membandingkan keduanya dari tiga sudut yang paling sering ditanyakan komite risiko dan tim produk: keamanan, biaya per pengguna, dan pengalaman nasabah.

Security Key vs OTP SMS Perbankan: Perbedaan Mendasar

OTP SMS adalah shared secret yang dikirim melalui jalur telekomunikasi. Nilainya berlaku beberapa menit dan dapat dibacakan, disalin, atau diteruskan oleh siapa pun yang berhasil membujuk nasabah atau menguasai nomor tujuan. Security key seperti YubiKey bekerja dengan prinsip berbeda: kunci privat dibangkitkan dan disimpan permanen di dalam elemen aman perangkat, tidak pernah keluar, dan tidak pernah dikirim melalui jaringan. Yang dipertukarkan hanyalah tanda tangan kriptografis atas challenge dari server.

Perbedaan arsitektural ini melahirkan satu properti yang tidak dimiliki OTP apa pun: origin binding. Browser hanya mau menandatangani challenge jika domain yang meminta persis sama dengan domain saat kredensial didaftarkan. Mekanisme detailnya kami bahas terpisah di FIDO2 WebAuthn: cara kerja dan kenapa lebih aman dari OTP.

Perbandingan Keamanan: Phishing, SIM Swap, dan Social Engineering

Phishing dan relay real-time

Modus yang paling merugikan perbankan Indonesia hari ini bukan pembobolan enkripsi, melainkan adversary-in-the-middle. Nasabah diarahkan ke halaman tiruan, memasukkan kredensial, lalu memasukkan OTP yang benar-benar dikirim oleh sistem bank. Penyerang meneruskannya ke situs asli dalam hitungan detik. Karena OTP itu sah, sistem bank tidak melihat anomali pada level kredensial. Security key memutus rantai ini secara struktural: halaman tiruan berada di domain berbeda, sehingga authenticator menolak menandatangani sejak awal — tanpa bergantung pada kewaspadaan nasabah.

SIM swap dan penyalahgunaan jalur pengiriman

OTP SMS mewarisi seluruh permukaan serangan jalur seluler: pengambilalihan kartu SIM melalui penggantian di gerai, penyalahgunaan aplikasi pembaca SMS di perangkat yang tersusupi, hingga call forwarding. Semua ini terjadi di luar kendali bank, tetapi kerugiannya tetap ditanggung bank secara reputasi dan sering kali finansial. Security key tidak terhubung dengan identitas seluler sama sekali, sehingga penggantian SIM tidak berdampak apa pun terhadap kemampuan otentikasi.

Yang tetap perlu diakui pada OTP SMS

OTP SMS tetap memberi lapisan bermakna terhadap serangan credential stuffing dan penggunaan ulang kata sandi — dua kategori yang volumenya jauh lebih besar dibanding phishing bertarget. Menghapusnya tanpa pengganti justru menurunkan postur keamanan. Diskusi teknis yang lebih dalam soal perbandingan ketahanan phishing tersedia di Security key vs OTP SMS: mana yang tahan phishing?.

Biaya per Pengguna: OPEX Berulang vs CAPEX Sekali

Struktur biaya kedua metode berkebalikan. OTP SMS hampir tanpa biaya awal tetapi menagih terus-menerus per pesan; security key menuntut belanja modal di muka tetapi biaya marjinal per autentikasi mendekati nol. Titik impasnya sangat ditentukan oleh frekuensi transaksi pengguna — angka masa pakai dan amortisasi pada bagian berikut adalah estimasi, bergantung skala, bukan angka baku.

Perhitungan yang jujur harus memasukkan tiga komponen yang sering terlewat. Pertama, biaya kegagalan pengiriman: setiap OTP yang tidak sampai berpotensi menjadi transaksi batal sekaligus tiket ke contact center yang biayanya berkali lipat harga SMS itu sendiri. Kedua, biaya fraud dan penggantian kerugian, yang secara langsung terpengaruh oleh ketahanan metode terhadap phishing. Ketiga, biaya kepatuhan berupa investigasi, pelaporan insiden, dan remediasi audit.

Karena itu, security key jarang dibenarkan secara ekonomi untuk seluruh basis nasabah ritel sekaligus. Yang rasional adalah menargetkannya pada segmen dengan eksposur tertinggi: nasabah wealth dan korporasi, pengguna cash management, serta — ini yang sering diabaikan — administrator internal core banking, tim treasury, dan pemegang akses istimewa. Satu akun admin yang terphishing berdampak jauh lebih besar daripada seribu akun ritel. Pertimbangan pemilihan modelnya kami rinci di panduan memilih YubiKey untuk perusahaan.

Pengalaman Nasabah: Friksi yang Terlihat dan Tidak Terlihat

Secara mekanis, security key lebih cepat. Nasabah menyentuh perangkat atau menempelkannya via NFC, dan proses selesai dalam satu–dua detik tanpa berpindah aplikasi, tanpa menunggu sinyal, tanpa mengetik ulang enam digit. OTP SMS menuntut perpindahan konteks, bergantung pada kualitas jaringan, dan rentan kedaluwarsa saat pengiriman tertunda pada jam sibuk.

Namun security key memindahkan friksi ke titik lain:

• Onboarding. Perangkat harus sampai ke tangan nasabah dan didaftarkan dengan verifikasi identitas yang kuat. Distribusi fisik adalah tantangan nyata untuk bank dengan sebaran nasional.
• Kehilangan perangkat. Tanpa kunci cadangan yang terdaftar, nasabah terkunci. Praktik yang matang mendaftarkan minimal dua kunci per pengguna sejak awal.
• Kompatibilitas. Perlu kepastian dukungan NFC/USB-C pada perangkat nasabah dan dukungan WebAuthn pada aplikasi mobile maupun peramban.
• Prosedur pemulihan. Justru di sinilah risiko baru muncul: jika pemulihan dilakukan lewat OTP SMS, seluruh keunggulan ketahanan phishing runtuh. Jalur pemulihan harus dirancang setara kuat, misalnya verifikasi di cabang.

Bank yang ingin merentangkan pendekatan ini ke autentikasi tanpa kata sandi dapat memulai dari implementasi passwordless login enterprise, biasanya pada populasi internal terlebih dahulu.

Konteks Regulasi Indonesia

Penting ditegaskan: tidak ada regulasi Indonesia yang melarang OTP SMS, dan tidak ada yang mewajibkan FIDO2. Kerangka yang berlaku bersifat berbasis risiko, bukan preskriptif terhadap teknologi tertentu.

POJK No. 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum menuntut bank menerapkan manajemen risiko TI dan pengendalian pengamanan yang sepadan dengan tingkat risiko layanan — termasuk pengendalian akses dan autentikasi. Konsekuensinya, pilihan metode harus dapat dipertanggungjawabkan melalui asesmen risiko yang terdokumentasi, bukan sekadar mengikuti kebiasaan pasar. Kerangka penerapannya kami uraikan di MFA berbasis risiko perbankan POJK 11/2022.

Di lapis lain, UU ITE (UU No. 11/2008 sebagaimana terakhir diubah dengan UU No. 1/2024) Pasal 15 mewajibkan penyelenggara sistem elektronik menyelenggarakan sistemnya secara andal, aman, dan bertanggung jawab, sementara PP No. 71/2019 memerinci kewajiban keamanan sistem elektronik. UU No. 27/2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data melindungi data pribadi dari akses tidak sah dan memberitahukan kegagalan pelindungan dalam waktu 3×24 jam. Ketika kelemahan autentikasi menjadi jalan masuk kebocoran, ketiganya bertemu pada satu kesimpulan yang sama: kekuatan autentikasi adalah isu kepatuhan, bukan sekadar preferensi teknis.

Untuk institusi dengan kebutuhan asuransi kepatuhan lebih tinggi, tersedia varian security key yang tervalidasi FIPS 140-2/140-3. Validasi ini bukan kewajiban regulasi Indonesia, tetapi kerap memudahkan justifikasi di hadapan auditor internal maupun mitra internasional.

Rekomendasi: Berlapis, Bukan Menggantikan

Pendekatan yang paling realistis bagi bank Indonesia adalah bertingkat. Pertahankan OTP SMS sebagai lapisan dasar bagi mayoritas nasabah ritel dengan transaksi bernilai rendah. Terapkan security key untuk akses istimewa internal, nasabah korporasi dan prioritas, serta transaksi melewati ambang nilai tertentu. Perkuat semuanya dengan penilaian risiko kontekstual — perangkat baru, lokasi tidak biasa, pola transaksi menyimpang — sehingga eskalasi metode terjadi tepat pada momen risikonya. Peta menyeluruhnya tersedia di panduan lengkap MFA tahan phishing.

Pertanyaan yang sering diajukan

Apakah OTP SMS dilarang oleh OJK? Tidak. Tidak ada ketentuan OJK yang melarang penggunaan OTP SMS. POJK 11/2022 menuntut pengendalian autentikasi yang sepadan dengan risiko, sehingga bank perlu membuktikan melalui asesmen risiko bahwa metode yang dipilih memadai untuk jenis layanan dan nilai transaksinya.

Berapa banyak security key yang perlu disiapkan per pengguna? Praktik yang matang adalah dua unit: satu untuk penggunaan harian dan satu sebagai cadangan yang disimpan aman. Ini menghindari penguncian akun saat perangkat utama hilang, sekaligus mencegah ketergantungan pada jalur pemulihan yang lebih lemah.

Apakah security key bisa dipakai di aplikasi mobile banking? Bisa, sepanjang aplikasi mendukung WebAuthn/FIDO2 dan perangkat nasabah mendukung NFC atau USB-C. Verifikasi dukungan platform sebaiknya dilakukan pada tahap uji coba terbatas sebelum peluncuran ke segmen yang lebih luas.

Bagaimana menghitung titik impas biaya antara keduanya? Bandingkan total biaya SMS tahunan per pengguna aktif dengan harga perangkat yang diamortisasi selama masa pakai, lalu tambahkan estimasi biaya kegagalan pengiriman, beban contact center, dan ekspektasi kerugian fraud. Pada pengguna berfrekuensi transaksi tinggi, selisihnya sering menyempit lebih cepat dari perkiraan awal.