{"id":5299,"date":"2026-09-22T08:11:12","date_gmt":"2026-09-22T01:11:12","guid":{"rendered":"https:\/\/dtisolution.id\/blog\/?p=5299"},"modified":"2026-09-22T08:11:12","modified_gmt":"2026-09-22T01:11:12","slug":"security-key-vs-otp-sms-perbankan-perbandingan","status":"publish","type":"post","link":"https:\/\/dtisolution.id\/blog\/security-key-vs-otp-sms-perbankan-perbandingan\/","title":{"rendered":"Security Key vs OTP SMS Perbankan: Panduan Perbandingan"},"content":{"rendered":"
Jawaban singkat:<\/strong> Security key berbasis FIDO2 mengikat kredensial ke domain asli sehingga tahan phishing dan SIM swap, sementara OTP SMS lebih murah di awal dan menjangkau semua ponsel. Bank umumnya memakai keduanya secara berlapis: OTP SMS untuk transaksi berisiko rendah, security key untuk nasabah prioritas, admin internal, dan transaksi bernilai tinggi.<\/div>\n

Perdebatan security key vs OTP SMS perbankan<\/strong> bukan lagi soal mana yang “paling canggih”, melainkan soal mana yang tepat untuk setiap lapisan risiko. OTP SMS masih menjadi tulang punggung autentikasi ritel di Indonesia karena jangkauannya nyaris universal, sementara security key berbasis FIDO2 menawarkan ketahanan terhadap serangan yang justru paling merugikan bank: phishing real-time dan pengambilalihan nomor seluler. Artikel ini membandingkan keduanya dari tiga sudut yang paling sering ditanyakan komite risiko dan tim produk: keamanan, biaya per pengguna, dan pengalaman nasabah.<\/p>\n

\"Ilustrasi
YubiKey dari DTI.<\/figcaption><\/figure>\n

Security Key vs OTP SMS Perbankan: Perbedaan Mendasar<\/h2>\n

OTP SMS adalah shared secret<\/em> yang dikirim melalui jalur telekomunikasi. Nilainya berlaku beberapa menit dan dapat dibacakan, disalin, atau diteruskan oleh siapa pun yang berhasil membujuk nasabah atau menguasai nomor tujuan. Security key seperti YubiKey bekerja dengan prinsip berbeda: kunci privat dibangkitkan dan disimpan permanen di dalam elemen aman perangkat, tidak pernah keluar, dan tidak pernah dikirim melalui jaringan. Yang dipertukarkan hanyalah tanda tangan kriptografis atas challenge<\/em> dari server.<\/p>\n

Perbedaan arsitektural ini melahirkan satu properti yang tidak dimiliki OTP apa pun: origin binding<\/strong>. Browser hanya mau menandatangani challenge<\/em> jika domain yang meminta persis sama dengan domain saat kredensial didaftarkan. Mekanisme detailnya kami bahas terpisah di FIDO2 WebAuthn: cara kerja dan kenapa lebih aman dari OTP<\/a>.<\/p>\n

Perbandingan Keamanan: Phishing, SIM Swap, dan Social Engineering<\/h2>\n

Phishing dan relay real-time<\/h3>\n

Modus yang paling merugikan perbankan Indonesia hari ini bukan pembobolan enkripsi, melainkan adversary-in-the-middle<\/em>. Nasabah diarahkan ke halaman tiruan, memasukkan kredensial, lalu memasukkan OTP yang benar-benar dikirim oleh sistem bank. Penyerang meneruskannya ke situs asli dalam hitungan detik. Karena OTP itu sah, sistem bank tidak melihat anomali pada level kredensial. Security key memutus rantai ini secara struktural: halaman tiruan berada di domain berbeda, sehingga authenticator<\/em> menolak menandatangani sejak awal \u2014 tanpa bergantung pada kewaspadaan nasabah.<\/p>\n

SIM swap dan penyalahgunaan jalur pengiriman<\/h3>\n

OTP SMS mewarisi seluruh permukaan serangan jalur seluler: pengambilalihan kartu SIM melalui penggantian di gerai, penyalahgunaan aplikasi pembaca SMS di perangkat yang tersusupi, hingga call forwarding<\/em>. Semua ini terjadi di luar kendali bank, tetapi kerugiannya tetap ditanggung bank secara reputasi dan sering kali finansial. Security key tidak terhubung dengan identitas seluler sama sekali, sehingga penggantian SIM tidak berdampak apa pun terhadap kemampuan otentikasi.<\/p>\n

Yang tetap perlu diakui pada OTP SMS<\/h3>\n

OTP SMS tetap memberi lapisan bermakna terhadap serangan credential stuffing<\/em> dan penggunaan ulang kata sandi \u2014 dua kategori yang volumenya jauh lebih besar dibanding phishing bertarget. Menghapusnya tanpa pengganti justru menurunkan postur keamanan. Diskusi teknis yang lebih dalam soal perbandingan ketahanan phishing tersedia di Security key vs OTP SMS: mana yang tahan phishing?<\/a>.<\/p>\n

Biaya per Pengguna: OPEX Berulang vs CAPEX Sekali<\/h2>\n

Struktur biaya kedua metode berkebalikan. OTP SMS hampir tanpa biaya awal tetapi menagih terus-menerus per pesan; security key menuntut belanja modal di muka tetapi biaya marjinal per autentikasi mendekati nol. Titik impasnya sangat ditentukan oleh frekuensi transaksi pengguna \u2014 angka masa pakai dan amortisasi pada bagian berikut adalah estimasi, bergantung skala, bukan angka baku.<\/p>\n\n\n\n\n\n\n\n\n\n
Aspek<\/th>\nOTP SMS<\/th>\nSecurity Key (FIDO2)<\/th>\n<\/tr>\n<\/thead>\n
Biaya awal per pengguna<\/td>\nNol (memanfaatkan nomor eksisting)<\/td>\nHarga perangkat, umumnya dua unit per pengguna untuk cadangan<\/td>\n<\/tr>\n
Biaya berulang<\/td>\nPer pesan terkirim, naik seiring volume transaksi<\/td>\nPraktis nol; hanya penggantian saat hilang atau rusak<\/td>\n<\/tr>\n
Masa pakai<\/td>\nSelamanya (tanpa aset fisik)<\/td>\nUmumnya diamortisasi 4\u20135 tahun<\/td>\n<\/tr>\n
Biaya tersembunyi<\/td>\nKegagalan kirim, retry<\/em>, panggilan ke call center<\/em>, kerugian fraud<\/td>\nLogistik distribusi, enrollment<\/em>, prosedur pemulihan<\/td>\n<\/tr>\n
Skala ekonomis<\/td>\nMemburuk seiring pertumbuhan transaksi<\/td>\nMembaik seiring masa pakai perangkat<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Perhitungan yang jujur harus memasukkan tiga komponen yang sering terlewat. Pertama, biaya kegagalan pengiriman<\/strong>: setiap OTP yang tidak sampai berpotensi menjadi transaksi batal sekaligus tiket ke contact center<\/em> yang biayanya berkali lipat harga SMS itu sendiri. Kedua, biaya fraud dan penggantian kerugian<\/strong>, yang secara langsung terpengaruh oleh ketahanan metode terhadap phishing. Ketiga, biaya kepatuhan<\/strong> berupa investigasi, pelaporan insiden, dan remediasi audit.<\/p>\n

Karena itu, security key jarang dibenarkan secara ekonomi untuk seluruh basis nasabah ritel sekaligus. Yang rasional adalah menargetkannya pada segmen dengan eksposur tertinggi: nasabah wealth<\/em> dan korporasi, pengguna cash management<\/em>, serta \u2014 ini yang sering diabaikan \u2014 administrator internal core banking<\/em>, tim treasury<\/em>, dan pemegang akses istimewa. Satu akun admin yang terphishing berdampak jauh lebih besar daripada seribu akun ritel. Pertimbangan pemilihan modelnya kami rinci di panduan memilih YubiKey untuk perusahaan<\/a>.<\/p>\n

Pengalaman Nasabah: Friksi yang Terlihat dan Tidak Terlihat<\/h2>\n

Secara mekanis, security key lebih cepat. Nasabah menyentuh perangkat atau menempelkannya via NFC, dan proses selesai dalam satu\u2013dua detik tanpa berpindah aplikasi, tanpa menunggu sinyal, tanpa mengetik ulang enam digit. OTP SMS menuntut perpindahan konteks, bergantung pada kualitas jaringan, dan rentan kedaluwarsa saat pengiriman tertunda pada jam sibuk.<\/p>\n

Namun security key memindahkan friksi ke titik lain:<\/p>\n