Mengenal SIM Swap: Cara OTP Dibajak dan Cara Bertahan

Foto: mroach — CC BY-SA 2.0

Ringkasan Cepat

• SIM swap memindahkan nomor korban ke kartu penyerang sehingga semua OTP SMS masuk ke tangan yang salah.
• Hilang sinyal mendadak yang disertai notifikasi login atau reset kata sandi adalah sinyal darurat, bukan sekadar gangguan jaringan.
• PIN operator dan kunci portabilitas melindungi sisi nomor, sementara autentikasi berbasis aplikasi (TOTP atau passkey) memutus ketergantungan pada SMS.

Serangan SIM swap membajak kode OTP dengan memindahkan nomor telepon korban ke kartu SIM yang dikuasai penyerang, sehingga seluruh SMS verifikasi masuk ke pihak yang salah. Artikel ini membahas cara kerja serangan tersebut, tanda-tanda nomor sedang diambil alih seperti hilang sinyal mendadak, peran PIN operator, dan alasan autentikasi berbasis aplikasi jauh lebih aman dibanding OTP SMS.

Apa Itu SIM Swap dan Mengapa OTP Jadi Sasaran Utama

Dalam banyak layanan digital, nomor telepon bukan sekadar identitas kontak. Nomor dipakai sebagai jalur pemulihan kata sandi, verifikasi transaksi, dan faktor kedua saat login. Karena itu, siapa pun yang menguasai nomor Anda secara praktis memegang kunci cadangan untuk hampir semua akun yang menautkan nomor tersebut.

SIM swap — kadang disebut juga port-out fraud — adalah upaya memindahkan nomor korban ke kartu SIM baru yang berada di tangan penyerang. Ada beberapa jalur yang biasa dipakai: rekayasa sosial ke layanan pelanggan dengan mengaku sebagai pemilik nomor, pemanfaatan data pribadi yang bocor untuk menjawab pertanyaan verifikasi, sampai kolusi dengan pihak dalam. Setelah nomor berpindah, kartu SIM lama berhenti terdaftar di jaringan dan tidak lagi menerima panggilan maupun SMS.

Yang membuat serangan ini efektif adalah penyerang tidak perlu menembus kata sandi atau enkripsi apa pun. Ia cukup memancing satu kode OTP yang dikirim lewat SMS, lalu memakainya untuk mereset kata sandi, mengubah email pemulihan, atau mengotorisasi transaksi. Artinya, keamanan akun yang bergantung pada OTP SMS sebenarnya bergantung pada keamanan nomor telepon — kanal yang bisa dipindahkan tanpa persetujuan pemiliknya.

Perlu dipahami juga bahwa SIM swap sering menjadi tahap awal, bukan tujuan akhir. Setelah menguasai nomor, penyerang membidik email utama, dompet digital, akun perbankan, hingga akun media sosial yang bisa dipakai menyebar tautan berbahaya ke kontak korban. Rantai serangan ini panjang, dan setiap akun yang masih memakai SMS sebagai satu-satunya faktor kedua adalah mata rantai paling lemah.

Tanda-Tanda Nomor Sedang Diambil Alih

Bagian tersulit dari SIM swap adalah gejalanya sering menyamar sebagai gangguan biasa. Namun, beberapa tanda berikut layak dianggap serius, terutama jika muncul bersamaan dalam waktu singkat:

• Sinyal hilang mendadak di lokasi yang biasanya selalu kuat, dan tetap hilang setelah ponsel dimatikan lalu dinyalakan ulang atau SIM dipindah ke perangkat lain.
• Perangkat menampilkan pesan SIM tidak terdeteksi atau meminta memasukkan kartu SIM, padahal kartu masih terpasang rapi.
• Tidak bisa menelepon atau mengirim SMS, sementara nama operator tetap muncul di layar.
• Orang lain yang mencoba menelepon Anda langsung masuk ke nada sibuk, pesan nomor tidak aktif, atau tersambung ke pihak lain.
• Muncul notifikasi login, perubahan kata sandi, atau permintaan reset dari email, media sosial, atau aplikasi keuangan — padahal Anda tidak melakukan apa pun.
• Ada SMS dari operator soal perubahan data pelanggan atau permintaan pindah operator yang tidak pernah Anda ajukan.
• Kode OTP tidak pernah sampai meski Anda menekan tombol kirim ulang berkali-kali.

Hilang sinyal tunggal belum tentu pembajakan; bisa jadi memang ada gangguan jaringan atau kartu SIM yang mulai rusak. Yang membuatnya mencurigakan adalah kombinasi antara nomor yang mati dan aktivitas akun yang tidak Anda lakukan. Jika keduanya terjadi bersamaan, anggap itu insiden keamanan dan bertindak cepat, bukan menunggu sampai besok pagi.

PIN Operator dan Kunci Portabilitas: Pertahanan di Sisi Nomor

Karena serangan terjadi di sisi operator, pertahanan pertama juga harus dipasang di sana. Operator telekomunikasi umumnya menyediakan beberapa lapisan pengamanan yang sayangnya jarang diaktifkan pelanggan: PIN atau kata sandi layanan pelanggan, verifikasi tambahan saat perubahan data, serta kunci portabilitas untuk mencegah nomor dipindahkan tanpa persetujuan.

• Aktifkan PIN atau password akun operator. Gunakan kombinasi yang tidak berhubungan dengan tanggal lahir, nomor rumah, atau nama ibu — data yang mudah ditebak dari profil media sosial.
• Minta kunci portabilitas diaktifkan. Dengan kunci ini, permintaan pindah operator harus dibuka dulu oleh pemilik nomor sebelum diproses.
• Perbarui data pemulihan akun operator agar Anda tetap bisa dihubungi lewat kanal lain jika nomor sedang bermasalah.
• Jangan pernah membagikan OTP kepada siapa pun, termasuk orang yang mengaku petugas operator, bank, atau layanan aplikasi. Tidak ada prosedur resmi yang meminta OTP lewat telepon atau chat.
• Waspadai panggilan yang meminta verifikasi data. Penyerang sering memancing jawaban atas pertanyaan keamanan sebelum menghubungi layanan pelanggan.
• Kurangi jejak nomor di internet. Semakin sedikit tempat nomor Anda terpampang, semakin sulit penyerang merangkai cerita meyakinkan ke operator.

Bagi Anda yang aktif mencari kerja atau membangun jejaring profesional, nomor telepon sering tercantum di berbagai platform. Prinsip keamanan akun yang dibahas di panduan keamanan akun LinkedIn untuk pencari kerja Indonesia sangat relevan: batasi data kontak yang tampil publik dan pastikan akun pemulihan tidak bergantung pada satu nomor saja.

Autentikasi Berbasis Aplikasi vs OTP SMS

Cara paling tuntas mengurangi risiko SIM swap adalah berhenti menjadikan SMS sebagai penjaga utama akun. Autentikasi berbasis aplikasi — baik aplikasi authenticator dengan kode TOTP yang berubah tiap 30 detik maupun passkey yang terikat pada perangkat — tidak bergantung pada jaringan seluler. Selama perangkat dan akun pemulihannya aman, memindahkan nomor tidak memberi penyerang akses apa pun.

Metode	Cara Kerja	Ketahanan terhadap SIM Swap	Catatan
OTP SMS	Kode dikirim ke nomor telepon	Rendah	Rentan jika nomor berpindah tangan
Kode TOTP (authenticator)	Kode dibuat di aplikasi berdasarkan kunci rahasia	Tinggi	Perlu cadangan kunci atau kode pemulihan
Passkey / kunci perangkat	Verifikasi lewat biometrik dan kunci kriptografis	Tinggi	Ideal, tapi dukungan layanan belum merata
Notifikasi push persetujuan	Permintaan login dikonfirmasi di aplikasi resmi	Sedang–tinggi	Rentan jika terjadi kelelahan persetujuan
Email verifikasi	Kode atau tautan dikirim ke email	Tergantung keamanan email	Email utama harus dilindungi faktor ganda

Jika layanan yang Anda pakai hanya menyediakan OTP SMS, jangan menyerah: aktifkan tetap, tetapi tambahkan faktor lain, gunakan kata sandi unik hasil pengelola sandi, dan kurangi jumlah layanan yang menautkan nomor Anda. Prinsip yang sama berlaku untuk akun hiburan — seperti yang dijelaskan di panduan keamanan akun game mobile, verifikasi dua langkah yang tidak bergantung SMS jauh lebih tahan terhadap pengambilalihan nomor.

Langkah pendukung lainnya adalah memangkas pintu masuk. Setiap aplikasi pihak ketiga yang masih punya akses ke akun Google atau Microsoft Anda adalah jalur potensial untuk membaca data atau memicu pemulihan akun. Cara mencabut akses yang tidak lagi dipakai bisa Anda ikuti di tutorial audit aplikasi pihak ketiga di Google dan Microsoft. Semakin kecil permukaan serangan, semakin sedikit celah yang bisa dimanfaatkan penyerang setelah ia menguasai nomor.

Langkah Praktis Jika Nomor Anda Sudah Dibajak

Kecepatan sangat menentukan. Semakin lama penyerang memegang nomor Anda, semakin banyak akun yang bisa ia kuasai. Urutan berikut bisa dijadikan panduan:

1. Hubungi operator lewat kanal resmi dan minta blokir sementara atau pengembalian nomor. Jelaskan bahwa Anda menduga menjadi korban pemindahan nomor tanpa izin.
2. Ganti kata sandi akun utama dari perangkat lain yang masih aman, mulai dari email utama, lalu perbankan dan dompet digital.
3. Putuskan sesi yang aktif di semua perangkat pada pengaturan keamanan akun, agar penyerang langsung terlempar keluar.
4. Periksa email dan nomor pemulihan. Jika ada alamat atau nomor asing yang ditambahkan penyerang, segera hapus.
5. Aktifkan autentikasi berbasis aplikasi dan simpan kode pemulihan di tempat luring yang aman, bukan di catatan ponsel.
6. Simpan bukti berupa tangkapan layar notifikasi, waktu kejadian, dan nomor tiket dari operator untuk keperluan pelaporan.
7. Beri tahu kontak terdekat agar mereka tidak mudah percaya jika menerima permintaan uang atau tautan dari nomor Anda.
8. Pantau mutasi rekening dan riwayat login selama beberapa pekan setelah pemulihan, karena penyerang bisa meninggalkan akses cadangan.

SIM swap tidak bisa dihilangkan sepenuhnya karena celahnya ada di proses verifikasi manusia dan prosedur operator. Namun risikonya bisa ditekan drastis dengan tiga kebiasaan: kunci nomor di sisi operator, pindahkan faktor kedua ke aplikasi, dan jangan pernah menjadikan SMS satu-satunya penjaga akun penting. Keamanan digital yang baik bukan soal satu alat ajaib, melainkan soal berlapisnya pertahanan dan cepatnya respons saat ada yang tidak beres.

Pertanyaan yang Sering Diajukan (FAQ)

Apakah hilang sinyal selalu berarti saya terkena SIM swap?

Tidak. Sinyal bisa hilang karena gangguan jaringan, kartu SIM kotor atau rusak, atau pengaturan perangkat. Yang membuatnya mencurigakan adalah kombinasi hilang sinyal dengan notifikasi login mencurigakan, kode OTP yang tidak pernah sampai, atau SMS perubahan data dari operator. Jika gejalanya bertahan setelah ponsel di-restart dan kartu dipindah ke perangkat lain, segera hubungi operator.

Bisakah SIM swap dicegah sepenuhnya?

Tidak sepenuhnya, karena serangan menyasar proses verifikasi di sisi operator yang melibatkan manusia. Namun risikonya bisa ditekan besar dengan mengaktifkan PIN akun operator, meminta kunci portabilitas, menjaga kerahasiaan data pribadi, dan memindahkan faktor kedua akun penting ke aplikasi authenticator atau passkey.

OTP sudah terlanjur terkirim ke penyerang, apa yang harus saya lakukan?

Segera ganti kata sandi akun terkait dari perangkat yang aman, putuskan semua sesi aktif, periksa dan hapus email atau nomor pemulihan yang tidak Anda kenali, lalu hubungi operator untuk memblokir nomor. Jika menyangkut rekening atau dompet digital, hubungi layanan pelanggan resminya agar transaksi mencurigakan bisa dibekukan lebih cepat.

Apakah eSIM lebih aman daripada SIM fisik?

eSIM menghilangkan risiko kartu fisik dicuri atau disalin, tetapi tidak otomatis kebal SIM swap. Pemindahan profil eSIM ke perangkat lain tetap bisa terjadi jika penyerang berhasil melewati verifikasi operator. Jadi, eSIM sebaiknya diperlakukan sebagai pengurangan risiko, bukan pengganti PIN operator dan autentikasi berbasis aplikasi.

Kalau layanan hanya menyediakan OTP SMS, apa yang bisa saya lakukan?

Tetap aktifkan OTP SMS, tapi perkuat sisi lain: gunakan kata sandi unik dari pengelola kata sandi, jangan pakai nomor yang sama sebagai satu-satunya jalur pemulihan, kurangi jumlah layanan yang menautkan nomor Anda, dan pantau notifikasi login secara rutin. Jika layanan mulai mendukung aplikasi authenticator atau passkey, segera migrasi.

English Version — ",

Quick Summary

• ",
• "- SIM swap moves the victim's number to the attacker's card so that all SMS OTPs go to the wrong hands.",
• "- Sudden loss of signal accompanied by login or password reset notifications is an emergency signal, not merely a network disruption.",
• "- Carrier PINs and portability locks protect the number side, while app-based authentication (TOTP or passkey) removes dependence on SMS.",
• "

", "

A SIM swap attack hijacks OTP codes by moving the victim's phone number to a SIM card controlled by the attacker, so that all verification SMS messages go to the wrong party. This article discusses how the attack works, the signs that a number is being taken over such as sudden loss of signal, the role of carrier PINs, and why app-based authentication is far safer than SMS OTPs.

\n

What Is SIM Swap and Why OTPs Are a Primary Target

\n

In many digital services, a phone number is not just a contact identity. It is used as a password recovery channel, transaction verification, and a second factor at login. As a result, anyone who controls your number practically holds a backup key to almost every account linked to that number.

SIM swap — sometimes also called port-out fraud — is an attempt to move the victim's number to a new SIM card in the attacker's hands. Several routes are commonly used: social engineering customer service by pretending to be the number's owner, exploiting leaked personal data to answer verification questions, and even collusion with insiders. After the number is moved, the old SIM card stops registering on the network and no longer receives calls or SMS messages.

What makes this attack effective is that the attacker does not need to break any password or encryption. They only need to lure one OTP code sent by SMS, then use it to reset a password, change a recovery email, or authorize a transaction. This means that the security of accounts relying on SMS OTPs actually depends on the security of the phone number — a channel that can be transferred without the owner's consent.

It should also be understood that SIM swap is often an early stage, not the final goal. After controlling the number, attackers target the primary email, digital wallets, banking accounts, and even social media accounts that can be used to spread malicious links to the victim's contacts. This attack chain is long, and every account that still uses SMS as its only second factor is the weakest link.

\n

Signs That a Number Is Being Taken Over

\n

The hardest part of SIM swap is that its symptoms often masquerade as ordinary disruptions. However, the following signs deserve to be taken seriously, especially if they appear together within a short time:

• Sudden loss of signal in a location where it is usually always strong, and it remains lost after the phone is turned off and on again or the SIM is moved to another device.
• The device displays a SIM not detected message or asks for a SIM card, even though the card is still properly inserted.
• You cannot make calls or send SMS messages, while the carrier name still appears on the screen.
• Other people trying to call you go straight to a busy tone, an inactive number message, or connect to another party.
• Login notifications, password changes, or reset requests appear from email, social media, or financial apps — even though you did nothing.
• There is an SMS from the carrier about a customer data change or a port-out request you never submitted.
• OTP codes never arrive even though you press the resend button repeatedly.

A single loss of signal is not necessarily a hijacking; it could be a network disruption or a SIM card starting to fail. What makes it suspicious is the combination of a dead number and account activity you did not perform. If both happen at the same time, treat it as a security incident and act quickly, rather than waiting until tomorrow morning.

\n

Carrier PINs and Portability Locks: Defenses on the Number Side

\n

Because the attack occurs on the carrier side, the first line of defense must also be installed there. Telecommunications carriers generally provide several layers of protection that, unfortunately, customers rarely activate: a customer service PIN or password, additional verification for data changes, and a portability lock to prevent the number from being transferred without consent.

• Activate a carrier account PIN or password. Use a combination that is not related to your date of birth, house number, or mother's name — data that is easy to guess from social media profiles.
• Request that a portability lock be activated. With this lock, a port-out request must first be unlocked by the number's owner before it is processed.
• Update your carrier account recovery details so you can still be contacted through another channel if the number has problems.
• Never share OTPs with anyone, including people claiming to be carrier staff, bank staff, or app service staff. No official procedure asks for an OTP by phone or chat.
• Be wary of calls requesting data verification. Attackers often fish for answers to security questions before contacting customer service.
• Reduce your number's footprint on the internet. The fewer places your number is displayed, the harder it is for attackers to construct a convincing story for the carrier.

For those actively job hunting or building a professional network, phone numbers are often listed on various platforms. The account security principles discussed in the LinkedIn account security guide for Indonesian job seekers are highly relevant: limit contact data shown publicly and ensure recovery accounts do not depend on a single number alone.

\n

App-Based Authentication vs SMS OTP

\n

The most thorough way to reduce SIM swap risk is to stop making SMS the primary guardian of your accounts. App-based authentication — whether an authenticator app with TOTP codes that change every 30 seconds or a passkey bound to a device — does not depend on the cellular network. As long as the device and its recovery account are secure, moving the number does not give the attacker any access.

Method	How It Works	Resistance to SIM Swap	Notes
SMS OTP	Code sent to phone number	Low	Vulnerable if the number changes hands
TOTP code (authenticator)	Code generated in the app based on a secret key	High	Requires a key backup or recovery codes
Passkey / device key	Verification via biometrics and cryptographic keys	High	Ideal, but service support is not yet widespread
Approval push notification	Login request confirmed in the official app	Medium–high	Vulnerable if approval fatigue occurs
Email verification	Code or link sent to email	Depends on email security	Primary email must be protected with two factors

If the services you use only provide SMS OTP, do not give up: still enable it, but add another factor, use unique passwords from a password manager, and reduce the number of services linked to your number. The same principle applies to entertainment accounts — as explained in the mobile game account security guide, two-step verification that does not rely on SMS is far more resistant to number takeover.

Another supporting step is to reduce entry points. Every third-party app that still has access to your Google or Microsoft account is a potential path to read data or trigger account recovery. You can follow the method for revoking unused access in the tutorial for auditing third-party apps in Google and Microsoft. The smaller the attack surface, the fewer gaps an attacker can exploit after taking control of the number.

\n

Practical Steps If Your Number Has Already Been Hijacked

\n

Speed is critical. The longer an attacker holds your number, the more accounts they can take over. The following sequence can serve as a guide:

1. Contact the carrier through official channels and request a temporary block or recovery of the number. Explain that you suspect you are a victim of an unauthorized number transfer.
2. Change the passwords of your main accounts from another device that is still secure, starting with the primary email, then banking and digital wallets.
3. Terminate active sessions on all devices in the account security settings, so the attacker is immediately logged out.
4. Check recovery emails and numbers. If any unfamiliar address or number was added by the attacker, remove it immediately.
5. Enable app-based authentication and store recovery codes in a safe offline place, not in phone notes.
6. Save evidence such as screenshots of notifications, incident times, and carrier ticket numbers for reporting purposes.
7. Notify close contacts so they do not easily trust money requests or links coming from your number.
8. Monitor bank statements and login history for several weeks after recovery, because attackers may leave backup access behind.

SIM swap cannot be eliminated entirely because the gap lies in human verification processes and carrier procedures. However, the risk can be drastically reduced with three habits: lock the number on the carrier side, move the second factor to an app, and never make SMS the sole guardian of important accounts. Good digital security is not about one magic tool, but about layered defenses and a fast response when something goes wrong.

", "