Kode OTP tidak aman dibagikan kepada siapa pun, termasuk yang mengaku petugas bank, kurir, atau teman. Satu-satunya saat kode itu boleh keluar dari HP Anda adalah ketika Anda sendiri mengetiknya di aplikasi atau situs resmi yang baru Anda buka atas kemauan sendiri.
OTP (one-time password) adalah kode sekali pakai yang membuktikan bahwa Andalah pemegang nomor atau akun itu. Siapa pun yang memegang kodenya bisa masuk sebagai Anda. Ketik kode hanya bila Anda yang memulai login atau transaksinya, dan hanya di layar resmi. Jangan sebutkan, foto, atau teruskan kode kepada orang lain. Petugas bank tidak pernah menghubungi nasabah untuk meminta OTP, PIN, tiga digit CVV/CVC, atau tanggal kedaluwarsa kartu.
Mengapa OTP begitu berharga bagi penipu
Kata sandi bisa bocor, tetapi OTP masih menahan pelaku di pintu terakhir: kode yang dikirim ke nomor atau perangkat Anda. Penipu tahu hal itu, jadi mereka jarang berusaha menjebol sistem. Mereka membujuk Anda menyerahkan kodenya sendiri.
Pada WhatsApp, orang lain tidak bisa menyelesaikan pendaftaran nomor Anda di HP mereka tanpa kode 6 digit yang dikirim ke nomor Anda.
Karena kode itu sekali pakai dan berlaku singkat, penipu membutuhkan Anda saat itu juga. Itulah sebabnya hampir semua modus OTP memakai desakan: “cepat, kodenya hampir kedaluwarsa”.
Kapan boleh dan kapan tidak
| Situasi | Boleh? | Alasannya |
|---|---|---|
| Anda sedang login atau bertransaksi di aplikasi resmi yang Anda buka sendiri, lalu kode masuk | Ya, ketik sendiri di layar itu | Anda yang memulai dan melihat tempat tujuannya |
| Anda sedang mendaftar akun dan kode dikirim ke nomor atau email Anda | Ya, ketik sendiri | Prosesnya dimulai oleh Anda |
| Telepon dari “petugas bank”, marketplace, atau kurir meminta kode | Tidak | Larangan berbagi OTP berlaku walaupun penelepon mengaku dari penyelenggara layanan, kata Bank Indonesia |
| Teman atau kenalan meminta kode yang “salah kirim” | Tidak | Itu kode untuk mendaftarkan akun Anda di perangkat mereka |
| Kode masuk padahal Anda tidak memulai apa pun | Abaikan; jangan balas pesan yang menyusul | Ada yang sedang mencoba masuk ke akun Anda atau salah mengetik nomor; ganti kata sandi akun itu bila ragu |
| Situs atau pesan berhadiah meminta kode untuk “verifikasi” | Tidak | Hadiah tidak butuh OTP Anda; itu halaman palsu |
| Petugas di gerai atau toko meminta kode yang masuk ke HP Anda | Tidak, kecuali Anda sendiri yang mengetiknya di layar mereka untuk layanan yang Anda minta | Pastikan Anda yang menekan, bukan menyebutkan kode |
Empat pertanyaan sebelum mengetik kode
- Apakah saya yang memulai? Bila kode datang tanpa Anda minta, jawabannya tidak, dan kode itu tidak boleh dipakai.
- Apakah layarnya aplikasi atau situs resmi yang saya buka sendiri? Jangan mengetik kode di tautan dari SMS atau chat.
- Apakah ada orang yang meminta saya menyebutkan, memotret, atau meneruskan kode? Bila ya, hentikan, apa pun alasannya.
- Apakah pesan kodenya menyebut untuk apa dan berapa lama berlaku? Bandingkan dengan yang sedang Anda lakukan; bila tidak cocok, abaikan.
Modus yang paling sering dan penangkalnya
| Modus | Cara kerjanya | Penangkal |
|---|---|---|
| Telepon “petugas” (vishing) | Penelepon mengaku dari bank atau layanan, menyebut ada transaksi mencurigakan, lalu meminta kode untuk “membatalkan” atau bilang sistem akan “mengirim kode” yang harus dibacakan | Tutup telepon, hubungi bank lewat nomor di kartu atau aplikasi resmi |
| Kode “salah kirim” di WhatsApp | Kenalan palsu meminta Anda menyebutkan kode yang masuk | Tolak. Lihat panduan WhatsApp dibajak |
| Kode pendaftaran layanan lain (misalnya Google Voice) | Penipu mendaftarkan layanan memakai nomor Anda, lalu meminta kode yang masuk ke HP Anda | Jangan balas permintaan kode apa pun; Google menyatakan stafnya tidak pernah memintanya |
| Halaman palsu | Situs meniru bank atau layanan dan meminta nama pengguna, kata sandi, dan kode | Periksa alamat situs; buka aplikasi atau situs resmi dari yang Anda ketik sendiri |
| Pengalihan panggilan atau SMS | Pelaku mengarahkan korban mengetik kode yang mengalihkan SMS dan panggilan ke nomor lain | Jangan ketik kode dari orang lain; periksa menu pengalihan panggilan di aplikasi Telepon (lihat panduan HP disadap) |
| Aplikasi APK yang membaca SMS | Aplikasi dari file chat meminta izin membaca SMS dan notifikasi | Jangan pasang APK dari chat (lihat panduan APK dari chat) |
Kalau penelepon masih di saluran
Anda tidak perlu membuktikan bahwa ia penipu atau berdebat. Cukup tutup teleponnya. Penelepon yang sah tidak keberatan Anda menghubungi balik, sedangkan penipu akan mendesak supaya sambungan tetap hidup.
Kalimat yang bisa dipakai: “Saya akan menghubungi bank sendiri lewat nomor di kartu.” Satu kalimat itu cukup, tanpa alasan tambahan. Lalu blokir nomor penelepon dan hubungi bank dengan nomor di kartu atau aplikasi resmi, bukan nomor yang diberikan penelepon atau dikirim lewat chat.
Kode masuk padahal Anda tidak memintanya
Pada WhatsApp, kode yang datang tanpa diminta berarti ada yang memasukkan nomor Anda saat mendaftar. Penyebab paling umum adalah orang lain salah mengetik nomor, meski bisa juga percobaan mengambil alih akun. Tanpa kodenya, pendaftaran mereka tidak bisa selesai. Pesan lama Anda tetap terenkripsi di HP Anda.
Jangan bagikan kodenya kepada siapa pun, termasuk orang yang mengaku dari WhatsApp, dan aktifkan verifikasi dua langkah (opsional, harus Anda nyalakan sendiri). Bila akun Anda mendadak keluar sendiri, ikuti panduan WhatsApp dibajak.
Untuk kode Google yang tidak Anda minta, abaikan dan hapus pesannya. Setelah itu jalankan Pemeriksaan Keamanan (Security Checkup) di Akun Google untuk melihat perangkat dan aktivitas yang tercatat.
Kebiasaan kecil yang melindungi
- Sembunyikan isi notifikasi di layar kunci. Pada banyak HP ada pengaturan notifikasi untuk menyembunyikan isi pesan saat layar terkunci. Dengan begitu kode OTP tidak terbaca oleh orang yang kebetulan melihat atau memegang HP Anda.
- Baca pesan kodenya sampai habis. Pesan OTP yang sah biasanya menyebut nama layanan dan keperluan kode. Bila tidak sesuai dengan yang sedang Anda lakukan, jangan dipakai.
- Jangan memotret atau menyimpan kode, PIN, dan data kartu di galeri atau catatan yang tidak terkunci.
- Pastikan nomor HP Anda terdaftar untuk notifikasi transaksi di bank, supaya transaksi asing cepat ketahuan.
- Aktifkan verifikasi dua langkah dan notifikasi login di akun penting supaya percobaan masuk dari perangkat asing terlihat.
Kalau kode terlanjur diserahkan
- Hubungi lembaga yang bersangkutan sekarang. Untuk bank atau dompet digital, pakai nomor di kartu atau aplikasi resmi, laporkan transaksi yang tidak Anda lakukan, dan minta blokir akses atau kartu.
- Ganti PIN dan kata sandi akun yang terkait, dari perangkat yang Anda percaya.
- Keluarkan semua sesi: Akun Google dan WhatsApp (lihat panduan akun Google kena hack).
- Periksa mutasi dan transaksi beberapa hari terakhir, dan catat semuanya, termasuk jam dan nomor penelepon.
- Laporkan. Bila ada uang yang sudah keluar, lapor ke Indonesia Anti-Scam Centre (IASC) yang dibentuk OJK. Pengaduan sektor keuangan dapat disampaikan ke Kontak OJK 157 (telepon 157, WhatsApp 081 157 157 157), dan ke polisi bila ada kerugian.
- Tanyakan ke Bank Indonesia bila perlu. Bank Indonesia membuka contact center di nomor 131 untuk pengaduan dan pertanyaan konsumen.
Mengapa laporan cepat penting
IASC menerima laporan penipuan keuangan digital dan membantu memblokir dana korban yang masih berada di rekening bank yang dipakai pelaku. Makin cepat laporan masuk, makin besar peluang dana kembali. Dari 22 November 2024 sampai 12 Januari 2026, Rp161 miliar dikembalikan kepada 1.070 korban.
Jangan membuka alamat pelaporan dari tautan di chat atau iklan: ada situs palsu yang memakai nama IASC. Ketik sendiri alamat resminya lewat situs OJK, atau tanyakan ke Kontak OJK 157.
SMS, aplikasi autentikator, atau kunci akses
OTP lewat SMS tetap umum dipakai, tetapi SMS bisa dialihkan atau dibaca bila nomor atau HP dikuasai pihak lain. Bila layanan menyediakannya, aplikasi autentikator atau kunci akses (passkey) lebih sulit dialihkan.
Satu catatan: kode dari aplikasi autentikator tetap rahasia. Bila Anda membacakannya kepada penelepon, akibatnya sama dengan menyerahkan kode SMS. Kunci akses tidak punya angka yang bisa dibacakan, itu keunggulannya. Perbandingan metode untuk akun Google ada di panduan verifikasi dua langkah.
Anggapan yang sering keliru
- “Kode cuma enam angka, tidak berbahaya.” Enam angka itu cukup untuk mengambil alih akun atau menguras dompet digital.
- “Penelepon tahu nama dan rekening saya, pasti dari bank.” Penipu bisa memegang data itu. Bank tidak meminta OTP, PIN, atau CVV lewat telepon, siapa pun yang menelepon.
- “Saya cuma membacakan kode, bukan mengirim uang.” Setelah kode Anda sebutkan, pelaku sendiri yang masuk dan memindahkan uang.
- “Bagikan sedikit saja, tiga digit.” Tidak ada porsi yang aman. Berhenti menyebut digit apa pun, dan tutup percakapan.
Pertanyaan yang Sering Ditanyakan
Bagaimana kalau teman saya benar-benar butuh kode saya?
Tidak ada kebutuhan yang sah. Kode itu justru membuka akun Anda di perangkat si peminta. Kalau temannya sungguhan, mintalah ia menelepon langsung, tetapi kodenya tetap tidak boleh dibagikan.
Apakah mengetik OTP di situs yang saya buka dari tautan SMS aman?
Tidak. Buka aplikasi atau situs resmi dari yang Anda ketik atau simpan sendiri, bukan dari tautan di pesan.
Mengapa OTP masuk padahal saya tidak minta?
Bisa jadi ada yang mencoba masuk dengan nomor atau email Anda, bisa juga orang lain salah mengetik nomor. Abaikan kodenya dan jangan balas. Rinciannya ada di bagian “Kode masuk padahal Anda tidak memintanya” di atas.
Apa bedanya OTP dan PIN?
PIN adalah rahasia tetap yang Anda hafal. OTP dibuat sistem sekali pakai dan dikirim saat Anda melakukan sesuatu. Di WhatsApp ada keduanya: kode pendaftaran 6 digit dan PIN verifikasi dua langkah. Keduanya sama-sama tidak boleh dibagikan.
Sumber dan rujukan resmi
- Panduan Dasar Pelindungan Konsumen Bank Indonesia dan halaman Tips dan Transaksi Aman Bank Indonesia: kode keamanan yang tidak boleh dibagikan dan jalur pengaduan 131.
- Pemberitaan Kompas tentang tips OJK menghindari penipuan kode OTP, siaran pers OJK tentang Kontak 157, dan siaran pers OJK tentang Indonesia Anti-Scam Centre.
- WhatsApp: kode verifikasi yang tidak diminta dan pendaftaran dan verifikasi dua langkah (bahasa Inggris).
- Google: melindungi kode verifikasi dan kapan Google mengirim SMS (bahasa Inggris). Saran serupa dari FTC (Amerika Serikat): kode verifikasi.
Punya pertanyaan atau menemukan kekeliruan di panduan ini? Kirim ke info@infopintar.com.