SIM Swap Attack: Cara Kerja dan Cara Lindungi Akun Lo (2026)

Security 30 Mei 2026 · OTPZap Team

Tahun 2024, Tempo melaporkan kasus SIM swap di mana korban kehilangan Rp 350 juta dalam 2 jam. Attacker hijack nomor HP, intercept SMS OTP dari mobile banking, transfer uang ke rekening lain. Korban: profesional dengan tech awareness yang lumayan, masih kena.

SIM swap bukan technique baru, tapi tetap effective di 2026 karena banyak service masih reliance di SMS OTP sebagai security primary. Artikel ini bahas cara kerja attack, mengapa effective, dan defense strategy yang practical.

Apa Itu SIM Swap Attack

SIM swap (atau SIM hijacking, port-out fraud) adalah attack di mana attacker mengambil alih nomor HP korban via menipu provider telco. Setelah successful, semua SMS dan call yang ditujukan ke nomor itu masuk ke SIM attacker.

Karena banyak service pakai SMS OTP sebagai 2FA, attacker yang punya kontrol nomor punya akses ke:

Damage potential: catastrophic. Banyak korban kehilangan tabungan dalam waktu kurang dari sejam.

Cara Kerja Detail Attack

Phase 1: Reconnaissance

Attacker collect info tentang target. Sources:

Target: high-value individuals. Attacker prefer yang punya banyak rekening, crypto holder, business owner.

Phase 2: Social Engineering ke Provider

Attacker call atau visit gerai operator (Telkomsel, XL, Indosat, dll). Klaim:

Mereka show ID palsu (atau ID asli kalau ada insider). Verify dengan info personal yang udah di-collect (tanggal lahir, alamat). Kalau verifikasi pass, provider issue SIM baru dengan nomor target.

SIM lama target jadi dead. SIM attacker active dengan nomor target.

Phase 3: Account Takeover

Setelah punya SIM dengan nomor target, attacker:

  1. Login ke service yang udah punya credential dari phishing earlier (atau credential-stuffing dengan password leak)
  2. Service kirim SMS OTP ke nomor target (yang sekarang attacker control)
  3. Attacker masukan OTP, granted access
  4. Transfer dana, drain akun, change password

Untuk crypto: transfer langsung ke wallet attacker. Untuk banking: transfer ke rekening cuci uang (mule account).

Phase 4: Cleanup

Attacker kuras semuanya cepat sebelum target sadar. Set up forwarding email, change password, lock recovery. Saat target sadar (biasanya saat HP suddenly no signal), money udah gone.

Kenapa Attack Ini Berhasil di Indonesia

1. Verification Process Provider Belum Ketat

Beberapa gerai operator masih bisa di-fool dengan info personal yang ada di leak. Biometric verification masih belum mandatory. Some staff trained ngga ketat untuk anti-fraud.

2. Insider Risk

Ada laporan karyawan telco yang dibayar attacker untuk swap SIM. Untuk Rp 5-10 juta, mereka willing. Reward attacker (puluhan juta sampai ratusan juta) jauh lebih besar.

3. Regulasi yang Lemah

Penalti SIM swap fraud di Indonesia masih ringan dibanding damage yang ditimbulkan. Telco juga jarang accountable secara finansial untuk failed verification.

4. SMS OTP Dominant

Sebagian besar bank Indonesia masih pakai SMS OTP sebagai 2FA primary. Authenticator app atau hardware key support terbatas. Single point of failure.

Real Cases Yang Pernah Dilaporkan

Defense Strategy Layered

Layer 1: Reduce Reliance pada SMS OTP

Kalau service support, switch dari SMS OTP ke:

Layer 2: Minimize Exposure Nomor

Layer 3: Provider-Level Protection

Beberapa operator support "PIN nomor" atau "extra verification" untuk SIM swap:

Visit gerai dan request "set up additional verification untuk SIM replacement". Bikin process replacement lebih ketat. Worth the friction.

Layer 4: Monitor Tanda Bahaya

Plan if compromised:

  1. Call provider dari other phone, request immediate SIM lock
  2. Call bank, freeze rekening
  3. Change password semua critical service via secure device
  4. File police report
  5. Document timeline untuk insurance/legal claim

Layer 5: Bank-Side Defense

Kalau Sudah Kena: Recovery Steps

  1. Lock semua akun dalam 1 jam: time critical. Setiap menit lebih berarti damage lebih.
  2. Document everything: screenshots, logs, timestamps. Untuk police report dan insurance claim.
  3. File laporan polisi: meskipun recovery slow di Indonesia, paper trail penting untuk insurance dan legal.
  4. Contact bank/exchange immediately: minta freeze transaksi, request reverse kalau memungkinkan. Bank ngga selalu refund, tapi report cepat increase chance.
  5. Contact provider: file complaint formal. Beberapa korban berhasil dapat compensation dari provider kalau verification process kelihatan negligent.
  6. Inform contacts: attacker kemungkinan udah pakai akun lo untuk phishing contact list. Warn mereka.
  7. Reset semua password dari clean device (laptop yang ngga ke-compromise).
  8. Setup hardware key sebelum kembali pakai akun. Don't return to vulnerable state.

Untuk Developer: Reduce User Risk

Kalau lo build app yang handle authentication:

Penutup

SIM swap bukan attack baru, tapi 2026 masih jadi major threat di Indonesia karena gap antara security expectation dan implementation telco/bank. Sampai industry catch up, defense layered di sisi user adalah lebih important.

Yang ngga boleh lo lakuin:

Yang mesti lo lakuin: switch authenticator app, monitor anomaly, setup defense layered, dan plan response kalau compromise. Investment time setengah hari sekali, save lo dari potensi catastrophic loss.

Artikel Lainnya

SIM Swap Attack: Apa Itu dan Cara Mencegahnya Phishing 2026: Cara Modern Penipuan Online dan Cara Hindarinya Masa Depan OTP: Apakah Passkeys Akan Menggantikan SMS?