Kode sandi sekali pakai (OTP) adalah bagian inti dari autentikasi dua faktor (2FA) dan autentikasi multifaktor (MFA) tradisional.

Jika masuk ke akun atau memverifikasi transaksi, kode tersebut akan diterima melalui email, SMS, atau aplikasi autentikator untuk mengonfirmasi identitas.

Kini, penjahat siber telah menemukan cara untuk melewati perlindungan ini menggunakan bot OTP.

Apa itu bot OTP?

Bot OTP adalah program perangkat lunak otomatis yang mencegat atau mencuri kode sandi sekali pakai yang digunakan untuk memverifikasi identitas. Tujuannya adalah untuk mengambil alih kendali akun dalam apa yang dikenal sebagai serangan pengambilalihan akun (atau ATO).

Penjahat siber dapat membeli serangan bot OTP di pasar gelap, sering kali melalui Telegram, dengan harga mulai dari $10 per serangan. Pendekatan berbiaya rendah dan dapat diskalakan ini memungkinkan penyerang menargetkan banyak orang sekaligus dengan upaya minimal.

Cara kerja bot OTP

Bot OTP dirancang untuk memanfaatkan waktu antara saat menerima kata sandi sekali pakai dan saat memasukkannya ke dalam aplikasi atau situs web. Jeda waktu ini sering kali kurang dari satu menit.

Penjahat siber biasanya mencegat kode dengan tiga cara:

Pengambilalihan akun bot OTP melalui rekayasa sosial

Penyerang menggunakan kredensial yang dicuri atau bocor untuk memicu langkah OTP di situs resmi. Bot kemudian menghubungi Anda melalui SMS atau panggilan telepon, menggunakan skrip yang dirancang untuk menciptakan urgensi — misalnya, dengan meniru tim penipuan bank. Jika Anda membagikan OTP, bot akan meneruskannya ke penyerang secara real-time, memberi mereka akses ke akun Anda. Penyerang kemudian dapat mengubah kredensial masuk dan mengunci Anda.

Pengambilalihan akun bot OTP melalui pencegatan

Dengan menggunakan kredensial yang dicuri untuk memicu OTP, bot mencoba mencegat kode sebelum sampai ke pengguna. Metode yang umum meliputi:

  • Serangan swap SIM: Penyerang meyakinkan operator seluler untuk mentransfer nomor telepon ke kartu SIM yang mereka kendalikan, sehingga kode SMS dikirim langsung kepada mereka. 
  • Eksploitasi API: Bot menargetkan API autentikasi dengan keamanan rendah untuk menangkap OTP saat dibuat. 
  • Brute force: Penyerang mencoba semua kemungkinan kombinasi OTP numerik pendek, yang dimungkinkan ketika situs web atau aplikasi yang digunakan belum menetapkan batas untuk permintaan berulang.

Pengambilalihan akun bot OTP melalui serangan relai

Variasi ini tidak bergantung pada kredensial yang dicuri. Sebaliknya, metode ini memperdaya untuk memberikan rincian masuk dan OTP kepada penyerang. Pengguna mendarat di situs web palsu yang terlihat seperti aslinya dan memasukkan kredensial. Bot segera menggunakan kredensial tersebut untuk masuk ke situs web asli, yang memicu pengiriman OTP ke ponsel. Situs web palsu kemudian meminta untuk memasukkan kode, yang direlai oleh bot ke situs web asli secara real-time. Ini memungkinkan penyerang menyelesaikan proses masuk sebelum kode kedaluwarsa.

Seperti variasi lainnya, penyerang kemudian dapat mengubah kredensial dan mengunci akun.

Bagaimana bot OTP dapat memengaruhi bisnis Anda

Kemudahan mendapatkan layanan bot OTP kemungkinan akan meningkatkan serangan pada bisnis. Meskipun perbankan dan e-commerce merupakan target umum, industri apa pun dapat terpengaruh. Usaha kecil dan menengah (UKM) sering kali menjadi target yang lebih sering disasar(jendela baru).

Kerugian finansial dapat menjadi signifikan, tetapi itu bukan satu-satunya risiko yang harus dipertimbangkan.

Meskipun kerugian finansial dapat merusak organisasi, itu bukan satu-satunya kerugian yang harus dikhawatirkan pemilik bisnis.

Hilangnya kepercayaan pelanggan

Kepercayaan pelanggan sering kali menurun setelah terjadinya pembobolan data(jendela baru). Studi tahun 2024 oleh Vercara(jendela baru) menemukan bahwa 58% konsumen menganggap merek yang terkena dampak tidak dapat dipercaya, dan 70% akan berhenti berbelanja di merek tersebut setelah insiden keamanan terjadi.

Risiko kepatuhan regulasi

Bahkan jika tidak ada dana yang dicuri, bisnis Anda dapat menghadapi denda karena gagal memenuhi persyaratan perlindungan data. Sebagai contoh, General Data Protection Regulation (GDPR) berlaku untuk organisasi mana pun yang memproses data pribadi penduduk UE, terlepas dari lokasi atau ukuran perusahaan. Sanksi untuk ketidakpatuhan bisa sangat besar.

Cara melindungi bisnis Anda dari bot OTP

Mengingat kesalahan manusia adalah hal yang paling sulit dilindungi, bisnis harus menerapkan pengaman teknis sebanyak mungkin. Ini dapat mencakup:

Pembatasan laju dan throttling

Batasi jumlah permintaan kode sandi sekali pakai (OTP) yang dapat dibuat dari satu alamat IP, nomor telepon, atau akun dalam jangka waktu tertentu. Hal ini mencegah penyerang membanjiri sistem dengan permintaan otomatis.

CAPTCHA dan analisis perilaku

Gunakan tantangan CAPTCHA saat muncul aktivitas mencurigakan, dan terapkan analisis perilaku untuk mendeteksi pola non-manusia seperti pengiriman formulir yang cepat atau gerakan tetikus yang tidak realistis.

Sidik jari perangkat

Lacak karakteristik perangkat untuk mengidentifikasi pelanggar berulang dan tandai perangkat yang membuat beberapa permintaan OTP di berbagai akun.

Autentikasi multifaktor selain OTP

Tambahkan metode autentikasi yang lebih kuat, seperti kunci keamanan perangkat keras, verifikasi biometrik, atau notifikasi push, untuk mengurangi ketergantungan pada OTP saja.

Pengerasan keamanan API

Lindungi API OTP dengan mewajibkan autentikasi, menandatangani permintaan, memvalidasi input, dan menggunakan saluran komunikasi yang aman untuk mencegah pencegatan atau manipulasi.

Pemantauan dan deteksi

Pantau pola penggunaan untuk mengidentifikasi perilaku tidak biasa yang mungkin mengindikasikan aktivitas bot. Gunakan peringatan real-time untuk mendeteksi lonjakan permintaan OTP atau akses geografis yang tidak terduga. Tinjau log secara berkala untuk mendeteksi ancaman lebih awal.

Cara melindungi diri Anda dari bot OTP

Bot OTP bisa berbahaya, tetapi langkah-langkah sederhana dapat diambil untuk melindungi akun.

Gunakan kata sandi atau kunci sandi yang kuat dan unik

Gunakan pengelola kata sandi bisnis untuk membuat dan menyimpan kredensial unik bagi setiap akun. Jika memungkinkan, gunakan kunci sandi, yang meniadakan kebutuhan akan kata sandi sekali pakai (OTP).

Gunakan kunci keamanan perangkat keras

Kunci keamanan fisik, seperti YubiKey, memberikan perlindungan kuat terhadap serangan otomatis karena memerlukan akses fisik ke perangkat.

Waspadai upaya phishing

Berhati-hatilah terhadap pesan tidak diminta yang meminta kode verifikasi. OTP dimaksudkan untuk dimasukkan ke dalam situs web atau aplikasi, bukan untuk dibagikan kepada siapa pun.

Pantau aktivitas akun Anda

Periksa riwayat masuk dan pengaturan akun secara berkala untuk mendeteksi aktivitas yang mencurigakan.

Gunakan aplikasi autentikator alih-alih SMS

Kata sandi sekali pakai berbasis waktu (TOTP) — kode yang dibuat oleh aplikasi autentikator — lebih aman daripada OTP berbasis SMS, yang dapat dicegat melalui serangan SIM-swapping.

Kebiasaan kata sandi yang baik adalah pertahanan utama Anda

Menggabungkan perlindungan teknis yang kuat dengan kebiasaan kredensial yang baik sangat membantu mencegah penyerang masuk.

Pengelola kata sandi bisnis adalah salah satu alat paling sederhana dan paling efektif yang dapat digunakan — memastikan karyawan tidak menggunakan kembali kata sandi yang lemah di berbagai akun, yang merupakan jenis kerentanan yang dirancang untuk dieksploitasi oleh bot OTP.

Padukan dengan metode autentikasi yang tahan terhadap phishing dan budaya kesadaran keamanan, dan jadikan bisnis target yang jauh lebih sulit diserang.