Modus Penipuan Kode OTP di Indonesia dan Cara Menghindarinya

Penipuan yang menyasar kode OTP jarang terlihat seperti penipuan. Ia datang sebagai pesan dari "teman" yang panik karena salah kirim kode, telepon ramah dari "petugas bank", atau file undangan pernikahan dari nomor yang tidak dikenal. Semuanya punya satu tujuan yang sama: membuat Anda menyerahkan kode yang seharusnya hanya Anda yang tahu.

Skalanya tidak kecil. Menurut data Otoritas Jasa Keuangan yang dikutip Kontan, Indonesia Anti-Scam Centre (IASC) telah menerima 702.342 laporan penipuan sejak mulai beroperasi pada 22 November 2024 hingga 30 September 2026, dengan 173.718 nomor telepon dilaporkan oleh korban. Tidak semua kasus itu melibatkan OTP, tetapi banyak di antaranya berawal dari pola yang sama: korban dibujuk melakukan sesuatu dengan cepat, sebelum sempat berpikir.

Satu Prinsip yang Perlu Dipegang

Sebelum membahas modusnya satu per satu, ingat satu kalimat ini: tidak ada pihak resmi yang akan meminta kode OTP Anda. Tidak bank, tidak operator seluler, tidak marketplace, tidak kurir, tidak juga teman. Kode OTP dibuat untuk diketik oleh Anda sendiri di aplikasi atau situs resmi, bukan untuk dibacakan atau diteruskan kepada orang lain.

Jika seseorang meminta kode itu, apa pun alasannya dan seyakin apa pun ceritanya, anggap itu sebagai tanda bahaya.

Modus-Modus yang Paling Sering Terjadi

1. "Maaf, kode saya salah kirim ke nomor kamu"

Anda menerima SMS berisi kode verifikasi WhatsApp, lalu beberapa detik kemudian ada pesan dari nomor tak dikenal, atau bahkan dari kontak teman: "Halo, tadi saya salah masukin nomor, kodenya masuk ke kamu. Boleh tolong kirim ke saya?"

Yang sebenarnya terjadi: pelaku sedang mendaftarkan nomor WhatsApp Anda di ponselnya. Kode itu adalah kunci untuk memindahkan akun WhatsApp Anda ke perangkat pelaku. Begitu kode diberikan, pelaku bisa membaca pesan baru, menghubungi kontak Anda, dan meminta uang atas nama Anda.

2. Petugas palsu dari bank atau marketplace

Pelaku menelepon atau mengirim pesan dengan nama dan foto profil yang meyakinkan. Ceritanya beragam: ada transaksi mencurigakan, akun akan diblokir, perubahan tarif transfer, atau pengembalian dana. Di tengah percakapan, korban diminta menyebutkan kode yang "baru saja dikirim sistem untuk verifikasi". Kode itu sebenarnya untuk login atau transaksi di akun korban.

3. Hadiah, undian, atau kuis berhadiah

Korban diberi tahu memenangkan hadiah dan harus "mengonfirmasi" dengan kode yang dikirim ke nomornya. Prinsipnya sama: kode itu membuka akses ke akun korban, bukan untuk mencairkan hadiah.

4. File APK berkedok undangan, resi, atau tagihan

Ini modus yang sangat merugikan karena korban tidak perlu menyebutkan kode sama sekali. Pelaku mengirim file berakhiran .apk lewat WhatsApp dengan nama seperti "Undangan Pernikahan", "Foto Paket", "Surat Tilang", atau "Tagihan BPJS". Jika dipasang, aplikasi tersebut meminta izin membaca SMS, lalu diam-diam meneruskan setiap OTP yang masuk ke pelaku. Rekening bank dan dompet digital bisa dikuras tanpa korban pernah menyebutkan satu angka pun.

5. Situs palsu yang meniru halaman login

Tautan dikirim lewat SMS, email, atau iklan. Tampilan halamannya nyaris sama dengan situs asli, tetapi alamatnya berbeda, misalnya ada huruf yang ditukar atau domain tambahan yang aneh. Korban mengetik nama pengguna, kata sandi, lalu OTP. Pelaku yang memantau secara langsung memakai data itu di situs asli dalam hitungan detik, sebelum kode kedaluwarsa.

6. Pengambilalihan kartu SIM (SIM swap)

Pelaku yang sudah memegang sebagian data pribadi korban berusaha mendapatkan kartu SIM pengganti dengan nomor korban, misalnya dengan dokumen palsu. Jika berhasil, semua SMS dan panggilan, termasuk OTP, berpindah ke kartu milik pelaku. Tanda yang paling mudah dikenali: ponsel Anda tiba-tiba kehilangan layanan seluler sepenuhnya tanpa alasan jelas.

7. Akun teman yang sudah dibajak

Setelah berhasil membajak satu akun, pelaku menggunakannya untuk menipu kontak-kontak korban. Pesan datang dari nama yang Anda kenal, dengan gaya bahasa yang kurang lebih mirip, meminta kode, pinjaman mendadak, atau meminta Anda mengklik tautan. Karena pengirimnya tampak tepercaya, banyak orang tidak curiga.

Tanda-Tanda Anda Sedang Ditipu

Detail ceritanya terus berganti, tetapi polanya hampir selalu sama. Waspadai jika Anda menemukan satu atau lebih tanda berikut:

• Desakan waktu. "Segera, dalam 5 menit akun akan diblokir." Penipu tidak ingin Anda sempat berpikir atau bertanya kepada orang lain.
• Ancaman atau iming-iming. Ancaman denda, pemblokiran, atau sebaliknya, hadiah yang terlalu bagus.
• Permintaan kode, PIN, atau kata sandi. Ini sudah cukup untuk mengakhiri percakapan.
• Pindah kanal. Diminta melanjutkan lewat WhatsApp pribadi, atau diarahkan ke tautan di luar aplikasi resmi.
• File atau tautan yang tidak Anda minta, terutama file APK dan tautan yang dipendekkan.
• Nomor pribadi yang mengaku sebagai instansi. Layanan resmi biasanya memakai akun terverifikasi atau nomor yang tercantum di situs resminya.

Langkah Darurat Jika Terlanjur Memberikan Kode

Jika Anda sudah memberikan kode atau memasang aplikasi yang mencurigakan, jangan panik, tetapi bergeraklah cepat. OJK menyebut 12 jam pertama setelah kejadian sangat krusial untuk menyelamatkan dana korban, karena pelaku biasanya segera memindahkan uang ke banyak rekening atau dompet digital.

Jika akun WhatsApp Anda diambil alih

1. Buka WhatsApp di ponsel Anda dan lakukan verifikasi ulang dengan nomor Anda sendiri. Kode baru akan dikirim ke nomor Anda, dan pelaku akan keluar dari akun.
2. Segera aktifkan Verifikasi dua langkah di menu Pengaturan > Akun agar akun tidak bisa didaftarkan ulang tanpa PIN Anda.
3. Beri tahu keluarga dan teman lewat kanal lain bahwa akun Anda sempat dibajak, agar mereka tidak menanggapi permintaan yang mengatasnamakan Anda.

Jika menyangkut rekening atau dompet digital

1. Hubungi layanan pelanggan resmi bank atau penyedia dompet digital lewat nomor yang tercantum di kartu, aplikasi, atau situs resminya. Minta pemblokiran akun dan kartu.
2. Laporkan ke Indonesia Anti-Scam Centre melalui kanal resmi OJK: telepon 157, WhatsApp 081-157-157-157, atau email konsumen@ojk.go.id.
3. Simpan semua bukti: tangkapan layar percakapan, nomor pelaku, bukti transfer, dan waktu kejadian.

Jika Anda memasang file APK mencurigakan

1. Matikan data seluler dan Wi-Fi untuk memutus koneksi aplikasi tersebut.
2. Hapus aplikasinya dari menu Pengaturan > Aplikasi. Jika tidak bisa dihapus, pertimbangkan reset pabrik setelah mencadangkan data penting.
3. Dari perangkat lain yang aman, ganti kata sandi email, mobile banking, dan dompet digital.
4. Hubungi bank Anda untuk memeriksa transaksi terakhir.

Kebiasaan Kecil yang Mencegah Kerugian Besar

• Aktifkan verifikasi dua langkah di WhatsApp dan PIN kartu SIM.
• Pasang aplikasi hanya dari Google Play Store atau App Store, dan matikan izin "Instal dari sumber tidak dikenal".
• Selalu baca isi SMS OTP sampai habis. Pesan yang baik menyebutkan kode tersebut untuk apa.
• Ketik sendiri alamat situs bank atau marketplace, jangan masuk melalui tautan yang dikirim orang.
• Untuk akun penting seperti email utama, pertimbangkan metode yang lebih tahan penipuan seperti aplikasi authenticator atau passkey. Penjelasannya ada di artikel SMS OTP, Aplikasi Authenticator, atau Passkey: Mana yang Paling Aman?
• Bicarakan modus-modus ini dengan orang tua dan anggota keluarga yang kurang terbiasa dengan teknologi. Mereka sering menjadi sasaran utama.

Ringkasnya

Penipu terus mengganti cerita, tetapi tujuannya tetap: mendapatkan kode, kata sandi, atau akses ke ponsel Anda. Jika Anda berpegang pada satu aturan, yaitu tidak memberikan kode OTP kepada siapa pun, sebagian besar modus di atas akan gagal dengan sendirinya. Jika sudah terlanjur, bergeraklah cepat dan laporkan melalui kanal resmi.

Ingin memahami lebih dalam bagaimana OTP bekerja dan mengapa ia aman jika dijaga dengan benar? Baca Apa Itu Kode OTP? Cara Kerja, Jenis, dan Tips Keamanannya.

Sumber data: laporan OJK tentang Indonesia Anti-Scam Centre sebagaimana diberitakan Kontan (6 Oktober 2026) dan Republika (19 Agustus 2025).