Kode one time password (OTP) yang masuk lewat SMS atau aplikasi kerap menjadi incaran penipu. Artikel edukasi Universitas Bina Nusantara (Binus, 4/9/2026) menjelaskan, bila pelaku sudah mengantongi nama pengguna, kata sandi, atau data pribadi korban, OTP bisa menjadi bagian terakhir untuk menyelesaikan login atau transaksi. Karena itu, kode ini tidak boleh diberikan kepada siapa pun.
Menurut data OJK yang dikutip Kontan dan Investortrust, kerugian masyarakat yang dilaporkan ke Indonesia Anti-Scam Centre (IASC) mencapai sekitar Rp9 triliun sejak pusat penanganan itu beroperasi pada November 2024 hingga awal 2026. Hingga 31 Mei 2026, IASC menerima sekitar 579 ribu laporan, seperti diberitakan Investortrust dan Katadata.
Intinya
- Jangan berikan kode OTP kepada siapa pun yang menelepon atau mengirim pesan, apa pun alasannya.
- Jangan membuka atau memasang file APK dari nomor tak dikenal, termasuk yang mengaku undangan atau resi paket.
- Telanjur memasang APK mencurigakan: putus internet, hapus aplikasi, hubungi bank, ganti kata sandi dan PIN.
- Korban penipuan transaksi keuangan bisa melapor ke IASC OJK melalui iasc.ojk.go.id atau lewat bank.
OTP adalah kunci sementara, bukan untuk dibagikan
Binus menyebut OTP sebagai kunci sementara yang hanya dipakai saat pemilik akun sendiri sedang beraktivitas, misalnya masuk akun atau bertransaksi. Periksa alamat situs atau aplikasi sebelum memasukkan kode. OTP yang datang saat Anda tidak sedang masuk akun, mendaftar layanan, atau bertransaksi jangan dimasukkan atau dibagikan.
OJK pernah mengingatkan modus SMS palsu yang tampak seolah dikirim bank. Kepada CNN Indonesia (11/3/2025), Kepala Eksekutif Pengawas Perilaku Pelaku Usaha Jasa Keuangan, Edukasi, dan Pelindungan Konsumen OJK, Friderica Widyasari Dewi, menjelaskan pelaku memakai base transceiver station (BTS) palsu untuk menyebarkan SMS. Ia meminta nasabah tidak panik bila ada yang mengaku dari bank dan meminta OTP, lalu menghubungi bank sendiri lewat kanal resmi.
Waspadai file APK berkedok undangan dan kurir
Bank Indonesia menjelaskan modus pengiriman file berformat .APK lewat WhatsApp, antara lain berkedok undangan pernikahan digital dan foto atau resi paket dari kurir. Setelah dipasang, aplikasi itu meminta izin akses sehingga pelaku bisa mencuri data, mulai dari informasi pribadi, SMS, hingga informasi perbankan rahasia seperti OTP. KPPN Wates (Kemenkeu) memuat peringatan serupa; detikInet mencatat variasi lain berupa file yang mengaku surat tilang.
Langkah pencegahan menurut Bank Indonesia dan KPPN Wates:
- Jangan mengeklik file .APK yang dikirim orang tak dikenal lewat pesan singkat.
- Pastikan aplikasi dipasang dari Google Play Store atau sumber yang tepercaya.
- Jangan memberikan izin akses apa pun kepada aplikasi yang sumbernya tidak jelas.
- Bila ragu, cek kebenarannya dengan menghubungi pihak terkait melalui kanal resmi.
Sejak 30 September 2026, Google juga mulai memperketat pemasangan aplikasi Android di Indonesia, seperti diulas dalam aturan baru pemasangan APK.
Telanjur memasang APK mencurigakan? Lakukan ini
Bank Indonesia (13/3/2024), BRI (dikutip Kontan, 14/7/2023), dan pakar keamanan siber Alfons Tanujaya (dikutip CNBC Indonesia, 12/10/2023) menyarankan langkah berikut:
- Segera putuskan internet: matikan data seluler dan Wi-Fi atau aktifkan mode pesawat.
- Buka menu pengaturan, cari aplikasi yang baru terpasang dari tautan mencurigakan, lalu hapus.
- Hubungi bank melalui kanal resmi agar rekening atau kartu bisa diamankan.
- Ganti kata sandi dan PIN mobile banking, serta kata sandi e-mail dan akun lain yang terhubung.
- Bila masih ragu, cadangkan data penting lalu lakukan reset pabrik.
Alfons Tanujaya juga menyarankan agar verifikasi dua langkah di WhatsApp diaktifkan.
Informasi penting untuk masyarakat
Korban penipuan transaksi keuangan dapat melapor ke IASC, forum koordinasi yang dipimpin OJK melalui Satgas PASTI. Menurut situs resmi IASC dan Katadata, laporan dibuat secara daring di iasc.ojk.go.id dengan menyiapkan identitas, kronologi, nomor rekening pelaku, nilai kerugian, dan bukti transaksi. Data OJK yang dikutip Investortrust menunjukkan laporan juga bisa masuk melalui bank atau penyedia jasa keuangan.
Laporan sebaiknya dibuat secepat mungkin. Situs IASC menyebut dana hasil penipuan biasanya cepat dipindahkan pelaku, sehingga kecepatan melapor menentukan peluang pemblokiran. Situs itu juga menyarankan korban melapor ke kepolisian untuk proses hukum.
Apa selanjutnya?
Selain OTP, data pribadi juga perlu dijaga; baca juga imbauan Komdigi soal jual beli data pribadi. Bagi pelaku usaha yang menerima pembayaran digital, simak pula ketentuan baru potongan QRIS.
Sumber
- Binus University – OTP: Enam Angka Sederhana yang Bisa Menentukan Keamanan Rekening Anda (4/9/2026)
- CNN Indonesia – Marak Kasus Fake BTS, OJK Imbau Nasabah Waspada SMS OTP (11/3/2025)
- Bank Indonesia – Modus Penipuan Online APK (1/2/2023)
- Bank Indonesia – Telanjur Klik APK Penipuan (13/3/2024)
- DJPb Kemenkeu KPPN Wates – Phising: Penipuan Undangan APK dan Paket (22/1/2025)
- detikInet – Ngeri! Kenali Modus Link Undangan, Akun Bodong, Aplikasi (15/8/2024)
- Kontan Momsmoney – Penipuan Modus Undangan Pernikahan, BRI Bagikan Tips (14/7/2023)
- CNBC Indonesia – Tenang, Ikuti Langkah Ini Jika Kena Jebakan Download File APK (12/10/2023)
- Investortrust – OJK Terima 411.055 Laporan Penipuan, Kerugian Capai Rp9 Triliun (9/1/2026)
- Kontan – IASC Terima 432.637 Laporan Kasus Penipuan, Terbanyak dari Pulau Jawa (22/1/2026)
- Investortrust – Perangi Penipuan Digital, IASC OJK Blokir Dana Korban (6/6/2026)
- Katadata – Korban Scam Tak Tahu Harus Lapor ke Mana? Kenali Layanan IASC (30/6/2026)
- Indonesia Anti-Scam Centre (IASC) OJK – situs resmi (diakses 4/10/2026)
