Pesan berisi kode OTP yang tiba-tiba masuk—padahal Anda tidak sedang login—sebaiknya tidak diabaikan. Kode itu bisa muncul karena seseorang mengetahui kata sandi Anda, salah memasukkan nomor atau email, atau sedang mencoba mengambil alih akun.
Namun, ada satu hal penting: OTP yang masuk bukan bukti bahwa orang lain sudah berhasil masuk. Dalam banyak kasus, kode tersebut justru menunjukkan bahwa sistem keamanan masih menahan percobaan login. Masalahnya menjadi serius jika Anda membagikan kode itu, memasukkannya ke halaman yang mencurigakan, atau menyetujui permintaan login yang tidak Anda mulai.
Apa sebenarnya arti OTP yang tidak diminta?
OTP atau one-time password adalah kode sekali pakai untuk memverifikasi bahwa orang yang sedang login memang memiliki akses ke perangkat, nomor telepon, email, atau aplikasi autentikasi tertentu.
Jika kode tiba-tiba masuk, beberapa kemungkinan yang masuk akal antara lain:
- Seseorang mencoba login menggunakan kata sandi Anda.
- Anda pernah memasukkan email atau nomor telepon pada layanan tersebut, lalu ada orang lain yang salah mengetik datanya.
- Aplikasi atau perangkat lama sedang mencoba menyambungkan kembali akun.
- Penipu sedang memancing Anda agar membacakan kode OTP melalui telepon atau chat.
- Pesan tersebut palsu dan sebenarnya mengarahkan Anda ke situs phishing.
Google menjelaskan bahwa peringatan keamanan dapat muncul ketika ada login dari perangkat baru, aktivitas yang dianggap tidak biasa, atau tindakan sensitif yang diblokir. Karena itu, isi pesan dan cara pengirimannya tetap perlu diperiksa, bukan langsung dipercaya.
Jangan pernah memberikan kode OTP
Langkah pertama sekaligus yang paling penting: jangan berikan kode OTP kepada siapa pun. Termasuk orang yang mengaku sebagai customer service, petugas bank, kurir, admin marketplace, teman, atau tim keamanan.
Customer service yang sah tidak membutuhkan kode OTP untuk “membatalkan transaksi”, “mengamankan akun”, atau “memverifikasi identitas”. Kode OTP dirancang untuk membuktikan bahwa Anda sedang melakukan tindakan tertentu. Jika kode itu diberikan kepada orang lain, Anda pada dasarnya membantu mereka melewati lapisan keamanan akun.
Prinsip sederhananya: kalau Anda tidak sedang login atau melakukan transaksi, jangan masukkan dan jangan bacakan kode yang datang.
7 langkah yang bisa dilakukan sekarang
1. Berhenti berinteraksi dengan pengirim yang mencurigakan
Jika setelah OTP masuk ada telepon, WhatsApp, SMS, atau email yang meminta kode tersebut, jangan dilanjutkan. Jangan menekan tautan dalam pesan. Penipu sering menciptakan rasa panik dengan mengatakan akun akan diblokir dalam beberapa menit.
Jika perlu memeriksa akun, buka aplikasi resmi atau ketik alamat situsnya sendiri. Jangan menggunakan tautan dari pesan yang baru diterima.
2. Periksa notifikasi dari aplikasi resminya
Buka aplikasi layanan terkait melalui cara yang biasa Anda gunakan, lalu lihat bagian keamanan akun, perangkat yang login, atau aktivitas terbaru. Periksa waktu, jenis perangkat, dan lokasi secara masuk akal.
Lokasi yang terlihat tidak selalu akurat karena dipengaruhi jaringan internet atau VPN. Namun, perangkat yang sama sekali tidak dikenal, perubahan kata sandi, alamat pemulihan, atau metode verifikasi patut dicurigai.
3. Ganti kata sandi dari perangkat yang tepercaya
Jika Anda menduga orang lain mengetahui kata sandi, segera ganti dari aplikasi atau situs resmi. Buat kata sandi yang panjang dan unik—bukan variasi kecil dari kata sandi lama.
Jika kata sandi yang sama digunakan di layanan lain, ganti juga di sana. Menurut Federal Trade Commission, penyerang dapat memakai satu kredensial yang bocor untuk mencoba masuk ke akun lain. Inilah alasan mengapa satu kata sandi sebaiknya tidak dipakai ulang.
4. Keluar dari perangkat yang tidak dikenal
Gunakan menu seperti Manage devices, Active sessions, atau Sign out of all devices. Hapus sesi yang tidak Anda kenali. Langkah ini penting karena mengganti kata sandi saja belum tentu langsung mengakhiri semua sesi yang sudah aktif.
Untuk akun Google, pengguna dapat memeriksa perangkat dan aktivitas keamanan melalui pengaturan akun. Google juga menyarankan pengguna mengamankan akun jika ada aktivitas yang tidak dilakukan sendiri.
5. Aktifkan autentikasi multifaktor
Autentikasi multifaktor atau MFA menambahkan bukti kedua selain kata sandi, misalnya kode dari aplikasi autentikator, notifikasi persetujuan, passkey, atau kunci keamanan fisik.
MFA tidak membuat akun kebal serangan, tetapi dapat menghambat penyerang yang hanya memiliki kata sandi. CISA menyebut MFA sebagai lapisan perlindungan penting, dan menyarankan penggunaan metode yang lebih tahan phishing bila tersedia.
Jika layanan menyediakan beberapa pilihan, aplikasi autentikator, passkey, atau kunci keamanan umumnya lebih baik daripada hanya mengandalkan SMS. Namun, SMS tetap lebih baik daripada tidak memiliki perlindungan tambahan sama sekali.
6. Periksa email pemulihan dan aturan penerusan
Penyerang yang berhasil masuk kadang mengubah email pemulihan, nomor telepon, atau membuat aturan agar salinan email otomatis diteruskan ke alamat lain.
Periksa juga folder Terkirim, Dihapus, dan pengaturan penerusan email. Jika menemukan perubahan yang tidak Anda buat, hapus dan amankan kembali akun. Email utama perlu mendapat perhatian khusus karena sering dipakai untuk mengatur ulang kata sandi layanan lain.
7. Waspadai dampak ke akun lain
Jika akun sudah sempat diakses orang lain, periksa layanan yang terhubung: marketplace, media sosial, penyimpanan cloud, layanan keuangan, dan aplikasi kerja.
Untuk akun yang menyimpan kartu pembayaran atau dokumen penting, periksa transaksi dan aktivitas terbaru. Jika ada transaksi tidak sah, hubungi penyedia layanan atau bank melalui kanal resmi.
Kapan harus menganggapnya sebagai insiden serius?
Segera perlakukan sebagai insiden keamanan jika Anda melihat salah satu tanda berikut:
- Kata sandi atau email pemulihan berubah tanpa izin.
- Anda tidak bisa login meski yakin kata sandinya benar.
- Ada perangkat asing yang aktif di akun.
- Pesan terkirim dari email atau media sosial Anda tanpa sepengetahuan.
- Ada transaksi, pembelian, atau perubahan profil yang tidak Anda lakukan.
Jika sudah kehilangan akses, gunakan halaman pemulihan resmi dari penyedia layanan. Jangan membayar “jasa pemulihan akun” yang datang melalui pesan pribadi tanpa verifikasi. FTC menyarankan pengguna mengamankan perangkat, mengganti kata sandi, mengaktifkan autentikasi dua faktor, dan memberi tahu kontak jika akun telah disalahgunakan.
Apa artinya bagi kita?
OTP bukan sekadar angka yang harus dimasukkan secepat mungkin. Ia adalah sinyal bahwa ada tindakan login atau verifikasi yang sedang berlangsung.
Biasakan memperlakukan OTP seperti kunci rumah: tidak diberikan kepada orang lain, tidak dimasukkan ke tempat yang tidak jelas, dan tidak digunakan hanya karena seseorang mendesak. Jika kode datang tanpa Anda minta, jangan panik. Periksa akun melalui aplikasi resmi, ganti kata sandi bila perlu, keluarkan perangkat asing, lalu aktifkan perlindungan tambahan.
Sumber & bacaan lebih lanjut
- Google Account Help — Respond to security alerts
- Google Account Help — Secure a hacked or compromised Google Account
- Federal Trade Commission — How To Recover Your Hacked Email or Social Media Account
- CISA — Require Multifactor Authentication
– Rio Yotto @rioyotto