Kode OTP lewat SMS selama ini dianggap sebagai lapisan pengaman tambahan yang cukup. Laporan terbaru dari perusahaan keamanan telekomunikasi asal Stockholm, Enea, menunjukkan asumsi itu perlu ditinjau ulang. Enea menemukan kelompok pengintai yang mereka beri nama SilentAir membajak peralatan di dalam jaringan sedikitnya enam operator seluler di Asia, lalu membelokkan panggilan dan SMS milik sasaran tertentu. Pada beberapa sasaran, kode autentikasi dua faktor (2FA) tercatat dicegat tepat setelah pembelokan aktif.

Bagi instansi pemerintah, desa, sekolah, dan UMKM, temuan ini penting bukan karena serangan tersebut menyasar semua orang, melainkan karena pola serangannya memakai jalur yang berada di luar kendali pengguna: jaringan operator. Tidak ada patch aplikasi yang bisa menutupnya dari sisi ponsel.

Apa yang sebenarnya terjadi

Operator seluler bertukar pesan pensinyalan memakai protokol SS7 dan Diameter untuk mengatur panggilan, SMS, dan roaming. Lalu lintas itu melewati jaringan bersama bernama IPX yang dibangun di atas tingkat kepercayaan tinggi antaroperator. SilentAir mengirim serangannya ke IPX dari peralatan yang sudah diambil alih di dalam jaringan operator.

Untuk penyadapan, mereka mengirim pesan UpdateLocation (atau padanannya di Diameter) ke jaringan asal korban. Pesan itu mengklaim bahwa peralatan yang dibajak kini melayani ponsel korban. Jika jaringan asal menerimanya, panggilan dan SMS untuk orang tersebut dialihkan ke penyerang.

• Enea menilai SilentAir dengan keyakinan tinggi sebagai aktor tingkat negara, tetapi hanya dengan keyakinan rendah mengaitkannya ke Tiongkok.
• Sasaran utamanya berada di Taiwan; di luar itu tersebar di Asia Tenggara dan Asia Timur, dan sesekali di Afrika Timur, Asia Tengah, Timur Tengah, serta Eropa.
• Sebagian sasaran adalah pejabat politik dan pemerintah di negaranya masing-masing.
• Penyadapan mencapai 18,3% dari serangan yang diamati, jauh di atas 2,1% pada riset Enea sebelumnya untuk perusahaan pengawasan biasa.
• Serangan datang bergelombang: dari satu atau beberapa pelanggan hingga beberapa ribu dalam sebulan, dengan jeda bisa berbulan-bulan.

Enea juga mencatat penggunaan silent SMS dalam jumlah sangat besar, yaitu SMS yang tidak ditampilkan atau diberi notifikasi di ponsel. Salah satu fungsinya tampaknya menguji apakah pembelokan berhasil: jika SMS uji tiba di peralatan penyerang, bukan di ponsel korban, mereka tahu penyadapan berjalan. Sebagian besar SMS senyap dikirim malam hari, dan isinya sering berupa kalimat promosi atau motivasi berbahasa Inggris sebagai kamuflase agar penerima menganggapnya spam.

Mengapa sulit dideteksi

Menurut laporan tersebut, deteksi awal sulit karena pelakunya memahami betul jaringan seluler dan pertahanan pensinyalan. Jejak baru muncul setelah serangan dibendung. Enea menemukan peralatan di dalam satu operator yang mengirim sekaligus menerima perintah serangan, yang memastikan bahwa peralatan internal memang sudah diambil alih, bukan sekadar alamat pensinyalan yang dipalsukan dari luar.

Laporan tidak menyebut nama negara, operator, maupun sasaran. Enea menyatakan SilentAir untuk sementara sudah dihentikan, tetapi bisa kembali. Laporan juga tidak memastikan apakah peralatan yang dibajak sudah dibersihkan oleh operator terkait.

Ada indikasi keterkaitan dengan kelompok Liminal Panda, walau Enea menyebutnya mungkin dan belum terkonfirmasi. Perilaku SilentAir juga sebagian mirip trojan Linux bernama SCTPE yang berjalan di kernel dan dirancang mengirim serta menerima lalu lintas SS7 dan Diameter; otoritas Singapura (IMDA) menyebut alat serupa sebagai SIGweaver. Bedanya, menurut Enea, SilentAir menjawab pesan yang tidak ia kirim sendiri, sesuatu yang tidak bisa dilakukan SCTPE, dan operasionalnya jauh lebih rapi.

Langkah praktis untuk pengelola TI instansi

Serangan di lapisan pensinyalan memang wilayah operator, tetapi dampaknya bisa dikurangi dari sisi aplikasi dan kebijakan internal. Berikut yang bisa dikerjakan sekarang:

1. Turunkan ketergantungan pada OTP SMS untuk akun penting. Untuk akun admin, kasir, bendahara, dan aplikasi layanan publik, sediakan opsi aplikasi authenticator (TOTP) atau passkey, dan jadikan OTP SMS sebagai cadangan terakhir.
2. Prioritaskan passkey untuk akun bernilai tinggi. Passkey terikat pada domain aplikasi sehingga tidak bisa dipakai ulang di situs tiruan, berbeda dengan kode yang bisa diketik di halaman phishing.
3. Wajibkan 2FA untuk seluruh akun admin aplikasi. Satu akun admin tanpa 2FA cukup untuk menjatuhkan seluruh sistem.
4. Pantau anomali OTP. Kode yang tidak pernah diterima, OTP yang tiba dalam jumlah tak wajar, atau login sukses tanpa aktivitas pengguna adalah sinyal yang harus masuk log dan ditindaklanjuti.
5. Batasi paparan data pejabat dan pengelola. Nomor ponsel pribadi pimpinan sebaiknya tidak dipakai sebagai faktor autentikasi tunggal pada layanan yang sensitif.
6. Siapkan jalur eskalasi ke operator. Jika ada indikasi pembelokan nomor dinas, laporkan ke operator dan simpan catatan waktu kejadian agar bisa ditelusuri.
7. Pisahkan akun dan perangkat kerja. Nomor dinas untuk layanan instansi sebaiknya tidak dipakai untuk menerima OTP akun pribadi, dan sebaliknya.

Untuk operator, Enea merekomendasikan pemasangan firewall GTP-C dan GTP-U yang berbagi informasi dengan firewall SS7 dan Diameter, penerapan kontrol melampaui rekomendasi dasar industri, memperlakukan seluruh IPX sebagai jaringan tidak tepercaya, menambah deteksi protokol pensinyalan di jaringan sendiri, serta menyatukan keamanan pensinyalan dengan keamanan TI secara keseluruhan. Enea juga mencatat firewall GTP mereka mendeteksi aktivitas Liminal Panda di sejumlah operator sejak kuartal pertama tahun ini dan menemukan indikasi infeksi di sedikitnya 5 sampai 10 operator.

Kesimpulan praktisnya sederhana: SMS OTP masih berguna, tetapi tidak lagi layak menjadi satu-satunya penjaga akun penting. Instansi yang lebih dulu memindahkan akun kritis ke authenticator atau passkey akan jauh lebih sulit dirugikan oleh serangan yang berjalan di jaringan operator.

Sumber: The Hacker News - SilentAir Hijacks Asian Telecom Networks to Intercept SMS 2FA Codes; laporan teknis Enea - The Enemy Within: Tracking Liminal Panda and SilentAir.