Pukul 18.37, Aldi keluar dari gerai operator dengan SIM baru.
Nomornya sama.
Ponselnya baru.
Hari itu sebelumnya kacau karena perangkat lama hilang.
Begitu SIM aktif, notifikasi mulai datang.
Bank.
E-commerce.
WhatsApp.
Email recovery.
Marketplace seller.
Ojek online.
Food delivery.
Aplikasi kerja.
Temannya, Naufal, melihat layar.
“Nomor lo dipakai buat semua?”
Aldi mengangguk.
“Semua.”
Naufal:
“Berarti ini nomor telepon atau root password?”
Aldi tidak langsung menjawab.
Satu nomor ponsel sekarang bisa menjadi identitas lintas layanan.
Untuk login.
OTP.
Account recovery.
Customer service.
WhatsApp.
Bank.
Marketplace.
Kalau nomor itu bermasalah, efeknya bisa menyebar.
Bukan berarti harus punya lima nomor.
Tapi kita perlu tahu seberapa banyak kunci ditaruh di satu pintu.
WhatsApp memang berbasis nomor telepon
Untuk mendaftarkan akun WhatsApp, pengguna memverifikasi nomor aktif.
WhatsApp juga menyediakan verifikasi dua langkah untuk menambah lapisan keamanan pada akun.
Jadi nomor ponsel bukan aksesori.
Ia bagian inti identitas akun.
Risiko nomor bukan cuma HP hilang
Ada beberapa skenario.
SIM rusak.
Nomor hangus.
SIM swap.
Nomor didaur ulang operator setelah lama tidak aktif.
Ponsel dicuri.
OTP disocial-engineer.
Orang mengganti SIM bukan berarti semua risiko otomatis terjadi.
Tapi nomor punya nilai keamanan.
SIM swap adalah serangan yang nyata
CISA menjelaskan SIM swap sebagai bentuk social engineering, dan mendorong migrasi ke MFA yang tahan phishing untuk akun sensitif.
Dalam SIM swap, penyerang berusaha membuat kontrol nomor berpindah ke SIM yang mereka kuasai.
Kalau banyak akun bergantung SMS OTP, impact bisa meluas.
Jangan memberikan kode registrasi WhatsApp ke siapa pun
“Ada kode masuk?”
“Boleh kasih?”
Tidak.
Kode verifikasi adalah bukti kontrol nomor.
Support resmi tidak perlu meminta OTP lewat chat random.
Aldi pernah menerima telepon:
“Pak, kami dari layanan X. Ada upgrade akun, mohon kode.”
Dia tutup.
Aktifkan verifikasi dua langkah WhatsApp
Fitur ini menambah lapisan selain registrasi nomor.
WhatsApp pada 2026 juga menyediakan opsi pengelolaan verifikasi dua langkah dan metode autentikasi tambahan sesuai konfigurasi akun.
Gunakan password/PIN yang kuat sesuai opsi yang tersedia.
Tambahkan email recovery yang benar jika fitur meminta atau menawarkan.
Recovery email jangan email yang sama-sama rapuh
Aldi memakai email lama yang password-nya sama dengan banyak situs.
Kalau email itu compromised, recovery WhatsApp ikut berisiko.
Dia memperkuat email.
Password unik.
MFA.
Nomor utama jangan diumbar tanpa alasan
Aldi punya bisnis kecil.
Nomor pribadi dipasang di bio Instagram.
Marketplace.
Google Maps.
Invoice.
Grup komunitas.
Sekarang semua orang punya.
Untuk bisnis, nomor publik memang kadang perlu.
Tapi mungkin lebih baik nomor bisnis terpisah dari nomor yang menjadi recovery bank/personal.
Nomor publik dan nomor recovery punya profil risiko berbeda
Nomor customer service harus mudah ditemukan.
Nomor recovery bank idealnya tidak perlu publik.
Kalau bisnis berkembang, pemisahan ini semakin masuk akal.
Tidak wajib untuk semua orang.
Tapi konsepnya jelas:
satu nomor untuk semua membuat exposure satu titik lebih besar.
Jangan pakai nomor kantor sebagai recovery personal
Aldi pernah memakai nomor kerja untuk akun pribadi karena sinyal bagus.
Tiga tahun kemudian resign.
Nomor dikembalikan ke perusahaan.
Lupa update.
Kalau nomor itu kemudian diberikan ke karyawan lain, recovery risk muncul.
Personal account sebaiknya tidak bergantung pada nomor yang tidak kita miliki jangka panjang.
Nomor prepaid perlu dijaga masa aktif
Nomor jarang dipakai.
Hanya menerima OTP.
Lupa isi pulsa atau menjaga masa aktif.
Hangus.
Ini ironis.
Nomor “security” justru hilang karena tidak dipakai.
Set reminder.
Nomor cadangan juga jangan jadi single point yang terlupakan
Ada orang punya nomor kedua khusus bank.
Bagus.
Tapi SIM disimpan di laci.
Tidak pernah dicek.
Saat dibutuhkan, sudah mati.
Security system harus dirawat.
SMS OTP lebih baik daripada tanpa MFA pada konteks tertentu, tetapi bukan bentuk paling tahan phishing
Jangan membuat kesimpulan ekstrem:
“SMS jelek, matikan MFA.”
Tidak.
Kalau hanya opsi SMS, gunakan dibanding password saja sesuai kebutuhan.
Tapi jika layanan mendukung passkey atau security key yang phishing-resistant, pertimbangkan metode lebih kuat.
Passkey bisa mengurangi ketergantungan nomor untuk login
Layanan yang mendukung passkey memungkinkan login menggunakan kredensial kriptografis yang terkait akun dan perangkat/ecosystem.
Tidak perlu mengetik OTP setiap kali.
Tetap perlu recovery plan.
Jangan berpikir passkey berarti nomor boleh mati tanpa konsekuensi.
Akun mungkin masih memakai nomor untuk recovery.
Banking punya aturan sendiri
Jangan pindahkan SIM utama sembarangan tepat sebelum transaksi penting.
Beberapa aplikasi bank punya proses device binding atau reactivation.
Kalau ganti ponsel/nomor, ikuti panduan bank resmi.
Jangan mencari APK atau link aktivasi dari chat.
Marketplace seller account sangat sensitif
Aldi punya toko.
Nomor dipakai untuk seller login.
Kalau account diambil alih, pelaku bisa mencoba mengubah payout atau menghubungi customer.
Gunakan MFA.
Role access.
Jangan beri OTP ke staf.
Customer service number jangan jadi rekening owner kalau bisnis mulai besar
Admin butuh WhatsApp.
Kalau nomor sama dengan OTP bank, owner terpaksa memegang device.
Atau lebih buruk, membagikan akses.
Pisahkan.
Jangan screenshot OTP
OTP punya umur pendek.
Tapi screenshot masuk galeri.
Cloud backup.
Tidak ada alasan menyimpan.
Baca.
Masukkan.
Hapus notification jika perlu.
OTP tidak boleh dikirim lewat grup keluarga
Ibu Aldi kadang minta bantuan login.
“Dek, kode masuk. Ini ya 123456.”
Dikirim di grup.
Aldi mengubah kebiasaan.
Telepon langsung jika perlu membantu, dan jangan minta kode kecuali benar-benar memahami proses.
Lebih baik ajari anggota keluarga mengenali scam.
SIM PIN bisa menambah perlindungan fisik pada skenario tertentu
Beberapa perangkat/operator mendukung SIM PIN.
Jika digunakan, jangan lupa PIN/PUK.
Simpan recovery info aman.
Fitur keamanan yang membuat pemilik sendiri terkunci juga problem.
Carrier account juga perlu diamankan
Akun aplikasi operator.
Email.
Password.
KTP data saat registrasi.
Jika operator menawarkan PIN/account security tambahan, pertimbangkan.
Nomor adalah aset.
Jangan menganggap eSIM otomatis menghapus semua risiko
eSIM mengubah bentuk SIM.
Bukan menghilangkan social engineering.
Account takeover tetap mungkin jika recovery operator lemah atau pengguna tertipu.
Tetap gunakan security layer lain.
Lost phone plan perlu cepat
Aldi kehilangan ponsel jam 10.
Yang dia lakukan:
blokir atau amankan SIM melalui operator.
gunakan fitur device finding.
hubungi bank jika perlu.
sign out account sensitif.
aktifkan device replacement.
recover WhatsApp lewat jalur resmi.
Urutan tergantung situasi.
Yang penting jangan menunggu karena merasa “cuma HP”.
Nomor daur ulang adalah alasan untuk update akun lama
Kita punya akun forum 2015.
Marketplace lama.
Aplikasi travel.
Nomor yang sudah tidak dipakai masih tercantum.
Kalau nomor itu diberikan ke orang lain, sebagian layanan bisa mengirim recovery ke pemilik baru.
Aldi melakukan account audit.
Audit nomor bisa dilakukan setahun sekali
Cari di password manager atau email:
“phone number.”
“recovery.”
“two-step.”
Lihat layanan penting.
Bank.
Email.
Social.
Marketplace.
Cloud.
Government service jika ada.
Update.
Jangan membuat satu nomor menjadi public directory seluruh hidup
Naufal berkata:
“Lo sadar nomor lo ada di CV, bio toko, kartu nama, dan grup alumni?”
Aldi:
“Iya.”
“Terus bank juga?”
“Iya.”
“Terus recovery email?”
“Iya.”
Naufal menatap.
Aldi:
“Oke. Gue paham.”
Dia membeli nomor bisnis baru untuk customer-facing.
Tidak buru-buru memindahkan semua.
Pelan.
Nomor utama dipertahankan untuk personal dan recovery.
Pemisahan bukan berarti hidup jadi ribet
Dua nomor bisa dikelola eSIM/dual SIM jika perangkat mendukung.
Atau satu nomor tetap, tetapi security diperkuat.
Pilihan mengikuti kebutuhan.
Jangan membuat sistem terlalu kompleks sampai recovery sendiri bingung.
Nomor baru harus masuk governance
Kalau nomor bisnis dimiliki perusahaan, siapa yang jadi legal owner?
Siapa isi pulsa?
Siapa pegang eSIM QR?
Siapa recovery?
Kalau admin resign, nomor tetap milik bisnis.
Aldi mencatat.
Nomor telepon juga bisa menjadi pintu reset password email
Aldi menemukan beberapa akun lama yang hanya meminta:
username,
SMS code.
Kalau kontrol nomor pindah, risk naik.
Dia mengubah recovery pada akun penting agar tidak hanya bergantung nomor.
Tambahkan metode lain jika layanan mendukung.
Jangan percaya caller ID sepenuhnya
Nomor terlihat seperti bank atau operator belum tentu asli.
Spoofing bisa terjadi dalam berbagai bentuk.
Kalau ada permintaan sensitif, tutup telepon lalu hubungi nomor resmi dari aplikasi/kartu/situs resmi.
Social engineering sering memanfaatkan urgency
“Nomor Anda akan diblokir 30 menit lagi.”
“Verifikasi sekarang.”
“Poin hangus.”
Aldi dulu gampang panik.
Sekarang rule-nya:
urgency tinggi berarti verifikasi lebih lambat, bukan lebih cepat.
Keluarga perlu punya code word untuk emergency money scam
Kalau attacker mengambil alih WhatsApp, dia bisa berpura-pura menjadi Aldi dan minta uang.
Keluarga membuat satu kebiasaan.
Permintaan transfer besar harus dikonfirmasi lewat telepon atau pertanyaan yang hanya keluarga tahu.
Tidak perlu rumit.
Profile photo dan status bisa membantu impersonation
Nomor baru menghubungi ibu.
Foto Aldi.
Nama Aldi.
“Nomor baru ya.”
Impersonation tidak membutuhkan takeover akun asli.
Maka keluarga perlu tahu bahwa foto profil bukan bukti identitas.
Port-out PIN atau carrier security feature layak dipakai jika tersedia
Sebagian operator menyediakan perlindungan tambahan untuk perubahan SIM/nomor.
Fitur berbeda antaroperator.
Tanya kanal resmi.
Jangan menunggu kejadian.
KTP dan data registrasi SIM juga sensitif
Jangan mengirim foto KTP ke pihak yang mengaku operator lewat chat pribadi tanpa verifikasi.
Registrasi nomor punya proses resmi.
Data identitas yang bocor bisa digunakan untuk social engineering lebih lanjut.
Nomor bisnis perlu SOP saat admin berganti
Nomor WhatsApp Business milik usaha.
Admin keluar.
Jangan ganti nomor jika tidak perlu.
Ganti akses.
Logout linked devices.
Review two-step verification.
Update recovery.
Customer tetap menghubungi channel sama.
Linked devices WhatsApp perlu direview
WhatsApp memungkinkan perangkat tertaut.
Aldi membuka daftar.
Ada laptop lama.
Dia logout.
Device list adalah salah satu tempat pertama yang perlu dicek setelah kehilangan perangkat atau staf keluar.
Verifikasi dua langkah bukan alasan membagikan password/PIN
PIN tambahan tetap rahasia.
Jangan tulis di whiteboard kantor.
Jangan share ke semua admin.
Kalau WhatsApp Business dipakai tim, gunakan solusi multi-user resmi yang sesuai kebutuhan, bukan credential sharing sembarangan.
Nomor publik bisa menerima lebih banyak phishing
Setelah nomor toko dipasang di internet, spam naik.
Normal.
Aldi memisahkan mental model:
pesan dari nomor asing tidak otomatis customer.
Link tidak otomatis invoice.
Attachment tidak otomatis order.
Voicemail dan voice call verification juga perlu awareness
Beberapa layanan menawarkan kode lewat panggilan.
Jangan menerima “bantuan” orang lain untuk membacakan atau meneruskan kode.
Verification channel tetap credential.
Kalau nomor harus ganti permanen, lakukan migrasi terencana
List akun penting.
Update satu-satu.
Bank.
Email.
WhatsApp.
Government portal.
Marketplace.
Cloud.
Jangan matikan nomor lama pada hari yang sama kalau masih mungkin mempertahankannya sementara sesuai aturan operator.
Berikan overlap waktu.
Simpan bukti kepemilikan nomor sesuai kebutuhan
Untuk bisnis, invoice operator atau data registrasi bisa membantu ketika ada sengketa atau recovery tertentu.
Dokumen disimpan aman.
Bukan di group chat.
Jangan membuat nomor cadangan diketahui terlalu banyak pihak
Kalau tujuan nomor kedua adalah recovery privat, tidak perlu dicetak di kartu nama.
Exposure rendah adalah bagian manfaatnya.
Tetapi jangan membuat recovery terlalu bergantung pada secrecy
Security melalui kerahasiaan nomor saja tidak cukup.
Nomor bisa bocor.
Gunakan MFA kuat dan recovery layer lain.
Aldi juga mengubah kebiasaan di CV
Nomor personal tetap boleh dicantumkan jika dia memang nyaman.
Tapi untuk bisnis dan public listing, nomor bisnis.
Tujuan berbeda.
Channel berbeda.
Kalau cuma punya satu nomor, fokus pada hardening
Tidak semua orang ingin dua SIM.
Tidak masalah.
Gunakan:
two-step verification WhatsApp,
MFA akun penting,
passkey/security key bila tersedia,
carrier protection,
device lock,
recovery method,
dan disiplin OTP.
Segmentasi nomor adalah opsi.
Bukan syarat menjadi aman.
Satu bulan kemudian
Customer masih chat nomor bisnis.
Bank tetap nomor pribadi.
WhatsApp personal lebih sepi.
Naufal bertanya:
“Sekarang nomor utama jadi apa?”
Aldi:
“Bukan root password.”
“Syukurlah.”
Satu nomor untuk semua layanan memang sangat nyaman.
Tidak ada yang salah secara otomatis.
Tapi semakin banyak layanan penting bergantung pada nomor yang sama, semakin besar efek ketika nomor itu hilang, diambil alih, atau tidak lagi kita kontrol.
Security yang baik bukan berarti menghindari nomor telepon.
Ia berarti tahu fungsi nomor itu, melindunginya sesuai nilai, dan memastikan hidup digital kita tidak runtuh hanya karena satu kartu SIM berhenti bekerja.