Nomor daur ulang: risiko tersembunyi verifikasi SMS

Nomor telepon terasa permanen. Kita mencetaknya di kartu nama, memberikannya ke bank, dan memakainya untuk masuk ke hampir semua hal. Tetapi bagi operator, nomor adalah stok barang. Ketika pelanggan berhenti membayar, ganti paket tanpa memindahkan nomor, atau membiarkan kartu prabayar hangus, nomornya diputus, didiamkan beberapa waktu, lalu diberikan kepada orang lain.

Komisi Komunikasi Federal AS (FCC) memperkirakan sekitar 35 juta nomor diputus dan tersedia untuk dialokasikan ulang setiap tahun di Amerika Serikat saja. Sebagian besar dari nomor itu pernah menjadi login, jalur pemulihan, atau faktor kedua untuk akun seseorang.

Apa yang ditemukan peneliti Princeton

Pada 2021, Kevin Lee dan Arvind Narayanan dari Center for Information Technology Policy, Universitas Princeton, mengukur masalah ini secara langsung. Mereka mengambil sampel 259 nomor yang ditawarkan dua operator besar AS, T-Mobile dan Verizon, kepada pelanggan baru, lalu memeriksa apa saja yang masih bisa dibuka oleh nomor-nomor itu.

• ·171 dari 259 nomor — sekitar dua dari tiga — masih terhubung ke akun yang ada di situs populer, termasuk Amazon, AOL, Facebook, Google, PayPal, dan Yahoo. Pemilik baru yang menerima SMS reset kata sandi berpotensi mengambil alih akun-akun itu.
• ·100 nomor muncul bersama kredensial login yang bocor di data pelanggaran yang tersebar publik, artinya SMS adalah satu-satunya penghalang antara penyerang dan akun.
• ·Banyak nomor juga menampilkan informasi pribadi pemilik lamanya di situs pencarian orang.

Para peneliti juga menemukan bahwa halaman ganti nomor daring milik operator memungkinkan siapa saja menelusuri kumpulan besar nomor yang tersedia, sehingga penyerang mudah memburu nomor daur ulang. Kedua operator melakukan perubahan setelah diberi tahu; penulis menerbitkan tanggapan operator bersama studinya.

Inti masalahnya sederhana: layanan menganggap «bisa menerima SMS di nomor ini» sebagai bukti identitas, sementara operator menganggap nomor bisa dipakai ulang. Ketika dua asumsi itu bertemu, orang yang memegang nomor hari ini mewarisi seluruh kepercayaan yang melekat padanya kemarin.

Apa yang dilakukan regulator

Respons utama FCC menyasar masalah lain: panggilan tak diinginkan kepada orang yang mewarisi nomor. Pada Desember 2018, FCC memerintahkan pembuatan Reassigned Numbers Database, yang mulai beroperasi pada 2021. Operator melaporkan nomor yang diputus permanen, dan perusahaan bisa memeriksa apakah sebuah nomor telah diputus sejak tanggal tertentu sebelum menelepon atau mengirim pesan. Keputusan yang sama menetapkan masa «pengendapan» minimal 45 hari sebelum nomor yang diputus boleh dialokasikan ulang.

Itu membantu perusahaan berhenti mengirim pesan ke orang asing. Tetapi tidak membantu akun yang masih menyimpan nomor lama. Memperbaruinya, dalam praktiknya, diserahkan kepada pemilik akun.

Melindungi diri saat ganti nomor

Apa artinya bagi nomor virtual sewaan

Artikel yang jujur tentang daur ulang nomor harus menerapkan logika yang sama pada nomor sewaan, karena nomor itu memang didaur ulang secara desain. Nomor yang Anda sewa untuk satu verifikasi khusus untuk Anda selama aktivasi; setelah itu, nomor bisa dipakai lagi oleh orang lain dan untuk layanan lain. Itulah yang membuatnya murah dan sekali pakai — dan karena itu nomor sewaan tidak boleh menjadi jalur pemulihan jangka panjang untuk akun yang penting bagi Anda.

• ·Penggunaan yang tepat: menyelesaikan pendaftaran tanpa memberikan nomor pribadi; aplikasi pesan, media sosial, marketplace, uji coba gratis, dan akun uji, di mana nomor hanya penting saat verifikasi.
• ·Penggunaan yang salah: perbankan, pembayaran, layanan pemerintah, dan akun apa pun yang satu-satunya jalur pemulihannya adalah SMS ke nomor itu. Akun seperti itu layak mendapat nomor yang masih milik Anda lima tahun lagi.
• ·Segera setelah verifikasi: tambahkan email pemulihan, aktifkan perlindungan dua langkah berbasis aplikasi, dan jika layanan mengizinkan, jangan biarkan nomor sewaan menjadi satu-satunya jalan kembali.

Jika dipakai seperti itu, nomor sewaan justru menjadi pertahanan terhadap masalah daur ulang, bukan contohnya. Nomor asli Anda — yang suatu hari mungkin juga diputus dan dijual kembali — tidak pernah masuk ke puluhan basis data sejak awal.

Pertanyaan yang sering diajukan