SMS Spoofing via Jaringan 2G — Kenapa Scammer Bisa Muncul di SMS yang Sama dengan yang Asli
SMS Spoofing via Jaringan 2G — Kenapa Scammer Bisa Muncul di SMS yang Sama dengan yang Asli
Ini adalah eksploitasi terhadap celah fundamental di protokol jaringan 2G — celah yang sudah diketahui puluhan tahun dan sampai sekarang masih bisa dieksploitasi karena hampir semua HP di Indonesia masih mendukung fallback ke 2G.
1. Apa itu SMS Spoofing via Fake BTS?
SMS Spoofing via Fake BTS adalah serangan di mana pelaku mendirikan Base Transceiver Station palsu (menara sinyal buatan) di dekat area target. Perangkat ini dikenal juga sebagai IMSI Catcher atau Stingray. HP di sekitar area itu “tertipu” dan connect ke menara palsu — karena protokol 2G tidak mengharuskan HP untuk memverifikasi identitas BTS yang dia connect.
[DEFINISI — KOMPONEN SERANGAN]
Fake BTS / IMSI Catcher: Perangkat pemancar sinyal ilegal yang menyamar sebagai menara BTS operator telekomunikasi resmi. HP di sekitarnya otomatis connect karena protokol 2G memilih sinyal terkuat — bukan sinyal yang terverifikasi.
SMS Spoofing: Teknik memalsukan Sender ID (nama/nomor pengirim) pada SMS. Ketika pelaku kirim SMS dengan Sender ID “BCA”, HP penerima menampilkan nama “BCA” — dan sistem threading di HP mengelompokkan pesan itu ke thread yang sama dengan SMS BCA asli.
2G (GSM) vulnerability: Protokol GSM/2G hanya mengautentikasi HP ke jaringan (one-way authentication) — tapi tidak mengautentikasi jaringan ke HP. Ini berarti HP tidak bisa memverifikasi apakah BTS yang dia pakai adalah BTS resmi atau palsu.
Downgrade attack: Bahkan di area yang ada jaringan 4G/5G, Fake BTS bisa memaksa HP target untuk downgrade ke 2G dengan memancarkan sinyal 2G yang lebih kuat — lalu mengeksploitasi celah GSM tersebut.
2. Kenapa Bisa Masuk Thread yang Sama? — Teknis Dibalik Layar
Ini pertanyaan yang paling sering muncul — dan jawabannya ada di cara kerja SMS threading di HP, bukan di sistem bank.
- SMS threading berdasarkan Sender ID, bukan kriptografi
Aplikasi SMS di HP mengelompokkan pesan berdasarkan nama atau nomor pengirim yang tertera di metadata SMS — bukan berdasarkan verifikasi kriptografis bahwa pengirim itu benar-benar siapa yang dia klaim. Kalau Sender ID-nya “BCA”, pesan masuk ke thread “BCA”. - Sender ID bisa di-set bebas di protokol 2G
Di jaringan 2G/GSM, tidak ada mekanisme bawaan yang mencegah siapapun untuk mengatur Sender ID SMS sesuka hati. Operator telecom yang legitimate biasanya punya proteksi di sisi jaringan — tapi Fake BTS yang langsung bypass jaringan operator bisa mengirim SMS dengan Sender ID apapun. - HP connect ke Fake BTS tanpa tahu
Protokol GSM menggunakan one-way authentication: HP harus buktikan identitasnya ke jaringan, tapi jaringan tidak perlu buktikan identitasnya ke HP. Ini design decision dari era 1980an yang dibuat karena keterbatasan komputasi waktu itu — dan sampai sekarang masih ada di semua HP yang mendukung 2G. - Downgrade attack paksa HP ke 2G
Bahkan kalau lo pakai HP flagship dengan 5G, Fake BTS bisa broadcast sinyal 2G yang sangat kuat di area sekitar. HP lo akan switch ke 2G karena sinyal lebih kuat — dan saat itu protokol keamanan 4G/5G yang lebih baik tidak berlaku lagi.
Alur serangan lengkap — dari setup sampai korban tertipu:
# Pelaku mendirikan Fake BTS di area publik (mall, stasiun, parkiran)
# Fake BTS broadcast sinyal 2G lebih kuat dari BTS operator asli di area itu# FASE 2: Downgrade + Connect
# HP target otomatis switch dari 4G ke 2G (sinyal lebih kuat)
# HP connect ke Fake BTS tanpa ada notifikasi atau warning apapun
# Protokol 2G: HP verify ke jaringan, tapi jaringan TIDAK verify ke HP
# FASE 3: SMS Injection
# Fake BTS kirim SMS dengan Sender ID = “BCA” (atau nama bank lain)
# Isi pesan: “5.200 poin akan kedaluwarsa. Klik bca.idbccaa.com/id”
# FASE 4: Korban tertipu
# HP korban tampilkan SMS di thread yang sama dengan BCA asli
# Tidak ada perbedaan visual antara SMS asli dan SMS palsu
# Korban klik link → landing di phishing page → credential stolen
bca.idbccaa.com/id — domain yang sengaja dibuat mirip domain BCA asli. Di thread SMS yang sama, ada pesan asli BCA yang justru mengingatkan pengguna untuk tidak klik link sembarangan. Ironi yang sempurna.3. Kenapa 2G Masih Jadi Celah di 2026?
Pertanyaan logisnya: kalau 4G dan 5G lebih aman, kenapa masalah ini masih terjadi? Ada beberapa faktor struktural yang bikin 2G tetap jadi attack surface yang valid:
| Faktor | Penjelasan |
|---|---|
| Backward compatibility | Hampir semua HP modern masih support 2G sebagai fallback — karena ada area di Indonesia yang memang hanya punya coverage 2G. |
| Operator belum matikan 2G | Mematikan jaringan 2G sepenuhnya butuh proses panjang dan koordinasi dengan Kominfo — sementara masih ada segmen pengguna yang bergantung pada 2G. |
| HP tidak bisa bedain BTS asli vs palsu | Tidak ada mekanisme di level hardware 2G yang bisa dipakai HP untuk verifikasi keaslian BTS. Ini bukan bug yang bisa di-patch via software update. |
| Perangkat Fake BTS makin murah | Hardware dan software untuk Fake BTS (termasuk yang berbasis Software Defined Radio) semakin accessible. Barrier to entry untuk pelaku makin rendah. |
| Sender ID tidak divalidasi end-to-end | Proteksi Sender ID ada di sisi operator — tapi Fake BTS bypass jalur operator sepenuhnya, jadi proteksi itu tidak berlaku. |
4. Cara Lindungi Diri — Yang Bisa dan Tidak Bisa Lo Lakukan
Realistisnya, sebagai end user lo tidak bisa sepenuhnya mencegah HP lo di-connect ke Fake BTS — karena ini celah di level protokol, bukan di level aplikasi. Tapi ada beberapa langkah yang bisa ngurangi risiko dan dampaknya:
- 1. Disable 2G di pengaturan HP (kalau bisa)
Android: Settings → Network → Preferred network type → pilih “LTE only” atau “4G/5G only”. Ini mencegah HP lo downgrade ke 2G bahkan ketika ada Fake BTS yang coba paksa. Tapi perlu diingat: di area yang memang nggak ada 4G, lo bakal kehilangan sinyal sama sekali.
iPhone: Settings → Cellular → Cellular Data Options → Voice & Data → LTE. Di iPhone, opsi ini lebih terbatas tergantung model dan carrier. - 2. Jangan pernah klik link di SMS dari bank — apapun konteksnya
Bank legitim tidak pernah mengirim link via SMS untuk menukarkan poin, verifikasi akun, atau urusan sensitif apapun. Kalau lo mau cek poin atau promo, buka aplikasi resmi bank atau langsung ketik URL bank di browser. Ini berlaku bahkan kalau SMS-nya masuk di thread yang sama dengan SMS bank asli. - 3. Perhatikan domain URL dengan teliti
Di screenshot kasus:bca.idbccaa.com/id— bukanbca.co.id. Domain asli BCA adalahbca.co.id. Scammer sengaja buat domain yang mirip dan membingungkan. Selalu baca URL dari kanan ke kiri (TLD dulu):.com/idbeda jauh dari.co.id. - 4. Aktifkan notifikasi transaksi via aplikasi resmi
Jangan andalkan SMS sebagai sumber utama notifikasi transaksi — pakai notifikasi push dari aplikasi resmi bank yang end-to-end encrypted. SMS tidak punya enkripsi yang bisa diandalkan. - 5. Waspada ekstra di tempat ramai
Fake BTS paling sering dioperasikan di area dengan banyak orang — mall, stasiun, bandara, area CFD. Di tempat-tempat ini, risiko HP lo connect ke Fake BTS lebih tinggi. Kalau lo di area ramai dan tiba-tiba dapat SMS bank yang minta aksi segera — curiga dulu sebelum klik apapun.
[CEK DOMAIN — CARA BACA URL DENGAN BENAR]
bca.idbccaa.com/id → Domain utama: idbccaa.com → PALSU
www.bca.co.id → Domain utama: bca.co.id → ASLI
klikbca-secure.com → Domain utama: klikbca-secure.com → PALSU
klikbca.com → Domain utama: klikbca.com → ASLI
bca.idbccaa.com/id → baca dari kanan: /id adalah path, com adalah TLD, idbccaa adalah domain utama yang sebenarnya — bukan BCA.5. Perspektif Teknis — Kenapa Ini Sulit Diatasi
Dari perspektif security, SMS Spoofing via 2G adalah contoh klasik dari legacy protocol vulnerability — celah yang ada bukan karena coding error, tapi karena design decision puluhan tahun lalu yang tidak mengantisipasi threat model modern.
- Tidak ada patch yang bisa fix ini di level protokol
GSM/2G dirancang tanpa mutual authentication — ini bukan bug yang bisa di-patch via software update. Fix yang sebenarnya adalah mematikan 2G sepenuhnya dan migrasi ke 4G/5G yang punya mutual authentication (jaringan verify ke HP dan sebaliknya). - Operator bisa tambah proteksi Sender ID, tapi Fake BTS bypass ini
Operator telecom bisa implement SMS Sender ID validation di sisi mereka — tapi Fake BTS tidak melewati infrastruktur operator sama sekali, jadi validasi tersebut tidak berlaku. - Mitigasi jangka panjang: matikan 2G
Negara yang sudah mulai matikan 2G: Australia (Telstra matikan 2G sejak 2017), AS (AT&T 2017, T-Mobile 2020), beberapa negara Eropa. Indonesia belum ada timeline pasti, tapi ini adalah satu-satunya cara yang benar-benar eliminasi attack surface ini. - RCS bukan solusi sempurna tapi lebih baik
Rich Communication Services (RCS) — penerus SMS yang didorong Google — punya enkripsi end-to-end dan sender verification yang lebih kuat. Tapi adopsinya di Indonesia masih sangat terbatas, dan bank-bank lokal belum semuanya migrate ke RCS.
TL;DR
- Scammer masuk di thread SMS BCA yang sama karena SMS threading berdasarkan Sender ID — bukan verifikasi kriptografis
- Fake BTS / IMSI Catcher bisa spoof Sender ID karena protokol 2G tidak punya mutual authentication
- HP bisa di-downgrade paksa ke 2G bahkan di area 4G/5G oleh sinyal Fake BTS yang lebih kuat
- Ini bukan malware, bukan hack akun bank — ini celah di level protokol telekomunikasi
- Tidak ada cara 100% mencegah sebagai end user — solusi sebenarnya adalah mematikan jaringan 2G
- Yang bisa di lakukan: Disable 2G di pengaturan HP, jangan pernah klik link dari SMS bank, verifikasi domain dengan teliti, pakai aplikasi resmi bank
- Phishing: Mengirim link palsu untuk mencuri data pribadi.
- Social Engineering: Memanipulasi korban agar panik atau tergiur hadiah.
- Pencurian Dana: Menguras isi rekening dengan mengarahkan korban ke halaman web bank tiruan.
GSMA — GSM Security Architecture documentation
Positive Technologies — IMSI Catcher research
EFF (Electronic Frontier Foundation) — IMSI Catchers and Cell-Site Simulators
Kominfo RI — Regulasi jaringan telekomunikasi Indonesia
Screenshot kasus: viral post via Threads (@demsski)
