Statistik Penipuan SIM Swap 2026: Angka yang Harus Diketahui Setiap Tim Keamanan

Penipuan SIM swap memiliki masalah reputasi: angka utama terlihat membaik, sementara tim keamanan di lapangan tahu bahwa ancaman tersebut tidak kunjung hilang. Menyelaraskan kedua fakta tersebut adalah inti dari rangkuman ini. Di bawah ini adalah statistik terbaru yang dapat diverifikasi mengenai SIM swapping — yang diambil dari sumber utama seperti Internet Crime Complaint Center milik FBI — beserta konteks yang menjelaskan apa arti angka-angka tersebut bagi siapa pun yang masih melindungi akun dengan kode sekali pakai (OTP) SMS.

Singkatnya: menurut Internet Crime Complaint Center milik FBI, korban di AS melaporkan kerugian sebesar $26,0 juta dari 982 pengaduan pada tahun 2024, turun dari puncak $72,6 juta pada tahun 2022. Namun, angka-angka tersebut hanya mencakup pengaduan yang dilaporkan dan tidak termasuk pengurasan akun lanjutan yang dimungkinkan oleh SIM swap — sehingga angka tersebut secara substansial meremehkan biaya sebenarnya, itulah sebabnya regulator dan perusahaan masih menganggapnya sebagai ancaman yang meningkat.

Berikut adalah gambaran lengkapnya — data multi-tahun, siapa yang menjadi target, mengapa kerugian yang dilaporkan menurun sementara risikonya tidak, respons regulator, dan apa arti angka-angka tersebut bagi cara Anda memverifikasi pengguna.

Statistik penipuan SIM swap 2026: angka-angka utama

Kumpulan data AS yang paling otoritatif adalah dari Laporan Tahunan Internet Crime Complaint Center (IC3). Berikut adalah tren multi-tahun dalam keluhan dan kerugian akibat SIM swap yang dilaporkan:

Sumber: FBI IC3 (PSA SIM-swap 2022 untuk tahun 2021; Laporan Tahunan IC3 2024 untuk 2022–2024). Angka-angka hanya mencerminkan keluhan yang dilaporkan.

Jika dibaca sekilas, masalah ini tampak mereda: jumlah keluhan turun lebih dari separuh sejak puncaknya di tahun 2022, dan kerugian turun sekitar dua pertiga. Namun jika dicermati, kenyataannya tidak demikian — dan bagian selanjutnya akan menjelaskan alasannya.

Sekilas statistik penipuan SIM swap

Angka-angka yang paling sering dikutip dari data saat ini, dalam satu tempat:

• $72,6 juta — puncak kerugian SIM swap di AS yang dilaporkan ke FBI IC3, pada tahun 2022.

• $26,0 juta — kerugian SIM swap di AS yang dilaporkan ke IC3 pada tahun 2024.

• 982 — keluhan SIM swap di AS yang diajukan ke IC3 pada tahun 2024.

• ~64% — penurunan kerugian yang dilaporkan di AS dari tahun 2022 hingga 2024, meskipun tidak ada bukti bahwa ancaman dasarnya berkurang.

• 2024 — tahun berlakunya aturan perlindungan SIM swap dan port-out dari FCC bagi operator seluler di AS.

• Terbatas — Klasifikasi NIST mengenai kode sandi sekali pakai (OTP) SMS sebagai autentikator.

Mengapa penurunan angka tidak berarti penurunan risiko

Tiga fakta struktural membuat penurunan yang dilaporkan menjadi indikator yang tidak akurat untuk tingkat ancaman yang sebenarnya.

1. IC3 mencatat keluhan yang dilaporkan, bukan total insiden

Angka IC3 hanya mencerminkan kejahatan yang dipilih korban untuk dilaporkan ke satu portal federal. Sebagian besar penipuan tidak pernah dilaporkan di sana — korban melapor ke bank mereka, operator mereka, atau tidak melapor sama sekali. Ketika angka utama bergantung pada pelaporan sukarela, penurunan bisa berarti berkurangnya pelaporan, sama mudahnya dengan berkurangnya kejahatan.

2. SIM swap adalah pintu gerbang, bukan tujuan akhir

Ini adalah poin krusial yang dilewatkan oleh sebagian besar ringkasan. SIM swap jarang menjadi kejahatan itu sendiri; ini adalah langkah akses yang membuka jalan bagi kejahatan tersebut. Penyerang menukar SIM untuk mencegat kode sekali pakai, lalu menggunakan kode tersebut untuk mengatur ulang kata sandi, menguras rekening bank, atau mengosongkan dompet kripto. Kerugian yang terjadi biasanya dicatat di bawah kategori tersebut — penipuan bank, penipuan investasi, pencurian kripto — bukan di bawah “SIM swap.” Hasilnya adalah penghitungan yang kurang secara sistematis: teknik yang memungkinkan kerugian jutaan dolar hanya muncul sebagai beberapa ratus keluhan. Kami membahas rantai serangan ini secara mendetail dalam panduan kami mengenai perlindungan penipuan SIM-swap di AS.

3. Negara lain justru mengalami tren sebaliknya

Di saat angka yang dilaporkan di AS menurun, beberapa pasar lain justru melaporkan peningkatan tajam selama periode yang sama, dengan lembaga pencegahan penipuan mencatat lonjakan persentase tiga digit dalam SIM swap dan pemindahan nomor yang tidak sah. Pencurian SIM-swap terkait kripto secara khusus terus mencapai puluhan juta dolar setiap tahunnya. Secara keseluruhan, sinyal global menunjukkan serangan yang semakin terkonsolidasi dan profesional, bukan menghilang.

Siapa yang menjadi target

SIM swap bukanlah penipuan acak bervolume tinggi; ini adalah penipuan yang ditargetkan, yang menyasar tempat di mana satu keberhasilan pengambilalihan memberikan hasil besar. Profil yang paling rentan adalah:

• Pemegang kripto dan pengguna bursa — transaksi yang tidak dapat dibatalkan menjadikan dompet sebagai target bernilai tertinggi, dan kerugian SIM-swap kripto tetap menjadi bagian besar dari total kerugian.

• Akun individu berpenghasilan tinggi dan eksekutif — akun perbankan, pialang, dan email yang jika dibobol akan membuka akses lebih jauh.

• Siapa pun yang pemulihannya masih bergantung pada SMS — jika nomor telepon dapat mengatur ulang kata sandi, maka nomor tersebut menjadi kunci utama.

Benang merahnya adalah ketergantungan pada nomor telepon sebagai faktor pemulihan dan autentikasi. Itulah tepatnya ketergantungan yang diciptakan oleh SMS OTP dan dihilangkan oleh verifikasi senyap (silent verification).

Biaya sebenarnya dari satu kali SIM swap

Angka kerugian IC3 hanyalah uang yang dilaporkan hilang oleh korban. Bagi sebuah bisnis, satu keberhasilan SIM swap pada akun pelanggan atau karyawan membawa biaya yang jauh lebih luas yang tidak pernah muncul dalam statistik tersebut:

• Kerugian langsung — dana yang terkuras, saldo yang ditransfer, atau kripto yang dicuri, yang untuk aset on-chain pada dasarnya tidak dapat dipulihkan.

• Remediasi — investigasi penipuan, jam dukungan, pemulihan akun, dan pengaturan ulang kredensial paksa di seluruh basis pengguna yang terdampak.

• Chargeback dan penggantian dana — banyak institusi menanggung kerugian tersebut demi mempertahankan pelanggan, yang mengubah peristiwa penipuan menjadi beban langsung pada laba rugi.

• Risiko regulasi dan hukum — kewajiban pemberitahuan pelanggaran dan, yang semakin sering terjadi, pengawasan terhadap apakah kontrol autentikasi yang wajar telah diterapkan.

• Churn dan reputasi — pelanggan yang akunnya terkuras jarang akan bertahan, dan insiden publik mengikis kepercayaan jauh melampaui individu yang terdampak.

Jumlahkan semua ini dan biaya penuh dari satu kali pengambilalihan akun biasanya jauh lebih besar daripada angka rata-rata per keluhan — itulah alasan mengapa perusahaan mengevaluasi pencegahan berdasarkan pengurangan risiko total, bukan hanya pada angka kerugian utama saja.

Mengapa SIM swap berhasil: ketergantungan pada SMS OTP

Penipuan SIM swap bukanlah kelemahan pada satu operator atau satu bank; ini adalah kelemahan pada model. Selama menguasai nomor telepon sudah cukup untuk menerima kode yang mengotorisasi tindakan sensitif, mencuri nomor tersebut menjadi cara yang ampuh untuk membobol akun. Pengumuman layanan masyarakat FBI mengenai SIM-swap menjelaskan pola ini dengan tepat: penyerang menggunakan rekayasa sosial, akses orang dalam, atau phishing untuk memindahkan nomor ke kartu SIM yang mereka kendalikan, lalu mencegat kode sekali pakai tersebut.

Inilah sebabnya pertahanan tidak bisa hanya berupa "OTP yang lebih baik." Metode apa pun yang mengirimkan rahasia ke nomor telepon akan mewarisi kerentanan nomor tersebut. Jalan keluarnya adalah berhenti menganggap penerimaan kode sebagai bukti dan mulai memverifikasi bahwa SIM asli benar-benar ada — pemeriksaan yang gagal dilewati oleh SIM hasil penukaran. Itulah prinsip di balik autentikasi jaringan senyap dan verifikasi nomor di tingkat operator.

Bagaimana serangan SIM swap sebenarnya terjadi

Memahami mekanismenya adalah kunci untuk menindaklanjuti statistik yang ada. Menurut nasihat SIM-swapdari FBI, serangan pada umumnya berlangsung dalam lima tahap:

1. Pengintaian. Penyerang mengumpulkan detail pribadi korban dari kebocoran data, broker data, phishing, dan media sosial — cukup untuk melewati pemeriksaan identitas operator.

2. Rekayasa sosial operator. Dengan menyamar sebagai korban (atau menggunakan orang dalam yang disuap), penyerang meyakinkan operator seluler untuk memindahkan nomor tersebut ke kartu SIM yang mereka kendalikan.

3. Pengambilalihan nomor. Nomor tersebut aktif di kartu SIM penyerang dan ponsel korban kehilangan sinyal secara diam-diam — sering kali menjadi tanda pertama dan satu-satunya yang terlihat.

4. Pencegatan kode. Setelah memegang nomor tersebut, penyerang menerima kode sekali pakai (OTP) SMS dan tautan pengaturan ulang kata sandi untuk akun korban.

5. Monetisasi. Transfer bank, penarikan kripto, dan pengambilalihan email terjadi dalam hitungan menit — dan tercatat sebagai kejahatan tersebut, bukan sebagai “SIM swap.”

Perhatikan bahwa tahap keempat adalah kunci utamanya, dan inilah langkah tepat yang dinetralkan oleh verifikasi tingkat operator: jika kepemilikan asli kartu SIM diperlukan, kode yang dicegat tidak akan berguna.

SIM swap dalam gambaran besar pengambilalihan akun

SIM swap adalah salah satu dari beberapa teknik pengambilalihan akun, tetapi sangat efektif terhadap pertahanan berbasis SMS yang masih digunakan oleh sebagian besar akun:

Polanya jelas: setiap pertahanan yang bergantung pada SMS memiliki celah, dan SIM swap adalah yang paling andal di antaranya. Menghilangkan ketergantungan pada kode — bukan memperkuat pengirimannya — adalah cara untuk menutup celah tersebut.

Respons regulasi menekan SMS dari kedua sisi

Dua regulator AS sampai pada kesimpulan yang sama dari sudut pandang berbeda, yang dengan sendirinya merupakan sinyal kuat ke mana arah risikonya.

FCC memperketat aturan bagi operator. Dalam aturan yang diadopsi pada tahun 2023 dan berlaku pada tahun 2024, FCC kini mewajibkan penyedia layanan nirkabel untuk menggunakan autentikasi pelanggan yang aman sebelum melakukan penggantian kartu SIM atau port-out dan segera memberi tahu pelanggan saat ada permintaan — yang secara langsung menargetkan mekanisme pertukaran kartu SIM.

NIST memperketat aturan bagi perusahaan. Dalam Panduan Identitas Digital yang diperbarui, NIST mengklasifikasikan kode sandi sekali pakai (OTP) SMS sebagai autentikator terbatas, yang mendorong organisasi untuk beralih ke metode berbasis kepemilikan yang lebih kuat. Ketika lembaga yang menetapkan standar dasar untuk praktik identitas federal menggeser kontrol ke tingkat “gunakan dengan hati-hati”, audit sektor swasta dan perusahaan asuransi cenderung mengikuti langkah tersebut.

Pesan dari keduanya konsisten: model nomor telepon ditambah kode SMS kini secara aktif mulai ditinggalkan. Perusahaan yang mengantisipasi hal ini sejak dini dapat mengurangi risiko penipuan sekaligus meminimalisir hambatan kepatuhan di masa depan.

Apa arti data ini bagi perusahaan

Jika kita mengabaikan fluktuasi tahunan, statistik menunjukkan satu kesimpulan yang pasti: risikonya bukan terletak pada jumlah SIM swap yang terjadi, melainkan pada ketergantungan Anda pada nomor telepon sebagai faktor tepercaya. Setiap akun yang proses masuk, pemulihan, atau verifikasi lanjutannya mengandalkan kode SMS berada dalam ancaman pengambilalihan jika SIM swap berhasil dilakukan, terlepas dari berapa pun total angka IC3 tahun ini.

Data tersebut juga memberikan sinyal waktu yang penting. API jaringan operator yang kini didorong oleh regulator telah tersedia bagi perusahaan—sehingga untuk pertama kalinya, bisnis dapat memeriksa risiko SIM swap secara real-time dan memverifikasi kepemilikan secara diam-diam, alih-alih hanya berharap operator telah menghentikan upaya penukaran SIM tersebut. Perangkat pertahanan kini telah mampu mengimbangi ancaman yang ada; pertanyaannya adalah apakah tumpukan verifikasi Anda sudah mampu melakukan hal yang sama.

Latihan yang berguna adalah dengan memetakan ketergantungan Anda pada nomor telepon: daftarkan setiap titik di mana nomor telepon dapat membuka atau memulihkan akun—pendaftaran, login, pengaturan ulang kata sandi, verifikasi bertahap, verifikasi layanan dukungan—dan tandai mana yang masih mengandalkan kode SMS sebagai bukti. Masing-masing titik tersebut merupakan celah risiko SIM swap, dan pemetaan ini biasanya mengungkap lebih banyak celah daripada yang diperkirakan tim. Menutup celah tersebut tidak mengharuskan Anda menghapus SMS dalam semalam; yang diperlukan adalah menerapkan pemeriksaan kepemilikan sebelum kode dikirim agar SIM yang telah ditukar tidak dapat lolos, dimulai dari alur yang paling bernilai tinggi.

Apa yang perlu diperhatikan di tahun 2026 dan seterusnya

Tiga tren akan membentuk risiko SIM swap selama beberapa tahun ke depan:

• Deteksi SIM swap real-time menjadi arus utama. Sama halnya dengan API jaringan operator yang memungkinkan verifikasi senyap, API ini juga menyediakan sinyal perubahan SIM secara langsung, sehingga perusahaan kini dapat memeriksa risiko penukaran sebelum setiap tindakan sensitif dilakukan, alih-alih bereaksi setelah kerugian terjadi.

• Tekanan regulasi meningkat. Dengan aturan FCC yang kini berlaku dan NIST yang mengarahkan perusahaan untuk meninggalkan SMS, bersiaplah karena auditor, perusahaan asuransi, dan mitra akan mulai menanyakan bagaimana Anda memverifikasi kepemilikan—bukan sekadar apakah Anda sudah menggunakan MFA.

• Penyerang beradaptasi dengan eSIM dan AI. Seiring dengan meningkatnya adopsi eSIM dan AI yang membuat rekayasa sosial menjadi lebih murah dan meyakinkan, tahap pengintaian dan peniruan identitas menjadi lebih mudah—sehingga meningkatkan urgensi pertahanan yang tidak bergantung pada kemampuan manusia dalam mendeteksi penipuan.

Intinya: pertahanan kini bergeser dari “menghentikan penukaran di pihak operator” menjadi “mengasumsikan penukaran bisa terjadi dan memverifikasi kepemilikan pada saat risiko muncul.” Itulah strategi yang dapat dikendalikan langsung oleh perusahaan.

Cara melindungi diri dari penipuan SIM swap

Pertahanan berlapis yang praktis adalah sebagai berikut:

6. Berhenti menggunakan SMS OTP sebagai satu-satunya faktor autentikasi. Anggap penerimaan kode sebagai sinyal lemah, bukan bukti, terutama untuk tindakan bernilai tinggi.

7. Verifikasi kepemilikan SIM secara senyap. Gunakan verifikasi nomor tingkat operator agar SIM yang telah ditukar gagal dalam pemeriksaan — kemampuan inti dari NumberVerify2, sebuah layanan dalam rangkaian autentikasi dan pencegahan penipuanMessage Central.

8. Periksa risiko SIM-swap sebelum melakukan tindakan sensitif. Baca sinyal perubahan SIM secara real-time dan tingkatkan verifikasi sebelum melakukan pembayaran, transfer, pengaturan ulang, dan pemeriksaan ulang KYC.

9. Jadikan OTP sebagai cadangan, bukan pintu utama. Pertahankan Verifikasi SMS OTP dan WhatsApp OTP untuk kasus khusus Wi-Fi atau perangkat yang tidak didukung, dengan menempatkannya setelah pemeriksaan senyap, bukan sebelumnya.

10. Lakukan instrumentasi dan pemantauan. Catat saluran verifikasi dan hasilnya, serta waspadai lonjakan tanda perubahan SIM baru-baru ini yang mungkin mengindikasikan kampanye serangan terarah.

Untuk panduan lengkap mengenai taktik penyerang dan analisis pertahanan, lihat panduan perlindungan penipuan SIM-swap kami.

Menghentikan SIM swap dengan Message Central

Message Central NumberVerify2 adalah layanan khusus dalam rangkaian autentikasi dan pencegahan penipuan yang memverifikasi kepemilikan SIM di tingkat operator dalam waktu kurang dari satu detik dan memberikan sinyal risiko SIM swap yang dapat Anda tindak lanjuti. Layanan ini bekerja bersama Verifikasi OTP SMS dan OTP WhatsApp sebagai cadangan, sehingga sebagian besar pengguna diperiksa secara diam-diam sementara cakupannya tetap universal. Untuk melihat bagaimana kinerjanya terhadap risiko SIM swap pada trafik Anda sendiri, hubungi tim kami.

Pertanyaan yang sering diajukan

Berapa banyak kerugian akibat penipuan SIM swap?

Para korban di AS melaporkan kerugian sebesar $26,0 juta akibat SIM swap kepada Pusat Pengaduan Kejahatan Internet FBI pada tahun 2024, turun dari puncak $72,6 juta pada tahun 2022. Angka-angka ini hanya mencakup keluhan yang dilaporkan dan tidak termasuk kerugian bank serta kripto lanjutan yang dimungkinkan oleh SIM swap, sehingga dampak ekonomi yang sebenarnya jauh lebih tinggi.

Apakah penipuan SIM swap meningkat atau menurun?

Kerugian yang dilaporkan di AS telah turun sejak 2022, namun hal itu kemungkinan mencerminkan perubahan dalam pelaporan dan kategorisasi, bukan penurunan yang nyata — SIM swap biasanya merupakan langkah akses yang kerugiannya dicatat di bawah jenis kejahatan lain. Beberapa pasar lain melaporkan peningkatan tajam, dan regulator termasuk FCC terus menganggapnya sebagai ancaman yang berkembang.

Bagaimana bisnis dapat mencegah penipuan tukar kartu SIM (SIM swap)?

Berhentilah mengandalkan kode SMS sebagai bukti dan verifikasi kepemilikan kartu SIM di tingkat operator, sehingga kartu SIM yang telah ditukar akan gagal dalam pemeriksaan. Tambahkan sinyal risiko tukar kartu SIM secara real-time sebelum melakukan tindakan sensitif, dan jadikan OTP hanya sebagai cadangan. Inilah pendekatan di balik NumberVerify2 dan autentikasi jaringan senyap.