Password Bocor? 7 Cara Mengamankan Akun dengan Autentikasi Dua Faktor

Password dapat bocor melalui phishing, peretasan layanan, atau password yang dipakai berulang. Autentikasi dua faktor (2FA) menambah bukti lain saat masuk, misalnya kode dari ponsel, passkey, atau kunci keamanan. Langkah ini tidak menjamin akun kebal peretasan, tetapi membuat akses tanpa izin jauh lebih sulit. For a related guide, see Cara Mengecek Apakah Email Anda Bocor dalam Kebocoran Data? Panduan Praktis.

Langkah pertama jika password sudah bocor

Gunakan perangkat dan jaringan yang dipercaya. Buka situs resmi dengan mengetik alamatnya, bukan melalui tautan pada pesan mencurigakan.

1. Ganti password. Gunakan password unik yang tidak dipakai di akun lain. Password manager dapat membantu membuat dan menyimpannya.
2. Keluarkan dari semua sesi. Pilih opsi seperti Sign out all devices atau Revoke sessions jika tersedia.
3. Aktifkan 2FA dan periksa pemulihan akun. Pastikan email, nomor telepon, serta metode cadangan masih dapat diakses.

Jika email utama ikut diretas, amankan email tersebut lebih dulu. Email pemulihan yang lemah dapat digunakan untuk mengatur ulang password akun lain.

Mengapa password saja mudah gagal?

• Password dipakai ulang di beberapa situs.
• Password tersimpan dalam kebocoran data layanan pihak ketiga.
• Pengguna memberikan kode login melalui situs atau pesan palsu.
• Malware di perangkat membaca password atau kode 2FA.
• Email pemulihan, nomor telepon, atau sesi perangkat lama tidak dipantau.

7 cara mengamankan akun dengan autentikasi dua faktor

1. Gunakan aplikasi authenticator

   Aplikasi seperti Google Authenticator atau Microsoft Authenticator menghasilkan kode yang biasanya berganti setiap 30 detik. Metode ini lebih aman daripada SMS karena kode dibuat di perangkat Anda.

   1. Pasang aplikasi authenticator dari toko aplikasi resmi.
   2. Buka menu keamanan akun, lalu pilih autentikasi dua faktor atau aplikasi authenticator.
   3. Pindai kode QR dan masukkan kode enam digit yang muncul.
   4. Simpan kode pemulihan sebelum menutup halaman pengaturan.

   Jaga agar waktu perangkat otomatis dan jangan memindai kode QR yang sama dari dua perangkat kecuali layanan memang mendukungnya.

2. Aktifkan passkey

   Passkey memakai kunci yang tertaut ke perangkat dan situs terkait. Saat masuk, Anda biasanya membuka kunci dengan PIN perangkat, sidik jari, atau pengenalan wajah. Metode ini tahan terhadap banyak teknik phishing yang mencuri kode 2FA.

   1. Pilih menu Passkeys pada pengaturan keamanan.
   2. Pilih Add passkey, lalu ikuti petunjuk perangkat.
   3. Daftarkan passkey pada perangkat tepercaya lain sebagai cadangan.

3. Tambahkan kunci keamanan fisik

   Kunci keamanan FIDO2 atau WebAuthn cocok untuk email, akun kerja, dan akun berisiko tinggi. Bentuknya dapat berupa perangkat USB, NFC, atau Bluetooth.

   1. Beli kunci dari produsen atau penjual resmi.
   2. Pilih opsi kunci keamanan pada menu 2FA, lalu daftarkan kunci tersebut.
   3. Sentuh atau colokkan kunci saat diminta dan tetapkan PIN jika layanan meminta.
   4. Daftarkan dua kunci dan simpan di lokasi terpisah.

4. Pakai SMS atau panggilan telepon sebagai cadangan

   Kode melalui SMS atau panggilan lebih baik daripada tidak memakai 2FA, tetapi lebih lemah daripada authenticator, passkey, dan kunci keamanan. Risikonya meliputi SIM swap serta keterlambatan pesan.

   1. Masukkan nomor telepon yang masih aktif pada menu 2FA.
   2. Masukkan kode verifikasi yang diterima.
   3. Tetapkan metode lain sebagai pilihan utama dan SMS sebagai cadangan.
   4. Aktifkan PIN atau kata sandi akun operator seluler jika tersedia.

5. Gunakan persetujuan push

   Beberapa layanan mengirim permintaan persetujuan ke aplikasi atau perangkat tepercaya. Fitur ini praktis, tetapi rawan MFA fatigue, yaitu serangan yang mengirim banyak prompt sampai korban tidak sengaja menyetujuinya.

   1. Aktifkan notifikasi push dari menu keamanan resmi.
   2. Setujui permintaan hanya jika Anda baru saja mencoba masuk.
   3. Tolak prompt yang tidak dikenal, lalu ganti password dan periksa sesi aktif.

6. Simpan kode pemulihan dengan aman

   Kode pemulihan umumnya hanya dapat dipakai sekali. Ini bukan metode login harian, tetapi dapat menyelamatkan akun ketika ponsel hilang atau aplikasi authenticator tidak tersedia.

   1. Buat kode pemulihan dari menu 2FA.
   2. Simpan di password manager terenkripsi atau cetak dan letakkan di tempat aman.
   3. Jangan menyimpan satu-satunya salinan di email yang sedang diamankan.
   4. Generate ulang kode setelah dipakai atau setelah seseorang berpotensi melihatnya.

7. Kunci metode pemulihan dan sesi aktif

   2FA tetap dapat dilewati jika penyerang menguasai email pemulihan atau mempertahankan sesi lama. Perlindungan ini melengkapi faktor kedua yang Anda aktifkan.

   1. Periksa email dan nomor telepon pemulihan secara berkala.
   2. Aktifkan notifikasi untuk login, penggantian password, dan perubahan pengaturan keamanan.
   3. Keluarkan perangkat yang tidak dikenali dari daftar sesi aktif.
   4. Hapus aplikasi atau layanan lama yang masih memiliki akses ke akun.

Metode 2FA mana yang sebaiknya dipilih?

• Untuk sebagian besar akun: gunakan passkey jika tersedia, aplikasi authenticator, dan kode pemulihan.
• Untuk akun berisiko tinggi: prioritaskan dua kunci keamanan, lalu tambahkan authenticator sebagai cadangan.
• Jika tidak memiliki smartphone: pilih kunci keamanan fisik atau SMS sebagai fallback, dengan perlindungan tambahan pada akun operator seluler.

Jangan bergantung pada satu jalur pemulihan. Sedikitnya satu metode harus tetap bisa digunakan ketika ponsel hilang, rusak, atau diganti.

Troubleshooting autentikasi dua faktor

1. Kode terus ditolak: pastikan memilih akun yang benar, tunggu kode baru, dan aktifkan pengaturan waktu otomatis. Jangan memindai ulang QR lama jika 2FA sudah berhasil disimpan.
2. SMS tidak tiba: periksa sinyal, pesan yang diblokir, dan batas permintaan kode. Restart ponsel bila perlu, lalu hubungi operator jika masalah berlanjut.
3. Ponsel hilang: gunakan kode pemulihan, passkey, kunci kedua, atau perangkat tepercaya. Setelah masuk, hapus nomor lama dan daftarkan perangkat baru.
4. Menerima prompt tak dikenal: tolak permintaan itu. Segera ganti password, keluar dari semua sesi, dan periksa metode pemulihan.
5. Ingin mengganti ponsel atau melakukan reset: transfer authenticator atau daftarkan perangkat baru selagi akses masih tersedia. Cara transfer berbeda menurut aplikasi dan sistem operasi.

Bila semua metode pemulihan tidak tersedia, gunakan proses pemulihan resmi layanan. Siapkan informasi kepemilikan akun yang diminta dan hindari jasa pihak ketiga yang menjanjikan pembukaan paksa.

Kesalahan yang perlu dihindari

• Membagikan kode 2FA kepada siapa pun, termasuk orang yang mengaku dari dukungan layanan.
• Menyimpan tangkapan layar kode QR tanpa perlindungan yang memadai.
• Menyetujui notifikasi push hanya karena muncul berulang kali.
• Menggunakan email pemulihan yang password-nya lemah atau tanpa 2FA.
• Mematikan 2FA segera setelah proses pendaftaran selesai.

Prioritaskan akun yang paling berisiko

Mulai dari email utama, akun finansial, media sosial, dan layanan cloud. Gunakan passkey atau kunci keamanan bila didukung, aplikasi authenticator sebagai pilihan umum, serta kode pemulihan untuk mencegah kehilangan akses. Tinjau sesi dan metode pemulihan secara berkala agar perlindungan tetap sesuai dengan perangkat yang benar-benar Anda gunakan.