Autentikasi Dua Faktor (2FA): Mengapa Setiap Akun Membutuhkannya

Kata sandi saja membuat keamanan akun bertumpu pada satu titik. Jika kata sandi itu berhasil ditebak, dipakai ulang di situs yang kemudian bocor, atau diketikkan ke halaman login palsu yang meyakinkan, siapa pun yang memegangnya bisa masuk sebagai Anda. Autentikasi dua faktor, yang biasa disingkat 2FA, menambahkan pemeriksaan kedua yang tidak bergantung pada apa yang Anda ketahui: sesuatu yang Anda miliki, seperti ponsel atau kunci fisik, atau sesuatu yang melekat pada diri Anda, seperti sidik jari.

Hasilnya, kata sandi yang dicuri tidak lagi cukup. Penyerang yang sudah mengantongi kata sandi Anda tetap membutuhkan kode dari aplikasi autentikator, sentuhan pada kunci keamanan, atau persetujuan di perangkat tepercaya milik Anda. Kebanyakan serangan terhadap akun biasa berjalan otomatis dan mencari sasaran empuk, sehingga langkah tambahan ini mengeluarkan Anda dari kelompok yang mudah dibobol dan membuat pengambilalihan akun jauh lebih kecil kemungkinannya.

2FA tidak menggantikan kata sandi yang baik. Perlindungan ini paling efektif bila dipasang di atas kata sandi yang panjang, unik, dan tersimpan di pengelola kata sandi. Keduanya saling menutupi kelemahan: kata sandi unik membatasi dampak kebocoran di layanan lain, sementara faktor kedua tetap melindungi Anda ketika kata sandi itu akhirnya bocor juga.

Aplikasi autentikator membuat kode pendek yang selalu baru, biasanya enam digit dan biasanya berganti setiap 30 detik, dari sebuah kunci rahasia yang dibagikan layanan ke aplikasi saat Anda memindai kode QR. Aplikasi ini bekerja tanpa internet, umumnya gratis, dan didukung sebagian besar platform besar, sehingga menjadi pilihan dasar yang masuk akal bagi kebanyakan orang.

Kunci keamanan fisik adalah perangkat kecil berbasis USB, NFC, atau Bluetooth yang Anda colokkan atau tempelkan saat login. Passkey bekerja dengan prinsip serupa, tetapi tersimpan di ponsel atau komputer dan dibuka dengan sidik jari, wajah, atau PIN perangkat. Keduanya terikat pada alamat situs yang asli, jadi tidak akan merespons halaman phishing yang meniru tampilan situs tersebut. Inilah pilihan terkuat yang tersedia bagi pengguna biasa.

Notifikasi push meminta Anda menyetujui upaya login melalui perangkat yang sudah masuk ke akun. Kode SMS dan panggilan suara mengirim kode sekali pakai ke nomor ponsel Anda. Kode cadangan adalah daftar kode sekali pakai untuk keadaan darurat ketika metode utama tidak bisa digunakan. Sebagian besar layanan mengizinkan lebih dari satu metode, dan sebaiknya Anda memanfaatkannya: satu metode utama ditambah setidaknya satu cadangan.

Kode lewat SMS jauh lebih baik daripada tidak ada faktor kedua sama sekali, tetapi kode ini bergantung pada nomor ponsel, dan nomor ponsel tidak sepenuhnya berada di bawah kendali Anda. Dalam modus SIM swap, pelaku membujuk atau menyuap orang di gerai operator seluler agar memindahkan nomor Anda ke kartu SIM yang mereka pegang. Sejak saat itu, setiap kode yang ditujukan untuk Anda justru masuk ke ponsel mereka.

Kode SMS juga bisa dicuri lewat phishing, sama seperti kata sandi: halaman login palsu meminta kode OTP, lalu penyerang meneruskannya ke situs asli dalam hitungan detik. Akses juga bisa hilang dengan cara yang lebih sepele, misalnya saat bepergian ke luar negeri tanpa roaming, pindah operator, atau membiarkan nomor prabayar hangus masa aktifnya sehingga kelak didaur ulang dan dipakai orang lain.

Jika sebuah layanan menyediakan aplikasi autentikator, kunci keamanan, atau passkey, beralihlah ke salah satunya dan simpan SMS hanya sebagai cadangan, atau hapus sama sekali bila layanan mengizinkan. Jika SMS satu-satunya pilihan, lindungi nomornya itu sendiri: sebagian operator seluler menyediakan PIN akun atau penguncian pemindahan nomor yang mempersulit pemindahan tanpa izin, jadi cari tahu apakah operator Anda memilikinya.

Mulailah dari akun yang membuka akses ke semua akun lain. Alamat email utama menjadi prioritas pertama karena tautan reset kata sandi dikirim ke sana, disusul akun Apple, Google, atau Microsoft, pengelola kata sandi, dan akun apa pun yang menyimpan uang atau data berharga, misalnya dompet digital atau akun belanja online. Setelah semuanya terlindungi, lanjutkan ke media sosial, aplikasi chat seperti Telegram dan Discord, lalu sisanya.

Opsi ini biasanya ada di pengaturan keamanan akun dengan nama seperti verifikasi dua langkah, autentikasi dua faktor, atau verifikasi login. Pilih opsi aplikasi autentikator atau kunci keamanan, pindai kode QR dengan aplikasi Anda, lalu ketik kode yang muncul untuk memastikan semuanya berfungsi. Jika layanan mendukung passkey, menambahkan passkey di ponsel dan komputer memberi Anda cara login yang praktis sekaligus tahan phishing.

Sebelum menutup halaman pengaturan, simpan kode cadangan, tambahkan metode kedua jika bisa, dan pastikan email serta nomor telepon pemulihan masih aktif dan benar-benar milik Anda. Setelah itu, logout lalu login kembali satu kali agar Anda tahu seperti apa tampilan permintaan verifikasinya sebelum benar-benar mengandalkannya.

Kode cadangan adalah jalan masuk kembali ketika ponsel hilang, rusak, atau direset. Setiap kode hanya berlaku sekali, dan di banyak layanan, membuat set baru akan membatalkan set yang lama. Perlakukan kode ini seperti kunci rumah cadangan: sangat penting saat dibutuhkan, tidak berguna jika tidak ketemu, dan berbahaya jika jatuh ke tangan orang asing.

Tempat penyimpanan yang baik antara lain salinan cetak yang disimpan bersama dokumen penting, atau catatan terenkripsi di pengelola kata sandi yang bisa Anda buka tanpa ponsel tempat autentikator terpasang. Tempat yang buruk misalnya kotak masuk email, aplikasi catatan tanpa kunci, tangkapan layar di galeri foto, atau file di perangkat yang sama dengan penghasil kode Anda, karena kehilangan satu perangkat itu akan membuat Anda terkunci sepenuhnya.

Coret setiap kode yang sudah dipakai dan buat set baru saat sisanya tinggal sedikit. Jika Anda curiga ada orang lain yang pernah melihat kode tersebut, segera buat ulang agar daftar lama tidak berlaku lagi.

Jika Anda memperoleh akun dari orang lain, entah rekan kerja yang menyerahkan akun proyek atau pembelian di marketplace barang digital, anggap saja pemilik sebelumnya mungkin masih punya akses. Tujuannya adalah menjadikan Anda satu-satunya orang yang bisa login. Selalu gunakan akun sesuai dengan ketentuan penggunaan dari merek tersebut.

Kerjakan dengan urutan ini: ganti kata sandi dengan yang baru dan unik, perbarui email dan nomor telepon pemulihan ke milik Anda sendiri, hapus autentikator, kunci keamanan, atau perangkat tepercaya yang bukan Anda tambahkan, lalu aktifkan 2FA dengan aplikasi Anda sendiri dan buat kode cadangan baru. Terakhir, periksa sesi yang aktif dan keluarkan semua perangkat kecuali milik Anda.

Di rStock, konten yang dikirimkan muncul di halaman pesanan Anda sebagai catatan pengiriman yang terhubung dengan pesanan, sehingga detailnya bisa langsung Anda salin dari sana ke pengelola kata sandi. Uang Anda ditahan dan tidak langsung diteruskan ke toko, dan jika akun yang dikirim tidak berfungsi sesuai deskripsi, Anda dapat membuka sengketa dalam jangka waktu terbatas setelah pengiriman. Toko menanggapi lebih dulu, dan moderator dapat dipanggil jika tidak tercapai kesepakatan. Mengamankan dan memeriksa akun sesegera mungkin membantu Anda menemukan masalah selagi jangka waktu tersebut masih berjalan.

Menyetujui notifikasi push yang tidak Anda mulai adalah salah satu penyebab paling umum 2FA gagal melindungi. Jika permintaan muncul padahal Anda sedang tidak login, tolak, lalu ganti kata sandi, karena berarti seseorang sudah mengetahuinya. Hal yang sama berlaku bagi siapa pun yang menelepon atau mengirim pesan dan meminta Anda membacakan kode, termasuk orang yang mengaku petugas bank atau kurir paket: layanan resmi tidak memerlukan Anda membagikan kode sekali pakai kepada siapa pun.

Kesalahan lainnya adalah melindungi akun dengan 2FA tetapi membiarkan jalur pemulihan lama yang lemah tetap terbuka, misalnya alamat email yang sudah ditinggalkan atau nomor ponsel yang tidak lagi dipakai. Penyerang akan memutar lewat pintu yang lebih lemah jika pintu itu tidak terkunci, jadi tinjau opsi pemulihan setiap kali Anda ganti ponsel atau penyedia email.

Terakhir, jangan menunggu ponsel baru datang untuk merencanakan perpindahan. Sebelum mengganti atau mereset perangkat, pindahkan kode autentikator, pastikan kode tersebut berfungsi di perangkat baru, dan baru setelah itu hapus isi perangkat lama. Persiapan beberapa menit bisa menghemat berjam-jam proses pemulihan akun.