Cara tercepat mengetahui apakah password Anda pernah bocor adalah membuka pemeriksa kebocoran yang sudah tertanam di browser atau di pengelola password yang Anda pakai. Alat semacam itu membandingkan kredensial Anda dengan kumpulan data kebocoran yang sudah beredar publik, lalu memberi tahu akun mana yang perlu segera diurus. Kalau muncul peringatan, jangan panik dan jangan mengabaikannya: ganti password akun yang terdampak lebih dulu, baru rapikan semua akun lain yang memakai password sama.
Apa yang sebenarnya terjadi saat password bocor
Kebocoran kredensial terjadi ketika sebuah layanan kehilangan basis data penggunanya, entah karena celah keamanan, konfigurasi server yang terbuka, atau karyawan yang tertipu phishing. Isinya bisa berupa alamat email, nama pengguna, dan password yang tersimpan dalam bentuk acak. Bila layanan itu menyimpan password dengan cara yang usang, isi aslinya bisa dipulihkan oleh pihak lain dalam waktu relatif singkat.
Setelah bocor, data itu tidak hilang. Ia disalin, digabung dengan kebocoran lama, lalu beredar sebagai kumpulan besar berisi jutaan pasangan email dan password. Karena itulah password yang bocor lima tahun lalu masih bisa merepotkan Anda hari ini, selama Anda belum menggantinya.
Bagaimana layanan pemeriksa kebocoran bekerja
Layanan pemeriksa kebocoran menyimpan indeks dari kumpulan data yang sudah publik, lalu mencocokkan apa yang Anda masukkan dengan indeks tersebut. Layanan yang dikelola dengan benar tidak pernah menerima password Anda secara utuh. Mereka memakai pendekatan yang disebut k-anonimitas: perangkat Anda menghitung sidik jari dari password, mengirim hanya potongan awalnya, lalu menerima kembali sekumpulan kemungkinan dan mencocokkannya secara lokal. Server tahu Anda bertanya, tetapi tidak tahu password mana yang Anda tanyakan.
Konsekuensinya sederhana: hindari situs yang meminta Anda mengetikkan password lengkap tanpa penjelasan apa pun tentang cara mereka menanganinya. Kalau ragu, cukup gunakan pemeriksa bawaan browser dan pengelola password.
Peringatan bawaan yang sering diabaikan
Browser modern memeriksa password tersimpan Anda di latar belakang dan memunculkan peringatan saat menemukan kecocokan dengan data kebocoran. Pengelola password melakukan hal serupa lewat laporan kesehatan, yang biasanya juga menandai password yang dipakai ulang dan yang terlalu pendek. Banyak orang menutup peringatan itu karena muncul di saat sibuk, lalu lupa selamanya. Sisihkan waktu setengah jam dan tuntaskan daftarnya sekali jalan.
Kenapa satu password bocor membahayakan banyak akun
Serangan yang paling umum bukan menebak password Anda, melainkan mencoba pasangan email dan password yang sudah bocor ke ratusan layanan lain secara otomatis. Teknik ini disebut credential stuffing, dan ia berhasil semata-mata karena kebiasaan memakai password yang sama di banyak tempat. Satu forum kecil yang bocor bisa berujung pada akun toko online, akun media sosial, bahkan akun email utama, jika passwordnya sama.
Akun email adalah target paling bernilai karena hampir semua layanan lain mengirim tautan pemulihan ke sana. Kalau harus memilih satu akun untuk diamankan lebih dulu, pilih email.
Urutan tindakan yang benar
- Ganti password pada akun yang disebut bocor, gunakan password baru yang benar-benar berbeda.
- Ganti password di semua akun lain yang memakai password lama itu, mulai dari email, lalu perbankan, lalu media sosial.
- Aktifkan verifikasi dua langkah di setiap akun penting.
- Keluarkan semua sesi aktif agar perangkat yang tidak dikenal terputus.
- Periksa jejak yang mungkin ditinggalkan penyerang, lalu bereskan satu per satu.
Untuk password baru, jangan mengarangnya sendiri saat sedang terburu-buru. Buat satu per akun dengan generator passphrase gratis, lalu simpan di pengelola password supaya Anda tidak perlu menghafalnya.
Periksa jejak yang ditinggalkan penyerang
Mengganti password saja belum tentu memutus akses. Penyerang yang sempat masuk sering meninggalkan pintu belakang, dan pintu itu tetap terbuka meski password sudah baru. Periksa hal-hal berikut di akun email dan akun penting lainnya: alamat pemulihan dan nomor telepon yang tidak Anda kenali, aturan penerusan pesan otomatis, filter yang langsung mengarsipkan pesan tertentu, sandi aplikasi yang pernah dibuat, aplikasi pihak ketiga yang punya izin akses, serta daftar perangkat yang sedang masuk.
Setelah semuanya bersih, aktifkan lapisan kedua. Aplikasi autentikator 2FA gratis menghasilkan kode berdurasi pendek yang tidak bisa dipakai ulang, dan itu jauh lebih tahan dibanding kode SMS. Kalau layanannya sudah mendukung metode tanpa password, pertimbangkan juga passkey sebagai pengganti password, karena kunci tersebut tidak bisa dicuri lewat halaman login palsu.
Kenapa mengubah satu karakter tidak menolong
Mengubah password dari bentuk lama menjadi versi yang hanya berbeda satu angka di akhir adalah perbaikan semu. Alat yang dipakai penyerang memang dirancang untuk mencoba variasi seperti itu: menambah angka, mengganti huruf dengan angka mirip, menambahkan tahun. Kalau password lama sudah beredar, seluruh keluarga variasinya ikut lemah. Password baru harus benar-benar baru, tanpa hubungan dengan yang lama.
Passphrase panjang mengalahkan password pendek yang rumit
Rangkaian beberapa kata acak yang tidak berhubungan jauh lebih kuat sekaligus lebih mudah diketik daripada delapan karakter penuh simbol. Panjang memberi kekuatan, sementara simbol hanya menambah sedikit dan membuat Anda cenderung memakai pola yang sudah bisa ditebak. Kami membahas cara menyusunnya di panduan cara membuat passphrase yang kuat, dan Anda bisa langsung mencetak beberapa contoh di generator passphrase acak milik kami.
Supaya kejadian ini tidak berulang
Pakai satu password unik untuk setiap layanan dan biarkan pengelola password yang mengingatnya. Aktifkan verifikasi dua langkah pada akun email, perbankan, dan tempat kerja. Kurangi juga jejak Anda: untuk unduhan sekali pakai, uji coba, atau forum yang tidak akan Anda buka lagi, daftar saja memakai alamat email sementara sehingga alamat utama Anda tidak ikut tercatat di basis data yang mungkin bocor kelak. Terakhir, jadwalkan pemeriksaan kesehatan password beberapa bulan sekali, seperti mengganti baterai detektor asap.
Pertanyaan yang sering diajukan
Apakah aman mengetikkan password saya di alat pemeriksa kebocoran?
Aman jika alat tersebut memakai pendekatan k-anonimitas sehingga password lengkap tidak pernah meninggalkan perangkat Anda. Cara paling aman tetap memakai pemeriksa bawaan browser atau pengelola password, karena keduanya bekerja di sisi Anda.
Password saya muncul di kebocoran lama, apakah masih perlu diganti?
Perlu, selama Anda masih memakainya di mana pun. Data kebocoran tidak kedaluwarsa, dan percobaan masuk otomatis memakai daftar lama secara terus-menerus.
Apakah verifikasi dua langkah cukup tanpa mengganti password?
Tidak. Verifikasi dua langkah menutup banyak serangan, tetapi password yang beredar tetap bisa dipakai bila lapisan kedua dilewati lewat penipuan. Ganti password dan aktifkan 2FA, bukan salah satu saja.
Bagaimana kalau saya tidak yakin sebuah peringatan kebocoran itu asli?
Jangan menekan tautan di dalam pesan tersebut. Buka layanannya sendiri lewat alamat yang Anda ketik manual, lalu periksa pusat keamanan akun. Peringatan asli selalu bisa Anda temukan kembali dari dalam akun.
