Serangan yang paling mungkin mengambil alih akun Anda tahun ini bukan peretasan canggih terhadap sebuah layanan besar. Yang jauh lebih sering terjadi adalah hal yang membosankan: password Anda dari satu situs yang pernah bobol dicoba ulang di puluhan situs lain, otomatis, dalam jumlah besar. Namanya credential stuffing, dan ia bekerja bukan karena penyerang pintar, melainkan karena kebanyakan orang memakai password yang sama di banyak tempat.
Apa itu credential stuffing
Ketika sebuah situs bocor, pasangan alamat email dan password penggunanya tersebar. Penyerang kemudian mencoba pasangan yang sama di layanan lain: email, marketplace, dompet digital, media sosial, akun kantor. Tidak ada tebakan yang dilakukan. Inilah bedanya dengan brute force, yang mencoba ribuan kemungkinan pada satu akun, dan dengan phishing, yang menipu Anda agar menyerahkan password sendiri. Credential stuffing tidak menebak dan tidak menipu — ia hanya memakai ulang sesuatu yang sudah benar. Persentase keberhasilannya kecil, kerap di bawah satu persen, tetapi ketika yang dicoba jutaan pasangan, angka kecil itu tetap menghasilkan banyak akun yang jebol. Satu-satunya alasan metode ini hidup adalah pemakaian password berulang.
Kenapa alamat email Anda jadi titik sambungnya
Kalau Anda memakai satu alamat email untuk semua hal, alamat itu menjadi kunci yang menyambungkan data Anda di seluruh kebocoran yang pernah terjadi. Forum hobi yang Anda pakai sekali tahun 2015, aplikasi diskon, situs unduhan, dan akun bank Anda semuanya terhubung oleh string yang sama. Memakai alamat sekali pakai atau alias untuk pendaftaran bernilai rendah memutus sambungan itu. Kotak masuk sementara gratis dari layanan kami cocok untuk hal-hal seperti unduh ebook, uji coba aplikasi, atau wifi hotel — kalau situs itu bocor, tidak ada apa pun yang menghubungkannya dengan identitas utama Anda. Simpan alamat asli Anda untuk akun yang benar-benar penting.
Tanda-tanda Anda sedang jadi sasaran
Serangan ini jarang senyap sepenuhnya. Yang biasanya terlihat lebih dulu adalah notifikasi masuk dari layanan yang tidak Anda sentuh, permintaan kode 2FA yang muncul tiba-tiba di ponsel padahal Anda tidak sedang login (dikenal sebagai MFA fatigue, dan menyetujuinya karena kesal adalah cara tercepat kehilangan akun), email reset password yang tidak Anda minta, akun yang mendadak terkunci, pemberitahuan login dari perangkat atau kota asing, tagihan kecil yang tidak Anda kenali di kartu, serta aturan penerusan email atau filter di kotak surat yang bukan Anda yang membuatnya. Poin terakhir sering diabaikan padahal itu tanda paling serius.
Perbaikan pertama: satu password unik per situs
Ini inti seluruh persoalan. Kalau setiap layanan punya password berbeda, kebocoran di satu tempat tidak bisa dipakai di tempat lain, dan credential stuffing kehilangan seluruh dasarnya. Secara praktis ini berarti memakai pengelola password, karena tidak ada manusia yang sanggup mengingat delapan puluh password acak. Pengelola password juga memberi manfaat sampingan yang jarang disadari: ia tidak akan mengisikan kredensial Anda di domain palsu, sehingga sekaligus melindungi dari phishing. Untuk membuat kredensial baru yang panjang dan tidak bisa ditebak, gunakan generator password acak kami lalu simpan hasilnya langsung ke pengelola password, jangan ke catatan ponsel.
Perbaikan kedua: faktor kedua yang tahan terhadap password bocor
Password unik menutup jalur utama; faktor kedua menutup sisanya. Urutannya dari yang terkuat: passkey, yang terikat pada perangkat dan domain sehingga tidak bisa dipakai di situs tiruan; lalu aplikasi TOTP yang menghasilkan kode enam digit setiap tiga puluh detik; dan terakhir SMS, yang paling lemah karena rentan terhadap pengambilalihan nomor dan penukaran kartu SIM. Meski begitu, 2FA lewat SMS tetap jauh lebih baik daripada tidak ada sama sekali. Kalau Anda belum pernah memasang TOTP, coba dulu alurnya lewat alat autentikator 2FA online supaya paham cara kerjanya, baru aktifkan aplikasi autentikator di akun sungguhan. Aktifkan minimal di email, akun keuangan, dan akun kerja.
Perbaikan ketiga: cari tahu apa yang sudah bocor
Anda tidak bisa memprioritaskan tanpa tahu kondisi awal. Periksa alamat email Anda terhadap basis data kebocoran yang diketahui publik, lalu daftarkan situs mana saja yang muncul. Prioritaskan penggantian pada akun-akun yang passwordnya pernah Anda pakai ulang di tempat lain — itulah yang paling berisiko, bukan akun yang bocor itu sendiri. Panduan cara mengecek apakah password Anda sudah bocor menjelaskan langkah pemeriksaannya dan cara membaca hasilnya.
Kalau sudah terlanjur terjadi
Mulai dari akun email, selalu. Akun email mengendalikan reset password semua layanan lain, jadi selama ia belum aman, langkah lain sia-sia. Ganti passwordnya dengan yang baru dan unik, lalu keluarkan semua sesi aktif dan cabut token yang masih berlaku agar penyerang tidak tetap masuk dengan sesi lama. Sesudah itu periksa hal-hal yang biasanya ditinggalkan: alamat pemulihan dan nomor telepon yang tidak Anda kenali, aturan penerusan dan filter yang menyembunyikan email tertentu, password aplikasi lama, serta aplikasi pihak ketiga yang punya akses ke kotak surat Anda. Cabut yang mencurigakan, periksa ulang pendaftaran 2FA, dan buat kode pemulihan baru karena kode lama mungkin sudah dilihat orang. Baru setelah itu lanjutkan ke akun-akun lain yang memakai password yang sama.
Panjang mengalahkan simbol
Anjuran lama tentang huruf besar, angka, dan tanda baca menghasilkan password yang sulit diingat manusia tapi tidak terlalu sulit ditebak mesin. Empat sampai lima kata acak yang digabung jauh lebih kuat daripada delapan karakter penuh simbol, dan jauh lebih mudah diketik. Meski begitu, perlu ditegaskan: dalam konteks credential stuffing, keunikan lebih penting daripada kekuatan. Password sepanjang enam puluh karakter yang Anda pakai di lima situs tetap jebol begitu salah satu dari lima situs itu bocor. Untuk akun yang harus Anda hafal — misalnya password utama pengelola password — gunakan frasa panjang seperti dijelaskan pada panduan cara membuat passphrase yang kuat; untuk sisanya, biarkan generator kata sandi acak yang bekerja dan jangan pernah menghafalnya.
Kalau Anda yang mengelola situs
Dari sisi pemilik layanan, ada beberapa langkah dasar yang berdampak besar. Terapkan pembatasan laju percobaan login per IP dan per akun, dengan kebijakan penguncian sementara yang masuk akal. Saring password baru terhadap daftar kredensial yang diketahui bocor sehingga pengguna tidak bisa mendaftar dengan password yang sudah beredar. Sediakan MFA dan dorong pemakaiannya, bukan sekadar menyembunyikannya di menu pengaturan. Pantau pola login yang tidak wajar, seperti lonjakan kegagalan dari banyak alamat sekaligus. Dan jangan pernah memberi tahu bagian mana dari pasangan kredensial yang salah — pesan galat harus sama untuk email tidak dikenal dan password keliru.
Urutan prioritas yang realistis
Tidak perlu memperbaiki delapan puluh akun akhir pekan ini. Kerjakan berurutan: akun email lebih dulu, lalu semua yang berhubungan dengan uang seperti perbankan, dompet digital, dan marketplace, lalu setiap akun yang passwordnya pernah Anda pakai ulang, baru sisanya pelan-pelan. Satu catatan jujur untuk menutup: tidak ada satu pun langkah di atas yang melindungi akun jika kotak surat pemulihannya sendiri lemah. Amankan email dulu, sisanya jauh lebih mudah.
