Daftar periksa keamanan akun

Urutan pengerjaan

Amankan dulu akun yang menjadi pintu ke akun lain: surel utama, lalu akun ponsel (Google atau Apple), lalu perbankan dan dompet digital, baru media sosial. Kalau surel utama jatuh, penyerang bisa mengatur ulang kata sandi hampir semua akun lain lewat tautan "lupa kata sandi".

Untuk tiap akun, jalankan langkah 1 sampai 4. Langkah 5 adalah kebiasaan; langkah 6 untuk keadaan darurat.

1. Satu kata sandi untuk satu akun

Kata sandi yang dipakai di dua tempat bocor bersama: begitu satu layanan kebobolan, daftar kombinasinya dicoba ke layanan lain secara otomatis. Jalan keluar yang realistis bukan menghafal puluhan kata sandi, melainkan memakai pengelola kata sandi, baik yang tertanam di peramban dan sistem operasi maupun aplikasi terpisah.

• Biarkan pengelola membuat kata sandi acak panjang; Anda tidak perlu mengingatnya.
• Satu-satunya yang perlu dihafal: kata sandi utama pengelola itu sendiri. Buat dari empat kata acak yang panjang, bukan satu kata dengan angka.
• Bonus yang sering dilupakan: pengelola hanya mengisi otomatis di domain yang cocok. Kalau isian tidak muncul di halaman masuk yang tampak biasa, curigai domainnya.

Bila layanan sudah mendukung passkey, pakai itu: tidak ada yang bisa dipancing karena tidak ada kata sandi yang diketik. Penjelasannya ada di artikel passkey di idn96.id.

2. Autentikasi dua faktor

Dengan faktor kedua, kata sandi yang bocor saja belum cukup. Urutan pilihan dari yang paling kuat: kunci fisik atau passkey, lalu aplikasi autentikator, lalu kode lewat SMS. SMS tetap lebih baik daripada tidak ada, tetapi rawan dipindahkan lewat penggantian kartu SIM.

• Aktifkan di surel utama lebih dulu. Untuk akun Google, langkahnya ada di pusat bantuan Verifikasi 2 Langkah.
• Simpan kode cadangan yang diberikan saat aktivasi di tempat yang tidak ikut hilang bersama ponsel, misalnya di pengelola kata sandi atau dicetak.
• Kalau mengganti ponsel, pindahkan aplikasi autentikator sebelum ponsel lama dihapus.

Pertimbangan memilih metodenya kami bahas lebih panjang di artikel memilih autentikasi dua faktor.

3. Periksa jalur pemulihan

Setiap akun punya "pintu belakang" resmi: surel pemulihan dan nomor telepon pemulihan. Pastikan keduanya masih milik Anda dan masih aktif. Nomor lama yang sudah hangus bisa diterbitkan ulang operator ke orang lain, dan orang itu lalu bisa menerima kode pemulihan Anda.

Sekaligus periksa: apakah ada alamat pemulihan atau penerusan surel yang tidak Anda kenal. Itu cara umum penyerang mempertahankan akses setelah kata sandi diganti.

4. Sesi dan perangkat yang masih masuk

Mengganti kata sandi tidak selalu mengeluarkan perangkat yang sudah masuk. Buka daftar perangkat aktif di tiap akun dan keluarkan yang tidak Anda kenal atau sudah tidak Anda pakai. Untuk akun Google, daftarnya ada di halaman perangkat Anda.

Cabut juga izin aplikasi pihak ketiga yang pernah Anda beri akses "masuk dengan" dan sudah tidak dipakai.

5. Mengenali pesan pancingan

Pancingan (phishing) hampir selalu memakai dua bahan: alasan yang mendesak ("akun akan diblokir", "ada transaksi mencurigakan", "hadiah menunggu") dan tautan yang meminta Anda masuk. Kebiasaan yang menahannya sederhana:

• Jangan masuk lewat tautan di pesan. Ketik alamat layanannya sendiri atau buka aplikasinya.
• Lihat domain di bilah alamat sampai akhir. Yang menentukan adalah bagian sebelum garis miring pertama, dibaca dari kanan: akun.contoh.co.id milik contoh.co.id, sedangkan contoh.co.id.akun-aman.com milik akun-aman.com.
• Kode OTP tidak pernah perlu diberitahukan ke siapa pun, termasuk ke "petugas" yang menelepon.
• Perasaan terburu-buru itu sendiri adalah tandanya. Layanan sungguhan tidak menutup akun dalam sepuluh menit.

Bentuk-bentuk pancingan yang umum di Indonesia dan ejaan yang benar dari istilahnya kami bahas di artikel phising/phishing di idn96.id.