Email adalah kunci utama
Hampir setiap layanan online menawarkan pemulihan akun lewat email: 'Lupa kata sandi?'. Karena itu, siapa pun yang menguasai alamat email Anda berpotensi menguasai akun Amazon Anda, aplikasi perbankan Anda, media sosial Anda, penyimpanan cloud Anda, Apple ID atau akun Google Anda.
Penyerang yang berhasil mengakses Gmail atau Outlook Anda dapat memicu pengaturan ulang kata sandi pada layanan apa pun yang tertaut ke sana: tanpa mengetahui satu pun kata sandi Anda. Kekuatan kata sandi Gmail Anda jauh lebih penting daripada kekuatan kata sandi Spotify Anda.
Inilah yang disebut para profesional keamanan sebagai 'mata rantai terlemah': penyerang tidak menyasar layanan yang paling terlindungi, mereka menyasar layanan yang paling lemah perlindungannya namun bisa menjangkau layanan lainnya.
Serangan umum terhadap akun email
Empat vektor serangan menyumbang sebagian besar kasus pembobolan email.
Phishing bertarget adalah yang paling sering: sebuah email yang meniru Google, Microsoft, atau Apple mengajak Anda masuk kembali. Halaman phishing itu merekam kredensial Anda secara real-time. Credential stuffing mengeksploitasi basis data kata sandi yang dicuri dari layanan lain (Have I Been Pwned mencatat lebih dari 15 miliar akun yang terekspos), jika Anda memakai ulang kata sandi yang sama, penyerang otomatis mencobanya pada email Anda. SIM swapping membajak nomor telepon Anda dari operator seluler untuk mencegat pesan verifikasi. Brute force menyasar akun tanpa 2FA yang menggunakan kata sandi sederhana.
Cara melindungi email Anda
Lima tindakan konkret, diurutkan berdasarkan dampaknya:
- →Aktifkan autentikasi dua faktor (2FA): sebaiknya melalui aplikasi authenticator (Google Authenticator, Authy, Aegis) alih-alih SMS, yang rentan terhadap SIM swapping.
- →Gunakan kata sandi yang unik dan panjang (20+ karakter) yang dibuat oleh pengelola kata sandi (Bitwarden, 1Password): jangan pernah memakainya ulang di tempat lain.
- →Periksa sesi aktif secara berkala: di Gmail, klik 'Aktivitas akun' di bagian bawah halaman untuk melihat dan menutup koneksi mencurigakan mana pun.
- →Aktifkan peringatan login untuk perangkat baru: Gmail dan Outlook mengirim email atau notifikasi setiap kali ada proses masuk (sign-in) baru.
- →Hindari memakai alamat email utama Anda sebagai login di situs yang tidak dikenal: gunakan alamat alias (SimpleLogin, Apple Hide My Email).
Keamanan digital adalah sebuah rantai. Mata rantai terlemahnya sering kali adalah email, bukan layanan yang berusaha Anda lindungi. Luangkan lima menit hari ini untuk mengaktifkan 2FA pada akun email utama Anda: inilah satu tindakan dengan rasio perlindungan-terhadap-usaha tertinggi dalam keamanan digital pribadi.
- Have I Been Pwned — aggregated data-breach database (Troy Hunt), homepage account count
- Google Security Team, with New York University & UC San Diego — “New research: How effective is basic account hygiene at preventing hijacking,” Google Security Blog, 2019
- Kevin Lee, Ben Kaiser, Jonathan Mayer, Arvind Narayanan — “An Empirical Study of Wireless Carrier Authentication for SIM Swaps,” SOUPS 2020, Princeton University
- NIST Special Publication 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management (§5.1.3.3)
Periksa keamanan akun Anda