Kata laluan yang kuat tidak berguna jika e-mel anda terjejas.

E-mel ialah kunci utama

Hampir setiap perkhidmatan dalam talian menawarkan pemulihan akaun melalui e-mel: 'Lupa kata laluan anda?'. Oleh itu, sesiapa yang mengawal alamat e-mel anda berpotensi mengawal akaun Amazon anda, aplikasi perbankan anda, rangkaian sosial anda, storan awan anda, Apple ID atau akaun Google anda.

Penyerang yang mengakses Gmail atau Outlook anda boleh mencetuskan penetapan semula kata laluan pada mana-mana perkhidmatan yang dipautkan kepadanya: tanpa mengetahui satu pun kata laluan anda. Kekuatan kata laluan Gmail anda jauh lebih penting daripada kekuatan kata laluan Spotify anda.

Inilah yang digelar oleh profesional keselamatan sebagai 'mata rantai paling lemah': penyerang tidak menyasarkan perkhidmatan yang paling terlindung, mereka menyasarkan perkhidmatan yang paling kurang terlindung yang boleh mencapai perkhidmatan lain.

Serangan lazim ke atas akaun e-mel

Empat vektor serangan menyumbang kepada sebahagian besar pencerobohan e-mel.

Phishing yang disasarkan ialah yang paling kerap: e-mel yang meniru Google, Microsoft atau Apple menjemput anda untuk log masuk semula. Halaman phishing menangkap kelayakan anda secara masa nyata. Credential stuffing mengeksploitasi pangkalan data kata laluan yang dicuri daripada perkhidmatan lain (Have I Been Pwned menyenaraikan lebih 15 bilion akaun yang terdedah), jika anda menggunakan semula kata laluan yang sama, penyerang secara automatik mencubanya pada e-mel anda. SIM swapping merampas nombor telefon anda daripada operator telekomunikasi anda untuk memintas mesej pengesahan. Brute force menyasarkan akaun tanpa 2FA yang menggunakan kata laluan mudah.

Cara melindungi e-mel anda

Lima tindakan konkrit, disusun mengikut impak:

• →Aktifkan pengesahan dua faktor (2FA): sebaik-baiknya melalui aplikasi pengesah (Google Authenticator, Authy, Aegis) dan bukannya SMS, yang terdedah kepada SIM swapping.
• →Gunakan kata laluan yang unik dan panjang (20+ aksara) yang dijana oleh pengurus kata laluan (Bitwarden, 1Password): jangan sesekali menggunakannya semula di tempat lain.
• →Semak sesi aktif secara berkala: dalam Gmail, klik 'Aktiviti akaun' di bahagian bawah halaman untuk melihat dan menutup sebarang sambungan yang mencurigakan.
• →Aktifkan amaran log masuk untuk peranti baharu: Gmail dan Outlook menghantar e-mel atau pemberitahuan bagi setiap log masuk baharu.
• →Elakkan menggunakan alamat e-mel utama anda sebagai log masuk di laman yang tidak dikenali: gunakan alamat alias (SimpleLogin, Apple Hide My Email).

Keselamatan digital ialah satu rantaian. Mata rantai paling lemah selalunya e-mel, bukan perkhidmatan yang cuba anda lindungi. Luangkan lima minit hari ini untuk mengaktifkan 2FA pada akaun e-mel utama anda: ia satu-satunya tindakan dengan nisbah perlindungan-berbanding-usaha tertinggi dalam keselamatan digital peribadi.

1. Have I Been Pwned — aggregated data-breach database (Troy Hunt), homepage account count
2. Google Security Team, with New York University & UC San Diego — “New research: How effective is basic account hygiene at preventing hijacking,” Google Security Blog, 2019
3. Kevin Lee, Ben Kaiser, Jonathan Mayer, Arvind Narayanan — “An Empirical Study of Wireless Carrier Authentication for SIM Swaps,” SOUPS 2020, Princeton University
4. NIST Special Publication 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management (§5.1.3.3)