Akun online kini menjadi pintu masuk ke banyak bagian kehidupan sehari-hari. Email digunakan untuk memulihkan kata sandi, aplikasi percakapan menyimpan komunikasi pribadi, media sosial memuat riwayat aktivitas, sementara akun belanja dan layanan keuangan terhubung dengan data pembayaran. Ketika salah satu akun tersebut diambil alih, dampaknya sering tidak berhenti pada satu layanan saja.
Masalahnya, pencurian akun tidak selalu bermula dari serangan teknis yang rumit. Banyak kasus justru terjadi karena kata sandi yang digunakan berulang, tautan palsu yang terlihat meyakinkan, kode OTP yang diberikan kepada orang lain, atau perangkat yang tidak diperbarui. Pelaku memanfaatkan momen ketika pengguna sedang terburu-buru, panik, atau terlalu percaya pada pesan yang mengatasnamakan layanan resmi.
Kabar baiknya, meningkatkan keamanan akun online tidak harus dilakukan dengan prosedur yang merepotkan. Beberapa perubahan sederhana dapat menutup banyak celah yang paling sering dimanfaatkan. Sepuluh langkah berikut dapat diterapkan secara bertahap pada email, media sosial, akun kerja, marketplace, layanan perbankan, maupun portal digital lainnya.
1. Gunakan kata sandi yang berbeda untuk setiap akun
Kesalahan paling umum adalah memakai satu kata sandi untuk banyak layanan. Cara ini memang mudah diingat, tetapi risikonya sangat besar. Jika satu layanan mengalami kebocoran data dan kata sandi tersebut berhasil diketahui, pelaku dapat mencoba kombinasi email dan kata sandi yang sama pada akun lain. Praktik ini dikenal sebagai credential stuffing.
Mulailah dari akun yang paling penting: email utama, layanan keuangan, akun kerja, penyimpanan cloud, dan media sosial. Pastikan masing-masing menggunakan kata sandi yang berbeda. Kata sandi sebaiknya panjang dan tidak dibangun dari informasi yang mudah ditemukan, seperti nama lengkap, tanggal lahir, nomor telepon, nama anak, atau nama hewan peliharaan.
Daripada memakai satu kata pendek dengan variasi angka, buat frasa sandi yang terdiri dari beberapa kata acak. Frasa yang panjang umumnya lebih sulit ditebak sekaligus lebih mudah diingat. Hindari pula pola sederhana seperti mengganti huruf “a” dengan angka “4” jika keseluruhan katanya masih mudah dikenali.
2. Gunakan pengelola kata sandi
Memiliki kata sandi berbeda untuk setiap akun tentu menimbulkan pertanyaan: bagaimana cara mengingat semuanya? Jawabannya bukan dengan menuliskannya di catatan terbuka atau mengirimkannya ke ruang percakapan pribadi. Gunakan aplikasi pengelola kata sandi atau password manager yang tepercaya.
Pengelola kata sandi dapat membuat kombinasi panjang dan acak, kemudian menyimpannya dalam penyimpanan terenkripsi. Pengguna hanya perlu menjaga satu kata sandi utama. Pilih kata sandi utama yang benar-benar unik, aktifkan verifikasi tambahan jika tersedia, dan simpan kode pemulihan di tempat yang aman.
Fitur penyimpanan kata sandi bawaan browser atau sistem operasi juga dapat menjadi pilihan praktis, khususnya bila perangkat dilindungi PIN, biometrik, serta akun utama yang sudah menggunakan verifikasi dua langkah. Hal terpenting adalah tidak menyimpan kata sandi dalam dokumen biasa yang dapat dibaca siapa saja ketika perangkat terbuka.
3. Aktifkan verifikasi dua langkah
Verifikasi dua langkah atau autentikasi dua faktor menambahkan pemeriksaan kedua setelah kata sandi. Jadi, mengetahui kata sandi saja belum cukup untuk masuk. Pengguna masih harus memberikan bukti tambahan, misalnya kode dari aplikasi autentikator, persetujuan pada perangkat, kunci keamanan, atau biometrik.
Jika tersedia, aplikasi autentikator atau passkey umumnya lebih baik daripada hanya mengandalkan SMS. Namun, verifikasi melalui SMS tetap lebih baik daripada tidak menggunakan lapisan tambahan sama sekali. Aktifkan fitur ini setidaknya pada email utama, akun perbankan, media sosial, dan akun yang menjadi pusat pemulihan layanan lain.
Kementerian Komunikasi dan Digital juga menerapkan verifikasi dua langkah pada layanan e-Telekomunikasi. Penjelasan tersebut menunjukkan prinsip penting: kata sandi yang bocor tidak langsung cukup untuk membuka akun apabila masih ada faktor verifikasi kedua.
Jangan lupa menyimpan kode cadangan. Kode tersebut diperlukan ketika ponsel hilang, rusak, atau aplikasi autentikator tidak dapat diakses. Simpan secara offline atau di penyimpanan terenkripsi, bukan sebagai tangkapan layar yang mudah ditemukan di galeri.
4. Jangan pernah membagikan kode OTP
OTP adalah kode sekali pakai yang digunakan untuk memverifikasi tindakan tertentu. Kode ini dapat berfungsi untuk login, mengubah kata sandi, menghubungkan perangkat baru, atau menyetujui transaksi. Karena itu, OTP harus diperlakukan seperti kunci sementara yang sangat sensitif.
Petugas layanan yang benar tidak memerlukan kode OTP, PIN, atau kata sandi pengguna. Jika seseorang meminta kode tersebut melalui telepon, pesan instan, email, atau media sosial, hentikan percakapan. Jangan terpengaruh oleh alasan seperti pembatalan transaksi, verifikasi hadiah, pengamanan akun, atau perbaikan sistem.
Panduan perlindungan konsumen Bank Indonesia secara jelas mengingatkan masyarakat agar tidak memberikan data pribadi, kata sandi, PIN, dan OTP, sekalipun pihak yang meminta mengaku sebagai penyelenggara. Bila telanjur membagikan OTP, segera ubah kata sandi, keluarkan perangkat asing dari akun, lalu hubungi kanal resmi layanan terkait.
5. Periksa alamat situs sebelum login
Halaman palsu sering dibuat menyerupai tampilan layanan asli. Logo, warna, tombol, bahkan kalimat pemberitahuannya dapat terlihat sangat meyakinkan. Perbedaan pentingnya biasanya terletak pada alamat domain.
Sebelum mengetikkan username dan kata sandi, baca alamat di bilah browser dari awal sampai akhir. Waspadai tambahan huruf, tanda hubung, subdomain yang membingungkan, atau ekstensi domain yang tidak dikenal. Ikon gembok dan HTTPS menunjukkan koneksi terenkripsi, tetapi bukan jaminan bahwa pemilik halaman dapat dipercaya. Situs penipuan pun bisa menggunakan HTTPS.
Untuk layanan yang sering digunakan, simpan alamat resminya sebagai bookmark. Hindari masuk melalui tautan yang dikirim oleh akun tidak dikenal atau iklan yang belum diperiksa. Prinsip yang sama berlaku saat mengunjungi berbagai portal digital. Misalnya, apabila ingin membuka WAW4D, periksa ejaan domain terlebih dahulu dan gunakan alamat yang sudah dikenali, bukan tautan serupa dari pesan acak.
Peringatan dari CSIRT Komdigi mengenai kampanye phishing memperlihatkan bahwa pelaku dapat memakai platform yang terlihat tepercaya, dokumen PDF, serta halaman login tiruan untuk mengambil kredensial. Karena itu, penampilan yang profesional tidak boleh menjadi satu-satunya dasar kepercayaan.
6. Jangan terburu-buru membuka tautan dan lampiran
Pesan phishing biasanya berusaha menciptakan tekanan. Kalimat seperti “akun akan ditutup hari ini”, “transaksi harus segera dibatalkan”, atau “hadiah akan hangus dalam lima menit” dibuat agar penerima bertindak tanpa memeriksa informasi.
Berhenti sejenak sebelum mengeklik. Periksa alamat pengirim, arah tautan, gaya bahasa, dan konteks pesannya. Jika pesan mengatasnamakan layanan yang memang Anda gunakan, buka aplikasi atau ketik alamat resminya secara mandiri. Jangan masuk melalui tombol yang tersedia pada pesan tersebut.
Lampiran dengan format APK, ZIP, atau dokumen yang meminta pengaktifan makro patut dicurigai, terutama jika datang tanpa permintaan sebelumnya. Pada ponsel Android, jangan memasang aplikasi dari file yang dikirim melalui percakapan. Unduh aplikasi hanya dari toko resmi dan periksa nama pengembangnya.
7. Perbarui sistem operasi, browser, dan aplikasi
Pembaruan bukan hanya menghadirkan fitur baru. Banyak pembaruan berisi perbaikan untuk celah keamanan yang telah ditemukan. Menunda pembaruan terlalu lama membuat perangkat tetap menggunakan komponen yang kelemahannya mungkin sudah diketahui secara luas.
Aktifkan pembaruan otomatis untuk sistem operasi, browser, dan aplikasi penting. Hapus ekstensi browser yang tidak digunakan serta aplikasi yang asal-usulnya tidak jelas. Aplikasi lama yang sudah tidak didukung juga sebaiknya diganti karena tidak lagi memperoleh perbaikan keamanan.
Perhatikan pula router Wi-Fi. Ubah kata sandi administrasinya jika masih menggunakan bawaan pabrik, gunakan metode enkripsi terbaru yang tersedia, dan perbarui firmware secara berkala. Akun yang kuat tetap dapat terancam jika perangkat yang dipakai untuk mengaksesnya sudah disusupi.
8. Lindungi perangkat dengan kunci layar
Keamanan akun tidak terpisah dari keamanan perangkat. Ponsel atau laptop yang tidak dikunci memungkinkan orang lain membaca email, mengambil kode verifikasi, mengatur ulang kata sandi, atau membuka aplikasi yang masih dalam keadaan login.
Gunakan PIN yang tidak mudah ditebak, kata sandi perangkat, sidik jari, atau pengenalan wajah. Atur penguncian otomatis setelah perangkat tidak digunakan selama beberapa menit. Jangan menampilkan isi lengkap notifikasi sensitif di layar terkunci karena kode OTP dan tautan pemulihan dapat terlihat tanpa membuka perangkat.
Jika tersedia, aktifkan fitur pencarian perangkat, penguncian jarak jauh, dan penghapusan data jarak jauh. Langkah tersebut sangat membantu apabila perangkat hilang. Sebelum menjual atau memberikan perangkat kepada orang lain, lakukan keluar akun, hapus data dengan benar, lalu kembalikan perangkat ke pengaturan pabrik.
9. Periksa aktivitas login dan notifikasi keamanan
Banyak layanan menyediakan halaman yang menampilkan perangkat aktif, lokasi perkiraan, waktu login, dan riwayat perubahan keamanan. Biasakan memeriksanya secara berkala, bukan hanya ketika muncul masalah.
Jika menemukan perangkat yang tidak dikenal, keluarkan perangkat tersebut dari akun dan segera ubah kata sandi. Periksa juga apakah alamat email pemulihan, nomor telepon, aturan penerusan email, atau aplikasi pihak ketiga telah diubah. Pelaku yang berhasil masuk terkadang menambahkan metode pemulihan agar tetap dapat kembali meskipun kata sandi sudah diganti.
Aktifkan notifikasi untuk login baru, perubahan kata sandi, serta tindakan penting lainnya. Pemberitahuan yang cepat memberi kesempatan untuk bereaksi sebelum kerugian meluas. Namun, tetap buka pengaturan melalui aplikasi atau situs resmi karena notifikasi palsu juga dapat digunakan sebagai umpan phishing.
10. Siapkan rencana pemulihan sebelum terjadi masalah
Banyak orang baru memikirkan pemulihan ketika akses sudah hilang. Pada saat itu, nomor telepon mungkin sudah tidak aktif, email pemulihan tidak dapat dibuka, dan kode cadangan tidak diketahui keberadaannya.
Periksa metode pemulihan setiap beberapa bulan. Pastikan nomor telepon dan email cadangan masih aktif. Unduh kode pemulihan untuk akun yang menyediakan fitur tersebut, kemudian simpan di lokasi yang aman. Jangan menyimpan seluruh metode pemulihan pada satu perangkat yang sama.
Catat pula kanal resmi yang harus dihubungi ketika terjadi insiden. Untuk akun keuangan, simpan nomor layanan pelanggan resmi dan prosedur pemblokiran. Jika menemukan transaksi atau aktivitas mencurigakan, jangan menunggu. Ubah kata sandi dari perangkat yang bersih, putuskan sesi lain, aktifkan verifikasi dua langkah, dan hubungi penyelenggara.
Apa yang harus dilakukan jika akun diduga dibobol?
Tanda pengambilalihan akun dapat berupa notifikasi login dari lokasi asing, pesan terkirim tanpa sepengetahuan pemilik, perubahan profil, permintaan reset kata sandi yang tidak dilakukan, atau tidak dapat masuk dengan kata sandi yang benar.
Apabila itu terjadi, lakukan langkah berikut:
- Gunakan perangkat yang diyakini bersih dan buka alamat resmi layanan.
- Ubah kata sandi menjadi kombinasi baru yang belum pernah digunakan.
- Keluarkan seluruh sesi dan perangkat yang tidak dikenal.
- Periksa email, nomor telepon, dan metode pemulihan akun.
- Aktifkan atau atur ulang autentikasi dua faktor.
- Cabut akses aplikasi pihak ketiga yang mencurigakan.
- Periksa akun lain yang pernah menggunakan kata sandi serupa.
- Laporkan aktivitas atau transaksi tidak sah kepada penyelenggara.
- Beri tahu kontak apabila akun sempat mengirim pesan penipuan.
- Pindai perangkat dan perbarui seluruh perangkat lunaknya.
Bila membutuhkan bacaan lain seputar penggunaan layanan digital, keamanan, dan kebiasaan mengakses portal, pembaca dapat mengunjungi Vani88Super melalui alamat utamanya. Tetap periksa setiap domain secara mandiri dan jangan menyampaikan data sensitif melalui kontak yang belum diverifikasi.
Kebiasaan kecil memberikan perlindungan besar
Tidak ada satu fitur yang dapat menjamin keamanan sepenuhnya. Perlindungan yang baik terbentuk dari beberapa lapisan: kata sandi unik, pengelola kata sandi, verifikasi dua langkah, pemeriksaan URL, pembaruan perangkat, serta kewaspadaan terhadap pesan mendesak.
Anda tidak harus memperbaiki seluruh akun dalam satu hari. Mulailah dari email utama karena akun tersebut biasanya menjadi pusat pemulihan. Setelah itu, lanjutkan ke layanan keuangan, akun kerja, media sosial, penyimpanan cloud, dan akun belanja. Dengan kebiasaan yang konsisten, risiko pengambilalihan akun dapat dikurangi tanpa membuat aktivitas online menjadi rumit.