Password memang penting, tetapi password bukan satu-satunya pintu masuk ke akun. Saat seseorang lupa password, menerima peringatan login mencurigakan, atau kehilangan akses, layanan biasanya mengandalkan email pemulihan, nomor telepon, perangkat terpercaya, dan metode verifikasi lain untuk memastikan identitas pemilik akun.
Masalahnya, banyak orang mengisi informasi pemulihan hanya saat membuat akun, lalu tidak pernah memeriksanya lagi. Nomor telepon bisa berganti, alamat email lama sudah tidak aktif, atau bahkan informasi pemulihan telah diubah oleh orang lain. Akibatnya, pemilik akun masih merasa aman karena bisa login seperti biasa, padahal jalur penyelamatannya sudah rapuh.
Mengapa email pemulihan perlu diperhatikan?
Email pemulihan adalah alamat alternatif yang digunakan layanan untuk mengirim tautan atau kode ketika Anda perlu memulihkan akun. Nomor telepon memiliki fungsi serupa. Keduanya bukan sekadar data administrasi, melainkan bagian dari sistem keamanan akun.
Menurut panduan Google, nomor telepon dan email pemulihan dapat membantu memulihkan akses serta memberi tahu pengguna ketika ada aktivitas yang tidak biasa. Federal Trade Commission juga menyarankan pengguna yang berhasil mengambil kembali akun untuk memeriksa informasi pemulihan dan memastikan alamat email serta nomor telepon yang tercantum benar-benar milik mereka.
Secara praktis, siapa pun yang menguasai email utama Anda berpotensi mencoba mengatur ulang password layanan lain. Karena itu, akun email utama sebaiknya diperlakukan seperti kunci utama rumah digital, bukan sekadar tempat menerima pesan.
Tanda bahwa jalur pemulihan perlu segera diperiksa
Anda tidak harus menunggu akun diretas untuk melakukan pemeriksaan. Beberapa tanda berikut cukup menjadi alasan untuk membuka pengaturan keamanan:
- Email pemulihan masih menggunakan alamat kantor, sekolah, atau layanan lama yang sudah tidak aktif.
- Nomor telepon yang tercantum sudah berganti atau tidak lagi berada di tangan Anda.
- Ada perangkat, sesi login, atau lokasi akses yang tidak dikenali.
- Anda menerima notifikasi perubahan password atau informasi akun yang tidak pernah dilakukan.
- Muncul pesan pemulihan akun yang tidak Anda minta.
- Anda menggunakan password yang sama atau mirip pada beberapa layanan.
Satu notifikasi yang keliru belum tentu berarti akun telah diambil alih. Bisa saja Anda baru saja login dari perangkat atau jaringan yang berbeda. Namun, notifikasi semacam ini layak diperiksa melalui aplikasi atau situs resmi, bukan melalui tautan yang dikirim dalam pesan.
Langkah pemeriksaan yang bisa dilakukan sekarang
- Buka pengaturan keamanan dari aplikasi resmi. Jangan memulai dari tautan dalam email atau SMS. Ketik alamat situs layanan secara manual atau buka aplikasinya dari perangkat Anda.
- Periksa email dan nomor pemulihan. Pastikan keduanya masih aktif, dapat diakses, dan tidak memakai alamat milik orang lain. Jika sudah usang, perbarui segera.
- Lihat daftar perangkat dan sesi login. Keluarkan perangkat lama yang sudah dijual, dipinjamkan, atau tidak lagi digunakan. Jika ada perangkat asing, keluarkan dari akun lalu ganti password.
- Periksa metode autentikasi dua faktor. Autentikasi dua faktor, atau 2FA, meminta bukti tambahan selain password. Bentuknya bisa berupa aplikasi autentikator, kode keamanan, notifikasi pada perangkat, atau SMS.
- Periksa akses aplikasi pihak ketiga. Banyak layanan memungkinkan aplikasi lain membaca data atau mengakses akun. Hapus izin yang tidak lagi diperlukan.
- Simpan kode cadangan di tempat aman. Kode pemulihan berguna ketika ponsel hilang atau aplikasi autentikator tidak dapat digunakan. Jangan menyimpannya di catatan publik, chat grup, atau foto yang otomatis tersinkron ke banyak perangkat.
Jangan mengandalkan SMS sebagai satu-satunya perlindungan
2FA jauh lebih baik daripada hanya password, tetapi semua metode verifikasi tidak memiliki tingkat ketahanan yang sama. Kode lewat SMS dapat membantu dalam banyak situasi, namun masih bergantung pada keamanan nomor telepon dan jaringan seluler.
CISA menjelaskan bahwa autentikasi berbasis FIDO atau WebAuthn, termasuk passkey pada layanan yang mendukungnya, dirancang agar lebih tahan terhadap phishing. Phishing adalah upaya menipu korban agar menyerahkan informasi login pada situs atau layanan palsu.
Ini bukan berarti semua orang harus langsung membeli perangkat keamanan khusus. Untuk penggunaan sehari-hari, urutannya bisa sederhana: aktifkan 2FA, gunakan password unik, lalu pilih aplikasi autentikator atau passkey jika tersedia dan terasa cocok. SMS tetap lebih baik daripada tidak memakai lapisan tambahan sama sekali, tetapi jangan menganggapnya sebagai perlindungan yang sempurna.
Jika menerima peringatan login yang tidak dikenal
Reaksi pertama sering kali adalah panik atau langsung mengeklik tautan “amankan akun”. Justru di sinilah penipu dapat memanfaatkan rasa takut. Pesan yang tampak seperti peringatan keamanan bisa mengarahkan Anda ke halaman login palsu.
Jika mendapat peringatan, berhenti sejenak. Tutup pesan tersebut, buka aplikasi resmi secara manual, lalu periksa aktivitas akun dari sana.
Jika Anda masih bisa masuk, ganti password dengan password baru yang tidak pernah digunakan di layanan lain. Setelah itu, keluarkan semua sesi yang tidak dikenal, periksa email penerusan atau filter mencurigakan pada akun email, dan pastikan informasi pemulihan belum diubah.
Jika tidak bisa masuk, gunakan halaman pemulihan resmi dari penyedia layanan. FTC menyarankan pengguna mengikuti prosedur pemulihan penyedia layanan, memindai perangkat dari malware, serta memberi tahu kontak jika akun sempat mengirim pesan mencurigakan.
Apa artinya bagi kita?
Keamanan akun bukan hanya soal membuat password yang panjang. Yang sama pentingnya adalah memastikan bahwa Anda masih menguasai semua jalur yang dapat dipakai untuk memulihkan akun.
Luangkan waktu sekitar sepuluh menit untuk memeriksa akun email utama, media sosial, layanan belanja, dan akun keuangan digital. Prioritaskan akun yang terhubung ke banyak layanan lain. Jika email utama jatuh ke tangan orang lain, dampaknya bisa merembet ke akun belanja, penyimpanan cloud, media sosial, bahkan layanan kerja.
Pemeriksaan berkala tidak menjamin akun bebas dari semua risiko. Namun, langkah ini mengurangi kemungkinan Anda baru menyadari masalah ketika sudah kehilangan akses. Dalam keamanan digital, mengetahui pintu mana yang masih bisa Anda buka sering kali sama pentingnya dengan mengunci pintu depan.
Sumber & bacaan lebih lanjut
- Make your account more secure - Google Account Help
- How To Recover Your Hacked Email or Social Media Account - FTC
- More than a Password - CISA
- Gmail security tips - Google Help
– Rio Yotto @rioyotto