Notifikasi login yang muncul di ponsel biasanya terasa seperti fitur keamanan yang menenangkan. Kita tinggal menekan “Ya” ketika memang sedang masuk ke akun. Masalahnya, penyerang bisa memanfaatkan kebiasaan itu dengan mengirim permintaan persetujuan berkali-kali sampai korban salah menekan tombol, merasa terganggu, atau mengira notifikasi tersebut hanya kesalahan sistem.
Teknik ini dikenal sebagai MFA fatigue atau push bombing. MFA adalah singkatan dari multifactor authentication, yaitu pengamanan yang meminta lebih dari satu bukti saat login, misalnya password dan persetujuan dari aplikasi di ponsel. CISA menjelaskan bahwa serangan MFA fatigue terjadi ketika pelaku membanjiri korban dengan notifikasi sampai korban menyetujui permintaan secara tidak sengaja atau karena lelah. Baca penjelasan CISA tentang number matching.
Mengapa penyerang memakai cara ini?
Serangan ini biasanya dimulai setelah penyerang memperoleh password korban, misalnya dari kebocoran data, password yang dipakai berulang, atau halaman login palsu. Password itu belum cukup untuk masuk karena akun masih dilindungi MFA. Penyerang kemudian memicu permintaan login berulang ke ponsel korban.
Bayangkan seseorang terus-menerus membunyikan bel rumah. Pada bunyi pertama, kita mungkin memeriksa kamera. Pada bunyi kesepuluh, kita bisa saja membuka pintu hanya agar suara berhenti. Itulah kelemahan yang dicoba dieksploitasi: bukan teknologi yang dibobol, melainkan perhatian dan kebiasaan manusia.
Notifikasi yang tidak Anda mulai bukan sekadar gangguan. Itu bisa berarti ada pihak lain yang mengetahui password Anda atau sedang mencoba menguji akses ke akun tersebut. Google juga menyebut bahwa jika seseorang menerima prompt login padahal tidak sedang masuk, mungkin ada upaya login tanpa izin. Google menyarankan untuk memilih “No, don’t allow” dan memeriksa aktivitas akun.
Tanda-tanda MFA fatigue
- Notifikasi persetujuan login muncul ketika Anda tidak sedang masuk ke akun.
- Permintaan datang berkali-kali dalam waktu singkat.
- Notifikasi menampilkan lokasi, perangkat, atau waktu yang tidak sesuai.
- Seseorang menghubungi Anda melalui telepon atau chat dan meminta agar notifikasi login disetujui.
- Setelah menolak beberapa permintaan, muncul pesan atau panggilan yang mengaku dari tim IT dan meminta Anda mengikuti instruksi tertentu.
Bagian terakhir patut diperhatikan. Pelaku kadang menggabungkan notifikasi palsu dengan rekayasa sosial, yaitu upaya memanipulasi korban melalui percakapan. Mereka bisa mengaku sebagai admin kantor, petugas layanan, atau tim keamanan yang sedang “memperbaiki” akun.
Jangan pernah menyetujui permintaan yang tidak Anda mulai
Aturan paling penting cukup sederhana: jika Anda tidak sedang login, jangan menyetujui permintaannya. Tekan tombol penolakan jika tersedia, lalu jangan membalas orang yang meminta persetujuan tersebut.
Namun, menolak notifikasi saja belum tentu cukup. Jika permintaan itu muncul berulang, anggap password akun mungkin sudah diketahui orang lain. Segera buka layanan tersebut melalui aplikasi atau alamat resmi, bukan melalui tautan dari pesan, lalu lakukan langkah berikut:
- Ganti password dengan password baru yang unik dan tidak digunakan di layanan lain.
- Periksa daftar perangkat atau sesi login yang sedang aktif.
- Keluarkan perangkat yang tidak dikenal.
- Periksa alamat email pemulihan, nomor telepon, dan metode autentikasi yang terdaftar.
- Laporkan kejadian kepada admin IT jika akun tersebut digunakan untuk pekerjaan.
Untuk akun Google, daftar perangkat dapat diperiksa dari bagian keamanan akun. Google menyarankan pengguna mengeluarkan perangkat yang tidak dikenal dan mengamankan akun jika ditemukan aktivitas mencurigakan. Lihat panduan Google tentang perangkat yang memiliki akses ke akun.
Number matching membantu, tetapi bukan solusi sempurna
Beberapa layanan menggunakan number matching. Dalam metode ini, pengguna tidak cukup menekan “Setujui”, tetapi harus memasukkan angka yang tampil di layar login ke aplikasi autentikasi. Tujuannya adalah mengurangi risiko persetujuan yang terjadi karena salah tekan.
CISA merekomendasikan number matching sebagai langkah mitigasi untuk organisasi yang belum bisa menggunakan MFA tahan phishing. Microsoft juga menjadikan number matching sebagai perilaku standar untuk notifikasi Microsoft Authenticator dalam konteks tertentu. Metode ini membuat serangan menjadi lebih sulit, tetapi tetap membutuhkan kewaspadaan pengguna. Jika angka muncul tanpa Anda memulai login, jangan masukkan atau setujui angka tersebut.
Dengan kata lain, number matching adalah pagar tambahan, bukan alasan untuk menyetujui semua permintaan yang terlihat meyakinkan. Detail perangkat, lokasi, dan waktu tetap perlu diperiksa.
Jika tersedia, pilih MFA yang tahan phishing
Tidak semua bentuk MFA memiliki kekuatan yang sama. Kode SMS, kode dari aplikasi, dan notifikasi persetujuan masih dapat diserang dengan teknik tertentu. CISA menyebut MFA tahan phishing, seperti passkey atau security key berbasis FIDO, sebagai pilihan yang lebih kuat karena proses autentikasinya terikat pada situs dan perangkat yang benar.
Untuk pengguna biasa, tidak perlu langsung membeli perangkat keamanan khusus. Mulailah dengan mengaktifkan MFA pada email utama, akun perbankan, media sosial, dan layanan kerja. Jika layanan tersebut menyediakan passkey, pelajari apakah perangkat Anda mendukungnya. Jika belum, gunakan aplikasi autentikator atau persetujuan login dengan number matching, lalu tetap berhati-hati terhadap permintaan yang tidak dimulai sendiri.
Apa artinya bagi kita?
MFA tetap sangat penting. Kehadiran MFA dapat mengurangi risiko ketika password bocor, tetapi MFA bukan tombol ajaib yang membuat akun kebal. Pengguna masih menjadi bagian dari mekanisme keamanan, terutama saat diminta menyetujui login.
Jadikan tiga kebiasaan berikut sebagai aturan pribadi: jangan menyetujui login yang tidak dimulai, jangan memberikan kode atau angka verifikasi kepada siapa pun, dan jangan mengikuti instruksi “tim bantuan” yang datang secara tiba-tiba. Bila ragu, tutup notifikasi, buka aplikasi resminya secara manual, lalu periksa aktivitas akun dari sana.
Keamanan digital sering kali bukan soal menghafal istilah rumit. Dalam kasus MFA fatigue, inti perlindungannya justru sederhana: berhenti sejenak sebelum menekan tombol “Setujui”.
Sumber & bacaan lebih lanjut
- CISA - Implementing Number Matching in MFA Applications
- CISA - Implementing Phishing-Resistant MFA
- Google Account Help - Sign in with Google prompts
- Google Account Help - See devices with account access
- Microsoft Learn - Protecting authentication methods in Microsoft Entra ID
– Rio Yotto @rioyotto