Kode OTP di Aplikasi Authenticator: Lebih Aman…

Banyak orang baru memasang autentikasi dua langkah setelah mendengar akun teman dibajak. Masalahnya, pilihan yang muncul sering terasa membingungkan: memakai SMS, menerima notifikasi, atau memasukkan kode dari aplikasi authenticator.

Aplikasi authenticator adalah aplikasi yang menghasilkan kode sekali pakai, biasanya enam digit dan berganti setiap beberapa puluh detik. Kode ini dipakai sebagai lapisan kedua setelah password. Jadi, orang yang hanya mengetahui password Anda belum tentu bisa masuk ke akun.

Metode ini cukup praktis untuk email, media sosial, layanan kerja, dan akun keuangan tertentu. Tetapi penting untuk memahami batasnya: kode authenticator lebih baik daripada SMS dalam banyak situasi, namun kode tersebut masih dapat diberikan kepada penipu jika Anda memasukkannya di halaman login palsu.

Apa bedanya authenticator dengan kode SMS?

Kode SMS dikirim melalui jaringan operator seluler. Authenticator menghasilkan kode langsung di perangkat, sehingga biasanya tidak memerlukan sinyal seluler atau koneksi internet saat kode dibuat. Google dan Microsoft, misalnya, menjelaskan bahwa kode dari aplikasinya dapat digunakan secara offline.

SMS tetap berguna ketika tidak ada pilihan lain, tetapi memiliki risiko tambahan. Nomor telepon bisa bermasalah, kartu SIM bisa hilang, atau penipu dapat mencoba mengambil alih nomor melalui rekayasa sosial terhadap operator. Karena itu, lembaga seperti CISA menempatkan SMS di bawah aplikasi authenticator, security key, dan metode modern lain dalam urutan perlindungan.

Meski demikian, jangan menganggap authenticator sebagai perlindungan sempurna. Kode yang Anda ketik secara manual tidak terikat secara khusus pada situs yang sedang dibuka. Jika Anda memasukkannya ke situs palsu, penipu dapat meneruskan kode tersebut ke situs asli sebelum masa berlakunya habis.

Memahami tiga hal yang sering tertukar

Password

Password adalah rahasia utama yang Anda ketahui. Jika password dipakai ulang di banyak situs, kebocoran satu layanan dapat membuka jalan ke akun lain.

Kode authenticator

Kode ini adalah faktor kedua yang berubah secara berkala. Kode bukan pengganti password dan bukan sesuatu yang boleh dibagikan melalui chat, telepon, atau formulir yang Anda buka dari tautan mencurigakan.

Kode pemulihan

Kode pemulihan adalah cadangan ketika ponsel hilang, rusak, atau aplikasi authenticator tidak dapat digunakan. Pada beberapa layanan, satu kode hanya dapat dipakai sekali. Kode ini harus disimpan seperti kunci cadangan rumah: tidak dipajang, tetapi mudah ditemukan oleh Anda saat benar-benar dibutuhkan.

Cara memasang authenticator tanpa membuat diri sendiri terkunci

Pastikan email pemulihan masih aktif. Sebelum menyalakan autentikasi dua langkah, periksa apakah Anda masih bisa mengakses email dan nomor pemulihan akun.
Pasang aplikasi authenticator resmi. Unduh dari toko aplikasi resmi dan hindari aplikasi yang namanya mirip tetapi berasal dari pengembang tidak dikenal.
Buka pengaturan keamanan akun. Cari menu seperti “2-Step Verification”, “Two-Factor Authentication”, atau “Autentikasi Dua Faktor”.
Tambahkan aplikasi authenticator. Layanan biasanya menampilkan QR code. Pindai QR code tersebut dari aplikasi authenticator, lalu masukkan kode yang sedang tampil untuk menyelesaikan pendaftaran.
Simpan kode pemulihan. Jangan hanya mengambil screenshot lalu membiarkannya berada di galeri. Simpan di pengelola password yang tepercaya, cetak dan taruh di tempat aman, atau gunakan cara lain yang tidak mudah diakses orang lain.
Uji metode cadangan. Pastikan Anda tahu cara masuk jika ponsel hilang. Jangan menunggu sampai perangkat rusak untuk menyadari bahwa semua jalan pemulihan sudah tidak tersedia.

Saat berganti ponsel, jangan buru-buru menghapus perangkat lama

Kesalahan umum terjadi ketika seseorang menjual atau mereset ponsel lama sebelum memindahkan akun authenticator. Akibatnya, kode masih terdaftar di perangkat lama, sementara perangkat baru belum siap digunakan.

Jika aplikasi menyediakan sinkronisasi atau backup, aktifkan dengan memahami apa yang sebenarnya disimpan. Google Authenticator mendukung sinkronisasi kode melalui akun Google, sedangkan Microsoft Authenticator memiliki fitur backup dengan batasan tertentu, termasuk perbedaan antara akun pribadi dan akun kerja.

Untuk aplikasi yang tidak memakai sinkronisasi, gunakan fitur transfer resmi. Beberapa aplikasi menyediakan proses ekspor dan impor melalui QR code. Setelah memindahkan semua akun, uji login di perangkat baru terlebih dahulu. Barulah hapus authenticator dari perangkat lama dan cabut akses perangkat tersebut dari pengaturan akun.

Jangan menyetujui permintaan login secara otomatis

Selain kode enam digit, sebagian layanan menawarkan notifikasi “Approve” atau “Deny” di ponsel. Fitur ini memang lebih nyaman, tetapi dapat disalahgunakan lewat MFA fatigue, yaitu kondisi ketika penipu mengirim banyak permintaan login sampai korban lelah lalu menekan tombol setuju.

Jika tiba-tiba muncul permintaan login yang tidak Anda mulai, tekan “Tolak”. Jangan menganggap notifikasi tersebut sebagai gangguan biasa. Ganti password bila permintaan berulang, periksa perangkat yang sedang login, dan cabut sesi yang tidak dikenali.

Apa artinya bagi kita?

Authenticator cocok dijadikan peningkatan keamanan yang realistis untuk akun penting. Mulailah dari email utama karena email sering menjadi pintu untuk mereset password layanan lain. Setelah itu, lanjutkan ke akun perbankan, penyimpanan cloud, marketplace, dan media sosial yang menyimpan banyak data pribadi.

Namun, pilih metode dengan urutan yang masuk akal. Jika layanan mendukung passkey atau security key, metode berbasis kriptografi itu lebih tahan terhadap phishing dibanding kode yang harus diketik manual. Jika belum tersedia, authenticator tetap merupakan pilihan yang baik dan biasanya lebih kuat daripada SMS.

Checklist keamanan yang bisa dilakukan sekarang

Aktifkan autentikasi dua langkah pada email utama.
Gunakan aplikasi authenticator resmi, bukan aplikasi dari tautan acak.
Simpan kode pemulihan di tempat aman dan jangan mengirimkannya kepada siapa pun.
Aktifkan kunci aplikasi atau perlindungan biometrik jika tersedia.
Jangan pernah memasukkan kode setelah membuka tautan login dari pesan yang mencurigakan.
Periksa daftar perangkat dan sesi login secara berkala.
Siapkan rencana sebelum mengganti, menjual, atau mereset ponsel.

Tujuan authenticator bukan membuat akun kebal dari serangan. Tujuannya adalah menambah satu penghalang penting ketika password sudah diketahui orang lain. Penghalang itu akan bekerja jauh lebih baik jika dibarengi kebiasaan sederhana: memeriksa alamat situs, tidak membagikan kode, dan menyiapkan jalur pemulihan sebelum keadaan darurat terjadi.

Sumber & bacaan lebih lanjut

– Rio Yotto @rioyotto