Autentikasi dua faktor (2FA) melindungi akun dengan meminta dua hal berbeda saat Anda login: sesuatu yang Anda ketahui, seperti kata sandi, dan sesuatu yang Anda miliki, seperti kode enam digit dari aplikasi autentikator di ponsel. Meskipun kata sandi Anda dicuri, pelaku tidak bisa masuk tanpa faktor kedua.
Ini salah satu langkah keamanan paling efektif yang bisa dilakukan orang biasa, dan pengaturannya biasanya hanya butuh beberapa menit. Panduan ini menjelaskan cara kerja 2FA, metode mana yang sebaiknya dipilih, dan cara agar Anda tidak terkunci dari akun sendiri.
Mengapa kata sandi saja tidak cukup
Kata sandi bisa bocor dengan banyak cara. Orang memakai kata sandi yang sama di beberapa situs, situs web mengalami kebocoran data, dan halaman phishing menipu orang agar mengetik data login ke formulir palsu. Begitu kata sandi diketahui, siapa pun bisa mencobanya di email, media sosial atau akun belanja online Anda.
2FA menambahkan kunci kedua. Kata sandi curian saja tidak lagi cukup, karena pelaku juga membutuhkan kode dari perangkat Anda. Hal ini membuat banyak pengambilalihan akun yang umum jauh lebih sulit, terutama yang mengandalkan kata sandi yang dipakai ulang atau bocor.
Jenis-jenis faktor kedua
Tidak semua faktor kedua sama kuatnya. Pilihan yang paling umum:
- Aplikasi autentikator. Aplikasi seperti Google Authenticator, Microsoft Authenticator dan aplikasi lain yang kompatibel menghasilkan kode enam digit baru setiap 30 detik. Kode dibuat di ponsel Anda, sehingga tidak dikirim lewat jaringan operator seluler.
- Kode SMS. Kode dikirim lewat pesan teks. Jauh lebih baik daripada tanpa 2FA, tetapi SMS bisa disadap atau dialihkan, misalnya melalui penipuan SIM swap, ketika penjahat membujuk operator seluler untuk memindahkan nomor Anda ke kartu SIM miliknya.
- Notifikasi push. Beberapa layanan mengirim permintaan ke aplikasi di ponsel Anda yang bertanya "Apakah ini Anda?" Praktis, tetapi jangan pernah menyetujui permintaan yang tidak Anda duga.
- Kunci keamanan dan passkey. Kunci fisik atau passkey yang tersimpan di perangkat termasuk pilihan terkuat, karena dirancang untuk tahan terhadap phishing. Dukungannya berbeda-beda di setiap layanan.
Bagi kebanyakan orang, aplikasi autentikator adalah pilihan yang kuat dan praktis. Jika sebuah layanan hanya menyediakan SMS, tetap aktifkan. Itu masih jauh lebih baik daripada hanya kata sandi.
Cara kerja aplikasi autentikator
Saat Anda mengaktifkan 2FA dengan aplikasi autentikator, situs web menampilkan sebuah QR code. QR code itu berisi kunci rahasia. Anda scan sekali dengan aplikasi autentikator, dan sejak itu aplikasi serta situs web sama-sama memakai rahasia bersama tersebut dan waktu saat ini untuk menghitung kode enam digit yang sama.
Karena kode berganti setiap 30 detik, kode yang terlihat oleh orang di belakang Anda tidak ada gunanya tak lama kemudian. Dan karena kode dihitung di ponsel Anda, aplikasi tetap berfungsi tanpa koneksi internet.
Satu hal penting: QR code saat pengaturan itu bersifat sensitif. Siapa pun yang scan kode tersebut bisa menghasilkan kode Anda. Jangan menangkap layarnya, membagikannya atau membiarkannya tampil di layar yang bisa dilihat orang lain.
Cara mengaktifkan 2FA langkah demi langkah
Menu persisnya berbeda di setiap layanan, tetapi prosesnya biasanya sama:
- Pasang aplikasi autentikator di ponsel Anda.
- Login ke akun yang ingin dilindungi dan buka pengaturan keamanannya.
- Cari "Autentikasi dua faktor", "Verifikasi dua langkah" atau "Two-step verification", lalu pilih opsi aplikasi autentikator.
- Scan QR code yang tampil di layar dengan aplikasi autentikator.
- Ketik kode enam digit dari aplikasi untuk memastikan semuanya berfungsi.
- Simpan kode cadangan yang diberikan layanan (lihat bagian berikutnya).
- Logout lalu login lagi untuk memastikan semuanya berjalan.
Mulailah dari akun yang paling penting: email utama (karena bisa dipakai untuk mereset kata sandi akun lain), perbankan, media sosial, penyimpanan cloud dan akun apa pun yang menyimpan data pembayaran. Di QR-TH, Anda bisa mengaktifkan login dua langkah dengan aplikasi autentikator dari pengaturan akun, sehingga QR code dan tautan pendek Anda terlindungi dari perubahan oleh orang lain.
Kode cadangan: jalan kembali ke akun Anda
Masalah 2FA yang paling umum bukanlah peretasan, melainkan kehilangan ponsel. Jika ponsel hilang, dicuri, rusak atau diganti, Anda memerlukan cara lain untuk login.
Untuk itulah kode cadangan ada. Sebagian besar layanan memberikan daftar kode sekali pakai saat Anda mengaktifkan 2FA. Setiap kode bisa dipakai satu kali sebagai pengganti kode dari aplikasi.
Simpan dengan aman:
- Cetak dan simpan kertasnya di tempat aman di rumah, atau
- Simpan di pengelola kata sandi (password manager) yang tepercaya, dan
- Jangan hanya menyimpannya di ponsel yang sama dengan aplikasi autentikator Anda.
Setiap kode cadangan hanya berlaku sekali. Setelah dipakai, coret. Jika tinggal sedikit, sebagian besar layanan memungkinkan Anda membuat set baru, yang sekaligus membatalkan kode lama.
Ganti ponsel tanpa terkunci dari akun
Sebelum mereset, menjual atau tukar tambah ponsel lama, pindahkan kode autentikator ke ponsel baru. Sebagian aplikasi autentikator punya fitur transfer atau cadangan cloud; yang lain mengharuskan Anda mengatur ulang 2FA untuk setiap akun.
Pendekatan yang aman:
- Biarkan ponsel lama tetap berfungsi sampai setiap akun sudah dipastikan bekerja di ponsel baru.
- Untuk akun yang tidak bisa ditransfer, login, matikan 2FA lalu aktifkan kembali, dan scan QR code baru dengan ponsel baru.
- Uji setiap akun sebelum menghapus data ponsel lama.
Kesalahan 2FA yang perlu dihindari
- Membagikan kode. Bank, toko atau tim layanan pelanggan yang asli tidak akan meminta Anda menyebutkan kode 2FA atau OTP. Siapa pun yang memintanya kemungkinan besar penipu.
- Menyetujui permintaan yang tak terduga. Jika Anda menerima permintaan login yang bukan dari Anda, tolak dan ganti kata sandi.
- Mengetik kode di halaman yang dibuka dari tautan di pesan. Situs phishing juga bisa meminta kode Anda. Buka situsnya secara langsung.
- Melewatkan kode cadangan. Menyimpannya hanya butuh satu menit dan bisa menghemat berhari-hari proses pemulihan akun.
Untuk perlindungan sehari-hari lainnya, baca tips keamanan ponsel kami, dan pelajari cara mengenali penipuan QR code yang berusaha mencuri data login.
FAQ
Apakah autentikasi dua faktor benar-benar perlu?
Untuk akun penting seperti email, perbankan dan media sosial, ya. 2FA menghalangi banyak serangan yang mengandalkan kata sandi curian atau yang dipakai ulang.
Apakah aplikasi autentikator lebih aman daripada SMS?
Umumnya, ya. Kode autentikator dibuat di ponsel Anda, sedangkan kode SMS bisa disadap atau dialihkan lewat penipuan SIM swap. SMS tetap lebih baik daripada tanpa 2FA.
Apa yang terjadi jika ponsel saya hilang?
Gunakan salah satu kode cadangan yang sudah disimpan untuk login, lalu atur ulang 2FA di ponsel baru. Tanpa kode cadangan, Anda harus melalui proses pemulihan akun dari layanan tersebut.
Bisakah akun saya diretas jika seseorang punya kode 2FA saya?
Kode hanya berlaku sebentar, tetapi penipu yang berhasil membujuk Anda membagikannya saat itu juga bisa memakainya. Jangan pernah membagikan kode Anda kepada siapa pun.
Autentikasi dua faktor hanya butuh beberapa menit dan membuat akun Anda jauh lebih sulit dibobol. Aktifkan hari ini untuk email dan perbankan Anda, lalu lindungi akun QR-TH Anda dengan login dua langkah. Informasi lebih lanjut ada di FAQ kami.