Cara mengamankan akun email dari peretasan

Akun email rata-rata terhubung ke puluhan layanan lain - bank, dompet digital, marketplace, media sosial, langganan streaming. Saat kamu lupa password di salah satunya, ke mana kode reset dikirim? Ke email. Itu sebabnya email bukan sekadar kotak surat, melainkan kunci induk seluruh hidup digital kamu. Begitu satu kunci ini jatuh ke tangan yang salah, semua pintu lain ikut terbuka.

Skenario yang paling sering terjadi bukan film hacker dengan layar penuh kode hijau. Yang nyata jauh lebih sederhana: kamu memakai password yang sama di beberapa situs, salah satu situs itu bocor, lalu penjahat mencoba kombinasi email-password kamu di Gmail. Berhasil masuk. Dari sana mereka klik “Lupa password” di aplikasi bank kamu, kode reset masuk ke inbox yang sudah mereka kuasai, dan dalam hitungan menit saldo berpindah.

Kabar baiknya, pertahanan yang efektif tidak butuh keahlian teknis. Beberapa pengaturan yang dilakukan sekali dan dirawat berkala sudah cukup menutup mayoritas celah. Artikel ini fokus ke Gmail dan Outlook karena keduanya dipakai mayoritas orang Indonesia, tapi prinsipnya berlaku untuk layanan email apa pun.

Kenapa email adalah target nomor satu

Bayangkan rumah dengan satu kunci utama yang juga membuka brankas, mobil, dan kotak deposit. Itulah posisi akun email kamu. Setiap kali sebuah layanan menawarkan tombol “Lupa password”, layanan itu sebenarnya menaruh kepercayaan penuh pada email kamu sebagai bukti identitas.

Konsekuensinya tegas: tingkat keamanan seluruh akun online kamu tidak pernah lebih tinggi daripada keamanan email kamu. Punya password bank serumit apa pun jadi sia-sia kalau hacker bisa mereset password itu lewat email yang lemah. Karena itu, urutan prioritas pengamanan harus dimulai dari email - sebelum bank, sebelum sosmed, sebelum apa pun.

Penjahat paham betul logika ini. Mereka tidak mengincar email karena isi suratnya, tapi karena email adalah jalan pintas ke semua hal bernilai lainnya.

Ada efek berantai yang membuat email begitu berbahaya kalau jatuh. Begitu masuk, penjahat tidak perlu menebak password layanan lain satu per satu. Mereka cukup membuka inbox kamu, mengetik nama bank atau e-wallet di kolom pencarian, dan menemukan email lama yang mengonfirmasi kamu memang punya akun di sana. Dari situ tinggal klik “Lupa password” dan menunggu kode masuk. Email yang sama yang seharusnya melindungi kamu justru jadi peta lengkap berisi daftar semua tempat yang bisa mereka bobol.

Lapisan pertama: password yang benar

Password masih jadi fondasi, dan dua kesalahan paling umum justru ada di sini: memakai password yang gampang ditebak, dan memakai password yang sama di banyak tempat.

Password yang baik tidak harus rumit sampai mustahil diingat. Frasa panjang dari beberapa kata acak - misalnya gabungan benda, tempat, dan angka yang tidak berhubungan - sering lebih kuat sekaligus lebih mudah diingat daripada sandi pendek penuh simbol. Targetkan minimal 12-16 karakter.

Yang lebih penting: password email kamu wajib unik, tidak dipakai di layanan lain mana pun. Penyebabnya adalah teknik bernama credential stuffing - saat satu situs bocor, penjahat otomatis mencoba email dan password yang sama di ratusan layanan lain. Kalau password email kamu sama dengan yang bocor, akunmu langsung terbuka tanpa hacker perlu menebak apa pun.

Mengingat puluhan password unik memang tidak realistis. Di sinilah password manager berperan: aplikasi ini menyimpan semua password kamu terenkripsi, mengisinya otomatis, dan kamu cukup mengingat satu sandi utama. Mulai dari mengamankan akun paling kritis - email, bank, dan dompet digital.

Satu kebiasaan kecil yang sering disepelekan: jangan menyimpan password di kolom catatan browser tanpa pengamanan, dan jangan mengirim password ke diri sendiri lewat email. Banyak orang menulis sandi penting di draft email “biar tidak lupa” - padahal itu artinya kalau email jebol, hacker langsung memegang seluruh daftar sandi kamu sekaligus. Kalau ingin mengetes apakah salah satu password lamamu pernah bocor di kebocoran data publik, beberapa layanan keamanan resmi menyediakan pemeriksaan gratis; hindari situs tak jelas yang justru minta kamu mengetik password aktif.

Lapisan kedua: verifikasi 2 langkah

Verifikasi 2 langkah, atau 2FA, adalah lapisan tunggal paling berdampak yang bisa kamu pasang. Logikanya sederhana: meski password kamu bocor, penjahat tetap terhalang karena mereka tidak punya faktor kedua - kode yang hanya ada di perangkatmu.

Saat mengaktifkan 2FA, kamu akan ditawari beberapa metode. Urutan dari yang paling aman:

1. Passkey atau kunci keamanan fisik - paling kuat, kebal phishing
2. Aplikasi authenticator (Google Authenticator, Microsoft Authenticator, Authy) - kode berganti tiap 30 detik, tidak lewat jaringan seluler
3. SMS - paling lemah karena rentan penipuan tukar kartu SIM, tapi tetap lebih baik daripada tidak ada

Banyak orang memilih SMS karena paling familiar, tapi metode ini punya celah: lewat penipuan SIM swap, penjahat bisa meyakinkan operator memindahkan nomormu ke kartu mereka, lalu semua kode SMS masuk ke HP mereka. Aplikasi authenticator menutup celah itu karena kodenya dibuat lokal di HP kamu.

Apa pun metodenya, simpan kode cadangan (backup codes) yang diberikan saat setup. Taruh di tempat aman seperti password manager atau catatan offline - jangan di inbox email itu sendiri, karena justru itu yang ingin kamu lindungi.

Lapisan ketiga: passkey, masa depan login

Passkey adalah teknologi yang perlahan menggantikan password. Alih-alih mengetik sandi, kamu login dengan sidik jari, wajah, atau PIN perangkat. Di balik layar, passkey adalah kunci kriptografi yang terikat ke perangkat fisik kamu dan tidak pernah dikirim ke server.

Keunggulan terbesarnya: passkey kebal phishing. Karena tidak ada sandi yang diketik, tidak ada yang bisa dicuri di halaman login palsu. Sehebat apa pun tiruan situsnya, hacker tidak bisa menipu kamu menyerahkan sesuatu yang memang tidak pernah kamu ketik.

Gmail dan Outlook sudah mendukung passkey. Saat memasangnya, tetap pertahankan password dan 2FA sebagai jaring pengaman - supaya kamu tidak terkunci kalau perangkat passkey hilang atau rusak. Letak menu dan cara kerjanya bisa sedikit berbeda antar versi aplikasi dan sistem operasi, jadi ikuti petunjuk di layar saat menyiapkannya.

Audit berkala: bersihkan akses lama

Keamanan bukan sekali pasang lalu selesai. Seiring waktu, akun email mengumpulkan “utang keamanan”: perangkat lama yang masih login, aplikasi pihak ketiga yang dulu diberi izin, atau nomor recovery yang sudah tidak aktif.

Tiga hal yang perlu kamu periksa rutin, minimal tiap beberapa bulan:

• Perangkat yang login. Cari perangkat asing yang tidak kamu kenal, lalu keluarkan dan ganti password kalau ada yang mencurigakan.
• Aplikasi pihak ketiga. Cabut akses aplikasi yang sudah tidak dipakai atau yang izinnya berlebihan, terutama yang bisa membaca email.
• Info pemulihan. Pastikan email recovery dan nomor HP cadangan masih milikmu dan aktif - jalur pemulihan yang dikuasai orang lain sama bahayanya dengan password bocor.

Satu trik favorit hacker yang sering terlewat: setelah masuk, mereka memasang aturan penerusan diam-diam yang otomatis meneruskan email kamu ke alamat mereka, atau filter yang langsung menghapus email peringatan keamanan. Mengganti password tidak akan menghapus aturan ini - kamu harus mencarinya sendiri di pengaturan filter dan penerusan, lalu menghapus yang tidak kamu buat.

Kalau email sudah terlanjur diretas

Kecurigaan biasanya datang dari hal kecil: teman bertanya kenapa kamu mengirim pesan aneh, ada email di folder Sent yang tidak kamu tulis, atau muncul notifikasi login dari kota yang belum pernah kamu datangi. Saat itu terjadi, kecepatan menentukan seberapa besar kerugiannya. Jangan panik, kerjakan langkah berikut secara berurutan.

Pertama, ganti password dari perangkat yang kamu yakini bersih - idealnya laptop atau HP utama kamu, bukan komputer warnet atau perangkat pinjaman. Kedua, keluarkan semua sesi lain lewat menu keamanan supaya perangkat hacker langsung tertendang (di Gmail: Kelola semua perangkat - Keluar). Ketiga, aktifkan 2FA kalau belum, agar password baru kamu tidak cukup dipakai sendirian untuk masuk lagi.

Setelah akun kembali kamu kuasai, baru bersihkan jejak. Periksa filter, aturan, dan alamat penerusan asing yang dipasang hacker, lalu hapus semuanya. Cek email recovery dan nomor HP cadangan - kalau hacker sempat menggantinya dengan milik mereka, kembalikan ke milikmu. Terakhir, lindungi dampaknya ke luar: ganti password di layanan penting yang memakai email itu, terutama bank dan e-wallet, pantau ada transaksi mencurigakan, dan kabari kontak kamu kalau ada pesan penipuan yang sempat terkirim atas namamu.

Kalau kamu sampai benar-benar terkunci dan tidak bisa login sama sekali, kedua layanan menyediakan formulir pemulihan akun resmi. Prosesnya minta kamu membuktikan kepemilikan lewat informasi yang hanya kamu tahu, jadi makin lengkap data recovery yang kamu rawat sebelumnya, makin besar peluang akun bisa direbut kembali.

Pertahanan terakhir: kenali phishing

Mayoritas akun email yang jebol bukan korban peretasan canggih, melainkan korban tipu daya. Kamu sendiri yang mengetik password - di halaman login palsu yang tampak persis aslinya.

Email phishing punya pola yang bisa dikenali. Mereka memaksa buru-buru (“akun kamu akan diblokir dalam 24 jam”), memancing rasa takut atau serakah, dan selalu menyodorkan tautan untuk kamu klik. Tautan itu membawamu ke halaman tiruan; begitu kamu mengetik password, sandi itu langsung dikirim ke penjahat.

Pertahanannya: selalu periksa alamat di kolom browser sebelum mengetik password. Halaman login Google yang sah ada di accounts.google.com, bukan variasi yang mirip-mirip. Jangan pernah login lewat tautan dari email - ketik sendiri alamat layanannya di browser. Dan ingat, Google maupun Microsoft tidak akan pernah meminta password lengkap kamu lewat email, chat, atau telepon. Kalau ada yang melakukannya, itu pasti penipuan.

Sebelum lanjut, pasang juga pengamanan serupa di aplikasi pesan kamu lewat panduan cara mengamankan WhatsApp dari diretas. Dan kalau kamu berencana menutup akun email lama, lakukan dengan benar lewat cara hapus akun Gmail tanpa kehilangan email supaya data pentingmu tetap aman.