Kenapa kata sandi saja tidak cukup
Kata sandi bisa bocor lewat banyak jalan: dipakai ulang di situs lain yang pernah diretas, diketik di situs tiruan, atau terekam aplikasi jahat. Begitu sandi diketahui orang lain, akun tanpa lapisan tambahan terbuka lebar. Pada akun pedagang aset kripto, akibatnya langsung: saldo bisa dijual dan ditarik, atau dikirim ke alamat pelaku.
Verifikasi dua langkah (two-factor authentication, disingkat 2FA) menambahkan syarat kedua. Selain sesuatu yang Anda ketahui (sandi), Anda harus menunjukkan sesuatu yang Anda miliki (ponsel dengan aplikasi autentikator, atau kunci fisik). Pencuri yang hanya punya sandi akan tertahan di pintu kedua.
Tiga jenis lapisan kedua
Perbandingan jenis 2FA untuk akun kripto
| Jenis | Cara kerja | Kekuatan | Kelemahan utama |
|---|
| Kode SMS | Kode dikirim ke nomor ponsel | Lebih baik daripada tanpa 2FA | Nomor bisa dibajak lewat SIM swap; kode bisa dipancing |
| Aplikasi autentikator | Aplikasi membuat kode 6 digit yang berganti setiap beberapa puluh detik | Tidak bergantung pada nomor telepon | Masih bisa diketik korban di situs phishing yang meneruskannya secara langsung |
| Kunci keamanan fisik | Alat kecil (USB/NFC) yang harus disentuhkan atau dicolok | Terikat pada alamat situs asli, sehingga sulit dipakai di situs tiruan | Perlu membeli alat; tidak semua layanan mendukung |
Untuk sebagian besar pemula, aplikasi autentikator adalah titik awal yang wajar: gratis, tidak bergantung pada operator seluler, dan didukung banyak pedagang aset kripto. Bila layanan Anda mendukung kunci fisik atau passkey, pertimbangkan sebagai lapisan yang lebih kuat.
Langkah mengaktifkan aplikasi autentikator
- Pasang aplikasi autentikator dari toko aplikasi resmi. Periksa nama pengembangnya agar tidak tertipu aplikasi tiruan.
- Buka menu keamanan di akun pedagang. Biasanya bernama "Keamanan", "2FA", atau "Verifikasi dua langkah".
- Pindai kode QR yang muncul. Aplikasi autentikator akan menampilkan kode 6 digit untuk akun tersebut.
- Simpan kunci cadangan atau kode pemulihan. Layanan biasanya menampilkan kunci teks atau beberapa kode cadangan. Tulis di kertas dan simpan terpisah dari ponsel. Inilah penyelamat saat ponsel hilang.
- Masukkan kode untuk konfirmasi. Setelah aktif, coba keluar lalu masuk kembali untuk memastikan semuanya berjalan.
- Nonaktifkan SMS sebagai cadangan bila memungkinkan. Kalau SMS tetap aktif sebagai jalur pemulihan, pelaku SIM swap masih punya pintu belakang.
Surel adalah kunci induk
Banyak orang mengamankan akun pedagang tetapi lupa pada surelnya. Padahal hampir semua layanan mengirim tautan reset sandi ke surel. Jika surel dibobol, pelaku bisa mengganti sandi akun lain satu per satu. Karena itu:
- Gunakan sandi yang panjang dan unik untuk surel, tidak dipakai di tempat lain.
- Aktifkan 2FA pada surel juga, sebaiknya dengan aplikasi autentikator atau kunci fisik.
- Periksa daftar perangkat yang sedang masuk ke surel Anda dan keluarkan yang tidak dikenal.
- Pertimbangkan surel terpisah khusus untuk akun keuangan, yang tidak dipakai untuk mendaftar di situs sembarangan.
Kebiasaan kecil yang menutup banyak celah
- Pakai pengelola kata sandi agar setiap akun punya sandi berbeda tanpa harus dihafal.
- Aktifkan fitur whitelist alamat penarikan bila tersedia, sehingga aset hanya bisa dikirim ke alamat yang sudah Anda daftarkan sebelumnya.
- Nyalakan notifikasi masuk akun dan penarikan, lalu benar-benar baca notifikasinya.
- Kunci layar ponsel dengan PIN yang tidak mudah ditebak, bukan tanggal lahir.
- Perbarui sistem operasi dan aplikasi; banyak pembaruan menambal celah keamanan.
- Jangan memasang aplikasi dari berkas yang dikirim lewat pesan, sekalipun mengaku "versi terbaru".
Saat berganti atau kehilangan ponsel
Berganti ponsel dengan rencana: sebelum mereset ponsel lama, pindahkan akun autentikator ke ponsel baru sesuai petunjuk aplikasinya, lalu uji masuk ke setiap layanan penting. Baru setelah semuanya berhasil, hapus data ponsel lama.
Kehilangan ponsel: segera hubungi operator untuk memblokir kartu SIM, lalu masuk ke akun pedagang dan surel dari perangkat lain memakai kode cadangan. Ganti sandi, keluarkan semua sesi aktif, dan hubungi layanan pelanggan pedagang lewat kanal resmi di aplikasi atau situs. Jangan mencari nomor layanan pelanggan di hasil pencarian atau komentar media sosial, karena banyak nomor palsu dipasang penipu.
Yang tidak bisa ditolong oleh 2FA
2FA tidak berguna bila Anda sendiri menyerahkan kodenya. Penipu tahu hal ini, sehingga mereka tidak lagi mencoba menebak sandi, tetapi membujuk korban membacakan kode 6 digit yang baru masuk. Kode tersebut tidak pernah diperlukan oleh petugas yang sah. Pola bujukan seperti ini, beserta pembajakan nomor telepon, dibahas di pelajaran phishing dan SIM swap.
Ingat juga bahwa keamanan akun melindungi dari pencurian, bukan dari kerugian pasar. Akun yang aman tetap bisa berisi aset yang nilainya turun.
