Password Kamu Mungkin Sudah Bocor, Ini Cara Ngecek dan Ngamanin

Tahun lalu ada temen gue, sebut aja Rio, nelpon jam sebelas malam dengan suara panik. Akun marketplace-nya dipakai orang buat checkout barang tiga jutaan pakai saldo paylater. Yang bikin dia bingung: HP-nya nggak pernah hilang, nggak pernah instal aplikasi aneh, dan dia bersumpah nggak pernah ngasih kode OTP ke siapa pun.

Ternyata masalahnya memang bukan di HP dia.

Password yang dipakai di marketplace itu sama persis dengan password forum otomotif yang dia daftarin tahun 2016. Forum itu udah lama mati, databasenya bocor entah kapan, dan daftar email plus password-nya beredar bebas. Penyerangnya nggak perlu jago-jago amat. Mereka tinggal ambil daftar bocoran itu, terus coba satu-satu ke situs lain secara otomatis. Istilahnya credential stuffing, dan biaya buat ngelakuinnya nyaris nol.

Kebocoran Data Itu Jarang Salah Kamu

Ini bagian yang sering bikin orang salah paham. Waktu data kamu bocor, biasanya yang jebol bukan perangkat kamu, tapi server perusahaan tempat kamu daftar. Kamu bisa jadi pengguna paling hati-hati sedunia, tetap aja nama, email, nomor HP, sampai hash password kamu ikut kesedot kalau situsnya kena.

Yang jadi salah kamu cuma satu: pakai password yang sama di banyak tempat. Itu doang. Karena satu kebocoran di situs receh langsung berubah jadi kunci master ke email, m-banking, dan akun media sosial kamu.

Gue sendiri baru sadar ini sekitar tiga tahun lalu. Waktu iseng ngecek, ternyata email utama gue muncul di enam kebocoran berbeda — salah satunya dari layanan yang gue bahkan lupa pernah daftar. Rasanya kayak nemu kunci rumah lama yang ternyata masih nyangkut di pintu tetangga.

Cek Dulu, Panik Belakangan

Sebelum ngapa-ngapain, cek dulu posisi kamu. Ada beberapa cara yang gratis dan nggak ribet:

• Have I Been Pwned — situs yang dikelola peneliti keamanan, dipakai banyak perusahaan besar. Masukin email kamu, dia bakal nunjukin kebocoran mana aja yang melibatkan email itu, lengkap sama tanggal dan jenis data yang bocor.
• Google Password Checkup — kalau kamu simpan password di Chrome atau akun Google, buka pengelola sandi bawaannya. Dia otomatis nandain password yang lemah, yang dipakai berulang, dan yang udah muncul di kebocoran.
• iCloud Keychain — pengguna iPhone punya fitur serupa di Pengaturan, bagian Sandi lalu Rekomendasi Keamanan.

Yang perlu dipahami: muncul di daftar kebocoran bukan berarti akun kamu sekarang lagi dibobol. Itu cuma artinya data kamu pernah ikut kesebar. Bahaya baru muncul kalau password yang bocor itu masih kamu pakai di tempat lain.

Kalau Ternyata Kena, Urutannya Begini

Jangan langsung ganti semua password sekaligus — capek dan biasanya berhenti di tengah jalan. Kerjain berdasarkan prioritas.

Mulai dari email utama. Ini akun paling penting yang kamu punya, karena semua tombol lupa password mengarah ke sana. Kalau email jebol, sisanya cuma soal waktu. Habis itu baru akun finansial: m-banking, dompet digital, marketplace yang nyimpen kartu. Baru terakhir akun receh kayak forum, aplikasi kuis, atau layanan yang kamu daftar cuma buat dapet diskon.

Tiga Kebiasaan yang Beneran Ngefek

Setelah nemenin beberapa orang beres-beres akun, gue nemu polanya sama. Cuma tiga hal ini yang ngasih efek gede, sisanya bonus.

Pertama, pakai password manager. Ini yang paling berat diterima orang tapi paling ngubah hidup. Bitwarden gratis dan fiturnya lebih dari cukup, 1Password bayar tapi lebih halus, atau minimal pakai pengelola sandi bawaan Google dan Apple. Intinya kamu cuma perlu ngapal satu password panjang, sisanya biar aplikasi yang inget.

Kedua, aktifkan verifikasi dua langkah — tapi jangan yang SMS. OTP lewat SMS itu lemah karena rawan SIM swap, ada kasusnya di Indonesia dan pemulihannya menyakitkan. Pakai aplikasi authenticator kayak Aegis, Google Authenticator, atau Authy. Kalau layanannya udah dukung passkey, lebih bagus lagi: login pakai sidik jari atau wajah, nggak ada password yang bisa dicuri.

Ketiga, pisahkan email. Punya satu email khusus buat hal-hal serius (bank, kerja, dokumen) dan satu lagi buat daftar-daftar sampah. Kalau yang sampah bocor, kerugiannya nol.

Aman Nggak Sih Naruh Semua Password di Satu Tempat?

Ini pertanyaan yang hampir selalu muncul, dan wajar. Kesannya kayak naruh semua telur di satu keranjang.

Tapi coba bandingin sama kondisi sekarang. Sekarang password kamu bukannya tersebar aman — mereka tersebar di puluhan server perusahaan yang keamanannya kamu nggak tahu, sebagian pakai kombinasi yang sama, dan sebagian di situs yang mungkin udah bangkrut lima tahun lalu. Password manager yang bagus mengenkripsi datanya di perangkat kamu sebelum dikirim. Penyedia layanannya sendiri nggak bisa baca isinya.

Keranjangnya emang satu, tapi keranjangnya brankas, bukan tas kresek.

Yang Sebenarnya Nggak Perlu Kamu Lakuin

Ada banyak saran keamanan yang udah kedaluwarsa tapi masih beredar. Beberapa malah bikin kamu lebih rentan.

• Ganti password rutin tiap 30 hari. Lembaga standar keamanan AS sendiri udah nyabut rekomendasi ini bertahun-tahun lalu. Hasilnya orang cuma nambah angka di belakang: sandi1, sandi2, sandi3. Ganti password kalau ada indikasi bocor, bukan karena kalender.
• Password rumit yang mustahil diinget. Kombinasi simbol aneh yang akhirnya ditulis di sticky note nempel di monitor itu lebih buruk daripada frasa panjang yang gampang diinget.
• Ganti password tapi sesi lama dibiarin aktif. Habis ganti, selalu cari opsi keluar dari semua perangkat. Kalau nggak, penyerang yang udah login tetep nyaman di dalam.

Keamanan digital itu bukan soal jadi target yang mustahil ditembus. Cukup jadi target yang lebih merepotkan dibanding jutaan orang lain di daftar yang sama.

Mulai dari Satu Akun Aja

Kalau baca semua ini bikin kamu overwhelmed, wajar. Jangan coba beresin lima puluh akun malam ini juga, dijamin nyerah di akun kesepuluh.

Malam ini cukup satu langkah: buka email utama kamu, ganti passwordnya jadi sesuatu yang unik dan panjang, terus aktifin verifikasi dua langkah pakai aplikasi authenticator. Lima belas menit, selesai. Sisanya bisa dicicil pas lagi santai, seminggu dua-tiga akun.

Rio akhirnya dapet refund setelah dua minggu bolak-balik customer service, dan sekarang dia jadi orang paling cerewet soal password manager di grup kami. Nggak semua orang seberuntung itu. Lebih murah beresin sekarang selagi belum ada yang hilang.