Satu Password untuk 90 Akun, Saat Bocor Semuanya Lenyap Bersamaan

Pernahkah kamu login di sebuah situs, jari mengetik dengan mantap, lalu sadar bahwa sandi yang kamu masukkan adalah sandi Gmail-mu? Dan lebih seram lagi, sandi yang sama juga dipakai untuk aplikasi bank, marketplace, dan seluruh media sosialmu. Kalau jawabannya iya, kamu tidak sendirian, dan justru itulah masalahnya.

Banyak orang menganggap dirinya terlalu tidak penting untuk diretas, sehingga urusan keamanan akun terus ditunda. Padahal peretas tidak mengejar orang penting, mereka mengejar pola, dan pola paling sering ditemukan di internet adalah satu sandi yang dipakai di mana-mana.

Satu Sandi untuk Semua Akun, Kebiasaan Paling Rasional sekaligus Paling Rawan

Kebiasaan ini muncul karena alasan yang sangat manusiawi. Riset Intel pada 2017 memperkirakan rata-rata setiap orang harus mengelola setidaknya 90 akun daring dan mengingat 27 sandi, sehingga tidak heran kalau satu sandi akhirnya dipakai untuk banyak situs.

Chun Wang dan rekan-rekannya dari Virginia Tech menganalisis 61,5 juta sandi dari 28,8 juta pengguna di 107 layanan digital. Hasilnya, 38 persen orang memakai sandi yang sama untuk beberapa situs. Sementara 20 persen lainnya hanya memodifikasi sedikit sandinya, dan pola modifikasi itu konsisten sehingga mudah ditebak.

Studi dari Rutgers University yang dipresentasikan di USENIX Security menemukan hal yang memalukan: sandi yang secara matematis aman memang lebih sulit diingat. Akibatnya, 30 persen partisipan pernah melakukan reset sandi beberapa kali dalam beberapa tahun, dan 9 persen bahkan reset beberapa kali dalam sebulan. Otak manusia memang tidak dirancang untuk menyimpan 90 deretan karakter acak.

Kebocoran Skala Miliaran yang Tidak Bisa Diabaikan Lagi

Dua Kebocoran Terbesar Sepanjang Sejarah

Pada Juli 2024, seorang peretas bernama ObamaCare mengunggah basis data RockYou2024 ke forum peretasan, berisi 9.948.575.739 kata sandi dalam bentuk teks biasa. Data itu dikumpulkan selama lebih dari sepuluh tahun, menggabungkan RockYou2021 yang berisi 8,4 miliar sandi dengan 1,5 miliar sandi baru.

Setahun kemudian, Cybernews melaporkan 16 miliar kredensial bocor dari 30 basis data berbeda. Angka itu dua kali lipat populasi manusia di dunia yang berkisar 8,2 miliar jiwa. Peneliti Vilius Petkauskas menyebutnya bukan sekadar kebocoran data, melainkan senjata untuk eksploitasi massal, karena isinya data baru yang belum pernah muncul dalam insiden sebelumnya.

Dengan data semacam ini, peretas menjalankan serangan credential stuffing, mencoba sandi yang dicuri dari satu akun ke akun lain milik orang yang sama, berulang-ulang hingga berhasil. Jika sandimu termasuk dalam miliaran data itu dan dipakai di banyak tempat, satu kebocoran sudah cukup untuk menjatuhkan seluruh akunmu sekaligus.

Cara paling cepat untuk tahu apakah sandimu termasuk yang bocor adalah mengeceknya di HaveIBeenPwned, situs yang mencatat insiden kebocoran data tercatat.

Password Manager, Asisten yang Mengingat Semua Sandi agar Kamu Tidak Perlu

Solusi paling masuk akal untuk urusan ini adalah password manager. Cara kerjanya seperti buku catatan pintar yang merekam seluruh sandimu, lalu mengisi sendiri formulir login di situs dan aplikasi yang kamu pakai. Kamu cukup mengingat satu sandi utama, yakni sandi pembuka aplikasi pengelola tersebut.

Pilihan termudah dimulai dari yang sudah ada di HP-mu. Pengelola Kata Sandi Google tersedia gratis di Chrome dan Android, bisa membuat sandi kuat secara otomatis, mengisinya saat login, dan memperingatkanmu jika ada sandi yang lemah atau dipakai berulang. Google juga sudah menambahkan autentikasi biometrik di versi desktop, sehingga Chrome harus memverifikasi sidik jari atau wajahmu dulu sebelum mengisi sandi.

Bagi yang ingin melangkah melampaui bawaan browser, banyak aplikasi pihak ketiga yang teruji. Bitwarden bersifat open-source dan gratis dengan penyimpanan tanpa batas serta sinkronisasi antar perangkat, versi premiumnya hanya sepuluh dollar AS per tahun. 1Password dikenal dengan antarmuka yang rapi, fitur Watchtower yang memantau keamanan sandi, dan Travel Mode untuk menyembunyikan data sensitif saat bepergian.

Selain itu ada Dashlane yang gratis untuk 25 login dengan VPN bawaan di versi premium, NordPass dari pengembang NordVPN, KeePassXC dan Enpass untuk yang ingin menyimpan data secara lokal, serta Keeper dengan fitur pengisian otomatis KeeperFill, akses biometrik Touch ID maupun Face ID, dan berbagi sandi secara aman.

Tapi Pengelola Sandi Itu Sendiri Pernah Bocor Juga

Kasus AutoSpill dan Insiden LastPass 2022

Sebelum kamu percaya sepenuhnya, perlu tahu bahwa alat pelindungnya pun pernah ada celanya. Para peneliti IIIT Hyderabad, Ankit Gangwal, Shubham Singh, dan Abhijeet Srivastava, mempresentasikan kerentanan AutoSpill di Black Hat Europe. Saat aplikasi Android memuat halaman login lewat WebView, password manager bisa bingung soal ke mana harus mengirimkan kredensial, dan akhirnya justru mengeksposnya ke aplikasi dasar.

Para peneliti menguji 1Password, LastPass, Keeper, dan Enpass pada perangkat Android. Sebagian besar rentan, dan saat injeksi JavaScript diaktifkan semuanya rentan. Lalu ada juga insiden pencurian backup vault pelanggan LastPass pada akhir 2022, yang membuat banyak pengguna bertanya apakah menyimpan sandi di server orang lain memang aman.

Dari kekhawatiran itu muncul pendekatan baru yang sepenuhnya lokal. BlindLock, dikembangkan secara mandiri oleh David Domingo, menyembunyikan seluruh data di dalam file gambar PNG biasa, tanpa server pusat dan tanpa cloud. Vault-nya hanya bisa dibuka jika tiga hal cocok, yakni file carrier, kata sandi utama, dan perangkat yang diotorisasi, lalu dilindungi enkripsi 256-bit dengan komponen pasca-kuantum NIST.

Alternatif serupa datang dari Tether dengan PearPass, pengelola kata sandi berbasis peer-to-peer yang bekerja tanpa layanan cloud. Sinkronisasi antar perangkat dilakukan langsung tanpa perantara server, dan kode sumbernya bersifat open-source agar bisa diaudit secara terbuka. Hanya saja hingga kini PearPass masih berada dalam tahap finalisasi dan pengujian.

Pelajaran dari semua ini, password manager tetap layak dipakai, tapi tidak ada satu pun lapisan keamanan yang sempurna, sehingga kamu tetap perlu menyiapkan cadangan.

Langkah Praktis yang Bisa Dimulai Hari Ini

Urutan Paling Masuk Akal untuk Pemula

Pertama, cek dulu kondisi sandimu di HaveIBeenPwned. Kedua, aktifkan pengelola kata sandi bawaan perangkatmu karena gratis dan sudah terintegrasi, lalu biarkan aplikasi itu membuat sandi unik untuk setiap akun baru. Ketiga, nyalakan verifikasi dua langkah atau 2FA, sehingga meski sandi bocor, pelaku masih harus melewati kode tambahan.

Mulai sekarang WhatsApp bahkan mengizinkan PIN 2FA diganti dengan password yang jauh lebih kompleks, kombinasi huruf, angka, dan karakter khusus seperti @ dan #. Layanan ini juga mencatat bahwa lebih dari satu miliar pengguna sudah mengaktifkan passkey, dan satu akun kini bisa memiliki beberapa passkey sekaligus, misalnya terpisah untuk perangkat Android dan iOS. Pengaturannya ada di menu Settings, Account, lalu Passkeys.

Selanjutnya, cobalah passkey untuk akun Google-mu. Buka g.co/passkeys lalu daftarkan perangkatmu. Setelah itu login cukup dilakukan dengan sidik jari, pemindai wajah, atau kode PIN, tanpa mengetik sandi lagi. Mekanisme ini terikat pada perangkat yang kamu pegang, sehingga jauh lebih sulit diphishing, dan langsung berlaku untuk Gmail, Drive, Meet, serta seluruh layanan Google Workspace.

Kalau kamu ingin pindah antar password manager, kabar baiknya standar Credential Exchange Protocol atau CXP sedang disiapkan agar passkey bisa diimpor dan diekspor antar aplikasi dengan aman, sehingga tidak perlu membuat ulang semuanya dari nol.

Tidak Ada Sandi Sempurna, Tapi Ada Kebiasaan yang Lebih Aman

Mengelola puluhan akun memang melelahkan, tapi solusinya bukan menyerah dan memakai satu sandi untuk semuanya. Biarkan teknologi yang mengingat, sementara kamu cukup menjaga satu sandi utama dan menyalakan satu lapisan keamanan tambahan.