Misalkan pada suatu malam di hari kerja, masuk pesan dari situs tiket yang terakhir Anda pakai tiga tahun lalu. Subjeknya berbunyi "Penting: data Anda mungkin terekspos". Anda nyaris lupa pernah punya akun di sana, tidak tahu kata sandi mana yang dulu dipakai, dan pesan itu memuat tombol besar bertuliskan "Amankan akun saya". Satu jam berikutnya lebih menentukan daripada sisa minggu itu, dan hal pertama yang harus dilakukan dalam jam itu adalah tidak menyentuh tombol tersebut.
Singkatnya: pastikan pemberitahuan itu asli dengan membuka sendiri situs perusahaannya, cari tahu jenis data apa yang diambil, amankan kotak masuk utama Anda sebelum yang lain, lalu ganti kata sandi yang bocor di semua tempat Anda memakainya dan aktifkan autentikasi dua faktor atau passkey. Kebocoran data email berarti perusahaan yang menyimpan alamat Anda kehilangan kendali atasnya, biasanya bersama data lain. Kebocoran itu tidak bisa dibatalkan. Yang bisa Anda lakukan adalah memastikan dampaknya berhenti sebagai gangguan dan tidak berkembang menjadi pembobolan akun.
Satu jam pertama, berurutan
Urutan di bawah ini berangkat dari satu gagasan: kotak masuk Anda bisa dipakai untuk mereset hampir semua kata sandi lain, jadi ia dilindungi lebih dulu daripada akun yang benar-benar dibobol. Waktunya hanya perkiraan. Jika kata sandi tidak ikut bocor, Anda bisa melewati langkah 4 dan 5 dan selesai dalam lima belas menit.
- Jangan gunakan apa pun di dalam pesan (2 menit pertama). Jangan klik tautan, buka lampiran, atau hubungi nomor telepon dari pemberitahuan itu. Pemberitahuan palsu adalah susulan yang lazim setelah kebocoran sungguhan, dan pemberitahuan asli tidak rugi apa-apa kalau tombolnya Anda abaikan.
- Pastikan secara mandiri (5 menit berikutnya). Ketik alamat situs perusahaan itu di peramban atau pakai bookmark lama, lalu cari pemberitahuan keamanan atau banner. Cari nama perusahaan bersama kata "kebocoran" dan lihat apakah media tepercaya atau perusahaan itu sendiri melaporkannya.
- Baca data apa yang diambil (5 menit berikutnya). Pemberitahuan, pernyataan perusahaan, atau layanan pengecekan akan menyebut jenis datanya. Kata sandi, data kartu, dan dokumen identitas masing-masing menuntut langkah yang berbeda, dan tabel di bagian bawah memetakannya.
- Amankan kotak masuk utama (15 menit berikutnya). Beri kata sandi panjang yang tidak dipakai di tempat lain, keluarkan sesi di perangkat lain, aktifkan autentikasi dua faktor atau passkey, lalu periksa aturan penerusan dan data pemulihan. Langkah untuk Gmail, Outlook, dan iCloud ada di bagian kotak masuk di bawah.
- Tangani kata sandi yang bocor (20 menit berikutnya). Ganti di situs yang dibobol itu, lewat halaman login resminya. Lalu ingat-ingat di mana lagi Anda memakainya atau yang mirip dengannya, dan ganti juga di sana, mulai dari perbankan, operator seluler, penyimpanan cloud, dan toko mana pun yang menyimpan kartu Anda.
- Catat yang sudah Anda lakukan (5 menit terakhir). Tulis nama perusahaan, tanggal, data yang terlibat, dan kata sandi mana yang sudah diganti. Kalau tiga bulan lagi terjadi hal aneh, catatan itu membantu Anda menilai apakah keduanya berkaitan.
Kalau waktu atau tenaga Anda habis, berhentilah setelah langkah 4. Kotak masuk yang terlindungi menjaga sebagian besar pilihan Anda tetap terbuka, karena penyerang yang tidak bisa membaca email Anda jauh lebih sulit mereset akun lain.
Apakah pemberitahuannya asli?
Perusahaan memang mengirim pesan semacam ini, dan di banyak tempat mereka wajib melakukannya. Menurut Pasal 34 GDPR Uni Eropa, organisasi harus memberi tahu orang yang terdampak tanpa penundaan yang tidak semestinya bila kebocoran berpotensi menimbulkan risiko tinggi bagi mereka, dan setiap negara bagian AS punya undang-undang pemberitahuan kebocorannya sendiri dengan pemicu yang berbeda-beda. Aturannya berlainan, itu sebabnya Anda bisa mendengar kabar dari satu perusahaan dalam beberapa hari, dari perusahaan lain berbulan-bulan kemudian, atau tidak sama sekali. Ulasan kami tentang undang-undang privasi email membahas sisi hukumnya lebih dalam.
Para penjahat tahu orang menunggu pesan semacam ini. Berikut contoh rekaan jenis pemberitahuan palsu yang perlu diwaspadai:
Contoh pemberitahuan palsu (rekaan, sebagai ilustrasi):
Subjek: Insiden keamanan MENDESAK pada akun Anda
Pelanggan yang terhormat, kata sandi Anda terekspos dalam insiden baru-baru ini. Akun Anda akan ditutup dalam 12 jam kecuali Anda mengonfirmasi kata sandi dan nomor kartu Anda saat ini lewat tombol aman di bawah.
Tiga hal membongkar pesan itu. Batas waktunya dihitung dalam jam, ia meminta kata sandi Anda saat ini, dan ia menginginkan nomor kartu, yang tidak dibutuhkan proses reset yang sah. Pemberitahuan asli menjelaskan apa yang terjadi dan menyuruh Anda mengganti kata sandi di situsnya. Panduan kami tentang cara mengenali email phishing membahas lebih banyak tanda, tetapi perbandingan berikut sudah mencakup yang khas pada kasus kebocoran.
| Hal yang diperiksa | Pemberitahuan asli cenderung | Pemberitahuan palsu cenderung |
|---|---|---|
| Instruksi | Menyarankan Anda mengganti kata sandi di situs, atau menyebut bahwa reset sudah diberlakukan | Mendorong Anda lewat tombol ke halaman login |
| Rincian | Menyebut insidennya, perkiraan tanggal, dan jenis datanya | Tetap samar tentang apa yang terjadi |
| Permintaan | Tidak meminta hal sensitif lewat email | Meminta kata sandi, nomor kartu, atau kode yang dikirim ke ponsel Anda |
| Lampiran | Jarang menyertakannya | Menyertakan "laporan" berupa ZIP, dokumen makro, atau file seperti report.pdf.exe |
| Jejak publik | Sesuai dengan pernyataan di situs perusahaan | Tidak meninggalkan jejak publik sama sekali |
| Penawaran | Bisa menawarkan pemantauan identitas lewat penyedia yang disebut namanya, dengan kode untuk dipakai di situs penyedia itu | Menuntut biaya, atau meminta data bank untuk membayar kompensasi kepada Anda |
Sebuah pesan juga bisa lolos semua pemeriksaan teknis dan tetap tidak diinginkan. Di Gmail, menu tiga titik punya opsi Tampilkan asli, yang menampilkan hasil SPF, DKIM, dan DMARC. Hasil dmarc=fail pada pesan yang mengaku dari perusahaan besar adalah peringatan kuat. Hasil lolos hanya memberi tahu bahwa email datang dari domain yang tampil, dan domain itu bisa saja domain tiruan yang didaftarkan minggu lalu.
Pemberitahuan kadang datang dari nama yang tidak Anda kenal, karena insidennya terjadi di vendor: layanan dukungan, platform pemasaran, atau pemroses pembayaran yang bekerja untuk perusahaan yang Anda kenal. Dalam kasus itu, cari konfirmasi dari perusahaan yang Anda kenal. Kalau tidak menemukan apa-apa, Anda bisa menulis ke tim dukungannya lewat halaman kontak resminya dan bertanya.
Baca daftar datanya: itu yang menentukan beban kerja Anda
Alamat email hampir tidak pernah bocor sendirian. Apakah ini menghabiskan sepuluh menit atau seharian bergantung pada apa yang tersimpan di sebelahnya dalam tabel yang dicuri. Misalkan situs tiket dalam contoh kita melaporkan "nama, alamat email, dan kata sandi ter-hash". Itu menempatkan Anda di baris ketiga di bawah, dengan sebagian pekerjaan dari baris kedua.
| Bocor bersama alamat Anda | Yang bisa dilakukan orang dengannya | Yang perlu Anda lakukan |
|---|---|---|
| Tidak ada yang lain | Mengirim spam dan phishing bertarget, menghubungkan catatan Anda lintas kebocoran, menguji kata sandi yang dipakai ulang di tempat lain | Waspadai pesan yang menyebut layanan itu; pertimbangkan memindahkan akun ke alamat lain |
| Kata sandi dalam teks biasa | Langsung masuk ke situs itu dan mencoba pasangan yang sama di situs lain | Ganti di semua tempat pemakaiannya, hari ini juga |
| Kata sandi ter-hash | Mencoba memecahkannya secara offline; kata sandi lemah dan umum jatuh lebih dulu | Perlakukan seperti teks biasa |
| Nama, nomor telepon, alamat rumah | Menulis pesan yang meyakinkan, menelepon untuk menipu, mencoba SIM swap | Tambahkan PIN atau kunci pemindahan nomor di operator Anda; hati-hati dengan telepon dan SMS tak terduga |
| Tanggal lahir, jawaban pertanyaan keamanan | Menyalahgunakan pemulihan akun, melewati pemeriksaan identitas yang lemah | Ganti jawaban pertanyaan keamanan dengan jawaban acak yang disimpan di pengelola kata sandi |
| Sebagian data kartu | Menambah kredibilitas penipuan ("kami melihat kartu Anda berakhiran 1234") | Pantau tagihan; penelepon yang tahu angka-angka itu belum membuktikan apa-apa |
| Nomor kartu lengkap | Mencoba pembelian curang | Telepon penerbit kartu dengan nomor yang tertera di kartu dan minta penggantian |
| Nomor identitas pemerintah | Mencoba penipuan identitas | Ikuti panduan otoritas nasional Anda; lihat bagian tentang data identitas di bawah |
| Alamat IP, detail perangkat | Memperkirakan lokasi kasar Anda, menyesuaikan penipuan | Hampir tidak ada yang bisa dilakukan langsung |
| Pesan atau file pribadi | Memeras atau mempermalukan, membuka data orang lain | Cari tahu isinya dan siapa lagi yang terdampak; laporkan pemerasan ke polisi |
Soal "ter-hash", karena perusahaan sering memakainya agar terdengar menenangkan. Hash adalah pengacakan satu arah dari kata sandi Anda, dan seberapa besar perlindungannya bergantung pada metodenya. Algoritma yang lambat dan memakai salt seperti bcrypt atau Argon2 membuat penebakan mahal, sehingga kata sandi acak yang panjang dan tersimpan seperti itu mungkin tidak akan pernah terpulihkan. Hash cepat seperti MD5 atau SHA-1 tanpa salt bisa diserang dengan kecepatan luar biasa, dan kata sandi pendek atau umum cepat tumbang dengan metode apa pun. Pemberitahuan jarang memberi cukup informasi untuk menilainya, jadi ganti saja kata sandinya.
Apa yang bisa dilakukan alamat yang bocor saja
"Hanya alamat email Anda yang terdampak" terdengar seperti kabar baik, dan dibandingkan kebocoran kata sandi memang begitu. Alamat bukan rahasia, dan tidak ada yang bisa masuk ke akun Anda hanya dengannya. Meski begitu, ia mengubah posisi Anda dalam beberapa hal yang layak dipahami.
Alamat dari layanan sungguhan diketahui milik orang yang suka mendaftar di berbagai tempat, sehingga lebih bernilai bagi pengirim spam daripada alamat tebakan. Daftar digabung dan dijual kembali, jadi lonjakan spam bisa mulai berbulan-bulan setelah insiden dan tampak tidak berkaitan.
Kebocoran itu juga memberi tahu penjahat di mana Anda punya akun. Pesan umum "ada masalah dengan pesanan Anda" mudah diabaikan. Pesan yang menyebut toko yang benar-benar Anda pakai, menyapa dengan nama dari kebocoran yang sama, dan datang saat toko itu sedang diberitakan jauh lebih sulit dikenali. Ini alasan praktis utama untuk tetap waspada beberapa minggu setelah pemberitahuan.
Alamat Anda juga berfungsi sebagai kunci penghubung. Misalkan satu kebocoran mengaitkannya dengan nama pengguna game, kebocoran lain dengan nomor telepon, dan yang ketiga dengan kota tempat tinggal. Siapa pun yang memegang ketiganya bisa menyejajarkannya lewat alamat yang sama dan menyusun profil yang tidak pernah Anda serahkan utuh kepada siapa pun. Memakai alamat yang sama di mana-mana membuat hal itu mungkin, dan itu juga bagian yang bisa Anda ubah.
Dan alamat adalah separuh dari kebanyakan login, yang membawa kita ke serangan yang membuat kebocoran menjadi mahal.
Bagaimana satu kebocoran menjadi banyak
Perusahaan yang dibobol sering kali bukan tempat kerusakan terjadi. Credential stuffing adalah pengujian otomatis pasangan email dan kata sandi yang bocor terhadap layanan lain. Pasangan dari banyak kebocoran dikompilasi menjadi "combo list" besar, lalu alat-alat menjalankannya terhadap penyedia email, toko, layanan streaming, platform game, dan penyimpanan cloud. Kebanyakan percobaan gagal. Yang berhasil cukup banyak untuk menguntungkan, karena satu keberhasilan bisa dipakai membeli barang dengan kartu tersimpan, menguras poin loyalitas, mengirim spam dari akun tepercaya, atau memulai reset kata sandi pada layanan yang tertaut.
Semua ini bergantung pada pemakaian ulang. Misalnya, ambil seseorang yang memakai Harbour2019! di situs tiket, di sebuah toko, dan di emailnya. Kebocoran situs tiket membuka satu kata sandi dan tiga akun. Seandainya tiap situs punya kata sandi acaknya sendiri, kebocoran yang sama hanya membuka satu akun yang jarang dipakai orang itu. Perubahan kecil tidak banyak membantu, karena alat penyerang mencoba variasi yang gampang ditebak: mengganti tahun, menambah satu angka, menukar tanda seru.
Password spraying adalah kebalikannya. Alih-alih menguji satu kata sandi yang diketahui untuk setiap orang, penyerang mencoba beberapa kata sandi yang sangat umum terhadap daftar panjang alamat yang valid. Kata sandi Anda tidak perlu bocor agar ini berhasil. Cukup kalau kata sandinya umum, dan kebocoran menyediakan alamatnya.
Ada satu sumber kata sandi curian lain yang perlu disebut karena mengubah sarannya. Malware yang dikenal sebagai infostealer menyalin kata sandi tersimpan dan cookie login langsung dari perangkat yang terinfeksi, dan log curian itu beredar mirip data kebocoran. Kalau kata sandi yang tidak pernah Anda pakai ulang muncul sebagai terekspos, atau sebuah akun diambil alih padahal kata sandinya kuat dan tidak ada kebocoran yang diketahui, perangkat Anda mungkin sumbernya. Pindai dengan perangkat lunak keamanan terpercaya dan ganti kata sandi dari perangkat yang bersih, karena mengganti kata sandi di komputer yang terinfeksi bisa menyerahkan kata sandi barunya juga.
Memeriksa paparan Anda sendiri
Satu pemberitahuan hanya bercerita tentang satu perusahaan. Untuk melihat gambaran lebih luas, pakai lebih dari satu sumber, karena tidak ada basis data yang mencakup setiap insiden.
Have I Been Pwned (haveibeenpwned.com), yang dijalankan peneliti keamanan Troy Hunt, adalah layanan pengecekan yang paling dikenal. Masukkan sebuah alamat dan ia mendaftar kebocoran yang diketahui memuat alamat itu, lengkap dengan tanggal dan jenis datanya. Fitur notifikasinya mengirim email saat alamat Anda muncul di kebocoran yang baru dimuat, yang layak diatur sekali lalu dilupakan. Sebagian kebocoran yang dianggap sensitif disembunyikan dari pencarian publik dan baru ditampilkan setelah Anda membuktikan memiliki alamat itu. Mozilla Monitor menawarkan pengecekan dan peringatan serupa memakai data Have I Been Pwned, dan membutuhkan akun Mozilla untuk peringatan berkelanjutan.
Hasil kosong tidak berarti Anda aman. Banyak kebocoran tidak pernah ditemukan atau tidak pernah sampai ke layanan ini. Daftar yang panjang juga tidak berarti Anda dalam masalah, karena entri lama sering menyangkut kata sandi yang sudah lama Anda ganti. Lihat tanggal dan jenis datanya, lalu tindak lanjuti apa pun yang masih mungkin dipakai.
Pengecekan email hanya membutuhkan alamat Anda. Kata sandi menuntut kehati-hatian lebih. Google Password Manager punya Pemeriksaan Sandi, aplikasi Kata Sandi di perangkat Apple punya bagian Keamanan yang menandai kata sandi yang bocor dan dipakai ulang, dan pengelola pihak ketiga punya laporan serupa, seperti Watchtower di 1Password dan laporan kata sandi terekspos di Bitwarden. Semuanya berjalan terhadap daftar tersimpan Anda, yang juga cara tercepat menemukan di mana kata sandi dipakai ulang.
Fitur Pwned Passwords menunjukkan bagaimana pengecekan bisa berlangsung tanpa mengungkap kata sandinya. Perangkat Anda menghitung hash SHA-1 dari kata sandi dan hanya mengirim lima karakter pertamanya. Layanan mengembalikan semua hash bocor yang diawali karakter itu, lalu perangkat Anda membandingkan sisanya secara lokal. Layanan tidak pernah menerima kata sandinya, bahkan hash lengkapnya pun tidak, sebuah metode yang disebut k-anonymity.
Jangan pernah mengetik kata sandi di situs acak yang menawarkan untuk memberi tahu apakah kata sandi itu sudah diretas. Alat bawaan pengelola kata sandi atau peramban Anda aman dipakai. Halaman pengecek yang Anda buka dari sebuah email atau iklan bisa saja hanya mengumpulkan kata sandi.
Anda juga bisa belajar banyak dari email Anda sendiri. Cari di kotak masuk kata "welcome", "verify your email", "confirm your account", dan "your password has been changed". Hasilnya adalah daftar kasar layanan yang menyimpan alamat Anda, dan sebagian akan sudah Anda lupakan. Daftar itu berguna di bagian pembersihan di bawah.
Audit kotak masuk yang benar
Mengganti kata sandi saja tidak cukup kalau seseorang sudah sempat masuk. Orang yang berhasil masuk ke kotak masuk sering memasang sesuatu yang bertahan melewati pergantian kata sandi, jadi periksa empat hal ini: sesi yang terbuka, penerusan, filter, dan data pemulihan. Nama menu berubah dari waktu ke waktu, tetapi jalur berikut seharusnya cukup mendekati.
Gmail dan akun Google
Di Gmail versi web, buka ikon roda gigi, lalu Lihat semua setelan. Periksa Penerusan dan POP/IMAP untuk alamat penerusan yang tidak Anda tambahkan, dan Filter dan Alamat yang Diblokir untuk aturan yang menghapus atau meneruskan email. Di kanan bawah kotak masuk, tautan Detail di bawah aktivitas akun terakhir menampilkan akses terbaru. Di Akun Google Anda, halaman Keamanan mencantumkan perangkat Anda, aktivitas keamanan terbaru, nomor telepon dan email pemulihan, serta koneksi pihak ketiga. Keluarkan perangkat apa pun dan hapus aplikasi apa pun yang tidak Anda kenali.
Outlook.com dan akun Microsoft
Di Outlook versi web, buka Setelan, lalu Email. Periksa Penerusan dan Aturan. Di akun Microsoft Anda, buka Keamanan untuk meninjau aktivitas masuk, dan periksa metode verifikasi serta aplikasi apa yang terhubung.
Apple dan iCloud Mail
Di iPhone, buka Pengaturan, ketuk nama Anda, lalu Login & Keamanan untuk meninjau nomor telepon tepercaya dan opsi pemulihan Anda. Daftar perangkat di bagian bawahnya menampilkan semua yang masuk ke Akun Apple Anda. Aturan email dan penerusan untuk iCloud Mail bisa diperiksa dari pengaturan Mail di iCloud.com.
Seperti apa kotak masuk yang diutak-atik
Alamat penerusan yang tidak Anda tambahkan adalah tanda paling jelas, karena diam-diam mengirim salinan email Anda, termasuk reset kata sandi, ke orang lain. Tak jauh di belakangnya ada filter yang langsung membuang atau mengarsipkan pesan berisi kata seperti "keamanan", "kata sandi", atau nama bank Anda. Pesan terkirim yang tidak dikenal, nomor telepon pemulihan yang asing, atau aplikasi terhubung yang tidak pernah Anda setujui, semuanya menunjuk ke arah yang sama.
Jika menemukan salah satunya, anggap kotak masuk itu sudah disusupi. Hapus item tersebut, ganti kata sandi lagi dari perangkat yang Anda percaya, keluarkan semua sesi, lalu telusuri isi email-nya. Cari pesan reset kata sandi yang tidak Anda minta, karena itu menunjukkan akun lain mana yang dibidik. Proses pemulihan akun dari penyedia adalah jalur yang tepat jika Anda terkunci, dan Anda sebaiknya menjangkaunya lewat halaman bantuan resmi penyedia. Hasil pencarian untuk "nomor bantuan email" adalah ladang perburuan yang dikenal bagi penipu.
Memilih faktor kedua
Autentikasi dua faktor menghentikan sebagian besar credential stuffing, karena kata sandi yang bocor saja tidak lagi cukup untuk masuk. Namun metodenya berbeda jauh, dan setelah kebocoran masuk akal untuk menaikkan akun penting Anda ke tingkat yang lebih tinggi di tabel ini bila memungkinkan.
| Metode | Seberapa kuat | Kelemahannya |
|---|---|---|
| Kode lewat SMS | Jauh lebih baik daripada kata sandi saja | SIM swap; kode bisa diketik di situs palsu lalu diteruskan |
| Kode yang dikirim lewat email | Lemah untuk akun terpenting Anda | Tidak berguna jika kotak masuknya sendiri disusupi, dan percuma untuk login kotak masuk itu sendiri |
| Aplikasi autentikator (TOTP) | Baik, dan tidak bergantung pada nomor telepon Anda | Kode tetap bisa di-phishing di halaman login palsu yang meyakinkan; simpan cadangan untuk saat Anda ganti ponsel |
| Persetujuan lewat notifikasi push | Baik bila meminta Anda mencocokkan angka | Tanpa pencocokan angka, permintaan berulang bisa membuat orang lelah lalu menekan Setujui |
| Passkey atau kunci keamanan perangkat keras | Pilihan terkuat bagi kebanyakan orang | Perlu sedikit penyiapan dan kunci kedua atau perangkat tersinkron sebagai cadangan; belum tersedia di mana-mana |
Passkey layak mendapat perhatian ekstra dalam konteks ini. Passkey adalah kredensial berbasis kriptografi kunci publik yang terikat pada domain satu situs. Situs hanya menyimpan setengah publiknya, jadi tabel pengguna yang dicuri tidak berisi apa pun yang bisa dipakai untuk masuk sebagai Anda. Situs phishing tiruan pun tidak mendapat apa-apa, karena perangkat Anda tidak akan menawarkan kredensial itu ke domain yang salah. Jika penyedia email dan bank Anda mendukung passkey, pemberitahuan kebocoran adalah saat yang pas untuk menyiapkannya. Apa pun metode yang Anda pakai, simpan kode pemulihan saat ditawarkan, di pengelola kata sandi atau di atas kertas di tempat aman di rumah.
Bila data pembayaran atau identitas ikut terlibat
Kebocoran email dan kata sandi biasa tidak memerlukan semua ini. Jika daftarnya mencakup nomor kartu lengkap, data bank, atau nomor identitas pemerintah, langkah berikutnya bergantung pada tempat tinggal Anda dan apa yang ditawarkan perusahaan.
Untuk kartu, telepon penerbit dengan nomor yang tercetak di kartu dan tanyakan apakah kartu perlu diganti. Periksa tagihan terbaru untuk transaksi uji kecil, yang sering muncul sebelum yang lebih besar. Jika perusahaan menawarkan pemantauan identitas gratis, Anda bisa mengaksesnya lewat situs resmi perusahaan, dan perlu tahu bahwa pemantauan hanya melaporkan masalah setelah masalah itu dimulai.
Di Amerika Serikat, pembekuan kredit (credit freeze) adalah alat gratis yang paling kuat. Hukum federal membuat pembekuan dan pencairannya gratis di setiap dari tiga biro nasional (Equifax, Experian, dan TransUnion), dan pembekuan umumnya mencegah kredit baru dibuka atas nama Anda sampai Anda mencabutnya. Anda perlu menghubungi tiap biro secara terpisah. Peringatan penipuan (fraud alert) adalah opsi yang lebih ringan yang meminta pemberi pinjaman memverifikasi identitas Anda, berlaku setahun, dan jika dipasang di satu biro akan diteruskan ke yang lain. Jika identitas Anda sudah disalahgunakan, situs IdentityTheft.gov dari FTC menghasilkan rencana pemulihan dan laporan yang bisa Anda gunakan dengan bank dan biro.
Di tempat lain, pilihannya berbeda. Di Inggris, Anda bisa memeriksa berkas Anda di lembaga rujukan kredit dan bertanya kepada bank apa yang disarankan, dan pendaftaran perlindungan berbayar tersedia dari layanan pencegahan penipuan Cifas. Di Uni Eropa dan banyak negara lain, hubungi bank Anda dan lihat panduan dari otoritas konsumen atau perlindungan data nasional. Jika pindaian paspor atau KTP nasional diambil, otoritas penerbitnya bisa memberi tahu apakah penggantian dokumen itu tepat.
Nomor telepon yang bocor punya perbaikannya sendiri. Minta operator seluler Anda untuk PIN akun, PIN pemindahan nomor, atau kunci nomor, tergantung sebutan yang dipakainya. Ini mempersulit penipuan SIM swap, ketika penyerang membujuk operator memindahkan nomor Anda ke SIM miliknya lalu menerima kode SMS Anda. Operator berbeda-beda dalam apa yang ditawarkan, jadi tanyakan langsung.
Situasi yang serba canggung
Kebocoran di situs yang tidak pernah Anda pakai
Ada beberapa kemungkinan penjelasan. Seseorang mungkin salah mengetik alamat Anda atau sengaja memakainya, datanya mungkin berasal dari vendor yang bekerja untuk perusahaan yang disebut, kebocoran itu mungkin daftar hasil scraping atau gabungan, atau Anda sekadar lupa akun dari bertahun-tahun lalu. Untuk mengetahuinya, pakai fungsi "lupa kata sandi" di situs resminya. Jika reset datang, berarti akunnya ada, dan Anda bisa mengamankan atau menutupnya. Jika Anda tidak pernah membuatnya, hubungi perusahaan, karena data orang lain mungkin terkait dengan alamat Anda.
Kata sandi lama yang sudah tidak Anda pakai
Itu kabar baik, selama "sudah tidak dipakai" benar di mana-mana. Akun yang terlupakan cenderung mempertahankan kata sandi lama, dan kata sandi baru yang dibuat dengan pola yang sama juga layak diganti. Cari di pengelola kata sandi Anda, kalau punya.
Email pemerasan yang mengutip kata sandi Anda
Penipuan ini umum, dan menakutkan pada kali pertama. Pengirim mengutip kata sandi lama Anda yang asli sebagai bukti, mengaku telah merekam Anda lewat webcam, dan menuntut kripto. Dalam kasus yang lazim, kata sandi itu berasal dari daftar kebocoran dan tidak ada rekaman apa pun. Jangan bayar dan jangan balas. Ganti kata sandi itu di semua tempat yang masih memakainya, laporkan pesannya, dan blokir pengirimnya. Jika pesan itu berisi materi pribadi yang asli atau ancaman yang Anda anggap serius, simpan salinannya dan hubungi polisi.
Alamat kantor Anda ikut bocor
Beri tahu tim IT atau keamanan Anda, meskipun rasanya sepele. Mereka mungkin ingin memeriksa pemakaian ulang pada sistem perusahaan, mereset kredensial, atau mengawasi phishing bertarget. Periksa kebijakan perusahaan Anda sebelum mendaftar layanan pemantauan dengan alamat kantor, dan simpan akun pribadi di alamat pribadi mulai sekarang.
Orang tua atau kerabat menerima pemberitahuannya
Jalani urutan yang sama bersama mereka, dengan fokus pada kotak masuk utama dan kata sandi yang dipakai ulang. Kerabat yang lebih tua sering menjadi sasaran telepon susulan yang menyebut kebocoran itu, jadi satu aturan berguna yang bisa disepakati adalah bahwa tidak ada perusahaan sungguhan yang akan meminta mereka membacakan kode. Kalau penelepon bilang lain, mereka bisa menutup telepon dan menelepon balik ke nomor yang tertera di kartu bank atau lembar tagihan.
Pesan tentang penyelesaian atau kompensasi
Setelah kebocoran besar, Anda mungkin menerima pesan tentang gugatan kelompok atau skema kompensasi. Sebagian asli, dan sebagian tiruan yang dibuat untuk mengumpulkan data bank. Periksa penyelesaiannya di halaman resmi pengadilan, regulator, atau perusahaan sebelum mengisi apa pun. Jangan bayar biaya untuk menerima kompensasi.
Dalam beberapa minggu berikutnya
Setelah bagian mendesaknya lewat, kebocoran adalah alasan bagus untuk memperbaiki hal-hal yang membuatnya berbahaya. Tidak ada yang perlu dikerjakan dalam sekali duduk.
Mulailah dengan pengelola kata sandi, kalau Anda belum memakainya. Ia membuat kata sandi acak untuk tiap situs, dan akan menolak mengisi di domain tiruan, yang memberi sedikit perlindungan dari phishing juga. Pilih produk yang dikenal baik, lindungi dengan frasa sandi panjang dan faktor kedua, lalu pindahkan akun terpenting Anda lebih dulu. Sisanya bisa menyusul saat Anda login ke sana. Panduan identitas digital NIST menyarankan agar tidak memaksakan penggantian kata sandi rutin demi penggantian itu sendiri, dan lebih baik memeriksa kata sandi terhadap kebocoran yang diketahui, jadi Anda tidak perlu merotasi semuanya sesuai jadwal. Ganti yang terekspos, lemah, atau dipakai ulang.
Lalu telusuri daftar akun terlupakan dari pencarian di kotak masuk tadi. Setiap akun tidak aktif adalah data tersimpan yang menunggu insiden berikutnya. Login, hapus apa yang bisa dihapus dari profil, hapus kartu tersimpan, dan tutup akunnya. Jika tidak ada tombol hapus, tulis ke kontak privasi di kebijakan privasi situs itu. Berdasarkan GDPR dan beberapa undang-undang lain, termasuk di California, banyak orang berhak meminta penghapusan, meski perusahaan boleh menyimpan catatan yang wajib dipertahankannya, dan hak-hak ini bergantung pada tempat tinggal Anda.
Pertanyaan keamanan berikutnya. "Nama gadis ibu" dan "sekolah pertama" sering bisa ditemukan dari data kebocoran atau media sosial. Jika sebuah situs memaksa Anda memakainya, berikan jawaban acak dan simpan di pengelola kata sandi seperti kata sandi.
Terakhir, tetaplah memperhatikan untuk sementara waktu. Data yang bocor terus beredar bertahun-tahun, dan phishing bertarget sering datang lama setelah beritanya reda. Biarkan peringatan kebocoran tetap aktif, tinjau laporan pengelola kata sandi Anda tiap beberapa bulan, dan lambatlah memercayai pesan apa pun yang menyebut layanan yang bocor.
Membuat kebocoran berikutnya lebih kecil
Anda tidak mengendalikan keamanan sebuah perusahaan. Yang Anda kendalikan adalah seberapa banyak yang ia simpan dan seberapa jauh kebocoran bisa menyebar dari satu catatan itu. Tujuannya, setiap pemberitahuan di masa depan cukup berarti pengecekan kata sandi sebentar dan tidak lebih.
Pisahkan alamat Anda menurut tingkat kepercayaan
Perubahan paling berguna adalah berhenti memberikan satu alamat kepada semua orang. Penataan sederhana tiga tingkat sudah cukup bagi kebanyakan orang, dan artikel kami tentang membangun strategi email pribadi membahasnya langkah demi langkah.
| Tingkat | Dipakai untuk | Jenis alamat | Kerugian bila bocor |
|---|---|---|---|
| Utama | Bank, pemerintah, kesehatan, pekerjaan, pengelola kata sandi, akun media sosial utama | Alamat jangka panjang dengan perlindungan login kuat, jarang dibagikan | Serius, tetapi tingkat ini seharusnya jarang bocor, karena sedikit perusahaan yang memilikinya |
| Sehari-hari | Toko, langganan, layanan yang Anda pertahankan bertahun-tahun | Kotak masuk kedua, atau alias yang meneruskan ke kotak masuk Anda | Terkendali; Anda bisa mematikan satu alias atau memfilternya |
| Sekali pakai | Satu unduhan, formulir yang tidak akan Anda pakai lagi, menguji halaman pendaftaran Anda sendiri | Kotak masuk sementara, jika ketentuan situs mengizinkan | Kecil; alamat tidak terkait dengan nama Anda dan kotak masuknya sudah hilang |
Plus addressing, seperti name+shop@example.com, ada di suatu tempat di tengah. Ia bekerja di Gmail dan Outlook.com dan bisa menunjukkan siapa yang membocorkan atau menjual alamat Anda. Ia tidak menyembunyikan apa pun, karena siapa pun bisa menghapus tag itu dan melihat alamat dasarnya, dan alat penyerang melakukan persis itu. Alias penerus, seperti dari iCloud+, Proton, atau Firefox Relay, menyembunyikan alamat asli dengan benar, karena tidak ada di alias yang mengarah kembali ke alamat itu. Belanja layak dipikirkan khusus di sini, karena basis data toko menyimpan alamat email, nomor telepon, dan alamat rumah sekaligus. Panduan kami tentang privasi email saat belanja membahas kasus itu, termasuk cara menyimpan bukti pembelian Anda.
Di mana kotak masuk sementara membantu
Kotak masuk sementara cocok untuk satu tindakan di situs yang tidak Anda jalin hubungan jangka panjangnya, demi privasi, dan bila ketentuan situs mengizinkan. VookMail adalah salah satu layanannya: alamat sudah siap saat halaman dimuat, tanpa pendaftaran atau kata sandi. Anda bisa menekan Baru untuk mengetik nama pengguna dan memilih salah satu dari lebih dari 30 domain, atau menekan tombol Acak berwarna kuning untuk alamat acak. Pesan, lampiran, dan alamat dihapus setelah sekitar satu hari.
Umur yang singkat itulah yang membatasi kebocoran di masa depan. Jika situs yang pernah Anda kunjungi sekali nanti membocorkan tabel penggunanya, alamat di tabel itu mengarah ke kotak masuk yang sudah tidak menyimpan apa pun dan tidak terkait dengan nama, telepon, atau kotak masuk utama Anda. Kata sandi apa pun yang Anda buat di sana tetap penting, jadi buatlah unik. Detail yang Anda isi di profil ikut terekspos juga, alasan bagus untuk mengisi hanya yang dibutuhkan formulir.
Batasannya sama jelasnya. Siapa pun yang tahu atau menebak alamat sementara bisa membuka kotak masuk itu, jadi alamat acak adalah pilihan yang lebih aman dan tidak ada hal pribadi yang pantas diletakkan di sana. Anda tidak bisa andal menerima reset kata sandi berminggu-minggu kemudian, jadi ini alat yang salah untuk akun apa pun yang mungkin Anda perlukan lagi, dan jangan pernah dipakai untuk perbankan, layanan pemerintah, kesehatan, pekerjaan, atau akun media sosial utama Anda. Sebagian situs menolak domain sekali pakai. Itu keputusan mereka, dan tanggapan yang tepat adalah menghormatinya dan memberi mereka alamat permanen atau alias. Syarat dan ketentuan kami juga melarang penggunaan layanan untuk penipuan, penyalahgunaan, atau menghindari pemblokiran.
Serahkan lebih sedikit sejak awal
Kerusakan bergantung pada apa yang tersimpan. Biarkan kolom opsional kosong. Lewati menyimpan kartu di situs yang jarang Anda pakai. Hati-hati dengan tombol "Masuk dengan" di layanan yang tidak sepenuhnya Anda percaya, dan lihat akses profil yang diminta. Tolak memberikan nomor telepon kecuali situs benar-benar membutuhkannya untuk keamanan. Tanggal lahir yang hanya diminta situs untuk kupon ulang tahun adalah data yang bisa Anda simpan sendiri, bila formulirnya mengizinkan.
Dua tempat berbeda yang menyimpan data Anda
Ada gunanya memisahkan dua jenis insiden yang sering dicampuradukkan. Ketika sebuah layanan dibobol, penyerang mendapat apa yang disimpan layanan itu: alamat Anda, profil, dan apa pun yang ada di basis datanya. Ketika kotak masuk Anda disusupi, penyerang mendapat sesuatu yang lain, yaitu setiap pesan yang Anda simpan, termasuk struk lama, tautan reset kata sandi, dokumen hasil pindai, dan percakapan pribadi.
Yang kedua biasanya lebih buruk, dan itulah sebabnya panduan ini terus mengembalikan Anda ke kotak masuk. Ini juga menyarankan kebiasaan sederhana: Anda tidak perlu menyimpan sepuluh tahun email bernilai rendah di akun utama. Menghapus pemberitahuan pengiriman dan buletin lama mengurangi apa yang bisa terungkap saat kotak masuk disusupi, dan menyimpan dokumen penting di tempat aman dengan perlindungan sendiri hampir tidak memakan biaya.
Kotak masuk sementara berada di ujung terjauh dari gagasan itu. Di VookMail, rekaman MX tiap domain mengarah ke penyedia pengiriman email, yang menerima pesan lewat SMTP dan meneruskannya ke layanan lewat HTTPS. Karena pesan dan lampiran dihapus setelah sekitar satu hari, tidak ada arsip panjang yang menumpuk. Cara layanan menangani data dijelaskan di kebijakan privasi dan di halaman metodologi.
Bagaimana kebocorannya terjadi, dan mengapa itu penting bagi Anda
Perusahaan tidak selalu menjelaskan penyebabnya secara rinci, tetapi bila mereka melakukannya, itu bisa memberi tahu apa yang perlu diharapkan.
- Pembobolan basis data, lewat celah seperti SQL injection atau server yang belum ditambal, biasanya berarti tabel pengguna disalin secara massal. Perkirakan alamat dan hash kata sandi, dan anggap datanya akan diperjualbelikan.
- Penyimpanan yang salah konfigurasi berarti basis data atau bucket cloud dibiarkan terbuka ke internet. Mungkin tak ada yang "meretas" apa pun, dan perusahaan mungkin tidak tahu siapa yang mengunduhnya, sehingga jawaban jujur atas "apakah data saya diambil?" bisa jadi "kami tidak bisa memastikan".
- Insiden vendor berarti platform pemasaran, layanan dukungan, atau alat analitik disusupi. Ini menjelaskan pemberitahuan dari nama yang tidak Anda kenal, dan biasanya yang terekspos adalah data kontak dan tiket dukungan, bukan kata sandi. Apa pun yang Anda tulis di tiket dukungan mungkin ikut tercakup, jadi ingat kembali apa yang pernah Anda kirim.
- Scraping mengumpulkan data profil publik atau semipublik dalam jumlah besar lewat situs atau API. Perusahaan kadang berdalih ini bukan kebocoran, tetapi alamat Anda tetap berakhir di kumpulan data yang diperjualbelikan.
- Penyalahgunaan orang dalam berarti karyawan atau kontraktor mengekspor data yang tidak seharusnya. Ini sering bersifat terarah, jadi pesan susulan yang tidak biasa dan bersifat pribadi layak dicurigai lebih.
Kesalahan yang mudah terjadi saat tertekan
Yang paling umum adalah mengganti kata sandi situs yang dibobol saja dan membiarkan kata sandi yang sama di email dan akun toko Anda. Yang tak jauh di belakangnya adalah variasi kecil dari kata sandi lama. Berpindah dari Summer2024! ke Summer2025! hampir tidak menambah usaha alat pemecah kata sandi.
Orang juga cenderung berhenti pada satu perubahan. Mereka melewatkan aturan penerusan, padahal itulah cara orang yang sudah masuk sebelum kata sandi diganti tetap menerima email setelahnya. Mengandalkan kode SMS ketika aplikasi autentikator atau passkey tersedia meninggalkan celah pada akun penting, meski SMS tetap lebih baik daripada tidak ada bila itu satu-satunya pilihan.
Lalu ada kesalahan sebaliknya: memperlakukan setiap pemberitahuan sebagai keadaan darurat. Jika hanya alamat Anda yang bocor dari akun yang bisa Anda tutup begitu saja, Anda tidak perlu mengganti alamat email, dan tidak perlu membayar produk pemantauan hanya karena ada iklan yang menakutkan. Simpan tenaga Anda untuk kasus yang melibatkan kata sandi, kartu, atau nomor identitas.
Pertanyaan yang muncul setelah pemberitahuan
Haruskah saya menghapus akun email saya?
Biasanya tidak. Alamat utama Anda terikat pada bertahun-tahun reset kata sandi dan kontak, dan meninggalkannya menimbulkan risiko sendiri, karena akun yang terlupakan bisa sulit dipulihkan. Lindungi saja, dan berhenti memberikannya ke situs berkepercayaan rendah. Alamat baru hanya masuk akal jika yang lama sudah terlalu terekspos, dan dalam kasus itu pindahkan akun Anda bertahap dan biarkan yang lama tetap terbuka beberapa waktu.
Perusahaan bilang kata sandinya dienkripsi. Apakah saya tetap perlu menggantinya?
Ya. Tanpa mengetahui metodenya dan apakah kuncinya juga diambil, Anda tidak bisa menilai perlindungannya, dan mengganti kata sandi memakan waktu lebih sedikit daripada mencari tahu. Ganti juga di tempat lain yang Anda pakai.
Bisakah alamat sementara mencegah kebocoran?
Tidak ada alat yang menghentikan perusahaan dibobol. Alamat sementara mengubah apa yang diungkap kebocoran tentang Anda. Jika forum yang Anda ikuti dengan cara itu membocorkan tabel penggunanya, alamat yang bocor tidak punya hubungan dengan identitas Anda, selama Anda tidak memasukkan hal lain yang mengidentifikasi.
Seberapa sering saya harus memeriksa?
Aktifkan peringatan agar pengecekan berjalan tanpa Anda. Melihat laporan pengelola kata sandi secara manual tiap beberapa bulan sudah cukup, ditambah satu kali ekstra saat layanan yang Anda pakai masuk berita.
Apakah membayar pemantauan dark web membantu?
Itu tergantung apa yang Anda beli. Produk ini kebanyakan melaporkan bahwa data Anda muncul di suatu tempat, yang sebagian besar bisa Anda ketahui gratis lewat layanan pengecekan di atas. Asuransi identitas atau bantuan pemulihan bisa berguna sedikit jika data identitas pemerintah Anda terekspos, jadi baca apa yang sebenarnya dicakup paketnya sebelum membayar.
Kepada siapa saya harus melapor?
Biasanya Anda tidak perlu melaporkan kebocoran sebuah perusahaan, karena perusahaan punya kewajibannya sendiri kepada regulator. Laporkan jika Anda kehilangan uang atau sedang diperas: bank Anda dulu, lalu polisi atau layanan pelaporan penipuan nasional Anda. Di UE dan Inggris, Anda bisa mengadu ke otoritas perlindungan data jika perusahaan salah menangani insiden atau mengabaikan permintaan Anda.
Untuk informasi lebih lanjut tentang cara kerja kotak masuk sementara dan berapa lama pesan disimpan, lihat FAQ VookMail.