Pagi itu seorang pemilik toko online terbangun dan mendapati ponselnya dipenuhi notifikasi email: ada upaya masuk ke akun media sosialnya dari sebuah kota yang bahkan tidak ia kenal. Untungnya upaya itu gagal. Bukan karena kata sandinya kuat, melainkan karena ia pernah mengaktifkan satu fitur kecil beberapa bulan sebelumnya: verifikasi dua langkah. Tanpa fitur itu, ceritanya mungkin berakhir dengan akun dagangan yang berpindah tangan.
Kejadian seperti ini jauh lebih umum dari yang dikira. Kata sandi bisa bocor lewat banyak cara: database situs yang diretas, tautan phising yang mengincar pedagang, atau sekadar tebakan karena kata sandinya terlalu mudah. Verifikasi dua langkah memastikan bahwa kata sandi saja tidak cukup untuk masuk. Penyerang butuh satu hal lagi yang hanya dimiliki pemilik akun.
Cara Kerja Verifikasi Dua Langkah
Konsepnya sederhana: masuk ke akun butuh dua bukti, bukan satu. Bukti pertama adalah sesuatu yang diketahui, yaitu kata sandi. Bukti kedua adalah sesuatu yang dimiliki, biasanya ponsel. Setelah memasukkan kata sandi yang benar, sistem meminta kode tambahan yang dikirim ke ponsel atau dibuat oleh aplikasi khusus. Kode ini berubah setiap beberapa puluh detik, sehingga tidak bisa ditebak atau dipakai ulang.
Analogi sederhananya seperti brankas dengan dua kunci. Pencuri yang berhasil menduplikat satu kunci tetap tidak bisa membuka brankas tanpa kunci kedua. Begitu pula akun: kata sandi yang bocor menjadi tidak berguna tanpa kode kedua.
Fitur ini tersedia di hampir semua layanan besar: WhatsApp, Instagram, Facebook, TikTok, Gmail, dan marketplace. Nama fiturnya kadang berbeda-beda, ada yang menyebut two-factor authentication, verifikasi dua langkah, atau autentikasi dua faktor, tapi prinsipnya sama.
Mengaktifkan di Aplikasi yang Sering Dipakai
Di WhatsApp, fitur ini bernama verifikasi dua langkah dan ada di menu Pengaturan, lalu Akun. Setelah diaktifkan, aplikasi meminta PIN enam digit yang harus dimasukkan sesekali dan setiap kali nomor didaftarkan ulang di perangkat baru. Catat PIN ini baik-baik, karena tanpanya proses verifikasi ulang bisa merepotkan.
Di Instagram, buka pengaturan lalu Pusat Akun, pilih Kata Sandi dan Keamanan, dan aktifkan autentikasi dua faktor. Pilihannya bisa lewat aplikasi autentikator atau SMS. Aplikasi autentikator lebih aman karena kode SMS bisa disadap dalam kasus tertentu, tapi SMS tetap jauh lebih baik daripada tidak ada sama sekali.
Di Gmail dan layanan Google lainnya, fitur ini ada di pengaturan keamanan akun Google dengan nama verifikasi 2 langkah. Selain kode, Google juga menyediakan opsi yang lebih praktis: notifikasi persetujuan di ponsel. Setiap ada upaya masuk dari perangkat baru, ponsel menampilkan pertanyaan ya atau tidak. Cukup ketuk salah satunya.
Untuk akun toko di marketplace, caranya mirip: cari menu keamanan di pengaturan akun. Mengingat akun marketplace terhubung langsung dengan uang dan data pembeli, mengaktifkan verifikasi dua langkah di sana sama pentingnya dengan di media sosial.
Aplikasi Autentikator vs SMS
Ada dua cara umum menerima kode kedua. Cara pertama lewat SMS: kode dikirim sebagai pesan teks. Mudah, tapi punya kelemahan: kalau nomor hangus atau berpindah tangan, kode bisa jatuh ke orang yang salah. Cara kedua lewat aplikasi autentikator: aplikasi di ponsel yang membuat kode baru setiap 30 detik tanpa butuh sinyal. Lebih aman dan tetap berfungsi saat tidak ada jaringan.
Untuk kebanyakan orang, SMS sudah cukup sebagai langkah awal. Tapi kalau akunnya sangat penting, misalnya akun utama untuk jualan, beralih ke aplikasi autentikator adalah peningkatan yang layak dipertimbangkan.
Kebiasaan Pendukung yang Sering Dilupakan
Verifikasi dua langkah bukan kartu sakti yang membuat akun kebal segalanya. Ia adalah satu lapisan, dan lapisan lain tetap perlu dijaga. Jangan pernah membagikan kode verifikasi kepada siapa pun, termasuk kepada orang yang mengaku dari pihak aplikasi. Pihak resmi tidak pernah meminta kode itu.
Waspadai juga tautan mencurigakan yang meminta login. Situs phising dibuat semirip mungkin dengan aslinya untuk mencuri kata sandi sekaligus kode verifikasi. Kebiasaan memeriksa alamat situs sebelum memasukkan data login tetap penting.
Terakhir, simpan kode cadangan yang biasanya diberikan saat mengaktifkan fitur ini. Kode cadangan adalah jalan keluar kalau ponsel hilang atau aplikasi autentikator terhapus. Simpan di tempat aman yang terpisah dari ponsel, misalnya ditulis di kertas dan disimpan di rumah.
Mengaktifkan verifikasi dua langkah hanya butuh beberapa menit per aplikasi, tapi efeknya bertahan lama. Di tengah maraknya upaya pencurian akun, lima menit itu adalah investasi keamanan termurah yang bisa dilakukan hari ini. Sama seperti merawat perangkat, misalnya mengatasi WiFi lemot di rumah agar aktivitas online lancar, merawat keamanan akun adalah bagian dari hidup digital yang sehat.
