Email muncul di kebocoran data—ganti sandi saja belum cukup

Untuk mengetahui apakah email pernah muncul dalam pelanggaran data, masukkan alamatnya ke Have I Been Pwned dan buka rincian setiap temuan. Jangan berhenti pada status “pwned”: catat layanan yang terdampak dan jenis data yang terekspos karena hasil itulah yang menentukan apakah sandi perlu diganti dan akun lain perlu diamankan.

Jika sandi bocor atau pernah digunakan kembali, ganti sandi pada semua akun terkait. Jika ada login, perangkat, pesan terkirim, atau perubahan informasi pemulihan yang tidak Anda kenali, anggap ada kemungkinan pengambilalihan akun: putus sesi asing, periksa jalur pemulihan, lalu aktifkan autentikasi multifaktor atau MFA.

Periksa alamat email dan buka setiap temuan

Masukkan alamat email pada pemeriksaan resmi Have I Been Pwned, lalu tekan “Check”. Layanan itu memeriksa alamat terhadap pelanggaran yang telah dimuat, menampilkan rincian jika ditemukan, dan menawarkan Notify Me agar pengguna dapat menerima pemberitahuan ketika alamatnya muncul dalam pelanggaran berikutnya.

Periksa alamat yang masih berfungsi sebagai nama pengguna atau sarana pemulihan, termasuk email lama. Kolom pencarian email hanya memerlukan alamat email; jangan memasukkan sandi atau kredensial lengkap ke situs lain yang meniru layanan tersebut.

Hasil “no pwnage found” berarti alamat tidak ditemukan dalam pelanggaran yang sudah dimuat ke Have I Been Pwned. Itu bukan jaminan bahwa tidak pernah ada insiden lain, bahwa layanan tempat Anda memiliki akun belum dibobol, atau bahwa akun tidak sedang diakses pihak lain.

Baca data yang terekspos, bukan hanya status

Satu alamat dapat tercantum dalam beberapa pelanggaran dengan risiko berbeda. Buka setiap catatan dan perhatikan layanan asal, waktu kejadian yang ditampilkan, serta kategori data yang tercantum; jangan menganggap seluruh sandi atau kotak masuk otomatis telah dikuasai hanya karena alamat ditemukan.

• Alamat email atau data profil: dapat memberi penipu konteks untuk membuat pesan phishing lebih meyakinkan, tetapi temuannya sendiri tidak membuktikan akses ke kotak masuk.
• Sandi atau hash sandi: prioritaskan penggantian kredensial pada layanan tersebut dan telusuri akun lain yang memakai sandi sama atau serupa.
• Nomor telepon, alamat, tanggal lahir, atau data pemulihan: tingkatkan kewaspadaan terhadap upaya penyamaran dan permintaan reset yang tidak Anda buat.
• Informasi pembayaran atau identitas: periksa aktivitas pada layanan terkait dan gunakan kanal resminya jika menemukan transaksi atau perubahan yang tidak dikenal.

Bedakan paparan data dari pengambilalihan akun. Catatan pelanggaran menunjukkan bahwa data termasuk dalam suatu insiden, sedangkan login asing, pesan yang tidak Anda kirim, perubahan nomor pemulihan, atau perangkat tak dikenal merupakan tanda bahwa akun mungkin sedang digunakan tanpa izin.

Tentukan tindakan dengan pohon keputusan

1. Jika sandi tercantum sebagai data yang terekspos: buka aplikasi atau situs resmi layanan dan buat sandi baru yang panjang serta unik. Hindari tautan penggantian sandi dalam pesan yang tidak Anda minta.
2. Jika sandi yang sama atau mirip dipakai di tempat lain: ganti semuanya, dimulai dari email utama dan akun yang menyimpan uang, identitas, pesan pribadi, atau berkas penting. Menguasai email utama dapat membantu pelaku meminta reset pada layanan lain.
3. Jika hanya email atau data profil yang tercantum: sandi unik yang tidak terekspos tidak otomatis harus diganti karena alamat ditemukan. Fokus pada pesan phishing, permintaan reset, dan notifikasi login yang memanfaatkan informasi dari insiden tersebut.
4. Jika ada aktivitas yang tidak dikenal: jangan berhenti setelah mengganti sandi. Tinjau sesi, perangkat, aplikasi pihak ketiga, metode MFA, dan informasi pemulihan.

Panduan CSIRT Kementerian PKP menyarankan penggantian sandi yang bocor, penggunaan sandi unik untuk setiap layanan, dan aktivasi 2FA. Pengelola kata sandi dapat digunakan untuk membuat serta menyimpan kredensial berbeda tanpa mengandalkan ingatan.

Jika akun mungkin diambil alih, tutup jalur akses lama

Penggantian sandi tidak menyelesaikan perubahan keamanan lain yang mungkin telah dibuat pihak asing. Setelah memperoleh akses, periksa aktivitas terbaru, perangkat yang masuk, sesi aktif, aplikasi pihak ketiga, aturan penerusan email, serta informasi pemulihan; keluarkan atau cabut semua yang tidak dikenali.

Untuk akun Google, petunjuk akun yang diretas mengarahkan pengguna untuk meninjau aktivitas dan perangkat, memeriksa nomor telepon serta email pemulihan, mengaudit akses aplikasi, dan menyalakan Verifikasi 2 Langkah. Pada layanan lain, cari fungsi sepadan di menu keamanan resminya karena nama dan kemampuan pengelolaan sesi dapat berbeda.

Periksa pula metode MFA, passkey, dan kode cadangan. Hapus metode yang bukan milik Anda, buat ulang kode cadangan jika layanan mendukungnya, dan pastikan alamat serta nomor pemulihan yang sah masih dapat diakses sebelum keluar dari perangkat tepercaya.

Aktifkan perlindungan dan pemberitahuan berikutnya

Aktifkan MFA pada email utama dan akun bernilai tinggi. Jika tersedia, pertimbangkan passkey, kunci keamanan, atau aplikasi autentikator; simpan opsi pemulihan di tempat yang dapat diakses saat perangkat utama hilang, tetapi jangan membagikan OTP, PIN, atau kode pemulihan kepada siapa pun.

Daftarkan alamat pada Notify Me milik Have I Been Pwned dan selesaikan verifikasi yang dikirim ke kotak masuk. Pemberitahuan tidak mencegah kebocoran dan tidak menggantikan pemantauan aktivitas akun, tetapi membantu Anda mengetahui ketika alamat muncul dalam temuan yang kemudian dimuat oleh layanan tersebut.

Urutan responsnya bergantung pada bukti: periksa email, baca kategori data, telusuri penggunaan ulang sandi, lalu cari tanda akses asing. Setelah itu, ganti kredensial yang terdampak, tutup sesi dan jalur pemulihan yang tidak dikenal, aktifkan MFA, serta nyalakan pemberitahuan—bukan sekadar mengganti satu sandi lalu menganggap masalah selesai.

Baca juga:

• Views besar belum tentu ditonton: cara membaca Engaged Views YouTube
• TikTok Creator Rewards belum tersedia di Indonesia—ini jalur resmi yang aktif
• Menghapus chat belum tentu menghapus memori AI—ini langkah yang sering terlewat