Salah satu ancaman paling umum adalah phishing, yaitu penipuan yang mencoba membuat seseorang memberikan data login kepada pihak yang menyamar sebagai layanan tepercaya. NIST menjelaskan bahwa password sendiri tidak tahan terhadap phishing sehingga perlindungan akun perlu menggunakan lapisan keamanan tambahan.
NIST — Digital Identity GuidelinesGunakan password yang panjang dan berbeda untuk setiap akun penting.
Tambahkan verifikasi lain selain password untuk memperkuat login.
Jangan mudah percaya pada pesan, link, atau halaman login yang mencurigakan.
1. Gunakan Password yang Panjang dan Unik
Kesalahan sederhana yang masih sering terjadi adalah memakai password yang sama untuk banyak layanan. Padahal, jika sebuah layanan mengalami kebocoran kredensial, password yang sama dapat dicoba pada akun lain. Kondisi ini membuat satu kebocoran berpotensi berkembang menjadi pengambilalihan beberapa akun sekaligus.
NIST saat ini merekomendasikan password single-factor dengan panjang minimal 15 karakter dan menyarankan layanan menerima password yang lebih panjang. NIST juga tidak lagi menganjurkan aturan komposisi yang memaksa pengguna mencampur jenis karakter tertentu sebagai satu-satunya ukuran kekuatan password.
NIST — Password AuthenticatorsYang lebih penting daripada sekadar terlihat rumit adalah password tersebut panjang, sulit ditebak, dan tidak digunakan kembali di akun lain. Password manager dapat membantu membuat serta menyimpan banyak password unik tanpa mengharuskan pengguna mengingat semuanya secara manual.
2. Aktifkan Multi-Factor Authentication
Multi-factor authentication (MFA) adalah proses login yang meminta lebih dari satu faktor verifikasi. Contohnya adalah password ditambah aplikasi autentikator, security key, atau metode biometrik.
MFA penting karena password bisa dicuri melalui phishing, kebocoran data, atau malware. Ketika password diketahui pihak lain, lapisan verifikasi tambahan dapat membuat pengambilalihan akun menjadi lebih sulit.
CISA — Require Multifactor AuthenticationTidak semua MFA memberikan ketahanan terhadap phishing yang sama. NIST menjelaskan bahwa autentikasi seperti WebAuthn yang menggunakan FIDO2 dapat memberikan phishing resistance, yaitu kemampuan autentikasi untuk mengikat proses login kepada layanan yang benar sehingga kredensial lebih sulit diteruskan ke situs palsu.
NIST — Phishing Resistance3. Jangan Asal Klik Link Login
Banyak serangan akun bermula dari pesan yang terlihat biasa. Pelaku bisa menyamar sebagai bank, media sosial, marketplace, perusahaan, atau layanan email. Korban kemudian diarahkan ke halaman login palsu yang dibuat menyerupai layanan asli.
Phishing juga tidak terbatas pada email. Serangan dapat menggunakan pesan chat, media sosial, iklan, atau hasil pencarian. NIST secara khusus menjelaskan bahwa seseorang dapat diarahkan menuju situs palsu melalui berbagai saluran, termasuk hasil mesin pencari atau pesan elektronik.
NIST — Authentication Threats and Security ConsiderationsSEO atau Search Engine Optimization adalah teknik untuk membantu suatu halaman lebih mudah ditemukan di mesin pencari dan memiliki banyak penggunaan yang sah. Namun, dalam kasus tertentu, pelaku phishing dapat mencoba membuat halaman berbahaya terlihat lebih mudah ditemukan. Karena itu, jangan menganggap sebuah halaman aman hanya karena muncul di hasil pencarian.
4. Selalu Perbarui Sistem dan Aplikasi
Perangkat yang dipakai untuk login juga merupakan bagian dari keamanan akun. Sistem operasi, browser, aplikasi, dan komponen lain yang sudah lama tidak diperbarui bisa memiliki kelemahan yang diketahui publik.
Malware adalah perangkat lunak berbahaya yang dapat melakukan tindakan yang merugikan pengguna. Dalam kasus tertentu, malware dapat membantu pencurian informasi, mengganggu perangkat, atau membuka jalan bagi penyalahgunaan akun.
Karena itu, pembaruan perangkat lunak sebaiknya tidak dianggap hanya sebagai penambahan fitur baru. Pembaruan juga dapat membawa perbaikan keamanan yang menutup celah yang sudah diketahui.
CISA — Cyber Threats and Advisories5. Periksa Aktivitas Login dan Perangkat
Banyak layanan menyediakan halaman keamanan yang menampilkan perangkat yang sedang login, lokasi aktivitas, waktu akses, atau sesi yang masih aktif. Fitur seperti ini berguna untuk mendeteksi aktivitas yang tidak biasa sedini mungkin.
Jika muncul perangkat yang tidak dikenali, perubahan pengaturan keamanan yang tidak pernah dibuat, atau notifikasi login yang tidak sesuai aktivitas Anda, akun sebaiknya segera diperiksa melalui halaman keamanan resmi layanan tersebut.
- Perangkat yang tidak dikenal.
- Login dari lokasi yang tidak biasa.
- Perubahan password yang tidak dilakukan sendiri.
- Alamat email atau nomor pemulihan berubah.
- Pesan atau aktivitas akun yang tidak pernah dibuat.
6. Lindungi Email Utama dan Akun Pemulihan
Email utama sering menjadi titik yang sangat penting karena banyak layanan menggunakan email untuk reset password dan pemulihan akun. Jika email utama berhasil diambil alih, penyerang bisa mencoba memanfaatkannya untuk mengakses layanan lain yang terhubung.
Karena itu, email utama sebaiknya mendapatkan perlindungan paling kuat. Gunakan password yang unik, aktifkan MFA, periksa aktivitas login, dan pastikan alamat atau nomor pemulihan masih berada di bawah kendali Anda.
Prinsip ini juga berlaku untuk akun yang memiliki akses luas. Semakin banyak layanan yang dapat dipulihkan atau dikendalikan melalui sebuah akun, semakin tinggi nilainya bagi penyerang.
7. Simpan Kredensial dengan Cara yang Lebih Aman
Password yang disimpan di screenshot, catatan biasa, atau file yang mudah dibuka dapat menjadi masalah ketika perangkat hilang atau berhasil diakses pihak lain. Untuk mengelola banyak password unik, password manager dapat menjadi pilihan yang lebih terstruktur.
Password manager membantu mengurangi kebiasaan menggunakan password yang sama di banyak layanan. CISA juga merekomendasikan password manager sebagai salah satu cara untuk membuat dan mengingat password yang kuat.
CISA — Use a Password ManagerKenapa Akun Menjadi Target Dunia Underground?
Akun dan kredensial memiliki nilai karena dapat memberikan akses ke identitas digital, informasi pribadi, layanan kerja, bahkan platform keuangan. Akun yang berhasil dikompromikan dapat dimanfaatkan untuk penipuan, penyalahgunaan identitas, atau menjadi jalan menuju akun lain.
Dunia underground juga tidak selalu dijalankan oleh satu kelompok yang melakukan semuanya. Ekosistem tersebut dapat melibatkan pihak yang mencari akses, pengembang malware, penjual data, operator, serta access broker. Istilah access broker merujuk pada pihak yang menawarkan akses awal ke sistem atau akun yang telah dikompromikan.
Ada pula botnet, yaitu jaringan perangkat yang telah dikompromikan dan dikendalikan secara terkoordinasi. Botnet dapat digunakan dalam berbagai aktivitas, termasuk DDoS atau Distributed Denial of Service, yaitu serangan yang mencoba membuat layanan sulit diakses dengan membanjirinya menggunakan trafik.
Dalam beberapa kasus, penyerang juga memanfaatkan aset digital yang memiliki penggunaan sah. Aged domain adalah domain yang telah berumur, sedangkan expired domain adalah domain yang tidak diperpanjang oleh pemiliknya. Keduanya dapat dipakai untuk tujuan legal, termasuk website dan SEO, tetapi dapat disalahgunakan untuk membuat halaman berbahaya terlihat lebih meyakinkan.
Webshell adalah skrip yang dapat memberikan kemampuan mengendalikan server melalui antarmuka web. Istilah ini lebih sering muncul dalam investigasi kompromi server dan menunjukkan bahwa pencurian akun kadang hanya merupakan satu bagian dari serangan yang lebih besar.
Bagaimana Alur Serangan Bisa Terjadi?
Password atau data autentikasi menjadi target.
Korban diarahkan ke komunikasi atau halaman palsu.
Akun dapat disalahgunakan setelah kredensial berhasil diperoleh.
Akses atau data dapat dimanfaatkan untuk aktivitas kriminal lain.
Model tersebut membantu menjelaskan mengapa pencurian akun bisa menjadi bagian dari ekonomi underground. Pelaku tidak harus membangun seluruh infrastruktur sendiri. Ada pihak lain yang dapat menyediakan data, akses, malware, atau layanan tertentu. Pola spesialisasi seperti ini membuat aktivitas kriminal digital menjadi lebih terorganisir.
Contoh Nyata: Jaringan Phishing Global 2026
Pada 10 April 2026, FBI bersama aparat penegak hukum Indonesia mengumumkan pembongkaran operasi phishing global yang menggunakan W3LL phishing kit. Menurut FBI, jaringan tersebut memungkinkan pelaku mencuri kredensial ribuan korban dan mencoba melakukan fraud lebih dari 20 juta dolar AS.
FBI — Global Phishing Network TakedownFBI juga menjelaskan bahwa W3LL phishing kit digunakan untuk membuat halaman login palsu yang menyerupai layanan sah. Kasus ini memperlihatkan bagaimana kemampuan kriminal dapat dikemas sebagai layanan sehingga pihak lain tidak perlu membuat seluruh perangkat serangan sendiri.
Risiko Jika Akun Berhasil Diambil Alih
Dampaknya tergantung jenis akun yang terkena. Pada media sosial, akun dapat digunakan untuk menipu kontak atau menyebarkan pesan palsu. Pada email, risikonya lebih besar karena email sering berfungsi sebagai sarana pemulihan akun lain. Pada layanan yang menyimpan data finansial, kerugiannya juga dapat langsung berkaitan dengan uang.
Dalam organisasi, satu akun yang berhasil dikompromikan dapat menjadi jalan menuju dokumen, percakapan internal, atau layanan perusahaan lainnya. Karena itu, keamanan akun pribadi dan akun kerja sama-sama perlu diperhatikan.
Checklist Keamanan Akun
- Gunakan password panjang dan unik.
- Aktifkan MFA pada akun penting.
- Pilih metode autentikasi tahan phishing jika tersedia.
- Jangan memasukkan password melalui link yang mencurigakan.
- Perbarui sistem operasi, browser, dan aplikasi.
- Periksa perangkat dan sesi login secara berkala.
- Amankan email utama serta akun pemulihan.
Kesimpulan
Melindungi akun dari peretasan tidak harus rumit. Tujuh langkah yang paling penting adalah memakai password unik, mengaktifkan MFA, berhati-hati terhadap phishing, memperbarui perangkat, memeriksa aktivitas login, mengamankan email utama, dan menyimpan kredensial dengan cara yang lebih aman.
Dunia underground terus berkembang karena akun, data, dan akses digital mempunyai nilai ekonomi. Namun, pengguna dapat memperkecil peluang serangan berhasil dengan memperkuat autentikasi dan mengurangi kesalahan yang sering dimanfaatkan pelaku. Keamanan akun pada akhirnya bukan hanya soal teknologi, tetapi juga kebiasaan sehari-hari.
