Menurut data Verizon Data Breach Investigations Report (DBIR) tahun 2019, sekitar 81% peretasan terjadi gara-gara password yang lemah. Sumber data ini berasal dari blog LastPass yang mengutip laporan Verizon DBIR 2019.
Artinya dari 10 kasus peretasan, 8 di antaranya sebetulnya bisa dicegah hanya dengan membuat password yang benar dan menggunakan keamanan tambahan.
Begini Cara Hacker Beraksi (Tahap demi Tahap)
Sebelum membahas password yang aman, perlu dipahami bagaimana cara hacker bekerja. Para "penjahat digital" ini punya strategi yang rapi dan tools (perangkat lunak khusus) yang canggih.
Langkah 1: Information Gathering (Mengumpulkan Info Target)
Ini tahap paling awal dan paling krusial. Hacker tidak langsung menyerang. Mereka mulai dari stalking (mengintai) seperti orang yang penasaran sama mantannya, tapi untuk tujuan kejahatan.
Mereka mengulik sosial media dan aktivitas sehari-hari:
Instagram: Foto bareng kucing kesayangan dengan caption "Tukang nyolong ikan..."
Facebook: Info tanggal lahir yang dipajang di profil "15 Agustus 1995"
LinkedIn: Nama perusahaan tempat bekerja "PT Maju Jaya sejak 2020"
Twitter/X: Tweet tentang tim bola favorit "Persib atau Persija Forever! 🔴🟠"
TikTok: Video yang menyebut nama anak atau pasangan
Info yang terlihat sepele ini? Buat hacker, ini harta karun. Mereka juga bisa:
Mengecek data breach (kebocoran data besar-besaran) dari website yang pernah dipakai
Melihat forum atau komunitas online yang diikuti
Ngobrol santai di medsos untuk "gaining information" (mendapatkan informasi) tanpa disadari
Contoh nyata: Hacker bisa menyamar lalu komen, "Eh kucingnya lucu namanya siapa?" atau "Wah sama, saya juga lahir bulan Agustus, tanggal berapa?" Pertanyaan innocent ini biasanya dijawab dengan polos, padahal sedang digali informasinya.
Langkah 2: Dictionary Attack (Serangan Kamus)
Setelah punya info target, hacker mulai serangan pertama: Dictionary Attack. Ini serangan yang menggunakan software khusus untuk mencoba ribuan kombinasi password yang paling sering dipakai orang.
Software ini punya database berisi:
Kata-kata umum dari kamus: "password", "admin", "welcome", "login", "user"
Nama-nama populer: "budi123", "siti2024", "indonesia", "jakarta"
Kombinasi tanggal: "010195", "311299", "12345678"
Kata-kata Indonesia yang sering dipakai: "sayang123", "cinta", "ganteng", "cantik"
Pola keyboard: "qwerty", "asdfgh", "12qwaz"
Misalnya, dari information gathering tadi hacker punya info: Nama kucing "kangikan", tempat kerja "MajuJaya", lahir tahun 1995.
Mereka membuat dictionary list khusus untuk target: kangikan, kangikan123, Kangikan1995, majujaya, majujaya2020, kangikan@majujaya, dan ratusan variasi lainnya.
Kalau password masuk salah satu dari list ini? Bisa jebol dalam hitungan menit, bahkan detik.
Langkah 3: Brute Force Attack (Serangan Paksa Total)
Kalau dictionary attack gagal, hacker naik level pakai Brute Force Attack. Ini serangan yang lebih brutal dan lebih lama.
Bedanya dengan dictionary attack:
Dictionary attack: Mencoba password yang masuk akal atau sering dipakai (lebih cepat tapi terbatas)
Brute force attack: Mencoba SEMUA kombinasi karakter yang mungkin ada (lebih lama tapi lebih menyeluruh)
Software mulai dari kombinasi paling simple: a, b, c... aa, ab, ac... aaa, aab... dan seterusnya sampai kombinasi super kompleks.
Berapa lama waktu yang dibutuhkan?
Password 6 karakter huruf kecil semua (contoh: "kangikan"): Jebol dalam 10 detik
Password 8 karakter huruf kecil + angka (contoh: "kangikan95"): Maksimal 8 jam
Password 10 karakter campur huruf besar-kecil + angka (contoh: "Kangikan1995"): Sekitar 3 minggu
Password 12 karakter dengan huruf besar-kecil, angka, dan simbol (contoh: "K@ng1k4n!1995#"): Butuh waktu ratusan tahun
Makanya panjang password dan variasi karakter itu SUPER PENTING. Ini bukan teori, tapi sudah terbukti secara matematis.
Langkah 4: Targeted Attack dengan Info Personal (Serangan Tertarget)
Ini kombinasi mematikan dari information gathering + dictionary attack. Hacker sekarang sudah punya: Nama kucing "KangIkan", tanggal lahir "15 Agustus 1995", tempat kerja "PT Maju Jaya", tim favorit "Persija", nama pasangan "Bulan".
Mereka membuat custom dictionary (kamus khusus) dengan pola umum password orang Indonesia:
Nama + Tanggal lahir: "KangIkan1508", "Bulan1508"
Nama + Tahun: "KangIkan1995", "Bulan95"
Nama + Simbol + Tahun: "KangIkan@1995", "Bulan!95"
Kata + Angka berurutan: "KangIkan123", "Persija123"
Gabungan nama: "KangIkanBulan", "BulanKangIkan"
Yang lebih parah? Kalau password yang sama dipakai di banyak akun, ini yang namanya credential stuffing (menggunakan ulang kredensial yang sama). Hacker mendapatkan password email, terus mencoba password yang sama ke Instagram → Berhasil! Facebook → Berhasil! Mobile banking → Berhasil! E-commerce → Berhasil!
Satu jebol, semua ikutan jebol kayak efek domino.
Langkah 5: Social Engineering (Rekayasa Sosial)
Kadang hacker tidak perlu ribet pakai tools. Mereka cukup memanipulasi psikologi. Contohnya:
Email palsu dari "Bank": "Akun Anda terdeteksi aktivitas mencurigakan, klik link ini untuk verifikasi"
Telepon mengaku dari "customer service": "Pak/Bu, kami perlu konfirmasi data untuk proses klaim"
Pesan WhatsApp dari "teman": "Eh lagi susah nih, bisa pinjam OTP yang baru masuk?"
Ini namanya phishing (memancing korban dengan umpan palsu). Sekali klik link atau memberikan kode OTP, game over.
Password yang Aman vs Tidak Aman
Setelah tahu bagaimana berbahayanya serangan hacker, sekarang dibedah mana password yang aman dan mana yang bahaya.
Password TIDAK Aman (Jangan Ditiru!)
Password super pendek: "12345678", "password", "admin"
→ Kenapa bahaya? Masuk list pertama dictionary attack, jebol dalam hitungan detikTanggal lahir atau data personal: "15081995", "budi1990"
→ Kenapa bahaya? Hacker sudah mengumpulkan info ini dari medsosNama sendiri, pasangan, anak, atau hewan: "KangIkan", "Bulan", "raffa"
→ Kenapa bahaya? Ini ada di postingan Instagram/FacebookPola keyboard: "qwerty", "asdfgh", "1qaz2wsx"
→ Kenapa bahaya? Sudah ada di database dictionary attackKata dari kamus tanpa modifikasi: "indonesia", "jakarta", "computer"
→ Kenapa bahaya? Langsung ketebak dictionary attackPassword yang sama untuk semua akun: Pakai "KangIkan1995" di Gmail, Instagram, banking
→ Kenapa bahaya? Satu jebol, semua ikutan jebol (credential stuffing)Password dengan substitusi simple: "P4ssw0rd", "Bl4cky"
→ Kenapa bahaya? Tools hacker sudah tahu pola ini (a=4, o=0, i=1, e=3, s=5)
Password Aman (Yang Benar dan Kuat)
Kriteria password yang kuat:
Minimal 12-16 karakter (makin panjang makin aman)
Wajib campuran: Huruf besar (A-Z), huruf kecil (a-z), angka (0-9), simbol (!@#$%^&*)
Tidak ada hubungannya dengan info pribadi (nama, tanggal lahir, keluarga, hobi)
Unik untuk setiap akun (jangan pakai ulang!)
Tidak bisa ditebak meskipun orang kenal dengan baik
Contoh Password yang Kuat: "K0p!Suz@Pagi#2025&JuMat", "M4k@n_N4s!G0r3ng?S3t!ap_P@g!", "R3nd@ng&Samba1$P3d4s!"
Tips Bikin Password yang Kuat tapi Gampang Diinget
Metode 1: Passphrase (Kalimat Rahasia)
Ambil kalimat yang hanya diketahui sendiri, terus modifikasi setiap huruf.
Contoh:
Kalimat: "Aku Makan Nasi Goreng Setiap Jumat Pagi"
Modifikasi: A → 4/@, E → 3, I → !/1, O → 0, S → $/5
Hasil: "4ku_M@k4n_N4s!G0r3ng$3t!4p_Jum@t_P4g!"
Panjangnya 38 karakter, butuh trilyunan tahun untuk di-brute force!
Metode 2: Akronim dengan Modifikasi
Ambil huruf pertama dari kalimat favorit, tambah angka dan simbol acak.
Contoh:
Kalimat: "Gue Suka Banget Makan Rendang Sambel Pedas Tiap Minggu"
Huruf pertama: GSBMRSPTM
Tambah angka & simbol: "G5bM!r5P#tM@2025"
Metode 3: Pakai Password Manager
Ini solusi paling praktis. Password manager itu aplikasi yang:
Generate (membuat) password random super kuat otomatis
Simpan semua password dengan enkripsi (pengacakan data yang sangat aman sehingga tidak bisa dibaca orang lain)
Auto-fill (mengisi otomatis) waktu login
Hanya perlu mengingat satu master password yang super kuat untuk membuka password manager-nya.
Rekomendasi password manager: Bitwarden (gratis, open source), 1Password (berbayar, fitur lengkap), NordPass (user-friendly), Dashlane (ada versi gratis)
Dengan password manager, bisa membuat password sepanjang dan serandom ini: "xK9#mL2$vN8@pQ5!wR7^zT4&yU6*" — dan tidak perlu menghapal!
Tapi Password Kuat Saja Tidak Cukup!
Meskipun password sudah super kuat, tetap ada celah yang bisa ditembus hacker:
Phishing: Klik link palsu, memasukkan password di website palsu
Keylogger: Malware (program jahat) yang merekam setiap ketikan (termasuk password)
Data breach: Website yang dipakai kena hack, database password bocor
Shoulder surfing: Orang mengintip waktu mengetik password
Man-in-the-middle attack: Hacker menyadap komunikasi di WiFi publik
Makanya, dibutuhkan lapisan keamanan tambahan. Di sinilah pentingnya 2FA (Two-Factor Authentication) atau Autentikasi Dua Faktor.
Apa Itu 2FA (Two-Factor Authentication)?
2FA itu sistem keamanan yang membutuhkan dua bukti identitas berbeda sebelum bisa login.
Analoginya:
Tanpa 2FA = Pintu rumah dengan satu kunci → Kunci hilang atau dicuri? Orang bisa langsung masuk
Dengan 2FA = Pintu rumah dengan dua kunci berbeda + scan sidik jari → Meskipun satu kunci dicuri, tetap tidak bisa masuk tanpa kunci kedua dan sidik jari
Tiga Faktor Autentikasi:
Something you know (Sesuatu yang diketahui): Password, PIN, jawaban pertanyaan keamanan
Something you have (Sesuatu yang dimiliki): HP, kartu ATM, token fisik
Something you are (Sesuatu yang merupakan diri sendiri): Sidik jari, wajah, retina mata
2FA menggabungkan minimal dua dari tiga faktor di atas.
Jenis-Jenis 2FA yang Umum Dipakai
1. SMS OTP (One-Time Password via SMS)
Cara kerja: Login dengan username & password → Website kirim kode 6 digit ke nomor HP via SMS → Masukkan kode → Baru bisa masuk
Kelebihan: Gampang dipakai, hampir semua orang punya HP, tidak perlu install aplikasi tambahan
Kekurangan:
Rawan SIM swap attack: Hacker berpura-pura menjadi korban dan menghubungi provider seluler untuk meminta penggantian kartu SIM. Setelah SIM baru diaktifkan atas nama hacker, semua SMS (termasuk kode OTP) akan masuk ke HP hacker, bukan ke HP korban yang asli
Rawan SS7 attack: SS7 (Signaling System 7) adalah protokol yang digunakan jaringan telekomunikasi global untuk berkomunikasi. Kelemahan pada sistem SS7 ini memungkinkan hacker menyadap SMS dan panggilan telepon tanpa perlu akses fisik ke HP korban
Butuh sinyal, kalau di daerah tidak ada sinyal ya tidak bisa
Tidak aman untuk akun penting seperti banking atau email utama
2. Email Verification
Cara kerja: Website kirim link atau kode verifikasi ke email → Cek email, klik link atau copy kode → Baru bisa login atau konfirmasi transaksi
Kelebihan: Praktis, semua orang punya email, bisa lihat history verifikasi
Kekurangan: Kalau email yang kena hack ya percuma, lebih lambat dari metode lain, kadang masuk spam folder
3. Authenticator App (Aplikasi Autentikator) ← INI YANG PALING AMAN
Nah, ini dia yang paling recommended! Google Authenticator adalah salah satu contoh authenticator app yang paling populer.
Authenticator app lainnya: Microsoft Authenticator, Authy, Duo Mobile, LastPass Authenticator
Cara kerja: Install aplikasi authenticator di HP → Scan QR code dari website yang mau diamankan → Aplikasi generate (membuat) kode 6 digit yang berubah setiap 30 detik → Waktu login, buka app, lihat kode, masukkan kode → Baru bisa masuk
Kenapa Authenticator App Lebih Aman?
Tidak butuh internet atau sinyal: Kode di-generate secara offline menggunakan algoritma khusus yang disebut TOTP (Time-based One-Time Password) — ini adalah metode yang menghasilkan kode unik berdasarkan waktu saat ini dan kunci rahasia yang tersimpan di aplikasi. Jadi meskipun berada di gunung atau dalam pesawat, tetap bisa mendapatkan kode
Kode berubah tiap 30 detik: Hacker meskipun melihat kode, 30 detik kemudian kode itu sudah tidak berlaku. Mustahil untuk ditebak karena algoritmanya kompleks
Tidak bisa disadap: Berbeda dengan SMS yang bisa kena SIM swap atau SS7 attack. Kode hanya ada di HP secara lokal, tidak dikirim lewat jaringan manapun
Tahan dari phishing: Meskipun tertipu masuk ke website palsu dan memasukkan password, kode 2FA hanya berlaku 30 detik dan hanya bisa dipakai sekali. Waktu hacker mencoba pakai kode yang dimasukkan, kodenya sudah expired (kedaluwarsa/tidak berlaku lagi)
Gratis dan mudah: Aplikasinya gratis di Play Store atau App Store, tidak ribet setupnya, cuma scan QR code saja
Cara Setup Google Authenticator (Step-by-Step)
Di HP:
Download Google Authenticator di Play Store (Android) atau App Store (iPhone)
Install dan buka aplikasinya
Di website yang mau diamankan (contoh: Gmail):
Masuk ke Settings/Pengaturan
Cari menu Security atau Keamanan
Pilih 2-Step Verification atau Verifikasi 2 Langkah
Pilih Authenticator App
Muncul QR Code di layar
Menghubungkan keduanya:
Di Google Authenticator, tap tombol + atau Add
Pilih Scan QR Code
Arahkan kamera HP ke QR code di layar komputer
Otomatis muncul akun baru dengan kode 6 digit
Masukkan kode tersebut ke website untuk konfirmasi
PENTING: Simpan backup codes yang diberikan website. Ini kode darurat kalau HP hilang
Setelah aktif: Setiap kali login, selain password, akan diminta kode dari Google Authenticator → Buka app, lihat kode (ada hitungan mundur 30 detik) → Masukkan kode sebelum waktunya habis → Selesai!
4. Hardware Token (Token Fisik)
Ini device kecil seperti USB atau bentuk gantungan kunci yang generate kode. Contoh: YubiKey (USB yang tinggal ditancapkan untuk login), Titan Security Key dari Google
Kelebihan: Paling aman dari semua metode, tidak bisa di-hack remote (dari jarak jauh), tahan lama (baterainya bertahun-tahun)
Kekurangan: Harus beli (harga mulai dari 200-500 ribu), kalau hilang ribet, tidak semua website support
5. Biometric (Sidik Jari, Face ID, Retina)
Menggunakan sidik jari atau wajah sebagai faktor kedua.
Kelebihan: Super cepat dan praktis, tidak bisa lupa atau hilang (melekat di tubuh)
Kekurangan: Tidak semua device support, ada isu privasi (data biometrik disimpan di mana?), bisa diakali dengan teknologi tertentu (meskipun sangat sulit)
Kenapa 2FA Itu CRUCIAL (Sangat Penting)?
Bayangkan skenario ini:
Tanpa 2FA:
Hacker mendapatkan password dari data breach atau phishing
Mereka langsung bisa login
Akses penuh ke akun: email, foto, kontak, bahkan rekening bank
Baru sadar besok pagi pas lihat akun sudah dikuras
Dengan 2FA (pakai Google Authenticator):
Hacker mendapatkan password
Mereka coba login → Muncul permintaan kode 2FA
Mereka tidak punya HP → GAGAL LOGIN
Dapat notifikasi ada percobaan login mencurigakan
Langsung ganti password
Uang aman, data aman, hidup tenang
Data Google menunjukkan: akun yang pakai 2FA 99.9% lebih aman dari serangan otomatis dibanding akun yang hanya pakai password. Artinya, dari 1000 akun yang diserang hacker, yang pakai 2FA hanya 1 yang berhasil ditembus. Itu pun biasanya karena kelalaian pengguna sendiri (misalnya memberikan kode 2FA ke orang lain).
Kombinasi Sempurna: Password Kuat + Google Authenticator
Ini kombinasi defense (pertahanan) terbaik:
Layer 1: Password yang Kuat
Minimal 12-16 karakter
Campuran huruf besar-kecil, angka, simbol
Unik untuk tiap akun
Tidak berhubungan dengan data personal
Layer 2: Google Authenticator (2FA)
Kode yang berubah tiap 30 detik
Hanya ada di HP
Tidak bisa disadap atau ditebak
Dengan kombinasi ini:
Hacker yang pakai dictionary attack → Mentok di password yang kuat
Hacker yang pakai brute force → Butuh ratusan tahun untuk menembus password
Hacker yang dapat password dari phishing → Tetap tidak bisa masuk tanpa kode 2FA
Hacker yang coba SIM swap → Percuma, menggunakan authenticator app bukan SMS
Intinya, membuat tembok berlapis yang sangat sulit ditembus.
Akun Mana Saja yang WAJIB Pakai 2FA?
Prioritaskan akun-akun penting ini:
Email utama (Gmail, Yahoo, Outlook) — Email itu kunci ke semua akun lain. Lewat email bisa reset password semua akun
Mobile banking & e-wallet (BCA Mobile, Gopay, OVO, Dana, ShopeePay) — Langsung berhubungan dengan uang
Social media (Instagram, Facebook, Twitter, TikTok) — Akun bisa dipakai untuk scam (penipuan) teman-teman
E-commerce (Tokopedia, Shopee, Bukalapak) — Ada data kartu kredit dan alamat
Cloud storage (Google Drive, Dropbox, iCloud) — Semua file dan foto penting ada di sana
Akun kerjaan (Slack, Microsoft 365, Google Workspace) — Data perusahaan bisa bocor, bisa kena masalah
Mitos dan Fakta Seputar 2FA
Mitos 1: "2FA itu ribet, buang-buang waktu"
Fakta: Hanya butuh tambahan 5-10 detik untuk membuka app dan memasukkan kode. Dibanding harus mengurus akun yang kena hack (bisa berhari-hari bahkan berbulan-bulan), ini jauh lebih efisien.
Mitos 2: "Akun saya tidak penting-penting amat, tidak perlu 2FA"
Fakta: Hacker tidak pilih-pilih. Mereka menyerang banyak akun sekaligus dengan tools otomatis. Akun bisa jadi stepping stone (batu loncatan) untuk menyerang teman atau keluarga.
Mitos 3: "SMS OTP sudah cukup aman"
Fakta: SMS rawan SIM swap dan SS7 attack. Google Authenticator jauh lebih aman karena offline dan tidak bisa disadap.
Mitos 4: "Kalau HP hilang, akun akan terkunci selamanya"
Fakta: Makanya ada backup codes yang diberikan waktu setup. Simpan backup codes di tempat aman (password manager atau tulis di kertas simpan di rumah). Bisa juga pakai fitur multi-device di beberapa authenticator app.
Tips Tambahan untuk Keamanan Maksimal
Jangan pernah share kode 2FA ke siapapun — Customer service bank TIDAK PERNAH meminta kode OTP atau 2FA. Ini trik umum scammer (penipu)
Backup authenticator app — Beberapa app seperti Authy punya fitur cloud backup. Atau simpan QR code setup di password manager
Pakai email terpisah untuk akun penting — Email khusus untuk banking, email lain untuk medsos. Jadi kalau satu kena, yang lain aman
Aktifkan notifikasi login — Jadi langsung tahu kalau ada yang coba login dari device atau lokasi baru
Regular audit akun — Sebulan sekali cek: akun mana yang sudah login, device apa saja yang terhubung. Logout dari device yang tidak dikenal
Update password secara berkala — Setiap 3-6 bulan sekali ganti password akun penting. Terutama kalau ada berita data breach di website yang dipakai
Hati-hati dengan WiFi publik — Jangan login akun penting di WiFi cafe atau mall. Kalau terpaksa, pakai VPN (Virtual Private Network) — ini adalah jaringan internet yang dienkripsi sehingga aktivitas online tidak bisa dilihat atau disadap oleh orang lain, bahkan oleh penyedia WiFi sekalipun
Kesimpulan: Jangan Sampai Nyesal Belakangan
Hacker itu sabar, metodis, dan punya tools canggih. Mereka:
Riset target dengan teliti (information gathering)
Pakai database ribuan password umum (dictionary attack)
Mencoba semua kombinasi kalau perlu (brute force attack)
Memanfaatkan kelalaian (social engineering)
Tapi bisa menang dari mereka dengan:
Password yang kuat: Minimal 12-16 karakter, campuran kompleks, unik tiap akun
Google Authenticator (2FA): Lapisan keamanan tambahan yang membuat hacker frustasi
Kombinasi ini membuat akun 99.9% lebih aman.
Keamanan digital bukan biaya, tapi investasi untuk melindungi: Uang di mobile banking, foto dan data pribadi, reputasi online, privasi percakapan, identitas digital.
Action Plan yang Bisa Dilakukan SEKARANG
✅ Hari ini:
Download Google Authenticator di HP
Aktifkan 2FA di akun email utama (Gmail/Yahoo)
Simpan backup codes di tempat aman
✅ Minggu ini:
Ganti semua password yang lemah dengan yang kompleks (minimal 12 karakter)
Install password manager (Bitwarden/1Password)
Aktifkan 2FA di mobile banking dan e-wallet
✅ Bulan ini:
Audit semua akun online, aktifkan 2FA di semua akun penting
Buat password unik untuk setiap akun
Cek apakah email/password pernah bocor di https://haveibeenpwned.com
✅ Kebiasaan jangka panjang:
Tidak pernah share password atau kode 2FA ke siapapun
Hati-hati dengan link mencurigakan (phishing)
Update password setiap 3-6 bulan
Monitor aktivitas login mencurigakan
Ingat:
"Lebih baik mencegah 5 menit hari ini, daripada menyesal berbulan-bulan besok."
Keamanan akun ada di tangan sendiri. Hacker hanya bisa masuk kalau ada kelengahan dan celah.
Jangan berikan celah. Mulai amankan akun sekarang.
