18TOTO — Kenapa Jangan Pakai Kata Sandi yang Sama di Banyak Situs?

Apa Itu “Credential Stuffing” dan Kenapa Berbahaya

Credential stuffing adalah teknik serangan otomatis: penyerang mengumpulkan daftar kombinasi email/username dan kata sandi yang pernah bocor dari satu situs (data breach), lalu mencoba memasukkan kombinasi yang sama itu ke banyak situs lain secara otomatis memakai program/bot — bukan ditebak manual satu-satu. Kebocoran data dari berbagai layanan online memang sesekali terjadi di dunia siber secara umum (ini fakta industri keamanan yang sudah dikenal luas, bukan klaim tentang situs tertentu), dan begitu satu daftar kombinasi bocor beredar, siapa pun yang memakai ulang kata sandi yang sama otomatis ikut berisiko di situs-situs lain yang dia pakai — meskipun situs-situs itu sendiri tidak pernah bocor.

Efek “Domino” Satu Kata Sandi Bocor

Bayangkan skenario ilustratif berikut (bukan data nyata, sekadar gambaran): kalau 1 kata sandi dipakai di 5 layanan berbeda — email, media sosial, situs belanja, forum, dan akun member — lalu salah satu dari 5 layanan itu mengalami kebocoran data, maka ke-4 layanan lainnya otomatis ikut berisiko dicoba dibobol dengan kombinasi kata sandi yang sama. Padahal 4 layanan itu sendiri tidak pernah mengalami masalah apa pun — risikonya datang murni dari kebiasaan memakai ulang kata sandi yang sama.

Cara Praktis Bikin & Ingat Kata Sandi Unik

• Gunakan pengelola kata sandi (password manager). Aplikasi ini menyimpan dan mengisi otomatis kata sandi unik untuk tiap situs, jadi kamu cuma perlu mengingat 1 kata sandi utama.
• Pakai frasa panjang gabungan kata acak. Kombinasi beberapa kata yang tidak berhubungan (bukan kalimat umum) lebih sulit ditebak dibanding kata sandi pendek dengan simbol acak yang justru susah diingat.
• Hindari pola berurutan atau data pribadi yang gampang ditebak. Angka berurutan, tanggal lahir, atau nama sendiri termasuk pola yang paling sering dicoba lebih dulu oleh program penebak kata sandi.
• Jangan sekadar variasi kecil dari kata sandi lama. Menambah angka di belakang (misalnya dari “KataSandi1” jadi “KataSandi2”) tetap gampang ditebak begitu polanya diketahui.

Pertanyaan umum

Apa itu credential stuffing?

Teknik serangan otomatis yang mencoba kombinasi email/username dan kata sandi yang pernah bocor dari satu situs, lalu dicobakan secara otomatis ke banyak situs lain memakai bot.

Kenapa memakai kata sandi sama di banyak situs berisiko, padahal situs itu sendiri aman?

Karena risikonya datang dari situs LAIN yang kamu pakai dengan kata sandi sama. Kalau salah satu situs itu bocor, situs-situs lain yang kamu pakai kata sandinya sama ikut berisiko meski tidak pernah bocor sendiri.

Apakah pengelola kata sandi (password manager) aman dipakai?

Pengelola kata sandi dirancang khusus untuk menyimpan kata sandi secara terenkripsi dan membantu membuat kombinasi unik per situs, jadi kamu tidak perlu menghafal semuanya sendiri.

Apakah menambah angka di belakang kata sandi lama sudah cukup aman?

Belum cukup. Variasi kecil seperti menambah angka di belakang tetap gampang ditebak begitu pola dasarnya diketahui, karena program penebak kata sandi juga mencoba variasi semacam itu.

Apa ciri kata sandi yang gampang ditebak dan sebaiknya dihindari?

Angka berurutan, tanggal lahir, nama sendiri, atau kata umum yang gampang dikaitkan dengan data pribadi pemiliknya.