blog
Melindungi Email Anda dari Peretasan
Panduan praktis melindungi akun email dari account takeover: MFA, password manager, recovery email, review aplikasi pihak ketiga, perangkat aman, dan SPF/DKIM/DMARC.
Email adalah pintu masuk ke banyak layanan: perbankan, aplikasi kerja, penyimpanan file, media sosial, sistem internal, sampai reset password untuk akun lain. Ketika email berhasil diambil alih, risikonya bukan hanya kehilangan akses inbox, tetapi account takeover yang bisa menyebar ke layanan lain.
Artikel lama JABETTO menekankan pentingnya verifikasi dua langkah, password kuat, pengelolaan perangkat, dan kewaspadaan terhadap phishing. Versi refresh ini mempertahankan inti tersebut, lalu menambahkan sudut pandang operasional untuk 2026: keamanan email perlu dilihat sebagai kombinasi kontrol user, kontrol perangkat, kontrol domain, dan incident response.
Mulai dari skenario risikonya
Peretasan email biasanya tidak selalu dimulai dari eksploitasi teknis yang rumit. Banyak kasus bermula dari password yang dipakai ulang, link phishing, perangkat yang tidak aman, aplikasi pihak ketiga yang terlalu luas izinnya, atau recovery channel yang sudah tidak dikendalikan pemilik akun.
Karena itu perlindungan email perlu berlapis. Satu kontrol bisa gagal, tetapi kontrol lain masih menahan dampaknya. MFA menahan password yang bocor, password manager mengurangi reuse, review perangkat mengurangi sesi liar, dan domain authentication membantu mencegah pihak lain memalsukan identitas email organisasi.
Gunakan MFA yang tahan phishing
Verifikasi dua langkah tetap penting, tetapi kualitas metodenya berbeda-beda. CISA mendorong organisasi memakai phishing-resistant MFA, seperti FIDO/WebAuthn security key atau passkey, karena metode ini lebih tahan terhadap halaman login palsu dibanding OTP yang bisa diminta ulang oleh penyerang.
Jika security key atau passkey belum siap untuk semua user, mulai dari akun berisiko tinggi: admin, finance, HR, procurement, executive, dan akun yang punya akses ke banyak mailbox. Untuk user umum, authenticator app lebih baik daripada SMS, tetapi roadmap jangka panjang tetap perlu diarahkan ke MFA yang lebih tahan phishing.
Password manager dan password unik
Password email sebaiknya unik, panjang, dan tidak dipakai di layanan lain. Menghafal semua password kuat hampir tidak realistis, jadi password manager membantu user membuat dan menyimpan password yang berbeda untuk setiap layanan.
Kebijakan mengganti password berkala tanpa indikasi kompromi sering membuat user memilih pola yang mudah ditebak. Lebih sehat bila organisasi memprioritaskan password unik, pemeriksaan password yang pernah bocor, MFA, dan proses reset yang aman. Untuk akun personal, prinsipnya sama: jangan gunakan password email untuk toko online, forum, atau layanan lain.
Amankan recovery email dan nomor pemulihan
Recovery email dan nomor telepon pemulihan sering dilupakan, padahal keduanya bisa menjadi jalur masuk saat user kehilangan akses. Pastikan recovery email masih aktif, dikendalikan pemilik yang benar, dan juga diamankan dengan MFA. Nomor pemulihan perlu diperbarui ketika user ganti nomor atau berpindah organisasi.
Untuk organisasi, recovery tidak boleh bergantung pada mailbox yang sedang terkunci. Helpdesk perlu prosedur verifikasi identitas yang jelas agar reset password tidak berubah menjadi celah social engineering.
Review perangkat, sesi login, dan third-party apps
User perlu memeriksa perangkat yang sedang login, lokasi yang tidak biasa, dan sesi lama yang tidak lagi diperlukan. Jika tersedia, aktifkan notifikasi untuk login baru, perubahan password, perubahan recovery channel, dan percobaan login mencurigakan.
Periksa juga third-party apps yang terhubung ke akun email. Aplikasi yang dulu pernah dipakai untuk kalender, kontak, extension browser, automation, atau mobile app mungkin masih punya akses. Cabut izin aplikasi yang tidak dikenal, tidak dipakai, atau meminta permission terlalu luas.
Jangan hanya lindungi akun, lindungi domain
Untuk email organisasi, keamanan user saja belum cukup. Domain perusahaan juga bisa disalahgunakan melalui spoofing. Google Workspace menjelaskan bahwa SPF, DKIM, dan DMARC membantu mencegah spoofing, phishing, dan spam yang memakai identitas domain organisasi.
| Kontrol | Fungsi praktis |
|---|---|
| SPF | Menentukan server mana yang boleh mengirim email atas nama domain. |
| DKIM | Menandatangani pesan agar penerima dapat memverifikasi integritas email. |
| DMARC | Mengatur policy dan reporting ketika email gagal SPF atau DKIM alignment. |
| Monitoring | Melihat sumber pengiriman sah, anomali, dan potensi penyalahgunaan domain. |
NIST SP 800-177 Rev. 1 juga membahas trust pada email melalui SMTP over TLS, SPF, DKIM, DMARC, DNSSEC/DANE, dan S/MIME. Untuk banyak organisasi, langkah awal yang paling praktis adalah memastikan SPF, DKIM, dan DMARC benar, lalu menaikkan policy secara bertahap berdasarkan data laporan.
Jika curiga email sudah diretas
- Ganti password dari perangkat yang bersih dan aktifkan atau reset MFA.
- Keluar dari semua sesi aktif dan cabut perangkat yang tidak dikenal.
- Periksa forwarding rule, filter, delegated access, app password, dan third-party apps.
- Periksa folder sent, trash, archive, dan rule tersembunyi untuk melihat jejak penyalahgunaan.
- Beritahu kontak penting bila akun sempat mengirim email phishing atau permintaan pembayaran palsu.
- Untuk organisasi, jalankan incident response: cek log, audit perubahan, blokir indikator, dan evaluasi apakah akun lain ikut terdampak.
Checklist perlindungan sehari-hari
- Gunakan password manager dan password unik untuk email.
- Aktifkan MFA, idealnya phishing-resistant MFA untuk akun penting.
- Amankan recovery email dan nomor pemulihan.
- Review perangkat login dan sesi aktif secara berkala.
- Cabut akses aplikasi pihak ketiga yang tidak perlu.
- Jangan klik link atau lampiran yang konteksnya tidak jelas, terutama yang meminta login ulang.
- Pastikan perangkat, browser, dan aplikasi email rutin diperbarui.
- Untuk domain organisasi, kelola SPF, DKIM, DMARC, monitoring, backup, dan audit log.
Catatan JABETTO
Melindungi email bukan soal satu fitur ajaib. Praktiknya adalah disiplin berlapis: user yang waspada, autentikasi kuat, perangkat bersih, recovery yang aman, aplikasi pihak ketiga yang terkendali, dan domain yang tidak mudah dipalsukan. Jika email diperlakukan sebagai identitas digital utama, maka pengamanannya juga perlu diperlakukan sebagai bagian dari infrastruktur bisnis.
Sumber dan konteks migrasi
Artikel ini memperbarui konten lama JABETTO di /news/melindungi-email-anda-dari-peretasan/. Rujukan utama: CISA guidance on phishing-resistant MFA, Google Workspace Admin Help: About authentication methods, dan NIST SP 800-177 Rev. 1: Trustworthy Email.