Kenapa Akun Bisa Dibajak Padahal Kamu Nggak Pernah Klik Link Aneh

Seorang pengguna aplikasi jual beli kripto pernah cerita ke saya. Tengah malam, dia dapat notifikasi login dari perangkat asing. Belum sempat panik, email pemulihan akunnya sudah berubah, metode keamanan baru sudah ditambahkan pelaku, dan dalam hitungan menit dia benar-benar terkunci dari akunnya sendiri. Yang bikin dia bingung, dia merasa tidak pernah mengklik link mencurigakan atau memasukkan password di situs palsu manapun.

Ini bukan cerita langka. Kasus seperti ini disebut account takeover, dan yang bikin modus ini berbahaya justru karena korban sering tidak sadar dirinya sedang diserang, sampai semuanya sudah terlambat.

• Instagram
• LinkedIn
• YouTube
• WhatsApp
• Mail

Account Takeover Bukan Sekadar Password Bocor

Banyak orang mengira account takeover cuma soal password lemah atau ketahuan orang lain. Padahal, definisinya lebih luas. Menurut penjelasan CNN Indonesia, account takeover adalah serangan siber di mana pelaku berhasil mengakses dan mengendalikan akun online milik seseorang tanpa izin, lalu memanfaatkannya untuk mencuri data, melakukan transaksi atas nama korban, bahkan menguras rekening.

Skalanya jauh lebih besar dari yang dibayangkan kebanyakan orang. Laporan BSSN yang dirangkum Verihubs mencatat kerugian ekonomi akibat kejahatan siber di Indonesia pada 2024 mencapai Rp18 triliun, dengan sektor perbankan, fintech, dan platform digital menanggung kerugian yang melampaui Rp1,5 triliun dalam satu tahun terakhir, didorong antara lain oleh maraknya kasus account takeover. Sementara itu, data yang dikutip Insertlive menyebutkan sepuluh bank terbesar di Indonesia mengalami kerugian nasabah hingga Rp2,5 triliun dalam periode 2022 hingga 2024, sebagian besar karena korban tanpa sadar membagikan kode OTP kepada penipu.

Kenapa Korban Sering Nggak Sadar Sedang Diserang

Di sinilah bagian yang paling perlu dipahami. Modus account takeover sekarang sudah jauh berkembang dari sekadar phishing klasik. Salah satu teknik yang makin marak adalah session hijacking, di mana pelaku tidak perlu lagi mencuri password sama sekali. Mereka cukup mencuri session token pengguna, semacam kartu akses sementara yang dibuat sistem setelah kamu berhasil login, lewat malware pencuri informasi yang disebut infostealer.

Coba bayangkan session token itu seperti gelang tangan yang kamu dapat setelah check in di konser. Petugas sudah memeriksa tiketmu di depan, dan begitu gelang itu terpasang, kamu bisa keluar masuk area konser tanpa diperiksa ulang. Masalahnya, kalau gelang itu dicuri orang lain, mereka bisa masuk ke area yang sama tanpa perlu menunjukkan tiket asli. Session hijacking bekerja dengan prinsip serupa, pelaku langsung memakai token curian untuk mengakses akun korban tanpa perlu melewati proses autentikasi dua faktor sama sekali.

Riset yang dibahas CSIRT Kabupaten Kotabaru mencatat sekitar 1,4 persen akun dari platform dengan basis pengguna 5 juta hingga 300 juta berisiko dibobol lewat teknik ini. Karena tidak ada proses login mencurigakan yang terekam, korban maupun sistem keamanan platform sering telat menyadari ada yang salah.

Tiga Pola Serangan yang Paling Umum Terjadi

• Rekayasa sosial dan phishing. Korban menerima notifikasi palsu soal login mencurigakan dan diminta “verifikasi”, lalu tanpa sadar memasukkan data login dan kode OTP ke tangan pelaku.
• Kredensial dari kebocoran data lama. Pelaku memakai kombinasi email dan password dari kebocoran data di layanan lain, lalu mencobanya secara diam-diam di berbagai platform tanpa peringatan apa pun ke korban.
• Malware infostealer di perangkat. File instalasi atau ekstensi yang tampak biasa membawa infostealer, mengirim data login dan session token langsung ke pelaku tanpa korban sadar perangkatnya sudah disusupi.

Bukannya Sudah Ada Autentikasi Dua Faktor, Kenapa Masih Bisa Kebobol

Ini pertanyaan yang wajar, dan jawabannya penting dipahami. MFA (autentikasi dua faktor) memang efektif menahan serangan berbasis pencurian password biasa. Tapi seperti dijelaskan sebelumnya, teknik session hijacking justru dirancang untuk melewati MFA sepenuhnya. Begitu pelaku memegang session token yang sah, sistem menganggap mereka sudah lolos autentikasi, karena secara teknis token itu memang valid, hanya saja dipegang oleh orang yang salah.

Artinya, MFA tetap penting sebagai lapisan pertama, tapi bukan solusi tunggal. Perlindungan yang lebih kuat membutuhkan verifikasi identitas yang mengikat akses ke identitas asli penggunanya, bukan cuma ke kredensial atau token yang bisa dicuri dan dipindahtangankan.

Dampaknya Bukan Cuma Kehilangan Akses

Begitu akun berhasil diambil alih, dampaknya bisa merembet jauh. Data pribadi bisa dicuri, transaksi bisa dilakukan atas nama korban, sampai rekening bisa dikuras habis. Ada juga pola yang lebih personal, akun media sosial yang dibajak lalu dipakai pelaku untuk meminjam uang ke kontak terdekat korban dengan berpura-pura menjadi korban itu sendiri, sesuatu yang bisa merusak hubungan sosial sekaligus finansial.

Untuk perusahaan, dampaknya lebih luas lagi. Simulasi dari CSIRT menunjukkan, kalau sebuah layanan digital dengan 100 juta pelanggan mengalami pembobolan pada 0,5 persen akunnya saja, dan seperlima pelanggan terdampak memutuskan berhenti berlangganan karena merasa tidak aman, kerugian tahunannya bisa mencapai belasan juta dolar, belum termasuk biaya pemulihan reputasi yang jauh lebih mahal dan lama.

Verifikasi Identitas sebagai Lapisan Pertahanan yang Lebih Kuat

Di titik inilah verifikasi identitas digital yang benar jadi krusial. Sebagai PSrE (Penyelenggara Sertifikasi Elektronik) yang diakui dan diawasi Komdigi, Xignature menyediakan layanan e-KYC yang memverifikasi identitas pengguna lewat biometrik wajah dan pencocokan data Dukcapil secara real-time. Pendekatan ini berbeda secara mendasar dari sekadar mengandalkan password atau OTP, karena verifikasi terikat langsung ke identitas fisik seseorang, bukan cuma ke kredensial digital yang bisa dicuri lewat malware atau session hijacking.

Untuk transaksi dan dokumen penting, TTE Tersertifikasi menambahkan lapisan perlindungan lain. Setiap tanda tangan terikat pada identitas yang sudah diverifikasi lewat e-KYC, sehingga tercipta audit trail digital yang jelas. Kalau suatu saat ada sengketa soal siapa yang benar-benar melakukan sebuah transaksi, jejak ini bisa dipertanggungjawabkan secara hukum, sesuatu yang tidak bisa didapat cuma dari sistem login berbasis password biasa.

Kenapa Verifikasi Berbasis Biometrik Lebih Sulit Ditembus

Password dan OTP itu ibarat kunci yang bisa digandakan begitu jatuh ke tangan yang salah. Verifikasi biometrik lebih mirip sidik jari, terikat langsung pada tubuh pemiliknya dan jauh lebih sulit dipalsukan atau dipindahtangankan. Kombinasi ini yang membuat pelaku account takeover kesulitan menyamar jadi pemilik akun asli, meski mereka sudah berhasil mencuri password atau bahkan session token sekalipun.

Langkah Konkret Melindungi Akunmu dari Account Takeover

• Aktifkan autentikasi dua faktor di semua akun penting, meski bukan solusi tunggal, ini tetap menahan sebagian besar serangan berbasis password curian.
• Jangan pernah memasukkan kode OTP ke situs atau formulir yang bukan aplikasi resminya, meski pesannya terlihat mendesak dan meyakinkan.
• Cek dan hapus ekstensi browser atau aplikasi mencurigakan yang jarang dipakai, terutama yang minta izin akses berlebihan.
• Gunakan password unik untuk setiap layanan, supaya kebocoran data di satu platform tidak otomatis membuka pintu ke akun lainnya.
• Segera logout paksa dari semua perangkat lewat pengaturan keamanan akun kalau curiga ada aktivitas mencurigakan, ini memutus session token yang mungkin sudah dicuri.

Jangan Tunggu Akunmu Diambil Alih Dulu Baru Sadar Pentingnya Verifikasi Identitas

Account takeover berkembang lebih cepat dari yang dibayangkan banyak orang, dan korban sering baru sadar setelah kerugian terjadi. Perlindungan yang paling kuat bukan cuma soal password yang rumit, tapi soal memastikan setiap akses dan transaksi benar-benar terikat pada identitas asli penggunanya.

Kalau kamu penasaran gimana proses verifikasi identitas digital lewat e-KYC dan TTE Tersertifikasi bisa membantu institusi maupun individu mencegah account takeover, kamu bisa coba demo gratisnya.

Baca juga artikel kami soal kenapa identity fraud bisa terjadi padahal KTP kamu aman di dompet, karena account takeover dan identity fraud sering berjalan beriringan dalam satu rangkaian kejahatan siber. Kamu juga bisa baca ciri-ciri loker penipuan yang sama-sama memanfaatkan identitas curian untuk menipu korban.

Pertanyaan yang Sering Muncul soal Account Takeover