tirto.id - “Hanya dalam satu jam, semua kehidupan digitalku hancur,” kenang Mat Honan, penulis senior Wired.
Ia menuturkan akun Googlenya diobrak-abrik dan dihapus peretas. Akun Twitter-nya pun diambil alih dan digunakan untuk mencuit pesan rasis dan homofobik. Terakhir, peretas sukses mencuri AppleID, menghapus segala dokumen digital miliknya di iPhone, iPad, dan juga MacBook.
“Dalam pemikiranku, sesungguhnya ini semua salahku sendiri,” Honan coba berpikir jernih soal nasib dunia digitalnya.
Menurut pandangannya, peretas sukses menghancurkan segala kehidupan digitalnya karena ia menghubungkan akun-akun miliknya dalam satu kesatuan. Katanya, jika peretas sukses masuk ke akun Amazon-nya, akun AppleID sangat mudah diterobos.
Honan menyesal. Terutama, karena ia tak mengaktifkan sistem autentikasi dua tahap pada akun-akun digitalnya, yang menurutnya dapat mencegah peretas sukar mengakses akun-akunnya.
Two-step verification alias two-factor authentication alias 2FA alias autentikasi dua tahap merupakan sistem pengamanan akun yang mewajibkan pengguna mengisi kode tertentu selepas memasukkan username atau nama pengguna serta kata kunci. Secara umum, merujuk PC, ada tiga cara autentikasi. Pertama, menggunakan sesuatu yang Anda ketahui, misalnya kata kunci. Kedua, menggunakan sesuatu yang Anda miliki, misalnya ponsel. Ketiga, menggunakan diri Anda sendiri, misalnya sidik jari.
Sistem autentikasi dua tahap menggunakan dua dari tiga cara autentikasi itu.
Pada September 2010, Google menginisiasi penggunaan autentikasi dua tahap. Kala itu, Google akan mengirimkan kode khusus ke ponsel pengguna, berupa pesan SMS, yang digunakan untuk membuka akun. Pada tahap awal, hanya ponsel berbasis Android dan Blackberry yang dapat mengaktifkan autentikasi dua tahap.
“Fitur ini membuat Anda satu-satunya pihak yang dapat mengakses data. Bahkan, jika seseorang telah mencuri kata sandi, mereka akan membutuhkan lebih dari itu untuk mengakses akun Anda,” ucap Direktur Keamanan Google Eran Feigenbaum.
Selepas peluncuran itu, autentikasi dua tahap via SMS umum digunakan oleh berbagai layanan internet. Autentikasi ini mudah prosesnya, hanya perlu nomor telepon.
Tapi, apakah cara ini benar-benar aman?
Tak Ada yang Privat
Brian Chen, kolumnis teknologi The New York Times, melontarkan jawaban skeptis. Masalahnya sejak segala sesuatu diproses secara digital, memberikan nomor ponsel terlihat tak bermakna. Misalnya, orang sangat mudah memberikan nomor ponsel untuk mendaftar segala layanan internet. Alasan si pemilik layanan: untuk autentikasi.
Sialnya, pikir Chen, nomor telepon sesungguhnya merupakan “kartu identitas” terkuat pengguna, bahkan dibandingkan nama. Terlebih, nomor telepon sangat erat dengan ponsel, entitas yang lebih dekat dibandingkan pasangan atau keluarga. Umumnya, orang lebih sulit mengganti nomor telepon dengan pertimbangan menjaga pertemanan, relasi, atau pekerjaan.
Saking tingginya status nomor telepon bagi pemilik, memberitahukannya secara sembarangan sangat berbahaya. Emre Tezisci, peneliti keamanan digital Fyde yang ditemui Chen, sukses mempraktikkan bagaimana ia mengekstraksi data-data pribadi Chen hanya dengan mengetahui nomor ponselnya saja.
“Begitu nomor ponsel diberikan, (Tezisci) mengetahui segalanya tentangku, termasuk nama dan tanggal lahir, alamat rumah, pajak yang saya bayarkan, dan nama setiap anggota keluargaku,” urai Chen.
Dengan data-data pribadi itu, peretas dapat memanfaatkannya untuk menerobos segala jenis akun milik pemegang nomor telepon. Misalnya, mengambil alih akun bank karena peretas tahu nama anggota keluarga, khususnya ibu kandung.
“Nomor telepon sangat mudah membuka siapa Anda sesungguhnya, lebih baik dibandingkan nama,” kata Simon Thorpe, direktur produk Twilio.
Kerentanan terkait nomor telepon bertambah. Tidak ada jaminan pasti nomor yang diberikan pada berbagai layanan internet benar-benar aman. Pada Oktober 2018 lalu Facebook diretas. Sebagaimana diwartakan The Washington Post, sebanyak 29 juta akun Facebook mengalami kebocoran data pribadinya, terutama nomor ponsel. Facebook diretas begitu diketahui terdapat bug alias celah pada kode pemrogramannya.
Belakangan aplikasi pinjaman online menjamur. Aplikasi jenis ini memungkinkan penggunanya meminjam uang atau membeli barang dengan cara dicicil, tanpa kartu kredit. Menurut data OJK, aplikasi pinjaman online, berikut fintech berjenis lending lainnya, telah menyalurkan uang sebesar Rp16 triliun hanya pada Oktober 2018 saja. Angkanya meningkat Rp14 triliun dari tahun sebelumnya.
Salah satu alasan berkembangnya pinjaman online, berikut jenis fintech lending lainnya, ialah ketiadaan syarat yang berbelit-belit, khususnya terkait agunan. Orang cukup menyerahkan KTP untuk memperoleh dana segar atau barang yang diinginkan.
Sayangnya, aplikasi pinjaman online umumnya meminta hak akses ke bagian-bagian sensitif ponsel penggunanya. Misalnya, meminta akses guna membaca/melihat daftar kontak si pengguna, akses log telepon, hingga SMS.
Dengan demikian, meskipun kita tidak menggunakan aplikasi pinjaman online, mudah bagi nomor telepon terpapar tatkala ada salah seorang teman yang menggunakannya.
Editor: Windu Jusuf
