Melampaui Prompt: Mengapa MFA Saja Tidak Cukup untuk Melindungi Data Anda

By Mirko Peters · 2026-08-28

Selamat datang kembali, para penggemar keamanan! Jika Anda seperti saya, Anda mungkin masih ingat helaan napas lega yang dirasakan komunitas teknologi ketika autentikasi multifaktor (MFA) mulai digunakan secara luas. Selama bertahun-tahun, kita mengandalkan kata sandi yang rapuh dan mudah ditebak. MFA seharusnya menjadi peluru ajaib, perisai digital yang akan menjauhkan peretas untuk selamanya. Ka

Automatically translated with AI from the original post. Read the English original

Selamat datang kembali, para penggemar keamanan! Jika Anda seperti saya, Anda mungkin masih ingat helaan napas lega yang dirasakan komunitas teknologi ketika autentikasi multifaktor (MFA) mulai digunakan secara luas. Selama bertahun-tahun, kita mengandalkan kata sandi yang rapuh dan mudah ditebak. MFA seharusnya menjadi peluru ajaib, perisai digital yang akan menjauhkan peretas untuk selamanya. Kami menyarankan klien, teman, dan rekan kerja kami untuk mengaktifkannya di mana saja. Rekening bank, media sosial, portal kerja: jika ada layar login, pasang MFA dan anggap selesai.

Namun, inilah kenyataan pahit yang perlu kita hadapi hari ini: MFA tidak cukup. Bahkan, mengandalkannya sebagai satu-satunya lini pertahanan adalah taruhan yang berbahaya. Para pelaku kejahatan siber telah berkembang, dan ancaman canggih yang kini mengintai jaringan kita melewati permintaan MFA tradisional seolah-olah permintaan itu tidak ada.

Dalam tulisan ini, kita akan membongkar ilusi rasa aman mutlak, meninjau kelemahan mencolok yang melekat pada sistem autentikasi multifaktor modern, dan membahas apa saja yang sebenarnya dibutuhkan untuk membangun strategi pertahanan yang tangguh di dunia tempat kata sandi dan token standar rutin dibobol. Baik Anda profesional TI yang mengamankan lingkungan perusahaan maupun seseorang yang ingin mengamankan kehidupan digitalnya, memahami risiko ini adalah hal yang wajib. Mari kita mulai.

Poin Penting

• MFA bukan solusi yang sempurna. MFA tidak dapat menjamin keamanan data dengan sendirinya.
• Serangan phishing dapat melewati MFA dengan menipu pengguna agar membocorkan kredensial mereka.
• Serangan persetujuan OAuth memungkinkan akses tidak sah bahkan setelah MFA selesai.
• SIM swapping dapat mencegat kode MFA berbasis SMS, sehingga membahayakan keamanan.
• Session hijacking memanfaatkan sesi aktif, sehingga penyerang dapat melewati MFA.
• Masalah pengalaman pengguna dapat menyebabkan MFA ditinggalkan, sehingga kerentanan meningkat.
• Pertimbangkan penggunaan pengelola kata sandi untuk meningkatkan keamanan dan mengelola kata sandi secara efektif.
• Terapkan model keamanan zero trust untuk terus memverifikasi identitas pengguna dan membatasi akses.

Kerentanan MFA

Serangan Phishing

Gambaran Umum Phishing

Serangan phishing tetap menjadi salah satu ancaman paling umum terhadap keamanan data. Serangan ini menipu Anda agar membocorkan informasi sensitif, seperti kata sandi atau kode autentikasi. Pelaku kejahatan siber sering menggunakan taktik rekayasa sosial untuk memanipulasi Anda agar memberikan detail tersebut. Mereka dapat mengirim email yang tampak sah, yang mendorong Anda untuk mengklik tautan berbahaya atau mengunduh lampiran yang merugikan.

Serangan phishing dapat melewati autentikasi multifaktor (MFA) dengan menggunakan teknik seperti phishing adversary-in-the-middle (AiTM) dan pencurian token. Metode ini memanfaatkan kelemahan dalam proses autentikasi, sehingga memungkinkan akses tidak sah tanpa menyelesaikan tantangan MFA. Frekuensi serangan semacam ini terus meningkat, dengan lonjakan penggunaan teknik tersebut yang cukup mencolok dalam beberapa tahun terakhir.

Contoh Nyata

Perhatikan teknik-teknik berikut yang digunakan penyerang untuk mengalahkan MFA:

• Rekayasa sosial: Peretas memanfaatkan kelemahan manusia dengan menipu Anda agar memberikan kode autentikasi atau kredensial melalui email atau panggilan phishing.
• Serangan kelelahan MFA (MFA fatigue): Penyerang membanjiri Anda dengan permintaan MFA, sehingga Anda menyetujui permintaan tersebut karena frustrasi.
• Serangan OTP SMS: Teknik seperti SIM swapping memungkinkan penyerang mencegat kata sandi sekali pakai berbasis SMS, sehingga melewati MFA.

Dalam beberapa tahun terakhir, phishing telah berkembang menjadi kampanye yang canggih. Misalnya, kampanye AiTM menempatkan infrastruktur phishing di antara Anda dan layanan yang sah, sehingga mampu menangkap kredensial sekaligus token MFA Anda. Hal ini memungkinkan penyerang mendapatkan akses tanpa memicu MFA. Pencurian token (token theft) berarti mencuri token autentikasi, yang memberikan akses tidak sah tanpa perlu kata sandi atau menyelesaikan tantangan MFA.

Serangan Persetujuan OAuth

Cara Kerja Persetujuan OAuth

Serangan persetujuan OAuth memanipulasi Anda agar memberikan izin kepada aplikasi berbahaya. Serangan ini menargetkan lapisan otorisasi, bukan proses autentikasi. Setelah Anda memberikan persetujuan, penyerang menerima token akses yang berfungsi terlepas dari MFA, sehingga memberikan akses persisten ke akun Anda.

Risiko Akses Tidak Sah

Risiko yang terkait dengan serangan persetujuan OAuth sangat signifikan. Penyerang tetap dapat mengakses data Anda bahkan setelah MFA selesai. Artinya, langkah keamanan tradisional seperti MFA tidak melindungi dari akses tidak sah setelah persetujuan diberikan. Tren terkini menunjukkan peningkatan signifikan dalam aplikasi perusahaan berbahaya yang menargetkan klien Microsoft 365.

SIM Swapping

Cara Kerja SIM Swapping

SIM swapping adalah teknik ketika penyerang mengambil alih nomor telepon Anda dengan membujuk operator seluler agar memindahkan nomor tersebut ke kartu SIM baru. Dengan cara ini, mereka dapat mencegat pesan SMS, termasuk yang berisi kode MFA.

Studi Kasus

Prevalensi serangan SIM swapping meningkat secara drastis. Federal Trade Commission (FTC) melaporkan peningkatan 400% dalam serangan SIM swapping dari 2021 ke 2022. Sebuah studi Princeton University pada 2020 menemukan bahwa 80% upaya awal penipuan SIM swap berhasil, sebagian besar karena metode autentikasi yang lemah pada operator telekomunikasi.

Pada September 2023, salah satu co-founder Ethereum, Vitalik Buterin, menjadi sasaran serangan SIM swapping yang memungkinkan peretas mengambil alih akun Twitter-nya. Seorang karyawan Kroll juga menjadi korban serangan SIM swapping pada Agustus 2023, yang menyebabkan akses tidak sah ke informasi sensitif perusahaan.

Dampak serangan SIM swapping bisa sangat serius:

• Penyerang dapat mencegat kode MFA yang dikirim melalui SMS, sehingga memungkinkan akses tidak sah ke akun.
• Akses ke informasi sensitif dapat menyebabkan pelanggaran data dan hilangnya kekayaan intelektual.
• FBI melaporkan kerugian hampir $50 juta akibat serangan SIM swapping.

Pembajakan Sesi

Eksploitasi Cookie Sesi

Pembajakan sesi terjadi ketika penyerang mengambil alih sesi aktif Anda dengan aplikasi web. Mereka mengeksploitasi cookie sesi, yaitu potongan data kecil yang disimpan di perangkat Anda setelah Anda masuk. Cookie ini memungkinkan Anda tetap masuk tanpa memasukkan kredensial lagi. Namun, jika penyerang mencuri cookie tersebut, mereka dapat menyamar sebagai Anda dan memperoleh akses tidak sah ke akun Anda.

Berikut beberapa metode umum yang digunakan penyerang untuk membajak sesi:

• Mencuri token sesi (cookie) setelah autentikasi pengguna.
• Menggunakan serangan proxy adversary-in-the-middle (AitM) dengan alat seperti Evilginx untuk mencegat kredensial dan kode MFA secara real-time.
• Menggunakan malware infostealer untuk mengekstrak cookie sesi dari perangkat korban.
• Pencurian cookie melalui malware atau phishing.
• Network sniffing pada Wi-Fi yang tidak aman untuk mencegat data sesi.
• Serangan cross-site scripting (XSS) untuk mencuri cookie.
• Pembajakan sesi TCP dengan memprediksi nomor urut.

Teknik-teknik ini memungkinkan penyerang melewati password sekaligus permintaan MFA. Setelah memiliki cookie sesi Anda, mereka dapat mengakses akun Anda tanpa memerlukan password maupun kode MFA.

Dampak pada Efektivitas MFA

Efektivitas MFA berkurang secara signifikan ketika penyerang berhasil membajak sesi Anda. Mereka dapat menyamar sebagai Anda dan melakukan tindakan seolah-olah Andalah yang melakukannya, sambil melewati pemeriksaan MFA. Misalnya, jika penyerang mencuri cookie sesi Anda, mereka dapat masuk ke akun Anda tanpa perlu memasukkan password maupun kode MFA.

Untuk melindungi diri Anda, hindari penggunaan opsi "Keep me signed in" pada perangkat yang tidak tepercaya. Jika Anda menduga akun Anda mungkin disusupi, segera paksa keluar dari semua sesi. Tindakan ini dapat membantu memitigasi risiko yang terkait dengan pembajakan sesi.

Keterbatasan Autentikasi Multi-Faktor

Pengalaman Pengguna vs. Keamanan

Menyeimbangkan Kenyamanan dan Keamanan

Anda sering menghadapi dilema saat menggunakan autentikasi multi-faktor (MFA). Meskipun MFA meningkatkan keamanan, MFA juga dapat membuat pengalaman pengguna menjadi lebih rumit. Banyak pengguna merasa proses pengaturan dan pemulihan membingungkan. Kerumitan ini dapat menimbulkan frustrasi dan membuat pengguna akhirnya meninggalkan MFA sepenuhnya. Faktanya, pengguna sering meninggalkan MFA karena pengalaman pengguna yang buruk, antara lain karena faktor-faktor berikut:

• Kerumitan: Menyiapkan MFA bisa memakan waktu dan membingungkan, terutama bagi mereka yang kurang paham teknologi.
• Ketidaknyamanan: Permintaan autentikasi yang berulang dapat membuat Anda frustrasi, sehingga tingkat adopsi menjadi lebih rendah.
• Minimnya Panduan: Instruksi yang tidak memadai membuat Anda kesulitan menyelesaikan langkah-langkah MFA.
• Penolakan Pengguna: Beban keseluruhan dari MFA dapat membuat Anda menolak atau meninggalkannya.

Tantangan kegunaan ini secara langsung berkontribusi pada frustrasi pengguna dan ditinggalkannya sistem MFA.

Masalah Kepatuhan Pengguna

Kepatuhan pengguna memegang peranan penting dalam efektivitas MFA. Ketika Anda menolak MFA karena dianggap merepotkan atau rumit, Anda mengekspos diri Anda dan organisasi terhadap risiko. Kepatuhan yang buruk dapat menyebabkan:

• Melewati MFA sepenuhnya.
• Penolakan terhadap penerapannya, sehingga sistem menjadi rentan terhadap serangan berbasis password.
• Penggunaan MFA yang kurang optimal atau konfigurasi yang keliru, sehingga manfaat perlindungannya berkurang.

Kekurangan Teknologi

Saluran Tidak Aman

MFA bergantung pada berbagai saluran komunikasi, tetapi tidak semuanya aman. Misalnya, menggunakan SMS untuk autentikasi dapat secara signifikan melemahkan keamanan Anda. Jika penyerang menguasai nomor telepon Anda, mereka dapat mencegat pesan SMS, termasuk kode MFA. Mengandalkan password saja memungkinkan penyerang mengakses akun tanpa hambatan tambahan jika kredensial mereka bocor.

Kurangnya Standardisasi

Kurangnya standardisasi dalam implementasi MFA menyebabkan pendekatan yang terfragmentasi di berbagai platform. Ketidakkonsistenan ini berdampak negatif pada keandalan MFA. Misalnya, sektor seperti IoT dan E-Services sering memiliki protokol MFA yang berbeda-beda, yang dapat menimbulkan celah keamanan.

Keterbatasan ini menyoroti tantangan yang dihadapi organisasi saat menerapkan MFA. Memahami masalah-masalah ini sangat penting untuk meningkatkan postur keamanan Anda.

Alternatif MFA

Di lanskap digital saat ini, hanya mengandalkan autentikasi multi-faktor (MFA) dapat membuat Anda rentan. Sebagai gantinya, pertimbangkan untuk menerapkan langkah keamanan alternatif yang memperkuat perlindungan Anda. Berikut beberapa opsi efektif:

Pengelola Kata Sandi

Manfaat Menggunakan Pengelola Kata Sandi

Pengelola kata sandi menyederhanakan keamanan daring Anda. Pengelola ini menyimpan dan mengenkripsi kata sandi Anda, sehingga Anda mudah menggunakan kata sandi yang unik dan kompleks untuk setiap akun. Hal ini mengurangi risiko pencurian kredensial dan penggunaan ulang kata sandi.

Cara Meningkatkan Keamanan

Dengan menggunakan pengelola kata sandi, Anda dapat membuat kata sandi yang kuat secara otomatis. Hal ini menghilangkan kebutuhan untuk mengingat banyak kata sandi, sehingga Anda dapat fokus pada keamanan alih-alih menghafal. Selain itu, banyak pengelola kata sandi menawarkan fitur seperti berbagi kata sandi dan peringatan pelanggaran data, yang semakin memperkuat keamanan identitas Anda.

Autentikasi Biometrik

Jenis Metode Biometrik

Autentikasi biometrik menggunakan karakteristik fisik yang unik untuk memverifikasi identitas Anda. Metode umum meliputi:

• Pemindaian sidik jari
• Pemindaian telapak tangan
• Pemindaian retina dan iris
• Pengenalan suara
• Pendeteksian napas
• Pencocokan DNA
• Pemindaian pembuluh vena
• Pengenalan cara berjalan

Metode ini banyak diadopsi di sektor seperti layanan kesehatan dan manufaktur, terutama di tempat perangkat sering digunakan bersama.

Kelebihan dan Kekurangan Keamanan Biometrik

Autentikasi biometrik menawarkan beberapa keunggulan:

1. Keamanan yang kuat dan risiko pencurian identitas yang lebih rendah.
2. Kenyamanan: Anda tidak perlu lagi mengingat kata sandi.
3. Peningkatan pengalaman pengguna: Akses cepat ke perangkat atau layanan.

Namun, ada kelemahannya:

Meskipun metode biometrik meningkatkan keamanan, metode ini juga menimbulkan kekhawatiran tentang privasi data dan potensi pelanggaran.

Model Keamanan Zero Trust

Prinsip Zero Trust

Model keamanan zero trust beroperasi berdasarkan prinsip "jangan pernah percaya, selalu verifikasi." Pendekatan ini mewajibkan autentikasi dan otorisasi yang ketat untuk setiap permintaan akses. Prinsip utama meliputi:

• Jangan berasumsi ada kepercayaan implisit untuk akses jaringan apa pun.
• Terapkan berbagai langkah perlindungan, seperti enkripsi.
• Batasi akses data secara ketat berdasarkan prinsip kebutuhan untuk tahu (need-to-know).

Menerapkan Zero Trust di Organisasi

Organisasi dapat menerapkan zero trust dengan terus memverifikasi identitas pengguna dan membatasi akses hanya untuk pengguna dan sumber daya yang disetujui. Model ini menekankan autentikasi dan otorisasi berbasis identitas untuk semua koneksi. Dengan memantau perilaku pengguna dan kesehatan perangkat, organisasi dapat mengotorisasi akses secara dinamis, sehingga mengurangi ketergantungan pada MFA sebagai satu-satunya langkah keamanan.

MFA memiliki kerentanan dan keterbatasan signifikan yang harus Anda kenali. Penyerang dapat memanfaatkan halaman login palsu untuk mencuri kredensial Anda, sehingga melemahkan efektivitas MFA. Selain itu, 61% organisasi memiliki pengguna root tanpa MFA, yang menyoroti risiko hanya mengandalkan metode ini.

Untuk melindungi data Anda, terapkan pendekatan proaktif yang mencakup beberapa lapisan keamanan. Pertimbangkan untuk menerapkan:

• Kontrol akses berbasis peran untuk membatasi paparan data.
• Kepatuhan terhadap regulasi seperti HIPAA dan GDPR untuk autentikasi yang kuat.
• Pemantauan berkelanjutan terhadap aktivitas login untuk mendeteksi perilaku mencurigakan.

Dengan menerapkan beragam langkah keamanan, Anda dapat lebih baik melindungi informasi sensitif Anda.

Pertanyaan Umum

Apa itu MFA?

MFA, atau Multi-Factor Authentication, menambahkan keamanan ekstra dengan mewajibkan dua atau lebih metode verifikasi. Metode ini dapat mencakup sesuatu yang Anda ketahui (seperti kata sandi), sesuatu yang Anda miliki (seperti ponsel), atau sesuatu yang melekat pada diri Anda (seperti sidik jari).

Bagaimana phishing dapat melewati MFA?

Serangan phishing menipu Anda agar mengungkapkan kredensial atau kode MFA. Penyerang dapat menggunakan teknik seperti phishing adversary-in-the-middle (AiTM) untuk mencuri kata sandi sekaligus token MFA Anda, sehingga mereka dapat mengakses akun Anda tanpa perlu MFA.

Apa itu serangan persetujuan OAuth?

Serangan persetujuan OAuth terjadi ketika penyerang memanipulasi Anda agar memberikan izin kepada aplikasi berbahaya. Setelah Anda memberikan persetujuan, mereka memperoleh token akses yang memungkinkan mereka mengakses data Anda tanpa perlu MFA.

Mengapa SIM swapping berbahaya?

SIM swapping memungkinkan penyerang mengambil alih nomor telepon Anda. Mereka dapat mencegat pesan SMS, termasuk kode MFA, yang memungkinkan mereka melewati MFA dan mengakses akun Anda tanpa sepengetahuan Anda.

Bagaimana cara kerja session hijacking?

Session hijacking terjadi ketika penyerang mencuri cookie sesi Anda setelah Anda masuk. Mereka dapat menyamar sebagai Anda dan mengakses akun Anda tanpa perlu kata sandi atau kode MFA, sehingga melemahkan efektivitas MFA.

Apa saja alternatif MFA?

Alternatif MFA meliputi penggunaan pengelola kata sandi, autentikasi biometrik, dan penerapan model keamanan zero trust. Metode ini dapat memperkuat postur keamanan Anda dan mengurangi ketergantungan pada MFA saja.

Bisakah saya hanya mengandalkan kata sandi untuk keamanan?

Tidak, hanya mengandalkan kata sandi itu berisiko. Kata sandi dapat dicuri atau ditebak. Menerapkan langkah keamanan tambahan, seperti MFA atau pengelola kata sandi, secara signifikan meningkatkan perlindungan Anda dari akses tidak sah.

Bagaimana cara meningkatkan postur keamanan saya?

Untuk meningkatkan keamanan, pertimbangkan penggunaan kata sandi yang kuat dan unik, mengaktifkan MFA jika memungkinkan, dan secara rutin memantau akun Anda untuk aktivitas mencurigakan. Menerapkan pendekatan keamanan berlapis sangat penting untuk melindungi data Anda.

Kesimpulan

Seperti yang telah kita bahas sepanjang artikel ini, menganggap autentikasi multi-faktor sebagai peluru perak yang tak tertembus adalah kesalahan berbahaya. Di antara kampanye phishing AiTM yang canggih, SIM swapping yang kejam, session hijacking, dan eksploitasi persetujuan OAuth yang licik, penyerang telah menemukan banyak cara untuk melewati penjaga multi-faktor standar. MFA tetap menjadi alat penting dalam perangkat keamanan Anda, tetapi ia hanyalah salah satu lapisan dalam teka-teki yang jauh lebih besar. Untuk benar-benar melindungi aset digital Anda, Anda harus menerapkan pola pikir defense-in-depth, menggabungkan metode autentikasi yang kuat dengan pengelola kata sandi yang andal, dan beralih ke arsitektur zero-trust.

Jika Anda ingin memahami lebih dalam bagaimana eksploitasi identitas modern terjadi—khususnya bagaimana pelaku memanfaatkan izin aplikasi untuk mempertahankan akses jangka panjang—Anda sangat disarankan untuk menyimak episode podcast pendampingnya. Untuk mendengarkan pembahasan lengkapnya, kunjungi Stop OAuth Consent Attacks in Microsoft Entra ID. Tetap aman, terus pertanyakan asumsi Anda, dan sampai jumpa di episode berikutnya!