Pertahanan

Autentikasi Multifaktor (MFA)

Metode keamanan yang mewajibkan dua atau lebih bukti identitas yang saling independen sebelum memberikan akses ke akun atau sistem.

Definisi

Autentikasi multifaktor (MFA) adalah kontrol keamanan yang mewajibkan pengguna menyajikan dua atau lebih bukti identitas yang independen, disebut faktor, sebelum akses diberikan. Faktor-faktor ini terbagi dalam beberapa kategori berbeda: sesuatu yang Anda ketahui (kata sandi atau PIN), sesuatu yang Anda miliki (ponsel, kunci perangkat keras, atau aplikasi autentikator), dan sesuatu yang melekat pada diri Anda (sidik jari, wajah, atau biometrik lainnya). Karena faktor-faktor tersebut saling independen, penyerang yang mencuri salah satunya, misalnya kata sandi, tetap tidak bisa masuk tanpa menaklukkan faktor kedua. MFA adalah salah satu pertahanan paling efektif dan paling banyak direkomendasikan untuk mencegah pengambilalihan akun.

MFA bekerja dengan menambahkan titik pemeriksaan kedua setelah tahap kata sandi. Saat pengguna masuk, sistem memverifikasi faktor pertama (biasanya kata sandi), lalu meminta faktor kedua: kode sekali pakai dari aplikasi autentikator, persetujuan lewat notifikasi push, sentuhan kunci keamanan perangkat keras, atau pemindaian biometrik. Akses baru diberikan ketika kedua faktor berhasil. Tidak semua metode MFA sama kuatnya. Kode SMS dan email bisa disadap atau dicuri lewat phishing, notifikasi push bisa ditaklukkan dengan serangan 'kelelahan MFA' ketika penyerang membanjiri permintaan persetujuan, sedangkan metode yang tahan phishing seperti kunci perangkat keras FIDO2 dan passkey mengikat proses masuk ke situs yang sah sehingga tidak bisa diteruskan ke halaman palsu.

MFA penting karena kata sandi saja merupakan pertahanan yang lemah. Kredensial kerap dicuri lewat phishing, bocor dalam kebocoran data, dan dipakai ulang di banyak situs. Satu kata sandi yang jebol bisa membuka pintu ke email, perbankan, dan sistem perusahaan. MFA memutus rantai ini: meski kata sandi valid, penyerang tetap terhenti di faktor kedua. Bagi organisasi yang diatur di Indonesia, MFA semakin diharapkan dalam persyaratan kontrol akses OJK dan ISO 27001, serta menjadi standar dasar untuk melindungi data nasabah dan karyawan sesuai UU PDP Nomor 27 Tahun 2022.

MFA memang kuat, tetapi bukan tak tertembus. Penyerang beradaptasi dengan perangkat phishing waktu nyata yang menjadi perantara sesi masuk dan menangkap kata sandi sekaligus kode sekali pakai yang masih aktif, serta dengan rekayasa sosial yang membujuk pengguna atau help desk agar menyetujui permintaan palsu. Karena itulah MFA sebaiknya dipadukan dengan metode yang tahan phishing jika memungkinkan, serta pelatihan kesadaran keamanan yang berkelanjutan, agar pengguna mengenali bahwa permintaan MFA yang tidak mereka mulai justru bisa menjadi serangan itu sendiri.

Sekilas info

Jenis
Kontrol preventif
Juga dikenal sebagai
MFA, 2FA

Cara kerjanya

  1. 1

    Faktor pertama: pengguna memasukkan sesuatu yang diketahui, biasanya kata sandi atau PIN.

  2. 2

    Permintaan faktor kedua: sistem kemudian meminta sesuatu yang dimiliki atau melekat pada pengguna, seperti kode autentikator, persetujuan push, sentuhan kunci perangkat keras, atau pemindaian biometrik.

  3. 3

    Verifikasi independen: kedua faktor harus berhasil sendiri-sendiri, sehingga kata sandi yang dicuri saja tidak dapat membuka akun.

  4. 4

    Kekuatan metode berbeda-beda: kode SMS dan email paling lemah, sementara kunci perangkat keras FIDO2 dan passkey sepenuhnya tahan phishing.

  5. 5

    Akses diberikan: sistem baru membuka akun setelah setiap faktor yang disyaratkan berhasil.

Poin utama

  • Kata sandi saja adalah pertahanan yang lemah karena rutin di-phishing, bocor dalam kebocoran data, atau digunakan ulang
  • Tidak semua metode MFA menawarkan tingkat perlindungan yang sama
  • Metode yang tahan phishing mengikat proses masuk ke situs yang sah sehingga tidak bisa diteruskan ke halaman palsu
  • MFA semakin diharapkan dalam persyaratan kontrol akses OJK dan ISO 27001
  • Penyerang kini menyasar MFA secara langsung lewat perangkat phishing waktu nyata dan MFA fatigue

Praktik terbaik

  • Aktifkan MFA di setiap akun yang mendukungnya, mulai dari email dan sistem finansial
  • Pilih metode yang tahan phishing seperti kunci perangkat keras FIDO2 atau passkey jika tersedia
  • Hindari kode SMS atau email untuk akun bernilai tinggi jika ada opsi yang lebih kuat
  • Padukan MFA dengan pelatihan kesadaran keamanan agar karyawan mengenali permintaan tak diminta sebagai hal mencurigakan
  • Anggap setiap permintaan MFA yang tidak Anda mulai sebagai kemungkinan serangan dan segera laporkan

Contoh nyata

Kata sandi seorang teller bocor dalam pelanggaran data di situs lain yang tidak terkait. Saat penyerang mencoba menggunakannya kembali untuk masuk ke portal SDM bank, sistem memblokir upaya tersebut karena juga mensyaratkan kode sekali pakai dari aplikasi autentikator sang teller, kode yang tidak bisa dihasilkan penyerang.

Bagaimana Claro membantu

Claro membantu organisasi mengukur apakah MFA benar-benar melindungi mereka, bukan sekadar apakah MFA sudah diaktifkan. Melalui simulasi phishing yang realistis, termasuk skenario pemanenan kredensial dan relai MFA, Claro mengungkap karyawan mana yang akan menyetujui permintaan tak terduga atau menyerahkan kode sekali pakai kepada penyerang. Momen tersebut memicu pelatihan mikro tepat waktu yang mengajarkan pengguna untuk berhenti sejenak terhadap permintaan MFA yang tidak diminta, lalu data ini masuk ke skor risiko tiap pengguna sehingga tim keamanan dapat menyasar individu dan departemen yang kebiasaan MFA-nya paling lemah.

Pertanyaan yang sering diajukan

Apa itu Autentikasi Multifaktor (MFA)?

Multi-factor authentication (MFA) mengharuskan dua atau lebih bukti identitas independen untuk login, seperti kata sandi ditambah kode atau passkey, sehingga kata sandi curian saja tidak cukup bagi pelaku untuk masuk.

Apa perbedaan antara MFA dan autentikasi dua faktor (2FA)?

2FA adalah kasus khusus MFA yang menggunakan tepat dua faktor, biasanya kata sandi ditambah satu bukti lain. MFA adalah istilah yang lebih luas dan dapat melibatkan dua atau lebih faktor dari kategori berbeda.

Metode MFA mana yang menawarkan perlindungan paling kuat?

Metode yang tahan phishing seperti kunci keamanan perangkat keras FIDO2 dan passkey adalah yang terkuat, karena secara kriptografis mengikat proses masuk ke situs yang sah. Kode SMS dan email paling lemah karena dapat disadap atau dicuri lewat phishing.

Bisakah MFA dilewati?

Bisa. Perangkat phishing waktu nyata dapat meneruskan kode sekali pakai yang valid dalam hitungan detik setelah dimasukkan, dan serangan MFA fatigue membanjiri persetujuan push hingga pengguna yang lelah menyetujui salah satunya. Karena itu metode yang tahan phishing dan pelatihan kesadaran sama-sama penting.

Apakah MFA yang sudah aktif berarti organisasi sudah terlindungi?

Tidak secara otomatis. Perlindungannya bergantung pada metode yang digunakan dan apakah karyawan mengenali permintaan tak diminta sebagai tanda bahaya alih-alih menyetujuinya karena kebiasaan.

Istilah terkait

Phishing

Phishing adalah serangan rekayasa sosial ketika pelaku menyamar sebagai pengirim tepercaya untuk menipu korban agar membocorkan kredensial, mengirim uang, atau memasang malware.

Pencurian Kredensial

Pencurian kredensial adalah pengambilan nama pengguna, kata sandi, dan data login lainnya, biasanya lewat halaman login palsu atau pesan yang mengelabui, agar penyerang bisa masuk ke akun dan sistem.

Rekayasa Sosial

Manipulasi terhadap manusia agar membocorkan informasi sensitif atau melakukan tindakan berisiko dengan memanfaatkan kepercayaan, emosi, dan psikologi, bukan kelemahan teknis.

Pelatihan Kesadaran Keamanan

Pelatihan kesadaran keamanan adalah edukasi terstruktur yang melatih karyawan mengenali dan menanggapi ancaman siber seperti phishing, rekayasa sosial, dan penanganan data yang tidak aman.

Kurangi risiko manusia Anda

Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.

Minta demo