Pernahkah Anda menerima kode login di ponsel setelah memasukkan kata sandi? Itulah salah satu bentuk MFA. MFA atau Multi-Factor Authentication adalah metode keamanan yang meminta lebih dari satu bukti identitas sebelum seseorang dapat masuk ke akun atau sistem.
MFA penting karena kata sandi saja tidak lagi cukup. Password dapat bocor, ditebak, digunakan ulang, atau dicuri melalui phishing. Dengan MFA, pencuri password masih membutuhkan faktor verifikasi lain untuk bisa masuk ke akun Anda.
Bagi individu maupun bisnis, MFA adalah salah satu langkah keamanan paling efektif untuk melindungi email, akun bank, media sosial, cloud storage, aplikasi kerja, hingga akses administrator.
Pengertian MFA: Apa Itu Multi-Factor Authentication?
Multi-Factor Authentication (MFA) adalah sistem autentikasi yang mewajibkan pengguna membuktikan identitas menggunakan dua atau lebih faktor yang berbeda.
MFA sering juga disebut sebagai:
- Autentikasi multifaktor
- Two-Factor Authentication atau 2FA
- Verifikasi dua langkah
- Two-Step Verification
Secara teknis, 2FA adalah bagian dari MFA. Bedanya, 2FA selalu memakai tepat dua faktor. Sementara MFA dapat memakai dua, tiga, atau lebih faktor autentikasi.
Contoh paling umum adalah saat Anda login ke email:
- Anda memasukkan alamat email dan password.
- Sistem meminta kode dari aplikasi autentikator atau notifikasi di ponsel.
- Setelah kode atau persetujuan berhasil, Anda mendapatkan akses.
Kombinasi tersebut membuat akun jauh lebih sulit diambil alih dibandingkan login dengan password saja.
Mengapa MFA Penting untuk Keamanan Digital?
Password masih menjadi target utama pelaku kejahatan siber. Pelaku dapat mencurinya melalui phishing, malware, kebocoran data, credential stuffing, atau percobaan password secara otomatis.
Microsoft menyatakan bahwa lebih dari 99,9% akun yang berhasil dikompromikan tidak menggunakan MFA. Artinya, akun tanpa lapisan verifikasi tambahan jauh lebih rentan terhadap password spray, phishing, dan penggunaan ulang password.
CISA juga menegaskan bahwa penggunaan MFA membuat pengguna jauh lebih sulit diretas karena penyerang harus melewati lebih dari satu bukti identitas.
Tiga Faktor Utama dalam MFA
MFA bekerja dengan menggabungkan faktor dari kategori yang berbeda. Faktor tersebut bukan sekadar “dua langkah”, melainkan dua jenis bukti identitas yang independen.
| Jenis faktor | Penjelasan sederhana | Contoh |
|---|---|---|
| Sesuatu yang Anda ketahui | Informasi yang seharusnya hanya diketahui pengguna | Password, PIN, jawaban pertanyaan keamanan |
| Sesuatu yang Anda miliki | Perangkat atau objek yang berada dalam kepemilikan pengguna | Ponsel, aplikasi autentikator, token, security key |
| Sesuatu yang Anda miliki secara biologis | Ciri fisik atau biometrik pengguna | Sidik jari, Face ID, pemindaian iris, suara |
Kombinasi yang baik biasanya menggunakan kategori berbeda. Misalnya, password dan PIN bukan MFA yang kuat bila keduanya hanya termasuk faktor “sesuatu yang Anda ketahui”.
Sebaliknya, password ditambah kode dari aplikasi autentikator merupakan MFA karena menggabungkan faktor pengetahuan dan kepemilikan perangkat.
Cara Kerja MFA dari Login hingga Akses Diberikan
Secara sederhana, MFA menambahkan pemeriksaan identitas setelah pengguna memasukkan password.
Berikut alurnya:
- Pengguna memasukkan identitas utama
Biasanya berupa email, nama pengguna, dan password. - Sistem memeriksa kredensial pertama
Jika password benar, sistem belum langsung memberikan akses. - Sistem mengirim atau meminta faktor tambahan
Pengguna mungkin diminta memasukkan kode OTP, menyetujui notifikasi, memakai sidik jari, atau menyentuhkan security key. - Pengguna menyelesaikan verifikasi kedua
Sistem memvalidasi apakah faktor tambahan tersebut benar dan terhubung dengan akun yang sesuai. - Akses diberikan
Pengguna dapat masuk hanya jika seluruh verifikasi berhasil.
Contoh ilustrasi MFA dalam kehidupan sehari-hari
Dina ingin membuka akun Microsoft 365 untuk mengakses email kerja.
- Dina memasukkan alamat email dan password.
- Microsoft mengirim permintaan persetujuan ke Microsoft Authenticator.
- Layar laptop menampilkan angka tertentu.
- Dina memasukkan atau mencocokkan angka tersebut pada aplikasi Authenticator.
- Setelah cocok, Dina dapat membuka emailnya.
Proses tersebut hanya membutuhkan beberapa detik, tetapi sangat berarti jika password Dina pernah bocor.
Jenis-Jenis MFA yang Paling Umum
Tidak semua metode MFA memiliki tingkat keamanan yang sama. Metode yang dipilih perlu disesuaikan dengan tingkat risiko akun, kebutuhan pengguna, dan kemampuan platform.
1. Kode SMS atau panggilan telepon
Sistem mengirimkan kode sekali pakai melalui SMS atau panggilan suara. Pengguna memasukkan kode itu untuk menyelesaikan login.
Kelebihan:
- Mudah dipahami pengguna baru.
- Tidak perlu memasang aplikasi tambahan.
- Tersedia di banyak platform.
Kekurangan:
- Rentan terhadap serangan berbasis nomor telepon, seperti SIM swapping.
- Kode SMS juga dapat dipancing melalui phishing.
- Tidak ideal sebagai metode utama untuk akun sensitif.
SMS tetap lebih baik daripada tidak menggunakan MFA sama sekali. Namun, bila tersedia, aplikasi autentikator atau security key merupakan pilihan yang lebih kuat.
2. Aplikasi autentikator
Aplikasi seperti Google Authenticator atau Microsoft Authenticator menghasilkan kode OTP berbasis waktu atau menerima notifikasi persetujuan login.
Kode ini biasanya berubah setiap 30 detik dan dapat dibuat tanpa koneksi internet maupun sinyal seluler.
Kelebihan:
- Lebih aman daripada SMS untuk banyak skenario.
- Berfungsi secara offline untuk kode TOTP.
- Tidak bergantung pada nomor telepon.
- Mudah digunakan setelah proses pengaturan selesai.
Kekurangan:
- Pengguna harus menyimpan metode pemulihan jika ponsel hilang.
- Kode tetap dapat dicuri jika pengguna memasukkannya ke situs phishing.
3. Notifikasi push
Pada metode ini, aplikasi mengirim notifikasi ke ponsel. Pengguna cukup memilih Setujui atau Tolak.
Metode ini praktis, tetapi pengguna perlu berhati-hati terhadap permintaan login yang tidak dikenali.
Jika Anda menerima notifikasi MFA padahal tidak sedang login, jangan pernah menyetujuinya. Segera tolak, ubah password, dan periksa aktivitas akun.
4. Biometrik
Biometrik memanfaatkan ciri fisik pengguna, seperti sidik jari atau pengenalan wajah.
Contoh yang familiar adalah Face ID, Touch ID, Windows Hello, atau sensor sidik jari pada ponsel.
Biometrik sangat nyaman karena pengguna tidak perlu mengingat kode. Dalam banyak penerapan modern, biometrik juga digunakan untuk membuka akses ke passkey yang tersimpan aman di perangkat.
5. Security key atau kunci keamanan fisik
Security key adalah perangkat fisik, umumnya berbentuk USB, NFC, atau Bluetooth, yang digunakan untuk menyetujui login.
Contoh yang banyak digunakan adalah YubiKey dan Google Titan Security Key.
Metode ini dikenal sangat kuat karena dirancang tahan terhadap phishing. Kunci keamanan tidak akan bekerja pada situs palsu yang alamat domainnya tidak sesuai dengan layanan asli.
6. Passkey
Passkey adalah metode login tanpa password yang memakai pasangan kunci kriptografis di perangkat pengguna. Biasanya, pengguna mengonfirmasi login dengan PIN perangkat, sidik jari, atau pengenalan wajah.
Passkey lebih tahan terhadap phishing dibanding password dan OTP tradisional. Google menjelaskan bahwa passkey berada di perangkat pengguna sehingga tidak dapat “dituliskan” atau diberikan begitu saja kepada pihak lain.
Perbandingan Metode MFA: Mana yang Sebaiknya Dipilih?
| Metode | Kemudahan penggunaan | Ketahanan terhadap phishing | Risiko utama | Rekomendasi penggunaan |
|---|---|---|---|---|
| SMS | Tinggi | Rendah | SIM swapping, phishing kode | Cadangan bila pilihan lain tidak tersedia |
| Email OTP | Sedang | Rendah | Email utama dapat diambil alih | Hindari untuk akun email utama |
| Aplikasi autentikator | Tinggi | Sedang | Kode dapat dipancing ke situs palsu | Pilihan dasar yang baik |
| Push notification | Sangat tinggi | Sedang | MFA fatigue atau push bombing | Gunakan dengan number matching |
| Biometrik + passkey | Tinggi | Tinggi | Pemulihan perangkat perlu dipersiapkan | Sangat disarankan bila tersedia |
| Security key FIDO2/WebAuthn | Sedang | Sangat tinggi | Kunci dapat hilang | Ideal untuk admin dan akun sensitif |
CISA menyebut FIDO/WebAuthn sebagai bentuk autentikasi tahan phishing yang tersedia secara luas. Organisasi dianjurkan mulai merencanakan perpindahan menuju metode ini, terutama untuk akun berisiko tinggi.
Apa Bedanya MFA, 2FA, OTP, dan Passkey?
Istilah keamanan sering terdengar mirip. Padahal, fungsinya tidak selalu sama.
| Istilah | Arti |
|---|---|
| MFA | Autentikasi menggunakan dua atau lebih faktor berbeda |
| 2FA | Jenis MFA yang menggunakan tepat dua faktor |
| OTP | Kode sekali pakai yang biasanya berlaku dalam waktu singkat |
| TOTP | OTP berbasis waktu yang berubah secara berkala, sering tiap 30 detik |
| Passkey | Kredensial tanpa password berbasis kriptografi dan perangkat |
| Security key | Perangkat fisik untuk autentikasi, umumnya mendukung FIDO2/WebAuthn |
Satu hal penting: OTP bukan selalu MFA. OTP baru menjadi bagian MFA jika dikombinasikan dengan faktor dari kategori lain, seperti password atau biometrik.
Ancaman yang Masih Bisa Menembus MFA
MFA sangat penting, tetapi bukan berarti tidak dapat disalahgunakan. Serangan modern sering tidak “meretas” MFA secara langsung, melainkan mengeksploitasi pengguna, sesi login, atau konfigurasi yang lemah.
MFA fatigue atau push bombing
Penyerang yang sudah mengetahui password korban mengirim banyak notifikasi persetujuan login.
Tujuannya adalah membuat korban lelah, panik, atau mengira notifikasi tersebut merupakan gangguan sistem. Jika korban menekan “Setujui” satu kali, penyerang bisa mendapatkan akses.
Kasus Uber pada 2022 menjadi contoh terkenal. Seorang kontraktor menerima notifikasi MFA berulang kali selama lebih dari satu jam sebelum akhirnya menyetujui salah satunya.
Phishing proxy atau adversary-in-the-middle
Penyerang membuat situs login palsu yang tampak seperti situs asli. Korban memasukkan password dan menyelesaikan MFA seperti biasa.
Namun, situs palsu tersebut dapat meneruskan proses login ke situs asli sambil mencuri cookie atau token sesi setelah verifikasi berhasil.
Karena itu, MFA berbasis FIDO2, WebAuthn, passkey, dan security key lebih unggul. Metode ini memeriksa keterikatan dengan domain asli sehingga tidak mudah digunakan di situs phishing.
Pencurian session token
Setelah login berhasil, sistem sering memberikan cookie atau token sesi agar pengguna tidak perlu MFA berulang kali.
Jika token itu dicuri melalui malware atau phishing proxy, penyerang dapat memanfaatkannya untuk menyamar sebagai pengguna yang sudah terautentikasi.
MFA tetap wajib digunakan. Namun, perlindungan perlu dilengkapi dengan perangkat yang aman, pembaruan sistem, pemantauan aktivitas, pembatasan sesi, dan pengelolaan token yang baik.
Cara Mengaktifkan MFA untuk Akun Pribadi
Mulailah dari akun yang paling berharga. Jangan menunggu sampai akun diretas untuk menambahkan perlindungan.
Urutan prioritas aktivasi MFA
- Email utama, seperti Gmail atau Outlook
- Akun perbankan, investasi, dan dompet digital
- Akun cloud storage
- Akun media sosial
- Marketplace dan e-commerce
- Akun kerja atau sekolah
- Password manager
- Akun domain dan hosting website
Langkah umum mengaktifkan MFA
- Masuk ke akun yang ingin diamankan.
- Buka menu Keamanan, Security, atau Login & Security.
- Cari pilihan MFA, 2FA, Verifikasi 2 Langkah, atau Two-Step Verification.
- Pilih metode yang tersedia.
- Jika menggunakan aplikasi autentikator, pindai QR code yang ditampilkan.
- Masukkan kode verifikasi atau setujui notifikasi uji coba.
- Simpan backup codes di lokasi aman.
- Tambahkan metode pemulihan kedua bila memungkinkan.
Google menyediakan opsi Verifikasi 2 Langkah melalui password dan langkah kedua, atau menggunakan passkey. Google juga mengingatkan bahwa kode SMS dan panggilan suara rentan terhadap serangan berbasis nomor telepon.
Cara mengaktifkan MFA di Google
Untuk akun Google pribadi, buka Akun Google lalu masuk ke menu Keamanan & login. Pada bagian “Cara Anda login ke Google”, pilih Verifikasi 2 Langkah, kemudian ikuti instruksi di layar.
Google mendukung beberapa metode, termasuk Google Prompt, Google Authenticator, passkey, security key, SMS, kode cadangan, dan pemindaian QR dalam kondisi tertentu.
Cara mengaktifkan MFA di Facebook
Di Facebook, buka:
Pengaturan & Privasi → Pengaturan → Pusat Akun → Kata Sandi dan Keamanan → Autentikasi Dua Faktor
Facebook mendukung security key, aplikasi autentikator pihak ketiga, serta kode SMS. Platform ini juga menyediakan kode pemulihan untuk digunakan saat ponsel tidak dapat diakses.
Kesalahan Umum Saat Menerapkan MFA
Mengandalkan SMS sebagai satu-satunya metode
SMS nyaman, tetapi memiliki risiko SIM swapping dan pencurian kode. Gunakan aplikasi autentikator, passkey, atau security key bila tersedia.
Menggunakan password bersama
MFA tidak akan menyelesaikan masalah identitas jika satu akun dipakai oleh banyak orang. Setiap pekerja harus memiliki akun sendiri agar aktivitas dapat diaudit dan akses bisa dicabut secara tepat.
Tidak menyimpan backup codes
Kehilangan ponsel tanpa kode cadangan atau metode pemulihan dapat membuat pengguna terkunci dari akun penting.
Simpan backup codes di password manager terenkripsi atau lokasi fisik yang aman. Jangan menyimpannya hanya di ponsel yang menjadi faktor MFA.
Menyetujui semua notifikasi push
Push notification bukan instruksi otomatis untuk ditekan “Setujui”. Jika Anda tidak sedang login, pilih “Tolak” dan segera lakukan pemeriksaan keamanan.
Melupakan akun lama, aplikasi pihak ketiga, dan service account
Penyerang cenderung mencari jalur termudah. Jika email utama sudah memiliki MFA tetapi domain registrar, aplikasi lama, akun API, atau remote access tidak terlindungi, celah tersebut tetap berbahaya.
Menganggap MFA sebagai perlindungan tunggal
MFA sangat efektif untuk mengurangi risiko pencurian kredensial, tetapi tidak menggantikan pembaruan perangkat, password manager, proteksi endpoint, pemantauan login, pengelolaan sesi, dan edukasi phishing.
Serangan modern dapat menargetkan token sesi setelah proses MFA selesai. Karena itu, MFA perlu menjadi bagian dari pertahanan berlapis, bukan satu-satunya kontrol keamanan.
MFA bukan solusi tunggal untuk seluruh ancaman siber. Namun, jika diterapkan dengan metode yang tepat, pemulihan yang aman, edukasi pengguna, dan perlindungan perangkat yang baik, MFA menjadi salah satu fondasi terkuat untuk menjaga identitas digital tetap aman.
