Apa yang Harus Dilakukan Jika Email Anda Terkena Pelanggaran Data

Apa yang harus dilakukan jika email Anda terkena pelanggaran data

Alamat email Anda yang muncul dalam pelanggaran data tidak dengan sendirinya berarti seseorang berhasil masuk ke akun email Anda. Pertama, verifikasi peringatan tersebut melalui situs web resmi perusahaan dan cari tahu data lain apa yang ikut terekspos. Jika kata sandi bocor, ubah kata sandi itu di semua tempat Anda menggunakannya dan aktifkan perlindungan masuk yang lebih kuat. Jika data kartu, bank, atau Jaminan Sosial bocor, ikuti langkah-langkah yang sesuai dari bank, biro kredit, atau IdentityTheft.gov.

Hanya alamat email: perkirakan akan ada lebih banyak spam dan phishing yang menyasar Anda. Itu bukan bukti bahwa seseorang telah mengakses kotak masuk Anda.
Kata sandi terekspos atau ditandai sebagai terkompromi: ubah kata sandi tersebut pada akun yang terdampak dan pada setiap akun lain yang menggunakan kata sandi yang sama.
Tanda-tanda pengambilalihan akun (login yang tidak dikenal, detail pemulihan yang berubah, aturan penerusan yang tidak Anda buat, pesan yang tidak Anda kirim): gunakan proses pemulihan akun yang diretas dari penyedia email Anda.
Detail kartu, bank, Jaminan Sosial, atau identitas terekspos: ikuti langkah-langkah khusus untuk data tersebut, bukan daftar periksa email yang generik.

Cara mengetahui apakah email Anda terkena pelanggaran data

Konfirmasi pemberitahuan tersebut melalui situs web atau aplikasi resmi perusahaan yang terdampak, lalu periksa layanan pencarian pelanggaran data yang tepercaya dan peringatan kata sandi tersimpan Anda. Tidak ada satu pun layanan pencarian yang memuat semua pelanggaran data, jadi bacalah juga pemberitahuan insiden dari perusahaan untuk mengetahui data apa saja yang terekspos bersama alamat Anda.

Verifikasi pemberitahuan tanpa menggunakan tautannya

Pemberitahuan pelanggaran data adalah samaran favorit untuk phishing, jadi jangan klik tautan atau menelepon nomor telepon yang ada dalam pesan tersebut. National Cyber Security Centre (NCSC) Inggris menyarankan untuk menghubungi organisasi tersebut melalui situs web atau aplikasi resminya. Ketik sendiri alamatnya atau buka aplikasi yang sudah Anda gunakan, lalu cari halaman insiden atau artikel dukungan milik perusahaan.

Cari penjelasan perusahaan tentang insiden tersebut dan kategori data yang menurut mereka terdampak, seperti alamat email, kata sandi, nomor telepon, atau detail pembayaran. Jika pemberitahuannya tidak jelas, tanyakan kepada tim dukungan perusahaan melalui saluran resmi data apa tentang Anda yang terlibat.

Periksa Have I Been Pwned dan peringatan kata sandi tersimpan Anda

Have I Been Pwned adalah layanan pencarian pelanggaran data gratis yang dijalankan oleh peneliti keamanan Troy Hunt. Anda memasukkan alamat email, lalu layanan itu mencantumkan pelanggaran data yang diketahui dalam datasetnya yang mencakup alamat tersebut. FAQ-nya menyatakan bahwa pencarian email tidak dicatat, dan layanan ini menawarkan peringatan gratis "Notify me" yang hanya dikirim ke alamat yang dipantau.

Hasil yang bersih tidak membuktikan bahwa alamat Anda tidak pernah bocor. Have I Been Pwned hanya dapat melaporkan pelanggaran data yang telah diindeksnya, dan sebagian set data ditangani secara berbeda atau tidak pernah muncul ke publik.

Alat kata sandi tersimpan Anda juga dapat menandai kata sandi yang terekspos. Google Password Manager memiliki Password Checkup yang melaporkan kata sandi tersimpan sebagai terekspos, digunakan ulang, atau lemah. Di iPhone, bagian Keamanan pada aplikasi Passwords mengidentifikasi kata sandi yang lemah atau terkompromi, termasuk kata sandi yang terdeteksi dalam kebocoran data yang diketahui. Beberapa pengelola kata sandi lain menawarkan pemantauan serupa. Google menyarankan membuka Password Checkup secara langsung untuk memverifikasi peringatan, bukan mengikuti tautan dalam notifikasi — kebiasaan baik untuk peringatan keamanan apa pun.

Apa yang bocor menentukan apa yang harus Anda lakukan

Sesuaikan respons Anda dengan data yang terekspos. Alamat email yang bocor terutama meningkatkan risiko phishing Anda, kata sandi yang bocor menuntut kata sandi baru, dan detail keuangan atau Jaminan Sosial yang bocor menuntut langkah-langkah dari bank dan biro kredit.

Diagram keputusan alamat email yang dibobol bercabang menjadi empat kasus hanya email kata sandi telepon dan data identitas masing-masing mengarah pada jenis tindakan yang berbeda — Mulailah dari apa yang bocor. Setiap cabang memerlukan respons yang berbeda.

Terekspos bersama email Anda	Risiko utama	Apa yang harus dilakukan
Hanya alamat email	Lebih banyak upaya spam, phishing, dan penyamaran	Laporkan phishing, waspadai pesan bertema pelanggaran data, dan pastikan kata sandi Anda unik
Kata sandi atau hash kata sandi	Seseorang masuk ke akun tersebut, atau ke akun lain tempat Anda menggunakan ulang kata sandi itu	Ubah kata sandi di mana pun Anda menggunakannya, dan tambahkan passkey atau MFA
Nomor telepon, alamat rumah, atau tanggal lahir	Phishing yang lebih personal dan upaya menyamar sebagai Anda kepada tim dukungan atau operator Anda	Tetap waspada terhadap panggilan dan pesan teks, serta pertimbangkan untuk menambahkan PIN pada akun operator seluler Anda
Detail kartu, bank, Jaminan Sosial, atau identitas	Tagihan penipuan atau akun baru yang dibuka atas nama Anda	Hubungi bank atau penerbit kartu Anda, pertimbangkan pembekuan kredit, dan ikuti panduan IdentityTheft.gov

Nomor telepon, alamat, atau tanggal lahir tidak berarti akan terjadi SIM swap. Namun, detail tersebut memudahkan rekayasa sosial, dan Federal Trade Commission (FTC) mencatat bahwa menetapkan PIN atau kata sandi pada akun seluler Anda dapat membantu memblokir perubahan yang tidak sah.

Jika perusahaan mengatakan hash kata sandi terekspos

Banyak perusahaan menyimpan kata sandi sebagai hash, bukan teks yang dapat dibaca. Jika pemberitahuan pelanggaran menyebutkan hash kata sandi diambil, ikuti instruksi reset dari perusahaan dan ganti kata sandi tersebut di mana pun Anda menggunakannya kembali. Hashing dapat mengurangi kemungkinan kata sandi dipulihkan, tetapi perlindungannya bergantung pada metode hashing, konfigurasinya, dan seberapa kuat kata sandi Anda. Jangan menganggap kata sandi yang di-hash langsung bisa dibaca atau aman selamanya.

Jika peringatan menyebutkan stealer log atau malware

Beberapa peringatan pelanggaran berasal dari "stealer log", yaitu kredensial yang dikumpulkan oleh malware pada perangkat yang terinfeksi, bukan disalin dari database perusahaan. Jika peringatan secara spesifik menyebutkan hal ini, perbarui dan pindai perangkat yang terdampak dengan perangkat lunak keamanan tepercaya, lalu ubah kata sandi sensitif dari perangkat yang Anda yakini bersih. Pelanggaran perusahaan biasa tidak dengan sendirinya berarti ponsel atau komputer Anda memiliki malware.

Jika kata sandi terekspos atau digunakan ulang

Bertindaklah segera ketika kata sandi terekspos, karena seseorang bisa mencoba kombinasi email dan kata sandi tersebut di akun yang dilanggar atau di situs lain. Ganti kata sandi di akun yang terdampak, lalu ganti juga di tempat lain yang masih menggunakannya.

Ubah di akun yang terdampak

Masuk dengan mengetik sendiri alamat situsnya, bukan melalui tautan di email, dan buat kata sandi baru yang panjang dan unik. IdentityTheft.gov juga menyarankan untuk mengganti nama pengguna jika situs mengizinkannya. Jika Anda tidak bisa masuk, hubungi perusahaan dan tanyakan cara memulihkan atau menutup akun tersebut.

Selagi Anda masuk, periksa perubahan yang tidak Anda lakukan, terutama di situs belanja atau keuangan. Periksa alamat pengiriman, kartu yang tersimpan, akun yang terhubung, dan pesanan atau transaksi terbaru.

Ganti di mana pun Anda menggunakannya kembali

Akun lain yang masih menggunakan kata sandi bocor tetap berisiko, bahkan jika layanan itu tidak dibobol. Ganti kata sandi tersebut berikutnya, mulai dari akun yang dapat membuka akses ke layanan lain atau mengungkap uang atau informasi sensitif:

Akun email Anda, karena tautan reset kata sandi untuk hampir semua hal lain dikirim ke sana
Rekening perbankan, pembayaran, dan investasi
Situs belanja yang menyimpan kartu
Media sosial, penyimpanan cloud, dan akun operator telepon

Jika kata sandi email utama Anda tidak digunakan ulang, tidak ditandai, dan tidak menunjukkan aktivitas yang tidak biasa, kata sandi itu tidak perlu diubah lebih dulu. Ubahlah ketika kata sandi tersebut sama dengan yang dipakai di situs yang dilanggar atau muncul dalam peringatan pelanggaran tersendiri.

Pengelola kata sandi membuat hal ini praktis dengan membuat dan menyimpan kata sandi yang berbeda untuk setiap akun. Beberapa pengelola kata sandi juga dapat menandai kata sandi tersimpan yang digunakan ulang atau diketahui terekspos. Pengelola kata sandi tidak dapat mencegah perusahaan dibobol, tetapi kata sandi yang unik mencegah satu kata sandi bocor membuka akun lain.

Beralih ke passkey atau tambahkan perlindungan masuk yang lebih kuat

Jika sebuah situs mendukung passkey, pertimbangkan untuk menggunakannya sebagai pengganti kata sandi. Jika tidak, gunakan kata sandi unik dan aktifkan autentikasi multi-faktor (MFA). Untuk akun penting, aplikasi autentikator atau kunci keamanan adalah pilihan yang lebih kuat. Kode pesan teks tetap menambah perlindungan, tetapi FTC memperingatkan bahwa kode tersebut mungkin tidak menghentikan SIM swap.

Sebelum menghapus metode masuk lama, pastikan alamat email pemulihan, nomor telepon pemulihan, kode cadangan, dan perangkat tepercaya Anda adalah yang Anda kendalikan. Jangan matikan verifikasi pesan teks sampai metode lain sudah diatur dan berfungsi, atau Anda bisa terkunci di luar.

Jika ada tanda-tanda seseorang mengakses akun email Anda

Pelanggaran yang melibatkan perusahaan lain tidak selalu berarti ada yang mengakses kotak surat Anda. Langkah-langkah di bawah ini hanya berlaku jika Anda melihat tanda-tanda pengambilalihan akun email, seperti:

Anda tidak dapat masuk, atau kata sandi atau nama pengguna Anda berubah tanpa tindakan dari Anda
Peringatan login dari perangkat atau lokasi yang tidak Anda kenali
Alamat email pemulihan atau nomor telepon yang tidak Anda tambahkan
Pesan terkirim yang tidak Anda tulis, atau teman yang melaporkan email aneh dari Anda

Pulihkan akun melalui penyedia Anda

Gunakan halaman pemulihan akun resmi penyedia Anda, yang diakses dengan mengetik alamatnya atau membuka aplikasinya. Setelah berhasil masuk kembali, ubah kata sandi, keluar dari semua sesi dan perangkat lain, lalu aktifkan MFA jika sebelumnya nonaktif. FTC juga menyarankan untuk memperbarui perangkat lunak keamanan Anda dan menjalankan pemindaian.

Periksa perangkat, detail pemulihan, aturan penerusan, dan aplikasi yang terhubung

Penyusup dapat mengubah pengaturan yang mempertahankan akses atau mengirimkan salinan pesan Anda setelah Anda mengatur ulang kata sandi. Panduan akun yang disusupi dari Google menguraikan pemeriksaan di bawah ini; gunakan pengaturan keamanan dan email yang setara yang disediakan penyedia Anda sendiri.

Diagram kotak surat dengan empat callout yang harus ditinjau setelah dugaan pengambilalihan perangkat yang masuk detail pemulihan aturan penerusan dan aplikasi yang terhubung — Setelah dugaan pengambilalihan akun, tinjau setiap pengaturan yang dapat mempertahankan akses atau mengalihkan pesan Anda.

Perangkat dan sesi: tinjau aktivitas keamanan terbaru dan hapus perangkat yang tidak Anda kenali.
Detail pemulihan: perbaiki alamat email pemulihan, nomor telepon, atau nama akun yang tidak Anda atur.
Penerusan, filter, dan delegasi: hapus aturan penerusan, filter, dan delegasi email yang tidak Anda buat. Periksa folder terkirim dan terhapus untuk pesan yang dikirim atau dibaca orang lain.
Aplikasi terhubung: hapus aplikasi pihak ketiga yang memiliki akses ke akun Anda yang tidak Anda kenali atau tidak lagi Anda gunakan.

Beri tahu kontak Anda jika ada pesan yang terkirim

Jika seseorang mengirim email dari akun Anda, beri tahu kontak Anda agar mereka tidak mengklik tautan atau menanggapi permintaan uang yang tampaknya berasal dari Anda.

Jika detail kartu, bank, atau Jaminan Sosial terekspos

Data keuangan dan identitas memerlukan langkah-langkah yang tidak bisa ditangani oleh kata sandi baru. Langkah-langkah di bagian ini mengikuti panduan IdentityTheft.gov dari FTC dan khusus untuk Amerika Serikat. Di negara lain, gunakan otoritas kejahatan siber, perlindungan data, dan pelaporan kredit nasional di negara Anda, bersama dengan bank Anda.

Kartu kredit atau debit

Hubungi penerbit kartu Anda menggunakan nomor di bagian belakang kartu atau di tagihan Anda, bukan nomor dari pesan kebocoran. Minta agar kartu dibatalkan dan dapatkan kartu baru. Tinjau transaksi terbaru, laporkan yang tidak Anda kenali, dan perbarui pembayaran otomatis dengan nomor kartu baru.

Rekening bank atau investasi

Beri tahu bank atau broker Anda tentang apa yang terjadi, menggunakan detail kontak yang sudah Anda yakini asli. IdentityTheft.gov menyarankan menutup akun dan membuka akun baru, tetapi ikuti instruksi spesifik dari institusi Anda. Setelah itu, tinjau transaksi secara berkala dan perbarui pembayaran otomatis yang ada.

Nomor Jaminan Sosial

Nomor Jaminan Sosial yang terekspos dapat digunakan untuk membuka kredit, mengajukan pajak, atau mendapatkan pekerjaan atas nama Anda. Berikut adalah langkah-langkah perlindungan utama:

Bekukan kredit Anda di Equifax, Experian, dan TransUnion. Anda harus menghubungi setiap biro secara terpisah. Pembekuan ini gratis, berlaku sampai Anda mencabutnya, dan tidak memengaruhi skor kredit Anda. Siapa pun dapat mengajukannya kapan saja, tetapi paling penting ketika nomor Jaminan Sosial Anda atau detail identitas lainnya bocor. Pembekuan ini memblokir pembukaan akun kredit baru; namun tidak menghentikan penyalahgunaan kartu atau akun yang sudah ada.
Pertimbangkan peringatan penipuan. Peringatan awal gratis, berlangsung satu tahun, dan hanya membutuhkan satu panggilan: biro yang Anda hubungi harus memberi tahu dua lainnya.
Periksa laporan kredit Anda di AnnualCreditReport.com, tempat Anda dapat melihat laporan dari ketiga biro secara online setiap minggu secara gratis.
Terima pemantauan kredit gratis jika perusahaan yang mengalami kebocoran menawarkannya. Pemantauan memberi tahu Anda tentang aktivitas pada laporan Anda; pemantauan tidak memblokir penipuan seperti halnya pembekuan.
Dapatkan PIN Perlindungan Identitas IRS. Ini membantu mencegah orang lain menggunakan nomor Jaminan Sosial Anda untuk mengajukan surat pemberitahuan pajak federal palsu, dan PIN IP baru dibuat setiap tahun.
Tinjau riwayat kerja Anda di akun my Social Security untuk memeriksa apakah seseorang menggunakan nomor Anda untuk bekerja.

Jika Anda menemukan rekening, utang, atau pelaporan pajak yang tidak Anda kenali, laporkan di IdentityTheft.gov. Situs ini menyusun rencana pemulihan pribadi berdasarkan apa yang terjadi.

Informasi anak

Jika nomor Jaminan Sosial anak atau detail identitas lainnya terekspos, orang tua atau wali dapat meminta pembekuan kredit gratis untuk anak tersebut dari masing-masing biro. Setiap biro memiliki proses sendiri untuk anak di bawah umur, dan prosesnya berbeda dengan pembekuan untuk orang dewasa.

Informasi SIM, paspor, atau asuransi kesehatan

Jika informasi SIM terekspos, hubungi badan kendaraan bermotor negara bagian Anda dan tanyakan apakah nomor tersebut dapat ditandai atau diganti dengan yang baru. Jika hanya nomor paspor AS Anda yang terekspos, Departemen Luar Negeri menyatakan tidak menyarankan melaporkan paspor hilang atau dicuri; lakukan itu hanya jika buku atau kartu paspor fisik benar-benar hilang atau dicuri, karena laporan tersebut membatalkannya. Jika informasi Medicare, Medicaid, atau asuransi kesehatan terekspos, hubungi program atau perusahaan asuransi melalui nomor yang Anda yakini asli, dan tinjau klaim serta pernyataan Explanation of Benefits Anda untuk layanan yang tidak Anda terima. Jika ada informasi yang disalahgunakan, laporkan di IdentityTheft.gov.

Waspadai phishing bertema kebocoran

Penipu menggunakan kebocoran nyata sebagai umpan, dan pesan-pesan ini bisa datang jauh setelah kebocoran menjadi berita. Tema yang umum meliputi "pembaruan keamanan" yang meminta Anda masuk, tawaran kompensasi, reset kata sandi yang mendesak, dan peringatan bahwa data Anda dijual di dark web. Saran FTC untuk yang terakhir berlaku untuk semuanya: jangan klik tautan atau gunakan nomor telepon dalam pesan. Kunjungi situs atau aplikasi perusahaan secara langsung.

Waspadai kode verifikasi atau email reset kata sandi yang tidak Anda minta. Itu bisa berarti seseorang memasukkan alamat Anda ke formulir masuk atau pemulihan, tetapi tidak membuktikan orang tersebut mengetahui kata sandi Anda. Jangan bagikan kode atau setujui permintaan tersebut. Tinjau aktivitas keamanan terbaru akun, dan ubah kata sandi jika digunakan kembali, ditandai sebagai telah dikompromikan, atau disertai tanda-tanda akses tidak sah.

Laporkan phishing dengan tombol laporan di aplikasi email Anda agar filternya semakin baik. Di AS, laporkan penipuan di ReportFraud.ftc.gov, dan gunakan IdentityTheft.gov jika seseorang benar-benar telah menggunakan informasi Anda.

Jika akun tersebut milik tempat kerja atau sekolah Anda

Jika alamat atau akun yang terkena kebocoran dikelola oleh pemberi kerja atau sekolah, hubungi tim TI atau keamanannya melalui saluran yang disetujui dan ikuti instruksinya sebelum mengubah pengaturan yang dikelola organisasi. Bagikan pemberitahuan hanya kepada tim atau alamat pelaporan yang berwenang, bukan kepada banyak rekan kerja atau teman sekelas.

Kurangi eksposur sebelum kebocoran berikutnya

Anda tidak bisa mencegah setiap perusahaan mengalami kebocoran, tetapi Anda bisa membatasi seberapa banyak yang terungkap dari satu kebocoran dan seberapa jauh dampaknya menyebar. Kata sandi unik yang disimpan di pengelola kata sandi mencegah satu kebocoran membuka akun lain. Microsoft juga menyarankan untuk memisahkan alamat email, misalnya satu untuk teman dan keluarga dan satu lagi untuk akun online.

Untuk pendaftaran berisiko rendah seperti newsletter, kupon, dan unduhan sekali pakai, alamat terpisah menjauhkan kotak masuk utama Anda dari satu daftar pelanggan lagi. Alias permanen cocok untuk akun yang ingin Anda pertahankan, sedangkan alamat email sementara cocok untuk pendaftaran sekali pakai; perbandingan email sementara vs alias email kami menjelaskan untung ruginya.

Email sementara tidak memperbaiki kebocoran yang sudah terjadi, dan tidak ditujukan untuk perbankan, pekerjaan, layanan kesehatan, pemulihan akun, atau akun apa pun yang perlu Anda pertahankan. Tmailor hanya menerima pesan, tidak menerima lampiran, dan menghapus pesan sekitar 24 jam setelah pesan tiba. Beberapa situs juga memblokir alamat email sekali pakai.

Panduan ini membahas apa yang harus dilakukan setelah terjadi kebocoran. Jika Anda ingin mengurangi eksposur sebelum kebocoran berikutnya, baca bagaimana surat sementara membatasi apa yang dapat diungkap oleh pelanggaran data.

Pertanyaan yang Sering Diajukan

Apa artinya jika alamat email saya ditemukan dalam kebocoran data?

Artinya, alamat email Anda muncul dalam data yang terkait dengan kebocoran yang dilaporkan atau kumpulan data lain yang terekspos. Itu sendiri tidak berarti akun email Anda diretas. Tinjau hasil pencarian atau pemberitahuan perusahaan untuk melihat apa lagi yang terekspos, seperti kata sandi, nomor telepon, atau detail pembayaran.

Apakah saya perlu mengganti kata sandi email jika hanya alamat saya yang bocor?

Belum tentu. Jika kata sandi email Anda unik, tidak termasuk dalam pelanggaran tersebut, dan akun Anda tidak menunjukkan aktivitas mencurigakan, kebocoran yang hanya berupa alamat tidak mengharuskan Anda membuat kata sandi baru. Gantilah jika Anda memakainya ulang di tempat lain, jika alat pengelola kata sandi menandainya, atau jika Anda melihat tanda-tanda pengambilalihan akun.

Apakah seseorang bisa meretas email saya hanya dengan alamat email saya?

Alamat email saja tidak memberi siapa pun akses ke akun Anda. Risikonya muncul dari apa yang dilakukan penyerang dengan alamat itu: mengirim pesan phishing, mencoba kata sandi yang bocor di pelanggaran lain, atau menyamar sebagai Anda di hadapan tim dukungan. Kata sandi unik ditambah MFA atau passkey membuat upaya tersebut jauh lebih kecil kemungkinannya untuk berhasil.

Haruskah saya mengubah atau menghapus alamat email saya setelah terjadi pelanggaran?

Biasanya tidak. Alamat Anda sudah diketahui oleh banyak layanan dan kontak, dan menggantinya butuh usaha besar dengan tambahan keamanan yang sedikit. Mengamankan akun dengan kata sandi unik dan MFA melindunginya dengan lebih baik. Alamat baru bisa masuk akal jika spam atau phishing pada alamat lama menjadi tidak terkendali.

Apakah Have I Been Pwned aman digunakan?

Have I Been Pwned adalah layanan gratis yang sudah lama berjalan dari peneliti keamanan Troy Hunt, dan FAQ-nya menyatakan bahwa pencarian email tidak dicatat. Pencarian pelanggaran hanya meminta alamat email, bukan kata sandi. Seperti halnya situs lain, ketik sendiri alamatnya daripada mengikuti tautan dalam pesan tak terduga.

Bagaimana jika pelanggaran atau kata sandi yang bocor sudah berumur beberapa tahun?

Data pelanggaran lama bisa terus beredar, jadi ganti kata sandi di mana pun kata sandi itu masih digunakan. Jika Anda sudah lama menggantinya di semua tempat, periksa data lain apa saja yang termasuk dalam pelanggaran tersebut dan apakah ada akun yang menunjukkan penyalahgunaan. Kebocoran yang hanya berupa alamat terutama menuntut kewaspadaan terhadap phishing, sedangkan data keuangan, Jaminan Sosial, atau identitas yang terekspos mungkin masih memerlukan langkah perlindungan yang sesuai.