3.1 Apa Itu Multi-Factor Authentication?

Multi-Factor Authentication (MFA) adalah mekanisme keamanan yang menggunakan lebih dari satu faktor untuk memverifikasi identitas pengguna ketika melakukan login.

Password saja merupakan satu faktor autentikasi. Dengan MFA, pengguna harus memberikan faktor tambahan sebelum akses diberikan.

Secara umum, faktor autentikasi dapat berupa:

• Something you know — password atau PIN
• Something you have — smartphone, security key, atau authenticator
• Something you are — fingerprint atau face recognition

Contohnya:

Login
  ↓
Username + Password
  ↓
MFA Verification
  ↓
Approve / OTP / Security Key
  ↓
Access Granted

Dengan demikian, ketika password diketahui pihak lain, masih terdapat lapisan keamanan tambahan yang harus dilewati.

3.2 Mengapa MFA Penting?

Password dapat diperoleh melalui berbagai cara, misalnya:

• phishing;
• credential theft;
• password reuse;
• malware;
• kebocoran database;
• social engineering.

Tanpa MFA, password yang berhasil dicuri dapat langsung digunakan untuk mencoba masuk ke akun.

Dengan MFA:

Password Dicuri
      ↓
Login Attempt
      ↓
MFA Required
      ↓
Additional Verification
      ↓
Access dapat ditolak

MFA tidak membuat akun menjadi kebal terhadap serangan, tetapi memberikan additional security layer terhadap credential yang telah diketahui pihak lain.

3.3 Jenis MFA

Beberapa metode MFA yang umum digunakan:

1. Authenticator App

Kode atau persetujuan login diberikan melalui aplikasi authenticator.

Contohnya:

Username
Password
   ↓
Authenticator
   ↓
6-digit OTP
   ↓
Login

2. Push Notification

Pengguna menerima notifikasi pada perangkat yang telah terdaftar dan harus melakukan approval.

3. Security Key

Perangkat fisik digunakan sebagai faktor autentikasi tambahan.

4. Passkey

Passkey menggunakan mekanisme kriptografi untuk melakukan autentikasi tanpa mengandalkan password tradisional dengan cara yang sama.

3.4 MFA Fatigue

Salah satu teknik yang dapat digunakan penyerang adalah MFA fatigue atau MFA bombing.

Penyerang yang telah mengetahui password korban dapat mengirimkan banyak permintaan MFA secara berulang.

Contohnya:

Login Attempt
     ↓
MFA Request
     ↓
MFA Request
     ↓
MFA Request
     ↓
MFA Request

Korban dapat merasa terganggu dan akhirnya menekan Approve tanpa memeriksa permintaan tersebut.

Prinsip penting

Jangan pernah menyetujui MFA request yang tidak Anda mulai.

Jika Anda sedang tidak melakukan login tetapi tiba-tiba menerima MFA request, perlakukan sebagai security event.

3.5 Jangan Membagikan Kode MFA

Kode OTP, approval MFA, atau security key merupakan bagian dari mekanisme autentikasi.

Jangan memberikan kode tersebut kepada:

• orang yang mengaku sebagai IT Support;
• administrator;
• vendor;
• rekan kerja;
• pihak yang menghubungi melalui telepon;
• pihak yang meminta melalui email atau chat.

Jika seseorang meminta kode MFA Anda, anggap sebagai indikator mencurigakan sampai dapat diverifikasi melalui prosedur resmi.

3.6 Perspektif UU ITE

MFA merupakan bagian dari mekanisme authentication dan access control pada sistem elektronik.

Dalam perspektif UU ITE, mekanisme autentikasi membantu organisasi memastikan bahwa akses terhadap sistem elektronik dilakukan oleh pihak yang memiliki kewenangan.

Contohnya:

Credential
     ↓
Authentication
     ↓
Authorization
     ↓
System Access

MFA memperkuat proses authentication, tetapi MFA bukan authorization.

Artinya, berhasil melakukan MFA tidak otomatis berarti pengguna boleh mengakses seluruh sistem atau seluruh data.

Contoh:

Seorang pengguna memiliki akses ke aplikasi HR untuk pekerjaannya. Ia berhasil login menggunakan password dan MFA.

Hal tersebut tidak berarti pengguna tersebut kemudian berhak membuka data atau sistem lain yang berada di luar kewenangannya.

Authentication membuktikan siapa Anda. Authorization menentukan apa yang boleh Anda akses.

Akses terhadap sistem elektronik tetap harus dilakukan sesuai kewenangan yang diberikan.

3.7 Perspektif UU PDP

MFA juga memiliki kaitan dengan perlindungan data pribadi.

Jika sebuah akun memiliki akses terhadap data pribadi, pengamanan akun menjadi salah satu bagian dari upaya mengurangi risiko akses tidak sah terhadap data tersebut.

Contohnya:

Password
   +
MFA
   ↓
Account Protection
   ↓
Application
   ↓
Personal Data

Semakin penting data yang dapat diakses melalui akun tersebut, semakin penting pula penerapan kontrol keamanan yang memadai.

Dalam perspektif UU PDP, organisasi perlu menerapkan langkah yang sesuai untuk menjaga keamanan pemrosesan dan perlindungan data pribadi.

MFA dapat menjadi salah satu technical security control untuk membantu mengurangi risiko akses tidak berwenang.

3.8 Contoh Skenario

Bayangkan Anda sedang bekerja dan tiba-tiba mendapatkan notifikasi:

“Approve sign-in request?”

Padahal Anda tidak sedang melakukan login.

Beberapa detik kemudian muncul permintaan kedua.

Kemudian muncul permintaan ketiga.

Apa yang harus dilakukan?

Jangan menekan Approve.

Lakukan:

1. Tolak MFA request.
2. Jangan memberikan kode OTP kepada siapa pun.
3. Segera ubah password jika ada indikasi credential telah diketahui pihak lain.
4. Periksa aktivitas login akun.
5. Laporkan kejadian kepada IT/Security sesuai prosedur organisasi.

Kemungkinan yang perlu diperiksa adalah apakah ada pihak lain yang sedang mencoba menggunakan credential Anda.

3.9 MFA Bukan Pengganti Security Awareness

MFA sangat membantu, tetapi pengguna tetap menjadi bagian penting dari keamanan akun.

Serangan dapat menggunakan social engineering untuk membuat korban sendiri menyetujui akses.

Contohnya:

Penyerang
   ↓
Memiliki Password
   ↓
Mengirim MFA Request
   ↓
Menghubungi Korban
   ↓
"Pak, tolong approve MFA-nya."
   ↓
Korban Approve
   ↓
Account Compromise

Karena itu:

Jangan menganggap MFA request sebagai notifikasi biasa. Periksa setiap permintaan autentikasi.

3.10 Apa yang Harus Anda Lakukan?

DO

✅ Aktifkan MFA pada akun yang mendukungnya.
✅ Gunakan authenticator atau metode MFA yang disediakan organisasi.
✅ Periksa setiap MFA request sebelum melakukan approval.
✅ Gunakan security key/passkey jika tersedia dan sesuai kebijakan organisasi.
✅ Laporkan MFA request yang mencurigakan.
✅ Segera amankan akun jika credential diduga telah bocor.

DON’T

❌ Jangan approve MFA request yang tidak Anda lakukan.
❌ Jangan memberikan OTP kepada siapa pun.
❌ Jangan memberikan approval karena seseorang mengaku sebagai IT Support.
❌ Jangan mengabaikan MFA request berulang.
❌ Jangan menganggap MFA sebagai jaminan bahwa semua akses otomatis sah.

3.11 Prinsip Utama

Ingat tiga prinsip berikut:

1. Verify Before Approve

Selalu periksa apakah MFA request memang berasal dari aktivitas Anda.

2. Authentication ≠ Authorization

Berhasil login tidak berarti Anda memiliki akses ke semua sistem dan data.

3. Protect the Second Factor

OTP, authenticator, security key, dan approval MFA harus diperlakukan sebagai bagian dari credential yang harus dilindungi.