Autentikasi Dua Faktor (2FA): Pengertian dan Cara Mengaktifkannya

Autentikasi dua faktor atau 2FA adalah lapisan keamanan tambahan yang meminta dua bukti identitas berbeda sebelum akun bisa dibuka, sehingga kata sandi yang bocor saja tidak cukup bagi orang lain untuk masuk. Mengaktifkannya hanya butuh beberapa menit dan termasuk langkah paling efektif untuk melindungi email, media sosial, dan akun keuangan. Artikel ini menjelaskan cara kerjanya, jenis metodenya, mana yang lebih kuat, serta cara mengaktifkannya.

Apa Itu Autentikasi Dua Faktor (2FA)?

CISA, lembaga keamanan siber Amerika Serikat, menggambarkan multifactor authentication (MFA) sebagai pendekatan berlapis untuk mengamankan akun online, di mana pengguna harus menyodorkan dua atau lebih authenticator sebelum diberi akses. Faktor-faktor itu dikelompokkan menjadi tiga:

• Sesuatu yang Anda ketahui, seperti kata sandi atau PIN;
• Sesuatu yang Anda miliki, seperti ponsel dengan aplikasi autentikator atau kunci keamanan fisik;
• Sesuatu yang Anda adalah, seperti sidik jari atau pemindaian wajah.

2FA adalah bentuk MFA yang memakai tepat dua faktor, biasanya kata sandi ditambah kode atau persetujuan dari perangkat Anda. Jika penyerang hanya mengantongi kata sandi, ia masih terhalang faktor kedua. Itulah sebabnya 2FA relevan untuk melawan serangan terhadap kata sandi, karena kebocoran satu kata sandi tidak otomatis berarti akun jebol.

Jenis Metode 2FA yang Umum Dipakai

Kode lewat SMS atau panggilan suara

Kode enam digit dikirim ke nomor telepon Anda. Metode ini paling mudah dipakai, tetapi Google sendiri menyebutnya opsi paling tidak aman karena serangan terhadap nomor telepon bisa menyasarnya. Pengambilalihan nomor, misalnya lewat pemindahan kartu SIM secara curang, adalah salah satu risikonya.

Aplikasi autentikator (TOTP)

Aplikasi di ponsel menghasilkan kode yang berubah secara berkala tanpa memerlukan sinyal. Standar yang dipakai adalah Time-based One-Time Password pada RFC 6238, dengan langkah waktu bawaan 30 detik. Kode tidak melewati jaringan seluler sehingga lebih tahan terhadap pembajakan nomor, meski tetap bisa dicuri jika Anda memasukkannya ke situs palsu.

Notifikasi persetujuan (push)

Anda cukup mengetuk tombol setuju di ponsel yang sudah masuk ke akun. Waspadai notifikasi yang muncul tanpa Anda mencoba login. Itu tanda ada orang lain sedang mencoba masuk, jadi tolak dan segera ganti kata sandi. CISA juga menyarankan number matching bagi organisasi yang belum bisa memakai metode tahan phishing.

Kunci keamanan fisik dan passkey

Kunci keamanan dan passkey memakai standar FIDO/WebAuthn dengan pasangan kunci kriptografi. Kunci privat tetap berada di perangkat dan setiap kredensial terikat pada situs tertentu, sehingga situs tiruan tidak mendapat sesuatu yang bisa dipakai di situs asli. CISA menyebut FIDO/WebAuthn sebagai satu-satunya autentikasi tahan phishing yang tersedia luas.

Kode cadangan

Kode sekali pakai yang dipakai ketika ponsel hilang. Bukan metode harian, tetapi wajib diamankan.

Metode 2FA Mana yang Paling Aman?

Urutan umumnya dari yang paling kuat ke yang paling lemah: passkey atau kunci keamanan FIDO, lalu aplikasi autentikator atau notifikasi dengan number matching, dan terakhir SMS. CISA menegaskan bahwa metode apa pun lebih baik daripada tanpa MFA, jadi SMS tetap layak diaktifkan bila itu satu-satunya pilihan. Standar NIST SP 800-63B-4 yang difinalkan pada Juli 2025 juga memperlakukan pengiriman kode lewat jaringan telepon publik sebagai authenticator yang dibatasi (restricted). Artinya penyelenggara layanan boleh memakainya dengan syarat tambahan, tetapi tidak dianggap pilihan terbaik.

Cara Mengaktifkan 2FA di Akun Anda

Letak menunya berbeda di tiap layanan, tetapi alurnya serupa. Sebagai contoh, di akun Google langkahnya sebagai berikut:

1. Buka Akun Google lalu pilih menu Keamanan dan login.
2. Di bagian cara Anda masuk ke Google, pilih opsi untuk mengaktifkan Verifikasi 2 Langkah.
3. Ikuti petunjuk di layar, lalu tambahkan metode kedua yang paling kuat yang tersedia, misalnya passkey, aplikasi autentikator, atau kunci keamanan.
4. Simpan kode cadangan di tempat aman, misalnya dalam password manager atau dicetak dan disimpan terpisah.

Panduan resminya ada di Bantuan Akun Google. Akun kerja atau sekolah bisa dibatasi administrator, sehingga Anda perlu menghubungi admin. Utamakan akun email terlebih dahulu karena email dipakai untuk memulihkan akun lain, lalu lanjutkan ke perbankan, dompet digital, penyimpanan awan, dan akun media sosial. Menyimpan kata sandi di password manager dan mengaktifkan 2FA pada manajernya melengkapi perlindungan ini.

Kesalahan Umum saat Memakai 2FA

• Tidak menyimpan kode cadangan, sehingga akun terkunci saat ponsel hilang atau rusak.
• Memberikan kode kepada orang lain. Petugas resmi tidak pernah meminta kode verifikasi Anda lewat telepon atau chat.
• Menyetujui notifikasi yang tidak Anda minta karena merasa terganggu.
• Memasukkan kode ke tautan dari pesan yang tidak diminta. Ini pola khas phishing.
• Menautkan satu nomor telepon yang sudah tidak dipakai sebagai satu-satunya jalur pemulihan.

2FA untuk Karyawan dan Bisnis

Bagi organisasi, 2FA sebaiknya diwajibkan untuk email kantor, VPN, panel administrasi, dan akses ke layanan awan, bukan dibiarkan sebagai pilihan pribadi. Prioritaskan akun dengan hak istimewa karena satu akun admin yang jebol berdampak jauh lebih besar. Siapkan juga prosedur resmi untuk karyawan yang kehilangan ponsel, agar helpdesk tidak membuka akses hanya karena permintaan lewat telepon. Prosedur pemulihan yang longgar adalah celah yang sering dimanfaatkan dalam rekayasa sosial.

Pertanyaan yang Sering Diajukan

Apakah 2FA dan MFA sama?

Hampir sama. MFA berarti dua faktor atau lebih, sedangkan 2FA khusus dua faktor. Dalam percakapan sehari-hari kedua istilah sering dipakai bergantian.

Apakah 2FA lewat SMS sudah cukup?

Lebih baik daripada tanpa 2FA, tetapi bukan pilihan terkuat. Jika layanan menyediakan passkey, kunci keamanan, atau aplikasi autentikator, gunakan itu dan jadikan SMS cadangan.

Bagaimana jika ponsel dengan aplikasi autentikator hilang?

Gunakan kode cadangan atau metode pemulihan yang sudah Anda siapkan, lalu cabut akses perangkat lama dan atur ulang 2FA. Karena itu kode cadangan sebaiknya disiapkan sebelum ada masalah.

Apakah 2FA membuat akun kebal dari peretasan?

Tidak. 2FA menaikkan biaya serangan secara signifikan, tetapi penyerang masih bisa mencoba menipu Anda agar menyerahkan kode. Kewaspadaan terhadap phishing tetap diperlukan.

Kesimpulan

Aktifkan 2FA sekarang pada akun yang paling penting, pilih metode yang paling kuat yang tersedia, dan amankan kode cadangannya. Perlindungan akun pribadi adalah titik awal yang baik sebelum membangun kebiasaan keamanan di tim. Linuxhackingid juga menyediakan pelatihan keamanan untuk tim dan perusahaan bagi organisasi yang ingin menerapkannya secara menyeluruh.