Email Meminta Kata Sandi: Bagaimana Memeriksanya Tanpa Mengikuti Tautan?

Email yang meminta kata sandi bukan sekadar pesan yang perlu dijawab. Pesan itu memaksa penerima memilih jalur untuk tindakan sensitif: mengikuti tautan di dalam email atau membuka halaman akun melalui jalur yang dipilih sendiri.

Mengapa tampilan resmi belum cukup untuk login?

Peringatan CSIRT Komdigi mendokumentasikan kampanye yang menyamar sebagai pihak tepercaya, menyertakan PDF berpassword, lalu mengarahkan penerima ke halaman login palsu untuk mencuri kredensial Microsoft 365. Contoh ini menunjukkan bahwa logo, nama pengirim, atau lampiran tidak dapat dijadikan bukti tunggal bahwa sebuah pesan aman.

Panduan Gmail menyarankan agar pengguna tidak mengeklik tautan, membuka lampiran, membalas, atau memasukkan kata sandi dan informasi pribadi dari email yang mencurigakan. Google juga menyatakan bahwa Gmail tidak akan meminta kata sandi melalui email. Panduan Microsoft untuk Outlook.com memberi peringatan serupa.

Artinya, email sebaiknya diperlakukan sebagai klaim yang perlu diperiksa, bukan sebagai formulir login. Bila sebuah pesan meminta kredensial, jalur yang lebih masuk akal adalah membuka layanan secara langsung, bukan membuktikan keasliannya dengan mengeklik tautan pesan tersebut.

Apa yang dilakukan ketika pesan terlihat mencurigakan?

Untuk Gmail, Google menjelaskan jalur pelaporan yang spesifik: buka email, pilih Lainnya di samping Balas, lalu pilih Laporkan phishing. Tindakan ini menjaga agar pesan tidak menjadi dasar bagi keputusan login.

Untuk Outlook.com, Microsoft menyarankan agar pengguna tidak membalas pesan yang meminta kata sandi atau informasi pribadi, tidak mengeklik tautan yang tidak diharapkan, dan tidak membuka lampiran mencurigakan. Bila pesan mengaku berkaitan dengan aktivitas akun, pemeriksaan sebaiknya dilakukan dari halaman akun Microsoft secara langsung.

Mengapa pemeriksaan perlu dipindahkan ke halaman akun?

Pemeriksaan Keamanan Google tidak berfokus pada satu pesan saja. Halaman itu memberikan rekomendasi yang dipersonalisasi, termasuk menambahkan opsi pemulihan, meninjau perangkat dan aplikasi yang memiliki akses, serta mengaktifkan Verifikasi 2 Langkah.

Pada Akun Google, panduan Verifikasi 2 Langkah menunjukkan jalur Keamanan & login, bagian Cara Anda login ke Google, lalu Aktifkan Verifikasi 2 Langkah. Fitur ini menambahkan pemeriksaan saat login, tetapi tidak membuat tautan mencurigakan menjadi aman. Kode verifikasi juga tidak boleh dibagikan kepada orang lain.

Untuk Outlook.com, panduan Microsoft mengarahkan pengguna untuk memeriksa Aktivitas terbaru ketika ada pemberitahuan aktivitas tidak biasa. Jika ditemukan aktivitas yang bukan milik sendiri, akun dapat diamankan dari halaman resmi tersebut, termasuk dengan meninjau kata sandi, metode verifikasi, dan perangkat atau sesi yang tidak dikenal.

Pertanyaan yang lebih berguna daripada apakah email ini terlihat resmi

Pisahkan tiga hal: email menyampaikan klaim, halaman akun memeriksa aktivitas, dan pengaturan keamanan menambah pemeriksaan saat login. Dengan pemisahan ini, pertanyaan yang lebih berguna bukan apakah pesan terlihat meyakinkan, melainkan di mana klaim itu dapat diverifikasi tanpa mempercayai tautannya.

Untuk email yang meminta kata sandi, keputusan yang paling jelas adalah tidak memberikan kredensial melalui pesan, membuka layanan dari jalur resmi, memeriksa keamanan akun bila diperlukan, dan melaporkan pesan yang mencurigakan melalui fitur penyedia email.