{"id":5237,"date":"2026-08-07T10:29:16","date_gmt":"2026-08-07T03:29:16","guid":{"rendered":"https:\/\/dtisolution.id\/blog\/?p=5237"},"modified":"2026-08-07T10:29:16","modified_gmt":"2026-08-07T03:29:16","slug":"mfa-tahan-phishing-panduan-lengkap-enterprise-perbankan","status":"publish","type":"post","link":"https:\/\/dtisolution.id\/blog\/mfa-tahan-phishing-panduan-lengkap-enterprise-perbankan\/","title":{"rendered":"MFA Tahan Phishing: Panduan Lengkap Enterprise & Perbankan"},"content":{"rendered":"
Jawaban singkat:<\/strong> MFA tahan phishing adalah autentikasi yang secara kriptografis mengikat kredensial pada domain layanan, sehingga kredensial tidak dapat dipakai ulang di situs palsu maupun oleh proxy adversary-in-the-middle. Implementasi paling matang adalah FIDO2\/WebAuthn dengan security key hardware. Berbeda dengan OTP SMS atau kode TOTP, tidak ada rahasia yang bisa dibacakan, disalin, atau diteruskan korban kepada penyerang.<\/div>\n

MFA tahan phishing<\/strong> (phishing-resistant multi-factor authentication) adalah kategori autentikasi yang dirancang agar kredensial pengguna tidak dapat dicuri lalu dipakai ulang oleh penyerang, bahkan ketika korban sudah tertipu membuka halaman login palsu. Perbedaannya dengan MFA konvensional bersifat mendasar: pada MFA lemah, faktor kedua tetap berupa rahasia bersama<\/em> berumur pendek \u2014 kode enam digit yang bisa dibacakan lewat telepon, disalin ke situs tiruan, atau diteruskan otomatis oleh proxy penyerang. Pada MFA tahan phishing, faktor kedua adalah kunci privat yang tidak pernah meninggalkan perangkat keras dan hanya mau menandatangani challenge<\/em> untuk domain yang benar. Artikel ini membahas mekanismenya secara teknis, membandingkan opsi yang tersedia, memetakan posisinya terhadap kerangka regulasi Indonesia secara berbasis risiko, dan menutup dengan urutan rollout yang realistis untuk enterprise dan perbankan.<\/p>\n

\"Ilustrasi
YubiKey dari DTI.<\/figcaption><\/figure>\n

Mengapa phishing masih menembus MFA yang sudah dipasang<\/h2>\n

Banyak organisasi Indonesia sudah mengaktifkan MFA dan tetap mengalami pengambilalihan akun. Penyebabnya bukan MFA-nya tidak menyala, melainkan jenis faktor yang dipakai masih dapat direlai oleh penyerang. Memahami tiga pola serangan berikut penting sebelum memilih teknologi, karena setiap pola menyerang titik lemah yang berbeda.<\/p>\n

Adversary-in-the-middle (AiTM) dan pencurian token sesi<\/h3>\n

Ini teknik yang paling banyak mengubah lanskap beberapa tahun terakhir. Penyerang tidak lagi membuat halaman tiruan statis, melainkan menjalankan reverse proxy<\/em> yang meneruskan setiap permintaan korban ke situs asli secara real time. Korban melihat halaman login yang identik \u2014 karena memang berasal dari server asli \u2014 memasukkan kata sandi, lalu memasukkan OTP. Proxy meneruskan keduanya dalam hitungan detik, autentikasi berhasil, dan yang dipanen penyerang bukan sekadar kredensial melainkan cookie<\/em> sesi yang sudah terautentikasi. Dengan cookie tersebut, penyerang masuk tanpa perlu melewati MFA lagi. Semua faktor berbasis kode \u2014 OTP SMS, OTP email, TOTP dari aplikasi authenticator<\/em> \u2014 rentan terhadap pola ini karena kode tersebut tidak tahu sedang diserahkan ke domain palsu.<\/p>\n

SIM swap, malware pembaca SMS, dan rekayasa sosial<\/h3>\n

Jalur SMS memiliki permukaan serangan tambahan di luar kendali organisasi. Pengambilalihan nomor melalui penggantian kartu SIM secara curang, malware Android yang membaca notifikasi pesan, hingga penipuan bermodus petugas call center yang meminta korban menyebutkan kode \u2014 semuanya bekerja karena OTP pada dasarnya adalah rahasia yang bisa diucapkan manusia. Selama sebuah faktor dapat dibacakan, faktor itu dapat direkayasa sosial. Perbandingan menyeluruh antara kedua pendekatan ini dibahas terpisah dalam ulasan security key vs OTP SMS dan mana yang benar-benar tahan phishing<\/a>.<\/p>\n

MFA fatigue dan push bombing<\/h3>\n

Notifikasi push<\/em> sederhana (tekan “Setuju”) menghapus kerepotan mengetik kode, tetapi memindahkan keputusan keamanan ke refleks pengguna. Penyerang yang sudah memiliki kata sandi cukup memicu puluhan permintaan berturut-turut hingga korban menyetujui satu karena lelah atau mengira ada gangguan sistem. Mitigasi seperti number matching<\/em> dan penampilan konteks lokasi menurunkan risiko secara berarti, namun tidak menghilangkannya: pengguna tetap dapat menyetujui permintaan yang dipicu dari sesi phishing yang berlangsung bersamaan.<\/p>\n

Cara kerja FIDO2\/WebAuthn sebagai fondasi MFA tahan phishing<\/h2>\n

FIDO2 adalah payung untuk dua spesifikasi yang bekerja berpasangan: WebAuthn<\/strong> (standar W3C, antarmuka antara browser\/aplikasi dan sistem operasi) dan CTAP2<\/strong> (protokol antara perangkat dan authenticator<\/em> eksternal seperti security key USB\/NFC). Keduanya menggantikan model rahasia bersama dengan kriptografi kunci publik.<\/p>\n

Pendaftaran dan autentikasi<\/h3>\n