{"id":5237,"date":"2026-08-07T10:29:16","date_gmt":"2026-08-07T03:29:16","guid":{"rendered":"https:\/\/dtisolution.id\/blog\/?p=5237"},"modified":"2026-08-25T00:36:38","modified_gmt":"2026-08-24T17:36:38","slug":"mfa-tahan-phishing-panduan-lengkap-enterprise-perbankan","status":"publish","type":"post","link":"https:\/\/dtisolution.id\/blog\/mfa-tahan-phishing-panduan-lengkap-enterprise-perbankan\/","title":{"rendered":"MFA Tahan Phishing: Panduan Lengkap Enterprise & Perbankan"},"content":{"rendered":"
Jawaban singkat:<\/strong> MFA tahan phishing adalah autentikasi yang secara kriptografis mengikat kredensial pada domain layanan, sehingga kredensial tidak dapat dipakai ulang di situs palsu maupun oleh proxy adversary-in-the-middle. Implementasi paling matang adalah FIDO2\/WebAuthn dengan security key hardware. Berbeda dengan OTP SMS atau kode TOTP, tidak ada rahasia yang bisa dibacakan, disalin, atau diteruskan korban kepada penyerang.<\/div>\n

MFA tahan phishing<\/strong> (phishing-resistant multi-factor authentication) dirancang agar kredensial pengguna tidak bisa dicuri lalu dipakai ulang oleh penyerang, bahkan ketika korban sudah telanjur membuka halaman login palsu. Bedanya dengan MFA konvensional cukup mendasar. Pada MFA lemah, faktor kedua tetap berupa rahasia bersama<\/em> berumur pendek: kode enam digit yang bisa dibacakan lewat telepon, disalin ke situs tiruan, atau diteruskan otomatis oleh proxy penyerang. Pada MFA tahan phishing, faktor kedua adalah kunci privat yang tidak pernah meninggalkan perangkat keras dan hanya mau menandatangani challenge<\/em> untuk domain yang benar. Artikel ini menguraikan mekanismenya, membandingkan opsi yang tersedia, menempatkannya dalam kerangka regulasi Indonesia yang berbasis risiko, lalu menutup dengan urutan rollout yang realistis untuk enterprise dan perbankan.<\/p>\n

\"Ilustrasi
YubiKey dari DTI.<\/figcaption><\/figure>\n

Mengapa phishing masih menembus MFA yang sudah dipasang<\/h2>\n

Banyak organisasi di Indonesia sudah menyalakan MFA, namun pengambilalihan akun tetap terjadi. Masalahnya jarang ada pada MFA itu sendiri; jenis faktor yang dipilih masih bisa direlai penyerang. Tiga pola serangan berikut perlu dipahami sebelum memilih teknologi, sebab masing-masing membidik titik lemah yang berbeda.<\/p>\n

Adversary-in-the-middle (AiTM) dan pencurian token sesi<\/h3>\n

Teknik inilah yang paling mengubah lanskap dalam beberapa tahun terakhir. Penyerang tidak lagi membangun halaman tiruan statis; mereka menjalankan reverse proxy<\/em> yang meneruskan setiap permintaan korban ke situs asli secara real time. Korban melihat halaman login yang identik (wajar, karena memang berasal dari server asli), memasukkan kata sandi, lalu OTP. Proxy meneruskan keduanya dalam hitungan detik, autentikasi berhasil, dan yang dipanen penyerang bukan sekadar kredensial melainkan cookie<\/em> sesi yang sudah terautentikasi. Dengan cookie itu, penyerang masuk tanpa perlu melewati MFA lagi. Semua faktor berbasis kode rentan terhadap pola ini, entah OTP SMS, OTP email, maupun TOTP dari aplikasi authenticator<\/em> \u2014 kode tersebut tidak tahu sedang diserahkan ke domain palsu.<\/p>\n

SIM swap, malware pembaca SMS, dan rekayasa sosial<\/h3>\n

Jalur SMS membawa permukaan serangan tambahan di luar kendali organisasi. Nomor bisa diambil alih lewat penggantian kartu SIM secara curang. Malware Android bisa membaca notifikasi pesan. Penipu bermodus petugas call center cukup meminta korban menyebutkan kodenya. Semuanya bekerja karena OTP pada dasarnya adalah rahasia yang bisa diucapkan manusia, dan selama sebuah faktor dapat dibacakan, faktor itu dapat direkayasa sosial. Perbandingan menyeluruh kedua pendekatan ini dibahas terpisah dalam ulasan security key vs OTP SMS dan mana yang benar-benar tahan phishing<\/a>.<\/p>\n

MFA fatigue dan push bombing<\/h3>\n

Notifikasi push<\/em> sederhana (tekan “Setuju”) memang menghapus kerepotan mengetik kode, tetapi memindahkan keputusan keamanan ke refleks pengguna. Penyerang yang sudah memegang kata sandi tinggal memicu puluhan permintaan berturut-turut sampai korban menyetujui satu \u2014 karena lelah, atau mengira ada gangguan sistem. Mitigasi seperti number matching<\/em> dan penampilan konteks lokasi menurunkan risikonya secara berarti, tapi tidak menghilangkannya: pengguna tetap bisa menyetujui permintaan yang dipicu dari sesi phishing yang sedang berlangsung bersamaan.<\/p>\n

Cara kerja FIDO2\/WebAuthn sebagai fondasi MFA tahan phishing<\/h2>\n

FIDO2 adalah payung bagi dua spesifikasi yang bekerja berpasangan: WebAuthn<\/strong> (standar W3C, antarmuka antara browser\/aplikasi dan sistem operasi) dan CTAP2<\/strong> (protokol antara perangkat dan authenticator<\/em> eksternal seperti security key USB\/NFC). Keduanya menggantikan model rahasia bersama dengan kriptografi kunci publik.<\/p>\n

Pendaftaran dan autentikasi<\/h3>\n