Selama bertahun-tahun, menambahkan satu lapisan autentikasi di luar kombinasi username dan password dianggap sebagai cara paling efektif untuk melindungi akun dari serangan siber. Multi-Factor Authentication (MFA) berhasil mengurangi banyak risiko yang sebelumnya sulit diatasi hanya dengan password. Namun, seiring berkembangnya teknik serangan berbasis identitas, asumsi bahwa MFA tradisional sudah cukup mulai berubah.
Pelaku kejahatan siber kini tidak lagi hanya berusaha mencuri password. Mereka juga memanfaatkan berbagai teknik untuk mengecoh pengguna agar memberikan kode OTP, menyetujui notifikasi login palsu, atau menyerahkan akses tanpa disadari. Akibatnya, kredensial yang berhasil dikompromikan masih menjadi salah satu penyebab utama insiden keamanan di berbagai organisasi.
Perubahan lanskap ancaman ini mendorong evolusi strategi keamanan identitas. Organisasi tidak lagi hanya membutuhkan MFA, tetapi juga metode autentikasi yang dirancang untuk mencegah serangan phishing sejak awal. Di sinilah konsep phishing-resistant MFA mulai menjadi standar baru dalam melindungi identitas digital perusahaan.
Mengapa MFA Tradisional Tidak Lagi Cukup?
Sebagian besar implementasi MFA saat ini masih mengandalkan kombinasi password dengan kode OTP yang dikirim melalui SMS, email, atau aplikasi authenticator. Dibandingkan hanya menggunakan password, pendekatan ini memang memberikan perlindungan yang jauh lebih baik. Namun, bukan berarti metode tersebut bebas dari risiko.
Kode OTP masih dapat dicuri melalui serangan man-in-the-middle, sementara autentikasi berbasis SMS rentan terhadap SIM swapping, yaitu teknik mengambil alih nomor telepon korban untuk menerima kode verifikasi. Bahkan push notification yang dirancang agar lebih praktis pun dapat disalahgunakan melalui MFA fatigue atau prompt bombing, yaitu membanjiri pengguna dengan permintaan persetujuan hingga mereka tanpa sadar menyetujui akses yang sebenarnya berasal dari penyerang.
Permasalahan utamanya bukan karena MFA gagal melindungi akun, melainkan karena sebagian besar metode autentikasi tradisional masih bergantung pada keputusan pengguna. Ketika pengguna berhasil diperdaya melalui rekayasa sosial, lapisan keamanan tersebut ikut kehilangan efektivitasnya.
Kondisi ini semakin mengkhawatirkan di tengah meningkatnya pencurian kredensial secara global. Miliaran data login terus beredar di pasar gelap setiap tahunnya, sementara banyak organisasi masih belum menerapkan strategi perlindungan identitas yang mampu mengikuti perkembangan ancaman tersebut. Kesenjangan inilah yang membuat pendekatan MFA konvensional tidak lagi cukup sebagai fondasi utama keamanan akses perusahaan.
Phishing-Resistant MFA: Evolusi Baru dalam Identity Security
Alih-alih mengandalkan kode verifikasi yang dapat dicuri atau dimanipulasi, phishing-resistant MFA menggunakan metode autentikasi yang secara kriptografis terikat pada pengguna, perangkat, dan aplikasi yang sah.
Pendekatan ini memanfaatkan teknologi seperti FIDO2 security keys, passkeys, sertifikat digital, maupun autentikasi biometrik yang dipadukan dengan kredensial kriptografi. Karena proses autentikasi hanya dapat dilakukan pada domain resmi yang telah diverifikasi, kredensial tersebut tidak dapat digunakan pada situs phishing ataupun dipindahkan ke aplikasi lain oleh pihak yang tidak berwenang.
Perbedaan inilah yang menjadikan phishing-resistant MFA jauh lebih efektif dalam menghadapi serangan berbasis identitas modern. Daripada mengandalkan pengguna untuk mengenali situs palsu atau menghindari rekayasa sosial, pendekatan ini menghilangkan peluang tersebut sejak awal melalui mekanisme autentikasi yang dirancang agar tidak dapat disalahgunakan.
Seiring meningkatnya adopsi cloud, hybrid work, dan layanan digital, phishing-resistant MFA kini semakin dipandang sebagai standar baru dalam melindungi identitas korporat, terutama bagi organisasi yang mengelola data sensitif, transaksi keuangan, maupun aset digital bernilai tinggi.
Menghubungkan Kepatuhan UU PDP dengan Keamanan Identitas
Di Indonesia, kebutuhan akan autentikasi yang lebih kuat juga semakin relevan dengan diberlakukannya Undang-Undang Perlindungan Data Pribadi (UU PDP).
Regulasi ini mewajibkan organisasi yang mengelola data pribadi untuk menerapkan langkah-langkah teknis dan organisasional yang memadai guna mencegah akses, penggunaan, maupun pengungkapan data secara tidak sah. Salah satu fondasi penting untuk memenuhi kewajiban tersebut adalah penerapan kontrol akses yang kuat, termasuk mekanisme autentikasi yang mampu mengurangi risiko penyalahgunaan kredensial.
Dengan menerapkan MFA, terutama pendekatan yang lebih tahan terhadap phishing, organisasi tidak hanya memperkuat pertahanan teknisnya, tetapi juga dapat menunjukkan bahwa mereka telah menerapkan kontrol keamanan yang memadai sebagai bagian dari upaya memenuhi kewajiban perlindungan data. Audit log, kebijakan autentikasi, dan kontrol akses yang terdokumentasi menjadi bukti penting bahwa keamanan identitas dikelola secara konsisten dan terukur.
Bisa dibilang, investasi pada keamanan identitas tidak lagi sekadar mendukung operasional IT, tetapi juga menjadi bagian penting dari strategi kepatuhan dan tata kelola data perusahaan.
Context-Aware Authentication: Membuat Keputusan Berdasarkan Risiko
Namun, memverifikasi identitas pengguna saja tidak selalu cukup untuk menentukan apakah suatu permintaan akses benar-benar aman. Organisasi juga perlu memahami konteks di balik setiap proses autentikasi, salah satunya melalui context-aware authentication atau adaptive authentication.
Pendekatan ini menganalisis berbagai faktor seperti lokasi geografis, perangkat yang digunakan, waktu login, hingga pola perilaku pengguna sebelum menentukan apakah akses dapat diberikan secara langsung atau memerlukan verifikasi tambahan.
Misalnya, ketika seorang pengguna login menggunakan perangkat yang biasa digunakan dari lokasi yang sudah dikenal, sistem dapat memberikan akses tanpa hambatan tambahan. Sebaliknya, apabila permintaan akses berasal dari negara yang berbeda, perangkat yang belum pernah digunakan, atau menunjukkan pola aktivitas yang tidak biasa, sistem dapat secara otomatis meminta faktor autentikasi tambahan atau bahkan memblokir akses tersebut.
Pendekatan berbasis konteks ini sejalan dengan filosofi Zero Trust, di mana setiap permintaan akses dievaluasi berdasarkan identitas, konteks, dan tingkat risiko, bukan semata-mata karena pengguna berhasil login. Dengan menggabungkan phishing-resistant MFA dan context-aware authentication, organisasi dapat membangun mekanisme keamanan identitas yang lebih adaptif tanpa mengorbankan pengalaman pengguna yang sah.
Membangun Arsitektur MFA Enterprise yang Terintegrasi
Mewujudkan strategi keamanan identitas modern membutuhkan lebih dari sekadar satu produk. Organisasi memerlukan arsitektur yang mampu mengelola identitas pengguna, mengamankan akses ke aplikasi, sekaligus menyediakan metode autentikasi yang sesuai dengan tingkat risiko.
Dalam ekosistem ini, Okta, F5 BIG-IP Access Policy Manager (APM), dan Entrust menghadirkan kapabilitas yang saling melengkapi.
Sebagai platform Identity and Access Management (IAM), Okta membantu organisasi menerapkan adaptive MFA, menyusun kebijakan autentikasi berbasis risiko, serta mendukung berbagai metode autentikasi modern, termasuk passwordless authentication berbasis FIDO2.
Di sisi lain, F5 BIG-IP APM berfungsi sebagai Identity-Aware Proxy yang memperluas kontrol akses ke berbagai aplikasi enterprise, baik yang berjalan di data center, lingkungan hybrid, maupun cloud. Solusi ini memungkinkan organisasi menerapkan kebijakan akses yang konsisten, melakukan step-up authentication untuk aplikasi sensitif, serta terintegrasi dengan berbagai solusi MFA termasuk Okta.
Sementara itu, Entrust melengkapi lapisan autentikasi melalui berbagai metode verifikasi identitas, mulai dari sertifikat digital, hardware security keys, hingga autentikasi biometrik yang mendukung implementasi phishing-resistant identity security dan strategi Zero Trust.
Dengan menggabungkan ketiga solusi tersebut, organisasi dapat membangun arsitektur keamanan identitas yang terintegrasi, mulai dari proses autentikasi pengguna hingga kontrol akses terhadap aplikasi dan layanan bisnis yang kritikal.
Baca Juga: Kenali AIOps, Cara Cerdas Buat Operasional IT Makin Mudah Dikelola
Perkuat Strategi Identity Security Bersama CDT
Perlindungan identitas digital tidak lagi berhenti pada penerapan password dan OTP. Di tengah meningkatnya serangan phishing, pencurian kredensial, dan ancaman berbasis identitas lainnya, organisasi perlu memastikan bahwa setiap proses autentikasi mampu beradaptasi dengan tingkat risiko yang terus berkembang.
Melangkah menuju phishing-resistant identity security bukan hanya tentang menambahkan teknologi baru, tetapi juga membangun fondasi keamanan yang lebih kuat untuk mendukung operasional bisnis, kepatuhan terhadap regulasi, dan kepercayaan pelanggan dalam jangka panjang.
Sebagai authorized partner dari Okta, F5, dan Entrust di Indonesia, Central Data Technology (CDT), bagian dari CTI Group, siap membantu organisasi merancang dan mengimplementasikan strategi keamanan identitas yang sesuai dengan kebutuhan bisnis, mulai dari konsultasi, implementasi, hingga dukungan teknis berkelanjutan.
Hubungi tim CDT untuk mengetahui bagaimana solusi enterprise MFA dan identity security dapat membantu memperkuat pertahanan siber sekaligus mendukung strategi keamanan digital organisasi Anda.
Penulis: Wilsa Azmalia Putri - Content Writer CTI Group
