MFA tahan phishing adalah metode autentikasi multifaktor yang menggunakan kunci kriptografi yang terikat ke situs web resmi untuk memverifikasi identitas pengguna dengan cara yang tahan terhadap pencegatan, putar ulang, atau rekayasa sosial.
Sebagian besar metode MFA—kode SMS, kata sandi satu kali, notifikasi push—bekerja dengan menghasilkan rahasia yang kemudian diberikan pengguna akhir ke suatu layanan. Misalnya, ketika pengguna masuk ke rekening bank, mereka mungkin memasukkan kata sandi dan kode enam digit yang dikirimkan ke ponsel mereka atau dihasilkan oleh aplikasi autentikator.
Meskipun metode MFA ini dapat membantu menghentikan banyak serangan, metode ini dapat kesulitan mengatasi —serangan siber yang menggunakan komunikasi yang menipu untuk memperdaya pengguna agar mengungkapkan kredensial atau menyetujui akses palsu.
Serangan phishing mengeksploitasi perilaku manusia, bukan kerentanan teknis, yang dapat membuatnya lebih sulit diblokir oleh MFA tradisional. Secara teknis, faktor autentikasi yang dicuri atau dimanipulasi penyerang merupakan hal yang valid. Kodenya nyata, persetujuannya asli, dan kredensialnya benar. MFA tradisional tidak memiliki cara untuk membedakan antara login yang sah dan login yang dipaksa atau dicegat.
Menurut IBM X-Force Threat Intelligence Index, phishing adalah salah satu cara utama penyerang mendapatkan kredensial valid yang kemudian disalahgunakan oleh mereka. Pencurian akun adalah salah satu vektor serangan awal yang paling umum, yang mencakup 32% dari keseluruhan insiden.
Autentikasi multifaktor tahan phishing membantu menghentikan serangan ini dengan memberikan autentikasi melalui cara yang pada dasarnya berbeda. Alih-alih mengirimkan rahasia, autentikasi ini menggunakan kriptografi kunci publik dan teknik yang disebut pengikatan asal (origin binding).
Kriptografi kunci publik adalah pendekatan kriptografis yang menggunakan sepasang kunci yang terhubung secara matematis, satu publik dan satu pribadi, untuk memverifikasi identitas tanpa mengirimkan rahasia bersama.
Pengikatan asal terjadi ketika autentikator—misalnya kunci keamanan atau kunci sandi pada ponsel—merespons hanya ketika mengenali domain yang sah. Jika situs dipalsukan, autentikator tetap diam dan tidak ada yang bisa diambil oleh penyerang.
Sebagai contoh, katakanlah seorang karyawan terpancing untuk masuk ke halaman login palsu alih-alih halaman asli. Autentikator memeriksa domain tersebut, tidak menemukan kecocokan, dan tetap diam, meskipun karyawan tersebut sudah memasukkan kredensialnya.
Dengan MFA tahan phishing, organisasi dapat membantu melindungi akun pengguna, bahkan ketika karyawan tertipu oleh upaya phishing. Mereka juga dapat membantu mematuhi standar dan persyaratan regulasi yang makin bertambah—dari pihak-pihak seperti National Institute of Standards and Technology (NIST), Cybersecurity and Infrastructure Security Agency (CISA), dan penjamin asuransi siber—yang kini memperlakukan autentikasi tahan phishing sebagai dasar untuk autentikasi yang kuat.
Bergabunglah dengan para pemimpin keamanan yang mengandalkan Buletin Think untuk berita yang dikurasi tentang AI, keamanan siber, data, dan otomatisasi. Pelajari dengan cepat dari tutorial pakar dan penjelas—dikirimkan langsung ke kotak masuk Anda. Lihat Pernyataan Privasi IBM®.
Sebagian besar metode autentikasi memiliki kelemahan struktural yang sama: bergantung pada rahasia yang dikirimkan pengguna. Saat dikirim, rahasia tersebut dapat dicegat, diputar ulang atau diminta paksa melalui rekayasa sosial.
Setiap jenis faktor autentikasi dalam MFA tradisional umumnya memiliki kerentanan tertentu, dan penjahat siber telah membangun seluruh toolkit untuk mengeksploitasinya.
Kode pesan teks SMS dirutekan melalui infrastruktur operator yang tidak pernah dirancang dengan mempertimbangkan keamanan siber.
Dalam serangan SIM swap, penyerang meyakinkan operator seluler—atau melakukan rekayasa sosial terhadap karyawan pusat panggilan— untuk mentransfer nomor telepon korban ke kartu SIM baru. Setelah nomor tersebut di-porting, setiap pesan teks akan masuk ke penyerang, termasuk kode MFA.
Kode SMS juga terekspos kerentanan SS7—kelemahan yang sudah ada sejak puluhan tahun lalu dalam protokol pengiriman sinyal yang masih digunakan penyedia telekomunikasi untuk mengirim pesan antar-jaringan. SS7 memungkinkan penyerang untuk mencegat atau mengalihkan pesan SMS di tingkat jaringan, tanpa perlu mengakses perangkat korban atau akun operator. Serangan berbasis SS7 bisa lebih sulit deteksi daripada SIM swap.
Aplikasi autentikator menggunakan kata sandi satu kali (OTP) untuk memverifikasi identitas pengguna saat login. OTP biasanya lebih sulit dicegat saat dalam pengiriman, karena dibuat secara lokal di perangkat pengguna, bukan dikirim melalui jaringan telepon. Namun, metode ini masih rentan terhadap serangan man-in-the-middle (MitM), di mana penjahat siber diam-diam memosisikan diri di antara pengguna dan layanan yang sah untuk mencegat dan menyampaikan kredensial secara real time.
Serangan MitM terjadi ketika pelaku ancaman memasang server proxy antara korban dan halaman login yang sebenarnya. Korban kemudian mengklik tautan dari serangan phishing dan masuk ke halaman yang terlihat seperti halaman login asli—sebenarnya, halaman tersebut memang halaman login asli, tetapi tercermin melalui proxy penyerang. Korban memasukkan nama pengguna, kata sandi, dan OTP-nya. Proxy menyampaikan semuanya ke layanan asli, yang memvalidasi kode dan mengembalikan token sesi. Proxy menangkap token tersebut dan menyalurkannya ke penyerang. Kata sandi sekali pakai tersebut memang valid, tetapi digunakan oleh orang yang salah dan melalui situs yang salah.
Perangkat phishing yang mengotomatiskan seluruh proses ini sekarang dijual sebagai layanan di dark web, begitu pula dengan sejumlah besar kredensial curian. Penjahat siber tidak perlu membuat alat mereka sendiri. Mereka dapat membeli akses ke akun pengguna dan data sensitif dengan cara yang sama seperti bisnis membeli perangkat lunak.
Notifikasi push dapat menyederhanakan proses autentikasi, memungkinkan pengguna untuk mengetuk “Setuju” di ponsel mereka alih-alih memasukkan kode. Namun, kesederhanaan ini, dapat menciptakan kerentanan yang dikenal sebagai "push notification bombing".
Begini cara kerja serangan tersebut: seorang penjahat siber yang telah memiliki kredensial curian mengirimkan permintaan persetujuan berulang kali, terkadang selama satu jam atau lebih. Untuk menghentikan gangguan ini—atau meyakini bahwa gangguan ini nyata—target mengetuk “Setuju” dan memberikan akses ke akunnya kepada penyerang.
Rekayasa sosial dapat meningkatkan serangan tersebut. Peretas dapat mengirim pesan melalui WhatsApp atau Teams dengan menyamar sebagai petugas keamanan TI yang memperingatkan bahwa terjadi upaya login yang tidak biasa di akun korban, lalu meminta korban untuk menyetujui notifikasi tersebut.
AI generatif menjadikan ancaman siber semacam ini lebih sulit dikenali. Penyerang sekarang dapat membuat pesan yang merujuk pada proyek nyata yang sedang berlangsung, meniru gaya notifikasi TI perusahaan, dan mencocokkan dengan bahasa target. Kemampuan yang beberapa tahun lalu masih membutuhkan upaya manusia yang rumit kini dapat diotomatisasi dan disederhanakan.
Perbedaan inti antara MFA tradisional dan MFA tahan phishing terletak pada hal yang melintasi jaringan. Autentikasi tradisional mengirimkan rahasia bersama, yaitu kode, dari pengguna ke server. Siapa pun yang dapat mencegat atau menyampaikan kode tersebut akan dapat menggunakannya. Autentikasi tahan phishing sepenuhnya menghilangkan rahasia bersama.
Sebaliknya, proses autentikasi menggunakan protokol tantangan-respons yang dibangun pada kriptografi kunci publik. Perangkat pengguna memegang kunci pribadi yang tidak pernah meninggalkan perangkat. Layanan ini memegang kunci publik yang sesuai. Ketika pengguna login, layanan mengirimkan tantangan acak. Perangkat menandatanganinya dengan kunci pribadi. Layanan memeriksa tanda tangan dan mencocokkannya kunci publik. Jika cocok, pengguna akan diautentikasi. Pada interaksi ini, tidak ada satu hal pun yang dapat dicuri atau diputar ulang oleh penyerang.
Dua pendekatan yang umum digunakan adalah autentikasi sertifikat berbasis PKI dan FIDO2. Keduanya menggunakan kriptografi kunci publik, tetapi berbeda dalam hal penerapan dan lokasi penggunaannya. Dengan kata lain, kriptografi adalah metode inti, sementara FIDO2 dan PKI adalah dua cara paling umum yang digunakan organisasi untuk menerapkannya.
Autentikator, yaitu token fisik atau perangkat lunak yang berinteraksi dengan pengguna, hadir dalam berbagai bentuk, tergantung pada pendekatannya. Kunci keamanan dan kunci sandi umum digunakan untuk FIDO2, sedangkan kartu cerdas kerap digunakan untuk autentikasi sertifikat berbasis PKI.
FIDO2 adalah serangkaian standar autentikasi terbuka yang dikelola oleh FIDO Alliance dan World Wide Web Consortium (W3C).
FIDO2 terdiri dari dua protokol: WebAuthn, yakni API browser yang digunakan situs web untuk meminta autentikasi kriptografis, dan CTAP (Client to Authenticator Protocol), yang memungkinkan autentikator eksternal berkomunikasi dengan browser dan sistem operasi.
Ketika pengguna menggunakan layanan yang mendukung FIDO2, autentikatornya akan menghasilkan pasangan kunci. Kunci pribadi tetap berada di autentikator. Sementara itu, kunci publik diberikan ke layanan. Pasangan kunci tersebut juga terikat ke domain tertentu (asal) layanan, misalnya, “login.example.com”.
Ketika pengguna mencoba masuk, browser memeriksa domain situs dan mencocokkannya dengan asal yang terdaftar. Pada “login.example.com”, domain terbukti cocok dan autentikator memberikan respons.
Pada “login-example.com”— berpotensi cukup besar untuk menipu manusia, tetapi tidak ditemukan kecocokan—autentikator tetap diam. Pengguna akhir tidak perlu mengevaluasi apakah URL terlihat sah. Protokol autentikasi FIDO akan menanganinya secara otomatis.
Infrastruktur kunci publik (public key infrastructure, PKI) menggunakan sertifikat digital yang diterbitkan oleh otoritas sertifikasi tepercaya. Proses autentikasi mengikuti pola tantangan-respons yang sama seperti FIDO2: layanan mengirimkan tantangan, perangkat fisik menandatanganinya, dan layanan memverifikasi tanda tangan. Tidak ada rahasia yang dikirimkan.
Autentikasi berbasis PKI telah menjadi standar untuk pemerintahan federal dan pertahanan selama beberapa dekade. Kartu cerdas—kartu fisik dengan chip tertanam yang menyimpan kredensial dan mengautentikasi pengguna saat dimasukkan ke dalam pembaca kartu atau diketuk ke pembaca kartu—memenuhi persyaratan jaminan identitas yang ketat.
Meskipun kartu cerdas adalah autentikator PKI yang paling umum, kartu ini bukan satu-satunya. Sertifikat PKI juga dapat disimpan pada token USB atau dikelola melalui perangkat lunak. Dalam penerapan oleh pemerintah dan perusahaan, kartu cerdas biasanya lebih disukai karena memberikan perlindungan tingkat perangkat keras untuk kunci pribadi.
Industri lain dengan infrastruktur lokal lama dan persyaratan peraturan yang ketat, seperti layanan kesehatan, layanan keuangan, dan layanan hukum, sering mengandalkan kartu cerdas untuk alasan yang sama.
Bagi organisasi yang membangun dari nol, FIDO2 biasanya merupakan opsi yang disukai karena membutuhkan biaya operasional yang jauh lebih sedikit.
Autentikator adalah perangkat fisik atau mekanisme perangkat lunak yang berinteraksi dengan pengguna untuk menyelesaikan proses autentikasi—dengan kata lain, ini adalah implementasi praktis dari standar FIDO2 dan PKI.
Faktor bentuk yang tepat tergantung pada tingkat risiko, infrastruktur yang ada, dan aspek untung-rugi pengalaman pengguna yang bersedia diterima oleh organisasi. Banyak organisasi besar akhirnya menggunakan lebih dari satu autentikator.
Beberapa jenis autentikator yang paling umum meliputi:
Kunci keamanan perangkat keras adalah perangkat fisik, seperti YubiKey atau Google Titan Key, yang menyimpan kunci kriptografis dalam perangkat keras yang tahan terhadap perusakan. Kunci ini terhubung melalui USB atau komunikasi jarak dekat (near-field communication, NFC), misalnya dengan mengetuk key fob pada ponsel atau mendekatkan kartu nirsentuh ke pembaca kartu.
Karena kunci pribadi dihasilkan di dalam chip kunci yang tahan perusakan dan tidak pernah diekspor (bahkan selama autentikasi), penyerang membutuhkan kepemilikan fisik perangkat untuk membobolnya. Serangan jarak jauh pada dasarnya tidak mungkin dilakukan. Biaya operasional yang ditimbulkan adalah untuk distribusi: organisasi perlu mengirim, menginventarisasi, dan mengganti kunci ini. Bagi banyak peran berisiko tinggi, misalnya administrator sistem dan pengembang dengan akses produksi, biaya ini bisa jadi sepadan.
Autentikator platform menggunakan sensor biometrik dan perangkat keras aman yang terpasang di laptop dan perangkat mobile, misalnya pembaca sidik jari atau kamera pengenal wajah.
Kunci pribadi berada di enklave aman perangkat atau Trusted Platform Module (TPM), yang berarti tidak ada perangkat keras tambahan yang harus dibawa. Pengguna harus memverifikasi identitasnya secara lokal, baik melalui sidik jari, pengenalan wajah, atau PIN perangkat. Verifikasi lokal membuka kunci pribadi—ini tidak menggantikan proses kriptografis—yang kemudian menandatangani tantangan autentikasi.
Autentikasi platform memiliki keterbatasan, yakni autentikasi terikat dengan mesin mana pun yang memegang kunci.
Kunci sandi adalah kredensial kriptografis yang disimpan secara bawaan di perangkat pengguna yang menggantikan kata sandi sepenuhnya. Seperti autentikator FIDO2 lainnya, kunci sandi menggunakan kunci pribadi yang tidak pernah meninggalkan perangkat untuk menandatangani tantangan autentikasi, dan pengguna memverifikasi identitasnya melalui biometrika atau PIN perangkat.
Tidak seperti kunci keamanan perangkat keras, kunci sandi dapat menyinkronkan kredensial di berbagai perangkat mobile melalui penyedia cloud, seperti Apple, Google, atau Microsoft. Pengguna yang mendaftarkan kunci sandi di ponselnya juga dapat melakukan autentikasi melalui laptop, sepanjang kedua perangkat tersebut login ke akun yang sama.
Pengalaman autentikasi tanpa kata sandi lebih mulus daripada metode anti-phishing lainnya—tidak ada kata sandi yang perlu diingat, diatur ulang, atau hilang karena serangan phishing. Namun, kelemahannya terletak pada ketergantungan pada platform: kunci sandi tidak selalu mudah dipindahkan antar-ekosistem.
Kartu cerdas, seperti PIV, CAC, dan kartu berbasis PKI serupa, adalah jenis autentikator utama untuk penerapan PKI. Kartu ini menyediakan penyimpanan perangkat keras tahan rusak untuk kunci pribadi dalam faktor bentuk yang portabel. Mandat pemerintah federal seputar kartu PIV dan CAC juga menciptakan infrastruktur yang mengakar selama puluhan tahun di sekitarnya.
Kartu cerdas memerlukan pembaca kartu dan middleware di setiap workstation, bersama dengan infrastruktur manajemen sertifikat back-end.
Jejak kartu cerdas lebih berat daripada FIDO2, tetapi teknologinya matang dan sangat tertanam dalam lingkungan pemerintah dan industri teregulasi.
MFA tahan phishing mengatasi masalah phishing dan pencurian kredensial pada sumbernya—dengan menjadikan kredensial curian tidak berguna—sekaligus mendukung sasaran keamanan siber dan kepatuhan yang lebih luas.
Beberapa manfaat paling signifikan dari MFA tahan phishing meliputi:
Otentikasi tahan phishing membantu menghilangkan jenis serangan yang membuat solusi MFA tradisional makin tidak memadai sebagai langkah keamanan.
Serangan SIM swap gagal karena tidak ada kode SMS yang bisa dicegat. Serangan man-in-the-middle gagal karena tidak ada OTP yang bisa disampaikan. Strategi "push bombing" gagal karena tidak ada persetujuan yang bisa dimanipulasi.
Meskipun penjahat siber mendapatkan kata sandi pengguna, mereka tidak dapat mengakses akun atau data sensitif tanpa perangkat fisik yang memegang kunci pribadi.
Zero-trust beroperasi dengan asumsi bahwa tidak ada pengguna atau perangkat yang dapat dipercaya secara implisit—setiap keputusan kontrol akses harus diverifikasi. Namun, model tersebut tidak berfungsi dengan baik jika mekanisme verifikasi itu sendiri dapat dikalahkan oleh email yang meyakinkan dan halaman login palsu.
MFA tahan phishing membantu menutup kekurangan tersebut dengan memungkinkan verifikasi berkelanjutan yang diperlukan zero-trust.
CISA menyebut MFA tahan phishing sebagai “standar emas” untuk autentikasi, dan telah banyak badan pengatur dan standardisasi yang mengukuhkan posisi tersebut.
NIST Special Publication 800-63-4, diselesaikan pada tahun 2025, mewajibkan autentikasi tahan phishing pada Authenticator Assurance Level 3, yang memerlukan kunci pribadi yang terikat pada perangkat keras dan tidak dapat diekspor untuk contoh-contoh penggunaan berjaminan tinggi.
Memorandum M-22-09 oleh Lembaga Manajemen dan Anggaran Belanja Amerika Serikat saat ini mewajibkan lembaga-lembaga pemerintah federal untuk menerapkan MFA tahan phishing bagi staf, kontraktor, dan mitra.
Di luar persyaratan pemerintah, organisasi makin melihat kualitas MFA, bukan hanya kehadiran MFA. Program seperti PCI DSS secara eksplisit mendefinisikan MFA tahan phishing, dan banyak perusahaan asuransi siber sekarang bertanya tentang kekuatan MFA selama proses penjaminan.
MFA tahan phishing mungkin terdengar sebagai tambahan hambatan. Dalam praktiknya, kunci sandi dan autentikator platform kerap kali mengurangi hambatan. Mengetuk pembaca sidik jari umumnya lebih cepat daripada membuka aplikasi seluler, menyalin OTP enam digit, lalu memasukkannya sebelum kedaluwarsa.
Autentikasi tanpa kata sandi—di mana kunci sandi atau kunci keamanan sepenuhnya menggantikan kata sandi—bahkan lebih praktis: tidak ada kata sandi yang terlupakan, diatur ulang, atau diserahkan ke halaman phishing. Fungsionalitas yang hilang dari pengguna akhir adalah kata sandi. Namun, mereka memperoleh pengalaman autentikasi yang sering kali lebih cepat dan lebih aman.
MFA tahan phishing jarang beroperasi secara terpisah. Biasanya solusi ini berada dalam arsitektur manajemen identitas dan akses (IAM) yang lebih luas yang terdiri dari beberapa lapisan pendukung.
Kebijakan akses bersyarat menambahkan konteks pada keputusan autentikasi. Alih-alih memperlakukan setiap login secara identik, kebijakan ini mengevaluasi sinyal—kesehatan perangkat, lokasi jaringan, pola perilaku pengguna—dan menyesuaikan persyaratan berdasarkan hal tersebut.
Sebagai, seorang karyawan yang masuk dari perangkat terkelola di jaringan perusahaan mungkin melakukan autentikasi dengan satu ketukan kunci sandi. Karyawan yang sama yang terhubung dari perangkat asing di negara baru mungkin menghadapi langkah verifikasi tambahan.
Dari sisi pertahanan, deteksi dan respons titik akhir (endpoint detection and response, EDR) menangkap ancaman yang berada di luar cakupan MFA. MFA tahan phishing membantu menghentikan pencurian kredensial pada halaman login, tetapi malware infostealer pada perangkat yang disusupi masih dapat memanen token sesi, kredensial yang tersimpan dalam cache, dan informasi sensitif lainnya.
Umpan intelijen ancaman melengkapi kedua lapisan tersebut dengan mengidentifikasi infrastruktur phishing—menandai URL berbahaya, domain palsu, dan server perintah-dan-kontrol yang diketahui sebelum pengguna mencapai halaman login palsu.