Jawaban cepat: MFA tetap wajib, tetapi pada 2026 banyak serangan account takeover tidak lagi berhenti di password. Penyerang mulai menyasar titik verifikasi: reset password, enrollment ulang MFA, recovery email, approval helpdesk, perangkat baru, dan session trust. Untuk bisnis yang memakai Microsoft 365 atau Google Workspace, area ini perlu diaudit seperti kontrol keamanan inti, bukan hanya prosedur administratif.
Artikel The Hacker News tentang verification step sebagai battleground baru ATO menyoroti perubahan pola yang penting bagi IT manager. Jika proses verifikasi lemah, akun yang seharusnya terlindungi MFA masih bisa diambil alih lewat jalur recovery, social engineering, atau sesi yang sudah dipercaya. Dampaknya bukan hanya email kompromi; dari satu akun cloud, penyerang bisa membaca dokumen, mengubah invoice, meminta approval internal, atau bergerak ke aplikasi lain.
Kenapa MFA saja tidak cukup
MFA mengurangi risiko login dengan password curian, tetapi MFA tidak otomatis memperkuat seluruh siklus identitas. Banyak organisasi sudah menyalakan MFA, namun masih membiarkan proses reset dan recovery berjalan dengan verifikasi manual yang tipis. Helpdesk bisa ditekan lewat urgensi palsu. Nomor telepon recovery bisa sudah tidak valid. Perangkat baru bisa dipercaya terlalu cepat. Session lifetime bisa terlalu panjang.
Masalahnya sering bukan pada teknologi MFA, melainkan pada desain proses di sekelilingnya. Ketika attacker gagal login langsung, mereka mencari jalur yang mengubah kondisi akun: mengganti metode MFA, memulihkan akun, membuat token sesi baru, atau memanfaatkan perangkat yang dianggap trusted. Karena itu, program identity security perlu melihat verifikasi sebagai kontrol risiko, bukan sekadar formalitas.
Titik verifikasi yang perlu diaudit
| Area | Risiko | Kontrol yang disarankan |
|---|---|---|
| Reset password | Helpdesk tertipu permintaan darurat | Gunakan multi-step verification dan audit trail |
| MFA re-enrollment | Attacker mengganti metode MFA | Require approval tambahan untuk perubahan MFA sensitif |
| Recovery email/phone | Kontak recovery sudah usang atau dikuasai pihak lain | Review berkala dan alert perubahan recovery method |
| Perangkat baru | Device trust diberikan terlalu cepat | Conditional access, device compliance, dan risk-based login |
| Session token | Sesi lama tetap aktif setelah insiden | Shorter session lifetime dan revoke session saat risk event |
| Akun admin | Satu akun membuka banyak sistem | Pisahkan akun admin, gunakan privileged access policy |
Checklist cepat untuk IT manager
- Audit semua akun admin Microsoft 365 dan Google Workspace.
- Pastikan akun admin tidak dipakai sebagai akun harian.
- Matikan legacy authentication yang masih aktif.
- Review metode MFA yang lemah seperti SMS untuk akun berisiko tinggi.
- Aktifkan alert untuk perubahan MFA, recovery method, dan login anomali.
- Dokumentasikan prosedur helpdesk untuk reset akun eksekutif dan finance.
- Pastikan semua session dapat dicabut cepat saat ada indikasi compromise.
- Uji skenario account recovery abuse minimal per kuartal.
Contoh skenario serangan
Bayangkan akun finance manager sudah memakai MFA. Penyerang tidak mencoba membobol MFA secara langsung. Mereka menghubungi helpdesk, mengaku perangkat hilang, lalu meminta enrollment ulang metode MFA. Jika helpdesk hanya memverifikasi dengan data personal yang mudah ditebak, attacker bisa mendapatkan akses sah ke akun. Setelah itu mereka membaca email invoice, mengubah instruksi pembayaran, atau mengirim permintaan approval dari akun yang terlihat valid.
Skenario lain adalah session trust. User pernah login di perangkat pribadi, lalu sesi tersebut tetap aktif terlalu lama. Ketika perangkat terkena malware atau token sesi dicuri, penyerang tidak perlu melewati MFA ulang. Kontrol seperti conditional access, device compliance, dan session revocation menjadi penting.
Prioritas implementasi 30 hari
- Minggu 1: inventaris akun admin, executive, finance, dan user berisiko tinggi.
- Minggu 2: review MFA method, recovery contact, dan legacy authentication.
- Minggu 3: aktifkan alert untuk perubahan verifikasi dan login anomali.
- Minggu 4: uji prosedur helpdesk reset akun dan dokumentasikan approval path.
Bagaimana myBATICloud bisa membantu
myBATICloud dapat membantu review baseline keamanan Microsoft 365 dan Google Workspace, termasuk MFA posture, akun admin, conditional access, email security, serta kesiapan respons ketika akun sudah terlanjur compromise. Jika perusahaan juga membutuhkan backup dan recovery data cloud, tim myBATICloud dapat memetakan prioritas perlindungan agar insiden akun tidak berubah menjadi kehilangan data atau gangguan operasional panjang. Lihat juga layanan keamanan dan cloud kami di halaman layanan myBATICloud.
FAQ
Apakah MFA masih perlu?
Ya. MFA tetap kontrol dasar yang sangat penting. Masalahnya, MFA perlu didampingi proses verifikasi, recovery, dan session control yang kuat.
Apa beda MFA bypass dan account recovery abuse?
MFA bypass mencoba melewati faktor kedua saat login. Account recovery abuse mencoba mengubah kondisi akun, misalnya mengganti metode MFA atau memulihkan akun lewat proses helpdesk.
Apakah bisnis kecil perlu conditional access?
Jika memakai Microsoft 365 atau Google Workspace untuk email, file, dan approval bisnis, conditional access atau kontrol setara sangat membantu mengurangi risiko login dari lokasi/perangkat anomali.
Mulai dari mana jika tim IT kecil?
Mulai dari akun admin, finance, dan executive. Setelah itu review metode MFA dan prosedur reset password sebelum memperluas ke semua user.
CTA: Ingin cek apakah proses login, reset password, dan akses admin di Microsoft 365 atau Google Workspace sudah cukup aman? Tim myBATICloud bisa bantu review singkat dan memberi daftar prioritas perbaikan yang realistis untuk tim IT Anda.
Sumber: The Hacker News.