Kenapa Situs yang Meminta Password Itu Berbahaya

Situs yang meminta passwordmu sebagai tukaran followers atau like itu berbahaya karena satu alasan sederhana: mengirim followers atau like tidak membutuhkan password. Tidak ada bagian dari pengiriman yang terjadi di dalam akunmu, jadi tidak ada yang memerlukan kunci akunmu. Kalau sebuah situs tetap memintanya, ia sedang meminta sesuatu yang tidak bisa ia pakai secara jujur.

Apa yang dilakukan orang itu dengan passwordmu

Begitu passwordmu diketik ke sebuah situs atau aplikasi, akunmu keluar dari kendalimu; kamu tidak lagi yang menentukan apa yang dilakukan pihak seberang. Di bawah ini kejadian yang paling sering muncul.

Pengambilalihan akun

Pihak yang memegang passwordmu masuk ke akunmu, mengganti email pemulihan dan nomor teleponnya dengan miliknya, lalu memperbarui passwordnya. Kamu terlempar keluar dari aplikasi, dan langkah “lupa password” kini mengirim kode bukan kepadamu, melainkan kepadanya. Akun dengan followers banyak bisa dijual atau dimintai tebusan; akun kecil dipakai untuk menyebar iklan dan penipuan.

Pencurian data sesi

Sebagian situs tidak meminta password, melainkan berkata “salin kode ini dari browser-mu lalu tempel di sini”. Yang mereka minta adalah cookie sesi, kunci yang ditulis platform ke browser-mu untuk mengenalimu, dan kunci itu membuka pintu yang sama dengan password. Lebih dari itu, walau passwordmu diganti, kunci tersebut bisa tetap bekerja selama sesi yang terbuka belum ditutup. Karena itu kalimat “kami tidak minta password, cuma kodenya” bukan jaminan apa pun.

Pengiriman spam atas namamu

Sebagian besar sistem followers yang meminta password bekerja dengan logika kolam: sementara followers mengalir ke akunmu, akunmu sendiri ikut mengikuti akun lain di kolam itu, menyukai postingan mereka, kadang meninggalkan komentar. Tanpa sepengetahuanmu, akunmu juga bisa mengirim pesan ke orang asing atau membagikan iklan di storymu. Ketika platform melihat perilaku itu, ia menilainya seolah kamu yang melakukannya; peringatan, pembatasan fitur, atau penutupan akun jatuh kepadamu.

Risiko akun lain: email dan nomor telepon

Kebanyakan orang memakai password yang sama di beberapa tempat. Kalau password media sosialmu sama dengan password emailmu, penyerangnya masuk juga ke emailmu. Email adalah kunci semua akunmu: setiap alur “lupa password”, dari bank sampai toko daring, bermuara ke sana. Nomor telepon adalah pintu yang serupa; begitu nomor yang terhubung ke akun diganti, kode verifikasi lewat SMS jatuh ke telepon orang lain.

File apk dan “aplikasi penambah followers”

File apk yang disebarkan dengan nama aplikasi penambah followers, atau program sejenis untuk komputer, adalah perangkat lunak yang dipasang dari luar toko aplikasi resmi. Karena tidak melewati pemeriksaan toko, tidak ada yang pernah memverifikasi isinya. Izin yang mereka minta saat pemasangan biasanya membocorkan tujuan aslinya: izin membaca SMS untuk mencuri kode verifikasi, izin aksesibilitas untuk membaca apa yang tertulis di layarmu, dan izin menggambar di atas aplikasi lain untuk menampilkan jendela login palsu di atas aplikasi yang asli.

Ada satu kenyataan teknis yang meruntuhkan seluruh tawaran itu: penghitung view, like, dan followers disimpan serta dihitung di server platform, bukan di ponselmu, dan aplikasi yang terpasang di perangkatmu tidak punya jalan untuk mengubah angka di sana. Mengirim view, like, atau followers memang tidak memerlukan apa pun yang dipasang ke ponsel; semuanya terjadi dari luar, pada kontenmu yang publik, dan satu-satunya masukan yang dibutuhkan adalah sebuah tautan. Karena itu di situs ini tidak ada apk, tidak ada tautan unduhan, dan kami tidak menyarankan satu pun aplikasi semacam itu.

Layar “login” palsu

Jebakan yang paling umum adalah tiruan halaman masuk milik platform. Logonya benar, warnanya benar, jenis hurufnya benar; satu-satunya bagian yang salah adalah bilah alamatnya. Nama pengguna dan password yang kamu ketik di layar itu meluncur langsung ke orang yang menjalankan situsnya, lalu kamu dilempar ke halaman aslinya dan mengira tadi salah ketik.

Setiap kali sebuah layar masuk muncul, baca alamatnya. Halaman masuk yang asli terbuka di domain platform itu sendiri: instagram.com untuk Instagram, tiktok.com untuk TikTok. Alamat dengan huruf yang ditukar, dengan kata tambahan, atau dengan akhiran yang asing adalah tiruan. Jendela yang terbuka di dalam sebuah aplikasi pun layak diperiksa dengan cara yang sama; kalau alamatnya tidak terlihat, jangan ketik apa pun di sana.

Cara mengenali situs berbahaya

Satu saja dari tanda berikut sudah cukup untuk menutup halamannya. Kalau dua muncul bersamaan, itu bukan kebetulan.

• Kolom password. Kalau di formulir ada kotak password di samping nama pengguna, tujuannya bukan mengirim followers, melainkan mengambil akunmu.
• Ajakan memasang aplikasi. Setiap halaman yang berkata “pasang dulu aplikasinya untuk lanjut” sedang berusaha menaruh file yang tidak diperiksa siapa pun ke ponselmu.
• Permintaan kode SMS. Pihak yang meminta kode yang masuk ke teleponmu sedang mencoba masuk ke akunmu saat itu juga. Kode itu adalah pertanyaan platform kepadamu, “ini benar kamu?”, dan begitu kamu sebutkan ke orang lain, jawabannya jadi ya.
• Tombol “hubungkan akun”. Menghubungkan sering kali hanya nama lain dari mengetik password. Bahkan kalau izinnya benar-benar resmi, kamu tetap memberi situs asing kewenangan bertindak di akunmu.
• Tugas dulu, hadiah kemudian. Sistem yang berkata “ikuti akun-akun ini dulu, baru followers-mu datang” sedang memakai akunmu sebagai bahan bakar kolamnya.
• Janji angka yang pasti. Tidak ada pihak di luar platform yang mengendalikan penghitung platform, jadi tidak ada yang bisa menjanjikan angkanya.

Saat ragu, tanyakan satu hal ini pada dirimu: apakah layanan ini harus masuk ke dalam akunku untuk mengerjakan tugasnya? Untuk view, like, dan followers, jawaban jujurnya selalu tidak. Semuanya dikerjakan dari luar, pada kontenmu yang sudah bisa dilihat siapa saja. Layanan yang ingin masuk ke dalam akunmu sedang mengerjakan sesuatu yang berbeda dari yang ia katakan.

Kalau kamu sudah terlanjur

Kalau passwordmu sudah terlanjur diketik di suatu tempat, atau sebuah aplikasi mencurigakan sudah terpasang, urutannya penting.

Langkah pertama: ganti passwordmu sekarang

Ganti dulu password media sosialmu, lalu semua akun lain yang memakai password yang sama. Password barunya harus panjang dan tidak pernah kamu pakai di tempat lain. Daripada mengganti password dari ponsel yang masih terpasang aplikasi mencurigakan, copot dulu aplikasinya atau kerjakan dari perangkat lain.

Langkah kedua: tutup semua sesi

Penggantian password tidak selalu menjatuhkan sesi yang sedang terbuka. Di Instagram, aktivitas masuk ada di setelan keamanan; di TikTok, daftar perangkat ada di bagian keamanan dan izin. Keluarkan setiap perangkat dan lokasi yang tidak kamu kenali dari sana. Langkah inilah yang mematikan cookie sesi yang dicuri.

Langkah ketiga: aktifkan verifikasi dua langkah

Verifikasi dua langkah menghalangi orang yang sudah tahu passwordmu untuk masuk tanpa persetujuan kedua. Kalau bisa, pilih aplikasi autentikator ketimbang SMS, karena ia lebih tahan terhadap pergantian nomor dan penyalinan kartu SIM. Simpan kode cadangannya di tempat yang aman.

Langkah keempat: cabut aplikasi yang terhubung

Bagian aplikasi dan situs web di Instagram, serta bagian izin aplikasi di TikTok, memuat daftar pihak ketiga yang pernah kamu beri akses ke akunmu. Cabut setiap entri yang tidak kamu kenali atau tidak lagi kamu pakai. Hapus juga aplikasi penambah followers yang kamu pasang dari luar toko resmi, dan kalau perlu jalankan pemindaian keamanan di perangkatmu.

Langkah kelima: periksa email dan nomor telepon

Pastikan email pemulihan dan nomor telepon di akunmu masih milikmu. Periksa juga setelan keamanan akun emailmu sendiri: penyerang biasanya menambahkan aturan penerusan yang diam-diam mengirim salinan pesanmu ke dirinya. Kalau ada penerusan, filter, atau perangkat terhubung yang tidak kamu kenali, hapus semuanya lalu perbarui password emailmu.

Langkah keenam: hubungi dukungan platform

Kalau kamu sudah tidak bisa masuk sama sekali, pakai tautan bantuan di layar masuk. Instagram dan TikTok menyediakan alur pemulihan berverifikasi identitas untuk akun yang diambil alih; prosesnya lebih cepat kalau kamu masih punya akses ke email atau nomor telepon yang terdaftar. Sementara itu, beri tahu followers-mu supaya tidak menekan tautan yang datang atas namamu.

Kenapa pendekatan di situs ini berbeda

Layanan di situs ini hanya meminta tautan publik atau nama pengguna. Tidak ada kolom password, tidak ada aplikasi, tidak ada langkah menghubungkan akun, dan tidak ada kode yang dikirim ke teleponmu. Permintaanmu diteruskan ke penyedia, lalu pengirimannya dilakukan ke kontenmu yang publik; akunmu sendiri tidak pernah disentuh. Seluruh prosesnya ada di panduan cara kerja layanan SMM gratis.

Supaya jujur sampai akhir, pendekatan ini juga punya batas. Jumlahnya tetap, ada masa tunggu, angka yang masuk bisa berubah seiring waktu, dan akun atau kontenmu harus publik. Layanan ini tidak membesarkan akunmu sendirian; ia memberi awalan kecil untuk video baru atau akun baru. Sebagai gantinya, kamu tidak mempertaruhkan passwordmu, teleponmu, dan seluruh akunmu.

Formulir di layanan followers TikTok, followers Instagram, dan like TikTok bekerja dengan logika yang sama. Seluruh layanan per platform bisa kamu lihat di halaman TikTok dan Instagram. Kalau kamu menemukan situs yang mengatasnamakan kami dan meminta password, laporkan lewat halaman kontak. Di halaman mana pun kamu berada, aturannya tidak berubah: kalau sebuah tempat meminta passwordmu, tempat itu tidak sedang mengirim followers, ia sedang mengambil akunmu.