Isu yang Membuatnya Tren

Keputusan Microsoft meninggalkan otentikasi via SMS dan mendorong akses tanpa password mendadak memantik percakapan luas, karena menyentuh rutinitas paling personal di internet: cara masuk akun.

Isu ini menjadi tren karena orang merasakan perubahan itu bukan sekadar pembaruan fitur.

Ini adalah pergeseran budaya keamanan digital, dari kebiasaan mengetik rahasia menjadi pembuktian identitas lewat perangkat, biometrik, atau PIN.

Di tengah maraknya penipuan, SMS OTP selama ini dianggap pagar terakhir.

Ketika pagar itu dinyatakan rapuh, publik bertanya: jika SMS saja ditinggalkan, apa yang benar-benar aman?

-000-

Apa yang Diumumkan Microsoft, dan Mengapa

Microsoft menyatakan tidak lagi melakukan proses otentikasi melalui SMS dan akan menghapus fitur tersebut.

Alasannya tegas: otentikasi lewat SMS kerap menjadi sumber penipuan.

Microsoft tidak menyebut kapan penghapusan bertahap itu selesai.

Namun perusahaan menekankan arah barunya: otentikasi tanpa password yang aman dan ramah pengguna.

Dalam pernyataannya, Microsoft menyebut kombinasi akun tanpa kata sandi, kunci akses, dan email terverifikasi untuk membantu pengguna selangkah lebih maju dari ancaman yang berkembang.

Perubahan ini tidak berdiri sendiri.

Sebelumnya, Google juga memperkenalkan passkeys, metode masuk akun tanpa memasukkan password.

-000-

Mengapa Isu Ini Menjadi Tren: Tiga Alasan

Pertama, perubahan menyentuh kebiasaan massal.

Password dan OTP adalah bahasa sehari-hari internet, dipakai dari email hingga layanan publik.

Saat raksasa teknologi mengubah “bahasa” itu, orang merasa harus belajar ulang, dan rasa cemas mudah menyebar.

Kedua, SMS OTP selama ini dianggap kompromi yang masuk akal.

Ia tidak sempurna, tetapi terasa nyata: ada kode yang masuk, ada tindakan yang bisa dilakukan.

Ketika Microsoft menyebut SMS sebagai sumber penipuan, publik menangkap sinyal bahwa ancaman lebih dekat dari dugaan.

Ketiga, passkey membawa janji sekaligus misteri.

Ia terdengar modern, kriptografis, dan “tanpa phishing”, tetapi banyak orang belum memahami cara kerjanya.

Di ruang kosong pemahaman itulah, perdebatan dan kekhawatiran tumbuh.

-000-

Passkey Itu Apa, dan Mengapa Dianggap Lebih Aman

Masalah lama password sederhana: sesuatu yang diketik bisa lupa, bisa ditebak, dan bisa dicuri.

OTP yang diketik juga menambah titik rawan, karena tetap berupa informasi yang berpindah dan bisa disalahgunakan.

Passkey bekerja berbeda.

Ia menggunakan kunci kriptografi yang disimpan di perangkat dan layanan.

Saat pengguna masuk, perangkat membuktikan bahwa ia memiliki kunci yang benar.

Prosesnya biasanya memakai sidik jari, pemindaian wajah, atau PIN.

Passkey dianggap lebih aman karena kunci rahasia tidak pernah meninggalkan perangkat.

Dalam narasi yang beredar, ini membuatnya lebih kebal terhadap phishing maupun kebocoran data.

Di atas kertas, idenya elegan.

Alih-alih mengirim “rahasia” ke server, perangkat hanya membuktikan kepemilikan kunci.

Jika tidak ada rahasia yang melintas, peluang dicuri pun berkurang.

-000-

Namun Tidak Semua Sepakat: Riset SquareX dan Peringatan Penting

Di tengah optimisme, ada catatan yang menahan euforia.

Penelitian SquareX pada 2025 menyebut adanya celah dalam sistem passkey.

Dalam temuan itu, saat ada permintaan biometrik, sistem dapat menganggapnya sebagai sinyal keamanan.

Peneliti SquareX, Shourya Pratap Singh, menyatakan penyerang bisa memalsukan pendaftaran dan otentikasi passkey.

Kuncinya, menurut riset tersebut, adalah mencegat alur kerja passkey di browser.

Ia menambahkan, hampir semua aplikasi perusahaan dan konsumen berisiko, termasuk perbankan dan penyimpanan data penting.

Temuan ini tidak otomatis membatalkan gagasan passkey.

Namun ia mengingatkan bahwa keamanan bukan garis akhir.

Keamanan adalah perlombaan berkelanjutan antara desain sistem dan kreativitas penyerang.

-000-

Ketegangan Baru: Kenyamanan, Keamanan, dan Ketergantungan pada Perangkat

Passkey menawarkan kenyamanan: masuk akun tanpa mengingat deretan karakter.

Tetapi kenyamanan sering datang bersama bentuk ketergantungan baru.

Jika kunci ada di perangkat, maka perangkat menjadi pusat identitas digital.

Ketika perangkat hilang, rusak, atau berpindah tangan, pertanyaan praktis muncul.

Bagaimana pemulihan akses dilakukan tanpa menciptakan pintu belakang yang mudah dibobol?

Berita Microsoft menonjol bukan hanya karena teknologi baru.

Ia menonjol karena memindahkan beban “mengingat” menjadi beban “mengelola perangkat” dan “mengelola pemulihan”.

Di sinilah kecemasan publik terasa manusiawi.

Orang tidak sekadar takut diretas.

Mereka juga takut terkunci dari hidup digitalnya sendiri.

-000-

Kaitannya dengan Isu Besar Indonesia: Penipuan Digital dan Kepercayaan Publik

Di Indonesia, penipuan digital menjadi percakapan harian.

Modusnya beragam, tetapi benang merahnya sama: pelaku mengejar akses, lalu menguras kepercayaan.

Ketika Microsoft menyebut SMS sebagai sumber penipuan, itu beresonansi dengan pengalaman banyak orang.

SMS, telepon, dan pesan instan sering dipakai untuk mengelabui korban agar menyerahkan kode.

Di sisi lain, transformasi ke passkey menyentuh agenda besar Indonesia: percepatan ekonomi digital.

Ekonomi digital membutuhkan identitas digital yang kuat.

Tanpa mekanisme masuk yang aman, layanan keuangan, perdagangan, dan layanan publik rentan terganggu.

Kepercayaan adalah infrastruktur tak terlihat.

Sekali runtuh, biaya sosialnya lebih besar daripada biaya teknologinya.

-000-

Dimensi Literasi: Ketika Keamanan Menjadi Urusan Semua Orang

Peralihan dari password ke passkey memaksa publik memahami konsep yang dulu milik teknisi.

Kini, kata seperti “kunci kriptografi” muncul di ruang obrolan keluarga.

Ini pertanda baik sekaligus tantangan.

Baik, karena literasi keamanan mulai naik ke permukaan.

Tantangan, karena jurang informasi mudah diisi oleh mitos.

Jika passkey dipahami sebagai jimat, orang bisa lengah.

Jika passkey dipahami sebagai ancaman, orang bisa menolak tanpa alasan.

Di titik ini, komunikasi publik dari perusahaan dan lembaga menjadi penting.

Bukan sekadar tutorial, tetapi penjelasan risiko yang jujur dan prosedur pemulihan yang jelas.

-000-

Pelajaran Konseptual dari Riset: Tidak Ada Sistem yang Kebal

Riset SquareX memberi satu pelajaran konseptual: keamanan tidak hanya soal metode, tetapi juga implementasi.

Passkey bisa kuat sebagai konsep, namun rapuh jika alur kerja di browser bisa dicegat.

Di sinilah publik perlu membedakan antara janji teknologi dan praktik di lapangan.

Sering kali, serangan tidak meruntuhkan kriptografi.

Serangan memanfaatkan celah di antarmuka, kebiasaan, dan asumsi sistem.

Permintaan biometrik bisa terasa meyakinkan.

Namun rasa meyakinkan bukan bukti keamanan, jika sinyal itu bisa dipalsukan.

Diskusi ini membuat tren Google semakin masuk akal.

Orang bukan hanya mencari “pengganti password”.

Mereka mencari pegangan baru untuk menilai apa itu aman.

-000-

Referensi Kasus Serupa di Luar Negeri

Peralihan ke passkey bukan fenomena lokal.

Berita menyebut Google lebih dulu memperkenalkan passkeys tanpa memasukkan password untuk mengakses akun.

Ini menunjukkan pola global: perusahaan besar bergerak menuju autentikasi yang lebih modern.

Di banyak negara, perdebatan yang muncul serupa.

Di satu sisi, ada dorongan mengurangi phishing dan kebocoran berbasis password.

Di sisi lain, ada kekhawatiran tentang titik kegagalan baru pada perangkat dan browser.

Riset SquareX menjadi contoh bahwa kritik juga datang dari ekosistem global.

Artinya, Indonesia tidak sendirian menghadapi transisi ini.

Yang membedakan adalah kesiapan literasi, kebiasaan pengguna, dan ketahanan ekosistem aplikasi.

-000-

Rekomendasi: Bagaimana Isu Ini Sebaiknya Ditanggapi

Pertama, terima perubahan sebagai proses, bukan lompatan iman.

Jika layanan menawarkan passkey, pelajari alurnya dengan tenang dan pahami opsi pemulihan akun yang tersedia.

Kedua, jangan memaknai “tanpa password” sebagai “tanpa risiko”.

Temuan SquareX mengingatkan bahwa celah bisa muncul di alur kerja, terutama di browser.

Ketiga, dorong transparansi.

Pengguna berhak tahu kapan fitur SMS dihapus, bagaimana migrasi dilakukan, dan bagaimana skenario terburuk ditangani.

Keempat, perkuat kebiasaan dasar yang tetap relevan.

Waspada terhadap tautan mencurigakan dan permintaan autentikasi yang tidak wajar tetap penting, karena banyak serangan menargetkan perilaku, bukan algoritma.

Kelima, bagi organisasi, uji implementasi.

Jika passkey diadopsi untuk layanan penting, audit alur autentikasi dan risiko di sisi browser perlu diprioritaskan.

Perubahan autentikasi adalah perubahan infrastruktur.

Ia layak diperlakukan seperti pembangunan jembatan: harus diuji, dipantau, dan dirawat.

-000-

Penutup: Identitas Digital sebagai Cermin Zaman

Perdebatan password dan passkey pada akhirnya adalah perdebatan tentang kepercayaan.

Kita ingin hidup digital yang mudah, tetapi juga ingin merasa aman tanpa harus menjadi ahli keamanan.

Microsoft memilih menutup satu pintu yang dianggap sering dipakai penipu.

Namun setiap pintu yang ditutup menuntut desain pintu baru yang lebih bijak.

Transisi ini mengajak kita lebih dewasa: memahami bahwa keamanan bukan produk, melainkan kebiasaan, desain, dan tanggung jawab bersama.

Di tengah perubahan, satu kutipan patut diingat: “Kepercayaan dibangun setetes demi setetes, tetapi bisa runtuh dalam satu kebocoran.”