Akun Anda Telah Diretas dan Mereka Menuntut Uang
Sebagian besar email pemerasan adalah tipuan yang dibangun di atas basis data kata sandi yang bocor. Cara mengetahui, apa yang harus dilakukan, dan kapan ancamannya nyata.
Sebuah email mengatakan seseorang telah berada di dalam perangkat Anda selama berbulan-bulan, merekam Anda melalui webcam, menyalin kontak dan obrolan Anda, dan akan mengirimkan semua itu kepada teman-teman Anda kecuali Anda membayar dalam cryptocurrency dalam waktu 48 jam. Kemudian Anda melihat kata sandi Anda dicetak dalam pesan tersebut, dan itu nyata, atau pernah nyata.
[[answer]]Hampir semua pesan ini adalah tipuan yang dikirim secara massal yang dibangun di atas basis data kata sandi yang bocor lama. Pengirim tidak memiliki akses ke perangkat Anda dan tidak ada rekaman. Periksa apakah kata sandi muncul dalam pelanggaran yang diketahui, ubah di mana pun, aktifkan autentikasi dua faktor atau kunci akses, simpan pesan sebagai bukti, dan jangan bayar.[[/answer]]
Pengenalan itu adalah seluruh trik: sebuah pesan yang dikirim ke ratusan ribu alamat tiba-tiba terasa pribadi. Tidak ada yang perlu dijawab dalam sepuluh menit ke depan.
Mengapa sebagian besar pesan ini adalah tipuan
Email pemerasan jenis ini adalah bisnis volume. Seseorang membeli dump alamat dan kata sandi dari pelanggaran lama dan mengirimkan satu template ke setiap alamat di dalamnya, dengan kata sandi yang disisipkan secara otomatis. Tidak ada pengawasan dan tidak ada folder tangkapan layar — hanya spreadsheet dan server email.
Tanda-tandanya konsisten. Pesan tersebut tidak pernah menyebutkan apa pun yang spesifik: tidak ada situs yang benar-benar Anda gunakan, tidak ada percakapan nyata, tidak ada nama. Itu menggambarkan apa yang seharusnya dimilikinya alih-alih menunjukkan, menuntut cryptocurrency karena pembayaran itu tidak dapat dibalik, dan menetapkan tenggat waktu yang singkat, karena orang yang ketakutan yang berpikir selama sehari berhenti merasa ketakutan. Jika tampaknya berasal dari alamat Anda sendiri, itu juga tidak membuktikan apa-apa: bidang pengirim dapat dipalsukan seperti alamat pengembalian di amplop. Mengetahui [[post:how-personal-data-is-collected-online|dari mana basis data email dan kata sandi ini berasal]] mengurangi banyak ancaman yang ada.
Bagaimana cara memeriksa apakah kata sandi benar-benar bocor
Anda tidak perlu menebak. Basis data pemberitahuan pelanggaran gratis mengindeks kredensial dari dump publik dan memungkinkan Anda mencari berdasarkan alamat email; Have I Been Pwned adalah yang paling dikenal dan berjalan sebagai proyek kepentingan publik. Jika alamat Anda muncul di samping situs yang Anda kenali, dan tahun tersebut cocok dengan saat Anda menggunakan kata sandi itu, misteri terpecahkan.
Pemeriksaan ini kuat hanya dalam satu arah, dan batasan itu penting. Sebuah hit memberi tahu Anda bahwa kata sandi telah beredar selama bertahun-tahun, yang menunjukkan sebuah tipuan. Tidak menemukan apa-apa hanya memberi tahu Anda bahwa tidak ada dump yang terindeks yang berisi alamat Anda — banyak data yang dicuri tidak pernah dipublikasikan, tidak pernah diproses, atau berada dalam perdagangan pribadi. Sumber tunggal terbesar dari login yang dicuri saat ini bukanlah situs web yang diretas sama sekali tetapi malware infostealer: perangkat lunak yang mengosongkan penyimpanan kata sandi yang disimpan dari komputer yang terinfeksi dan mengirimkannya dalam jumlah besar. Have I Been Pwned mengindeks sebagian dari materi ini secara terpisah sebagai log pencuri, dan satu batch tunggal menambahkan puluhan juta alamat unik hingga 2025 dan 2026. Jadi baca hasil kosong sebagai «belum terbukti», jangan pernah sebagai «kata sandi saya tidak pernah bocor» dan jangan pernah sebagai bukti bahwa ancaman itu pasti nyata.
Google dan Apple keduanya menempatkan pemeriksa di dalam pengelola kata sandi mereka sendiri, yang biasanya merupakan rute yang lebih cepat. Pemeriksaan Kata Sandi Google membandingkan kata sandi yang disimpan dengan kebocoran yang diketahui. Di iPhone dan iPad, yang setara ada di aplikasi Kata Sandi terpisah, di bagian Keamanannya; deteksi itu sendiri diaktifkan di Pengaturan → Aplikasi → Kata Sandi → Deteksi Kata Sandi yang Terkompromi. Keduanya menunjukkan login mana yang menggunakan kata sandi yang sama, biasanya pertanyaan yang lebih mendesak. Satu aturan: cari berdasarkan alamat email, dan jangan pernah mengetik kata sandi saat ini ke situs yang tidak dapat Anda verifikasi. Beberapa alat yang sah dibangun sehingga kata sandi tidak pernah meninggalkan perangkat Anda — pencarian kata sandi Have I Been Pwned hanya mengirimkan awalan pendek dari hash dan membandingkan sisanya secara lokal — tetapi itu adalah properti yang harus dikonfirmasi sebelum mengetik, bukan diasumsikan.
Apa yang harus dilakukan dalam satu jam pertama
[[steps]] Jangan membalas dan jangan membayar :: Setiap respons memberi tahu pengirim bahwa alamat tersebut aktif dan milik seseorang yang bereaksi, yang memindahkan Anda ke daftar yang lebih pendek dan lebih agresif. Periksa kata sandi terhadap catatan pelanggaran :: Cari tahu akun mana yang dimiliki, lalu cari alamat email Anda di indeks pelanggaran. Sebuah kecocokan menetapkan bahwa itu adalah tipuan; tidak menemukan apa-apa menetapkan jauh lebih sedikit, karena tidak setiap dump terindeks. Ubah kata sandi itu di mana pun digunakan :: Tidak hanya di situs asli. Penggunaan ulang mengubah satu pelanggaran lama menjadi sepuluh akun aktif. Aktifkan autentikasi dua faktor, atau kunci akses di mana ditawarkan :: Kode aplikasi, kunci perangkat keras, atau kunci akses adalah perbedaan antara kata sandi yang dicuri menjadi ketidaknyamanan dan pembobolan, dan kunci akses tidak meninggalkan rahasia bersama untuk kebocoran berikutnya. Tinjau sesi aktif dan aplikasi yang terhubung :: Setiap layanan besar mencantumkan perangkat dan aplikasi yang masuk. Keluar dari apa pun yang tidak dikenal. Simpan bukti dan beri tahu seseorang :: Simpan pesan dengan headernya, dan katakan dengan keras kepada satu orang yang Anda percayai — rasa malu dan isolasi adalah apa yang membuat ini berhasil. [[/steps]]
Ketika ancaman itu nyata
Sebagian kecil kasus melibatkan akses yang sebenarnya, dan kemudian satu perubahan kata sandi tidak cukup. Sinyal-sinyal di bawah ini dibaca bersama-sama, bukan satu per satu: tidak ada satu baris pun yang membuktikan apa pun dengan sendirinya.
[[compare]] Sinyal | Tipuan yang dikirim massal | Kompromi nyata | Cara memeriksanya Kata sandi yang dikutip | Lama, atau hanya digunakan di situs kecil | Saat ini, dan tidak pernah digunakan ulang | Cari alamat Anda di indeks pelanggaran: sebuah hit menunjukkan tipuan, tidak ada hit membuktikan tidak ada apa-apa Bukti yang ditawarkan | Tidak ada, atau deskripsi yang samar | Sebuah file atau pesan yang Anda kenali | Tanyakan apakah bukti itu bisa berasal dari profil publik Aktivitas akun | Riwayat login terlihat normal | Perangkat tidak dikenal, kata sandi aplikasi baru | Buka halaman keamanan atau perangkat akun Di mana ia tiba | Alamat lama, template generik | Di dalam obrolan yang Anda gunakan, atau dari akun Anda sendiri | Periksa folder Terkirim dan header pesan [[/compare]]
Aktivitas akun adalah baris yang memiliki bobot paling besar, karena itu adalah satu-satunya yang tidak dapat dipentaskan oleh pengirim. Jika seorang kontak menerima pesan yang tidak pernah Anda tulis, email pemulihan Anda berubah tanpa sepengetahuan Anda, atau Anda keluar dari layanan yang tidak pernah Anda tinggalkan, anggap itu sebagai pembobolan aktif dan ikuti langkah-langkah untuk ketika [[post:someone-signed-into-my-account|seseorang benar-benar masuk ke akun Anda]]. Kompromi perangkat yang nyata bahkan lebih jarang dan meninggalkan tanda — pengurasan baterai yang cepat, penggunaan data yang tidak dapat dijelaskan, aplikasi admin yang tidak dikenal — yang [[post:what-is-spyware-programs|bagaimana spyware benar-benar berperilaku di ponsel]].
Mengapa membayar jarang mengakhiri masalah
Orang yang membayar dicatat sebagai orang yang membayar. Pola yang dilaporkan berulang kali adalah bahwa pembayaran diikuti dalam beberapa hari oleh permintaan kedua dengan angka yang lebih besar, karena yang pertama membuktikan bahwa target dapat ditekan. Tidak ada yang mengharuskan siapa pun untuk menghapus apa pun, dan dalam sebuah tipuan tidak ada yang perlu dihapus. Bahkan dalam kasus langka di mana materi benar-benar ada, pembayaran membeli janji dari seseorang yang anonim secara desain, yang tidak memiliki cara untuk menunjukkan bahwa salinan telah dihancurkan.
Di mana melaporkannya
Melaporkan jarang membuat satu pesan diselidiki, tetapi itu memberi umpan data yang menutup dompet dan kampanye. Di Amerika Serikat, FTC menerima laporan di reportfraud.ftc.gov dan FBI menjalankan Pusat Pengaduan Kejahatan Internet, yang menerima keluhan tentang pemerasan online. Di Inggris, peran itu sekarang dipegang oleh layanan Laporkan Penipuan yang dijalankan oleh Polisi Kota London — online di reportfraud.police.uk atau melalui telepon di 0300 123 2040 — yang menggantikan Action Fraud selama musim dingin 2025–2026 dan mencakup Inggris, Wales, dan Irlandia Utara; di Skotlandia, laporkan ke Polisi Skotlandia di 101. Tandai sebagai phishing di klien email Anda juga, dan jika itu datang melalui messenger, gunakan alat laporan di dalam aplikasi — Apple mendokumentasikan cara memblokir, menyaring, dan melaporkan pesan di iPhone. Jika orang yang menjadi target berusia di bawah 18 tahun, langsung hubungi penegak hukum atau layanan penghapusan perlindungan anak.
Menjadikan yang berikutnya tidak berbahaya
Alasan kata sandi yang bocor bertahun-tahun yang lalu masih bisa menakut-nakuti Anda hari ini adalah penggunaan ulang. Setelah setiap akun memiliki kata sandi dan faktor kedua yang berbeda, pelanggaran lama menjadi trivia daripada pengungkit, dan pengelola kata sandi yang dibangun ke dalam iOS, Android, dan browser sudah cukup untuk kebanyakan orang. Di mana layanan menawarkan kunci akses, ambil: kredensial tetap di perangkat atau di pengelola kata sandi dan tidak ada yang dapat digunakan kembali disimpan di server, sehingga pelanggaran masa depan dari situs itu tidak memiliki apa pun untuk dijual. Akun Apple, Google, dan Microsoft semuanya mendukung kunci akses, dan pengelola bawaan menyinkronkannya di seluruh perangkat.
Jaga kontak pemulihan tetap terkini dan tutupi webcam laptop jika itu membuat Anda lebih tenang. Jika pemeriksaan di atas mengarah pada sebuah tipuan — kata sandi lama, tidak ada bukti spesifik, riwayat login bersih — maka tidak ada yang melihat Anda secara individu di tempat pertama, dan pesan berikutnya seperti ini akan tiba sebagai teks di layar, tidak lebih. Jika mereka mengarah ke arah yang lain, bagian tentang kompromi nyata adalah yang harus dikerjakan terlebih dahulu.
[[faq]] Email menunjukkan kata sandi saya yang sebenarnya — apakah itu berarti mereka meretas saya? :: Tidak dengan sendirinya. Kata sandi bocor dalam jumlah besar dari situs yang dilanggar dan dari malware yang mengosongkan penyimpanan kata sandi yang disimpan, kemudian dijual kembali dalam daftar, jadi mengutip satu hanya membuktikan bahwa itu telah beredar. Saya mencari email saya di indeks pelanggaran dan tidak menemukan apa-apa — apakah ancamannya nyata? :: Tidak. Indeks hanya mencakup dump yang dipublikasikan dan diproses, jadi hasil kosong berarti «belum terkonfirmasi», bukan «tidak pernah bocor». Nilai ancaman berdasarkan riwayat login dan perangkat, bukan berdasarkan tidak adanya catatan. Pesan itu berasal dari alamat saya sendiri, jadi apakah mereka berada di dalam akun saya? :: Alamat pengirim dapat dipalsukan, dan ini adalah standar dalam kampanye ini. Periksa folder Terkirim dan riwayat login: jika pesan itu tidak ada di sana dan tidak ada perangkat yang tidak dikenal terdaftar, tidak ada yang dikirim dari kotak surat Anda. Haruskah saya membayar jika saya benar-benar memiliki sesuatu yang memalukan? :: Tidak. Pembayaran menandai Anda sebagai seseorang yang membayar, dan permintaan kedua biasanya menyusul. Jika materi yang nyata ada, laporkan daripada bernegosiasi — pengirim anonim tidak dapat menunjukkan bahwa salinan telah dihapus. Apa yang harus saya lakukan jika saya sudah membalas mereka? :: Hentikan respons, ubah kata sandi pada akun yang disebutkan atau diimplikasikan, aktifkan autentikasi dua faktor atau kunci akses, dan harapkan upaya lebih lanjut. Sebuah balasan tidak memberi siapa pun akses ke apa pun. [[/faq]]
Did this answer your question?