Pengerasan identitas digital: sebuah daftar periksa rumah tangga

Lindungi akun-akun yang dapat mengatur ulang semua yang lain

Identitas digital bukan satu akun. Itu adalah rantai yang menghubungkan email utama Anda, nomor telepon, kode buka-kunci perangkat, akun finansial, penyimpanan cloud, portal kesehatan, catatan pajak, dan metode pemulihan-akun. Seorang penyerang yang mengambil alih alamat email utama mungkin dapat mengatur ulang beberapa akun lain tanpa mengalahkan kata sandinya. AI dapat membuat phishing dan peniruan lebih cepat dan lebih rapi, tetapi pertahanan yang paling berguna tetap kontrol keamanan biasa: kredensial unik, masuk yang tahan-phishing, pemulihan yang aman, pembaruan, dan kebiasaan verifikasi yang dilatih. CISA mengelompokkan kata sandi yang kuat, autentikasi multifaktor, pengenalan phishing, dan pembaruan perangkat lunak sebagai tindakan konsumen intinya.

Mulai dengan akun-akun yang mengendalikan pemulihan: email utama, akun platform, operator seluler, pengelola kata sandi, dan akun finansial. Kemudian cakup layanan bernilai-lebih-rendah. Urutan ini mengurangi kemungkinan bahwa pemulihan yang lemah mengalahkan perlindungan yang lebih kuat di tempat lain.

Gunakan pengelola kata sandi, lalu hapus penggunaan-ulang

Gunakan sebuah pengelola kata sandi yang bereputasi untuk menghasilkan dan menyimpan kata sandi yang berbeda untuk setiap akun. Tujuan praktisnya bukan menghafal puluhan string kompleks; itu adalah membuat satu pembobolan tidak berguna terhadap setiap layanan lainnya. Lindungi pengelola itu dengan sebuah kata sandi-master yang panjang dan unik serta opsi multifaktor terkuat yang tersedia. Jangan menempatkan kata sandi-master dalam sebuah catatan yang tidak terenkripsi di samping kode pemulihan.

Ubah akun berkonsekuensi-tertinggi terlebih dahulu, lalu perbarui kata sandi yang digunakan ulang saat Anda menemukannya. Jika sebuah layanan melaporkan sebuah pembobolan, ubah kredensial melalui aplikasi atau alamat yang diketik yang dikenal alih-alih tautan pesan-peringatan. Untuk akses bersama, lebih suka login layanan terpisah atau fitur berbagi-keluarga pengelola kata sandi daripada mengirim kata sandi melalui teks.

Lebih suka passkey atau kunci keamanan, dengan pemulihan yang direncanakan

Passkey dan kunci keamanan FIDO/WebAuthn dirancang sehingga kredensial itu terikat pada situs yang sah. Passkey yang dikonfigurasi dengan benar tahan-phishing karena sebuah domain palsu tidak dapat menangkap sebuah rahasia yang dapat digunakan ulang untuk yang asli; NIST menjelaskan pengikatan-nama-verifier itu dan juga menjelaskan trade-off passkey yang disinkronkan. Ini menjadikannya pilihan yang kuat untuk email, pengelola kata sandi, akun cloud, dan layanan finansial ketika ditawarkan.

“Passkey” tidak selalu berarti sebuah kunci perangkat-keras terpisah. Sebuah passkey mungkin disimpan pada satu perangkat, disinkronkan melalui sebuah akun platform, atau disimpan pada sebuah kunci keamanan fisik. Passkey yang disinkronkan meningkatkan kegunaan dan pemulihan di seluruh perangkat, tetapi akun platform dan proses pemulihannya kemudian menjadi bagian dari batas keamanan. Sebuah kunci perangkat-keras dapat mengurangi ketergantungan pada akun sinkronisasi itu, tetapi satu kunci dapat hilang atau rusak. Untuk sebuah akun bernilai-tinggi, daftarkan setidaknya dua autentikator jika layanan mengizinkannya: simpan satu yang tersedia dan sebuah cadangan di lokasi yang aman dan terpisah.

Jangan menghapus sebuah metode masuk yang ada sampai Anda menguji metode baru dalam sebuah sesi terpisah dan meninjau pemulihan. Simpan kode pemulihan sekali-pakai secara offline di lokasi yang terkunci. Periksa apakah menambahkan sebuah autentikator baru menghasilkan sebuah peringatan, apakah sesi lama dapat dicabut, dan nomor telepon atau alamat email mana yang dapat mengatur ulang akun. Panduan autentikator NIST saat ini memperlakukan pemulihan sebagai peristiwa siklus-hidupnya sendiri, bukan sebuah renungan-belakangan.

Jika passkey tidak tersedia, gunakan MFA terkuat yang didukung layanan itu. Sebuah aplikasi autentikator atau token perangkat-keras umumnya menghindari beberapa kelemahan SMS. SMS biasanya masih lebih baik daripada kata sandi saja, tetapi itu tidak tahan-phishing dan bergantung pada keamanan akun telepon. Tambahkan sebuah PIN akun operator, aktifkan kunci port-out atau pertukaran-SIM yang tersedia, dan jangan pernah membacakan sebuah kode sekali-pakai kepada seorang penelepon yang tidak diminta. Seorang agen dukungan sungguhan seharusnya tidak memerlukan kode yang mengotorisasi sebuah login.

Perkeras pemulihan dan perangkat

Tinjau pengaturan pemulihan-akun dua kali setahun dan setelah perubahan nomor telepon, email, hubungan, atau rumah tangga. Hapus alamat kerja lama, nomor lama, perangkat yang tidak dikenal, kata sandi aplikasi yang basi, dan orang yang seharusnya tidak lagi memiliki akses pemulihan. Gunakan kontak pemulihan hanya jika orang itu memahami tanggung jawab itu dan dapat melindungi akun mereka sendiri.

Aktifkan pembaruan otomatis untuk telepon, komputer, browser, pengelola kata sandi, dan perangkat lunak keamanan. Gunakan sebuah kode-sandi perangkat yang bukan hari ulang tahun atau angka berulang, aktifkan enkripsi perangkat-penuh jika tersedia, dan konfigurasikan perangkat untuk mengunci dengan cepat. Sembunyikan pratinjau pesan pada layar kunci jika itu mengungkapkan kode login atau informasi pribadi. Cadangkan data penting menggunakan sebuah metode yang teruji, tetapi ingat bahwa sebuah cadangan cloud dapat diakses melalui akun cloud-nya; amankan akun itu sesuai dengan itu. Untuk konfigurasi router, segmentasi jaringan, dan pengerasan perangkat-terhubung yang berada di belakang akun-akun ini, lihat Keamanan Jaringan dan Perangkat Rumah.

Kurangi eksposur identitas tanpa mengejar ketidaktampakan

Pengaturan media-sosial pribadi mengurangi eksposur biasa tetapi tidak membuat sebuah posting pribadi selamanya. Hapus tanggal lahir publik, alamat rumah, lokasi rutin, sekolah, tanggal perjalanan, nama kerabat, dan nomor telepon ketika mereka tidak perlu publik. Tanyakan kepada kerabat sebelum menandai anak-anak atau mempublikasikan rekaman suara dan wajah yang jelas. Tujuannya adalah membuat sebuah dalih yang meyakinkan lebih sulit dirakit, bukan menjanjikan bahwa kloning menjadi tidak mungkin.

Situs pencarian-orang mengumpulkan data dari catatan publik, media sosial, dan broker lainnya. FTC menjelaskan cara menemukan proses opt-out sebuah situs, tetapi opt-out itu tidak lengkap dan mungkin perlu diulang. Gunakan sebuah alamat email khusus untuk permintaan penghapusan, sediakan hanya data verifikasi yang benar-benar diperlukan, dan simpan daftar bertanggal dari permintaan yang selesai. Jangan mengunggah dokumen identitas secara sembarangan ke sebuah layanan “penghapusan” yang tidak dikenal.

Bekukan kredit jika sesuai

Sebuah pembekuan kredit membatasi akses ke sebuah berkas kredit dan dapat membuatnya lebih sulit membuka kredit baru atas nama orang itu. Itu tidak menghentikan pengambilalihan akun yang sudah ada, penyalahgunaan saldo bank, penipuan pajak, pencurian identitas medis, atau setiap bentuk penipuan identitas. Di Amerika Serikat, pembekuan gratis, harus ditempatkan dengan setiap biro kredit nasional secara terpisah, dan dapat dicabut ketika kredit yang sah diperlukan. Lindungi akun biro dan kredensial pengelolaan-pembekuan.

Orang tua dan wali dapat meminta sebuah pembekuan untuk seorang anak di bawah umur. Seorang anak umumnya seharusnya belum memiliki sebuah berkas kredit; IdentityTheft.gov menyediakan proses spesifik-biro untuk memeriksa dan membekukan berkas seorang anak. Simpan catatan yang dihasilkan dengan aman karena mereka mengandung informasi identifikasi.

Pemantauan kredit dapat memperingatkan Anda setelah sebuah berkas berubah; itu tidak mencegah perubahan itu. Tinjau juga peringatan bank dan kartu, dan peroleh laporan kredit melalui AnnualCreditReport.com, sumber yang diotorisasi secara federal, alih-alih sebuah situs serupa yang dicapai melalui sebuah iklan.

Berikan rumah tangga sebuah aturan transaksi

Teknologi tidak dapat menentukan apakah sebuah permintaan yang terlihat nyata itu sah. Tetapkan sebuah aturan bahwa tidak ada permintaan tak terduga untuk uang, kredensial, kode pemulihan, akses komputer jarak-jauh, atau kerahasiaan yang ditindaklanjuti dalam percakapan yang sama. Akhiri kontak dan verifikasi melalui sebuah nomor, aplikasi, atau jalur langsung yang sudah diketahui sah. Sebuah frasa verifikasi keluarga dapat membantu, tetapi jangan gunakan sebuah fakta yang terlihat online, dan jangan memperlakukan frasa itu sebagai otorisasi untuk mentransfer uang. Panggilan balik dan tinjauan orang kedua memberikan konfirmasi yang lebih kuat.

Ajarkan protokol itu kepada semua orang yang diotorisasi pada sebuah akun. Untuk transfer besar, tanyakan kepada bank tentang peringatan, batas, atau persetujuan kedua.

Jika pencurian atau pengambilalihan identitas terjadi

Bertindaklah dari sebuah perangkat yang punya alasan Anda percayai. Hubungi institusi yang terpengaruh melalui sebuah pernyataan, kartu, atau situs web resmi; ubah kredensial yang terekspos; cabut sesi yang tidak dikenal; dan simpan pesan, detail transaksi, dan stempel waktu. Jika informasi identitas disalahgunakan, IdentityTheft.gov membuat sebuah rencana pemulihan yang disesuaikan dan Laporan Pencurian Identitas FTC. Laporkan kejahatan yang diaktifkan-siber ke Pusat Pengaduan Kejahatan Internet FBI ketika sesuai, tetapi ketikkan alamat itu secara langsung karena FBI telah memperingatkan tentang situs IC3 palsu.

Jangan membayar seorang “agen pemulihan” yang menjanjikan untuk mengambil kembali uang yang dicuri untuk sebuah biaya di muka. Pemulihan bergantung pada metode pembayaran dan kecepatan pelaporan. Hubungi bank, penerbit kartu, layanan transfer, atau penerbit kartu-hadiah segera dan tanyakan apakah itu dapat menghentikan atau membalikkan transaksi; FTC mendaftar kontak pertama yang benar untuk setiap jenis pembayaran.

Sebuah akhir pekan pertama yang dapat dikerjakan

1. Amankan email utama dan pengelola kata sandi dengan kredensial unik dan MFA tahan-phishing.
2. Daftarkan dan uji sebuah autentikator cadangan; cetak atau catat kode pemulihan dengan aman.
3. Kunci akun operator-seluler dan tinjau alamat, nomor, sesi, dan perangkat pemulihan-akun.
4. Aktifkan pembaruan otomatis dan enkripsi perangkat pada setiap perangkat rumah tangga yang didukung.
5. Bekukan kredit untuk anggota rumah tangga yang tidak memerlukan akses kredit-baru yang sering.
6. Sepakati bahwa permintaan uang atau kredensial yang tidak biasa selalu memerlukan panggilan balik independen dan tinjauan kedua.

Tidak ada daftar periksa yang membuat pencurian identitas tidak mungkin. Hasil yang realistis adalah menghapus titik masuk yang umum, membendung kompromi, dan membuat pemulihan lebih cepat.