Privasi email bukan tentang menjadi paranoid — ini tentang menjadi penuh pertimbangan. Alamat email Anda adalah salah satu informasi pribadi yang paling banyak dibagikan secara online, dan beberapa kebiasaan yang konsisten membuat perbedaan nyata terhadap seberapa banyak informasi Anda yang berakhir di tangan yang salah. Ini bukan panduan teknis untuk peneliti keamanan. Ini adalah saran praktis untuk siapa saja yang menggunakan email, ditulis dengan harapan setidaknya beberapa dari kebiasaan ini melekat.

Menurut statistik email Statista, miliaran email spam dikirim setiap hari — dan sebagian besar mencapai kotak masuk orang karena alamat email mereka berakhir di daftar yang tidak pernah mereka setujui. Memahami bagaimana hal itu terjadi adalah langkah pertama untuk mencegahnya. Kabar baiknya, perlindungan yang paling efektif juga merupakan yang paling sederhana untuk diterapkan.

Pahami Apa yang Anda Lindungi dan Mengapa

Alamat email Anda adalah jangkar identitas Anda di dunia online. Setiap alur "lupa kata sandi" berjalan melaluinya. Kode autentikasi dua faktor tiba di sana. Notifikasi akun, laporan keuangan, korespondensi pemerintah, catatan medis — semuanya terikat pada kotak masuk Anda. Ini bukan hal abstrak: jika seseorang memperoleh akses ke akun email utama Anda, mereka secara efektif memegang kunci ke sebagian besar kehidupan digital Anda. Mereka bisa mereset kata sandi di akun-akun Anda yang lain, mencegat kode verifikasi, dan berpura-pura menjadi Anda di hadapan orang dan institusi yang mempercayai email sebagai bukti identitas.

Kenyataan itu seharusnya memengaruhi seberapa hati-hati Anda membagikan alamat Anda. Kebanyakan orang memperlakukan alamat email mereka sebagai sesuatu yang mereka berikan dengan bebas — setiap formulir pendaftaran, setiap buletin, setiap keikutsertaan kontes. Tetapi setiap kali Anda membagikannya, Anda menambahkan satu entri lagi ke satu basis data lagi, dan setiap basis data itu adalah target pembobolan potensial. Semakin banyak tempat email Anda berada, semakin banyak peluang bagi email itu untuk berakhir di suatu tempat yang tidak Anda inginkan.

Electronic Frontier Foundation telah menyampaikan hal ini selama bertahun-tahun: email Anda adalah tulang punggung identitas digital Anda. Memperlakukannya dengan kehati-hatian yang sama seperti yang Anda berikan pada nomor telepon atau alamat rumah bukanlah berlebihan — itu proporsional dengan seberapa besar kerusakan yang dapat ditimbulkan oleh sebuah pembobolan.

Gunakan Alamat Email Berbeda untuk Tujuan Berbeda

Kebiasaan tunggal yang paling berdampak yang bisa Anda adopsi adalah segmentasi email — menggunakan alamat berbeda untuk kategori aktivitas yang berbeda. Anggap saja ini sebagai kompartementalisasi untuk kehidupan digital Anda. Jika satu kompartemen dibobol, yang lain tetap aman. Berikut pendekatan tiga tingkat yang praktis dan bekerja dengan baik untuk kebanyakan orang:

Tingkat 1 — Email utama: Ini untuk perbankan, layanan pemerintah, layanan kesehatan, pemesanan perjalanan, tempat kerja Anda, dan apa pun yang mengirim komunikasi yang benar-benar penting. Alamat ini sebaiknya dibagikan ke sesedikit mungkin layanan. Ini adalah alamat yang terhubung ke akun-akun Anda yang paling sensitif, dan melindunginya berarti menjaganya keluar dari sebanyak mungkin basis data yang Anda bisa.

Tingkat 2 — Email sekunder: Ini untuk belanja rutin, langganan aplikasi, media sosial, layanan yang Anda gunakan setiap minggu. Ini tetap alamat asli milik Anda, tetapi terpisah dari Tingkat 1. Jika alamat ini muncul dalam pembobolan — yang kemungkinan besar terjadi seiring waktu, mengingat betapa banyak layanan yang akan Anda bagi dengannya — kerusakannya tidak merembet ke akun perbankan dan pemerintah Anda. Anda mengganti alamat sekunder itu dan melanjutkan hidup. Alamat utama Anda tetap tak tersentuh.

Tingkat 3 — Email sementara: Ini untuk pendaftaran sekali pakai, uji coba gratis, mengunduh konten yang terkunci, pengujian pengembang, dan apa pun yang tidak memerlukan komunikasi berkelanjutan. Untuk apa pun di tingkat ini, sebuah email sementara hanya butuh lima detik dan menjaga alamat utama Anda benar-benar keluar dari persamaan. Alamat itu ada selama satu jam, menangani apa pun yang Anda butuhkan, lalu menghilang. Tidak ada email tindak lanjut, tidak ada kampanye pemasaran, tidak ada data yang bisa dibobol.

Aktifkan Autentikasi Dua Faktor pada Akun Email Anda

Ini adalah tindakan keamanan tunggal yang paling berdampak yang bisa Anda lakukan. Autentikasi dua faktor berarti bahwa meskipun seseorang memperoleh kata sandi Anda — melalui pembobolan data, phishing, atau brute force — mereka tetap tidak dapat mengakses akun Anda tanpa faktor kedua. Ini mengubah email Anda dari satu titik kegagalan menjadi sesuatu yang jauh lebih sulit untuk dibobol.

Gunakan aplikasi autentikator daripada SMS jika memungkinkan. SIM swapping — di mana penyerang meyakinkan operator seluler Anda untuk mentransfer nomor telepon Anda ke kartu SIM mereka — adalah vektor serangan yang nyata dan terdokumentasi. Aplikasi autentikator seperti Google Authenticator, Authy, atau Microsoft Authenticator menghasilkan kode secara lokal di perangkat Anda dan tidak rentan terhadap SIM swapping. Jika penyedia email Anda mendukung kunci keamanan perangkat keras, itu bahkan lebih baik.

Alasan mengapa hal ini secara khusus penting untuk email — lebih dari hampir semua akun lain — adalah karena email adalah mekanisme pemulihan untuk segala hal lainnya. Jika seseorang membobol akun media sosial Anda, Anda memulihkannya melalui email. Jika seseorang masuk ke akun belanja Anda, reset kata sandi menuju email. Akun email Anda adalah kunci induknya. Melindunginya dengan autentikasi dua faktor bukanlah opsional jika Anda peduli dengan keamanan sama sekali.

Gunakan Kata Sandi yang Kuat dan Unik

Jangan pernah menggunakan ulang kata sandi email Anda di mana pun. Ini adalah nasihat keamanan yang paling sering diulang, dan diulang karena orang terus mengabaikannya. Jika kata sandi yang sama muncul di layanan lain mana pun yang dibobol, penyerang akan langsung mencobanya pada akun email Anda. Ini disebut credential stuffing, dan merupakan salah satu metode serangan paling umum yang digunakan saat ini. Alat otomatis mencoba pasangan nama pengguna–kata sandi yang telah dibobol terhadap ribuan layanan dalam hitungan jam setelah sebuah pembobolan menjadi publik.

Have I Been Pwned — dibuat oleh peneliti keamanan Troy Hunt — melacak miliaran kredensial yang telah dibobol. Skalanya mencengangkan: alamat email kebanyakan orang muncul dalam beberapa pembobolan. Jika kata sandi email Anda sama dengan kata sandi Anda di salah satu layanan yang dibobol itu, akun email Anda berada dalam risiko langsung.

Gunakan pengelola kata sandi. Kata sandi email Anda seharusnya menjadi kata sandi terpanjang dan paling acak yang Anda miliki — sesuatu yang mustahil Anda hafal, dihasilkan oleh pengelola kata sandi dan disimpan dengan aman. Anda hanya perlu mengingat satu kata sandi: yang membuka pengelola kata sandi Anda. Selebihnya harus unik dan acak.

Periksa Paparan Pembobolan Anda Secara Berkala

Have I Been Pwned memungkinkan Anda memeriksa apakah alamat email Anda telah muncul dalam pembobolan data yang diketahui. Layanan ini gratis, tepercaya, dan hanya butuh sekitar sepuluh detik. Anda memasukkan alamat email Anda, dan ia memberi tahu Anda dalam pembobolan mana saja alamat itu muncul, data apa yang terekspos, dan kapan pembobolan itu terjadi.

Yang lebih penting, Anda bisa menyiapkan pemantauan pembobolan gratis. Masukkan alamat email Anda sekali, verifikasi, dan layanan itu akan memberi tahu Anda secara otomatis jika alamat Anda muncul dalam pembobolan di masa mendatang. Ini benar-benar berharga — banyak orang tidak mengetahui pembobolan sampai berbulan-bulan atau bertahun-tahun setelah terjadi, dan pada saat itu kerusakan sudah terjadi. Pemberitahuan dini memberi Anda jendela waktu untuk mengganti kata sandi dan mengamankan akun sebelum penyerang dapat mengeksploitasi pembobolan itu.

Ketika Anda menemukan email Anda dalam sebuah pembobolan, tanggapannya sederhana: segera ganti kata sandi Anda di layanan yang dibobol, dan jika Anda menggunakan kata sandi yang sama di tempat lain (yang seharusnya tidak, tapi mari realistis), ganti di semua tempat. Aktifkan autentikasi dua faktor jika Anda belum melakukannya. Periksa akun Anda dari aktivitas yang tidak sah. Dan pertimbangkan apakah Anda masih memerlukan akun di layanan itu sama sekali.

Audit Aplikasi Mana yang Memiliki Akses OAuth ke Email Anda

"Masuk dengan Google" dan alur OAuth serupa memang praktis, tetapi mereka memberikan aplikasi tingkat akses yang bervariasi ke akun Anda. Beberapa aplikasi hanya mendapatkan nama dan alamat email Anda, yang mana tidak masalah. Yang lain meminta izin untuk membaca email Anda, mengakses kontak Anda, atau mengelola kalender Anda — jauh lebih banyak izin daripada yang mereka butuhkan untuk layanan apa pun yang mereka sediakan. Anda mengklik "Izinkan" dengan cepat selama proses pendaftaran, dan kini aplikasi pihak ketiga memiliki akses ke kotak masuk Anda.

Tinjau aplikasi terhubung Anda secara berkala. Untuk akun Google: buka myaccount.google.com, lalu Keamanan, lalu "Aplikasi pihak ketiga dengan akses akun". Anda mungkin akan menemukan aplikasi yang sudah Anda lupakan, aplikasi dari layanan yang tidak lagi Anda gunakan, dan mungkin aplikasi yang sama sekali tidak Anda kenali. Cabut akses untuk apa pun yang termasuk dalam kategori tersebut. Ini butuh lima menit dan layak dilakukan setiap beberapa bulan.

Prinsipnya di sini sederhana: minimalkan jumlah layanan yang dapat mengakses email Anda. Setiap aplikasi dengan akses adalah permukaan serangan tambahan. Jika aplikasi itu dibobol, data email Anda bisa terekspos meskipun akun email Anda sendiri tidak dibobol.

Berhenti Langganan dengan Benar — Jangan Sekadar Menyaring

Menyaring email yang tidak diinginkan menyembunyikan masalah sementara daftar milis terus bertambah. Alamat email Anda tetap ada di daftar perusahaan itu, terus dibagikan, dijual, atau terekspos dalam pembobolan. Berhenti langganan benar-benar menghapus Anda dari daftar. Gunakan tautan berhenti langganan di bagian bawah email pemasaran — pengirim yang sah secara hukum diwajibkan untuk menghormati permintaan berhenti langganan dalam sepuluh hari di sebagian besar yurisdiksi. Ini adalah persyaratan FTC di Amerika Serikat dan diwajibkan secara serupa berdasarkan GDPR di Uni Eropa.

Untuk spam dari pengirim yang tidak pernah Anda langgani sejak awal, gunakan tombol "laporkan spam" penyedia email Anda alih-alih sekadar menghapus pesannya. Melaporkan membantu penyedia email Anda meningkatkan penyaringan spam untuk semua orang dan dapat memicu tindakan terhadap pengirim. Sekadar menghapus spam tidak berbuat apa-apa untuk mencegah pesan di masa depan.

Kebiasaan Email Sementara

Sebelum mendaftar untuk apa pun, tanyakan pada diri sendiri satu pertanyaan: "Apakah saya benar-benar perlu ini masuk ke kotak masuk asli saya?" Jika jawabannya tidak — dan untuk pendaftaran dalam jumlah yang mengejutkan, jawabannya memang tidak — gunakan alamat sementara saja. Uji coba untuk layanan yang sedang Anda evaluasi, unduhan sekali pakai, pendaftaran webinar, formulir yang mengharuskan email hanya untuk mengakses konten, pengujian pengembang dengan akun-akun baru — tak satu pun dari ini memerlukan alamat email asli Anda.

Kebiasaannya sederhana: buka kotak masuk temp mail, salin alamatnya, gunakan untuk apa pun yang Anda butuhkan, lalu tutup tabnya. Kotak masuk dan semua isinya menghilang secara otomatis setelah satu jam. Tidak ada bersih-bersih, tidak ada berhenti langganan, tidak ada entri baru di folder spam Anda. Alamat asli Anda tidak pernah terlibat, jadi tidak ada yang perlu dikelola nanti.

Kebiasaan ini saja, jika diterapkan secara konsisten, secara signifikan mengurangi berapa banyak tempat alamat email asli Anda berada. Semakin sedikit entri di semakin sedikit basis data berarti semakin sedikit peluang pembobolan. Ini adalah salah satu praktik kebersihan kotak masuk yang paling sederhana dan paling efektif yang tersedia, dan tidak memakan biaya apa pun — bukan uang, bukan waktu, bukan kenyamanan. Lima detik penyiapan menghemat potensi bertahun-tahun spam.

Pertimbangkan Penerusan Email dengan Cermat

Meneruskan semua email Anda ke layanan pihak ketiga berarti email Anda melewati server mereka. Untuk sebagian besar pengguna sehari-hari, ini tidak masalah — kenyamanannya melebihi risiko teoretisnya. Tetapi sadarilah apa yang Anda arahkan melalui layanan penerusan itu. Email reset kata sandi, kode autentikasi dua faktor, notifikasi keuangan, pesan rahasia dari atasan atau pengacara Anda — semua ini melintasi infrastruktur penyedia penerusan.

Jika Anda menggunakan penerusan email, pahami akses apa yang Anda berikan. Baca kebijakan privasi layanan penerusan itu. Periksa apakah mereka mengenkripsi email saat transit dan saat disimpan. Dan pertimbangkan apakah email-email paling sensitif dalam hidup Anda benar-benar perlu melewati pihak ketiga tambahan. Bagi banyak orang, pengiriman langsung adalah pilihan yang lebih sederhana dan lebih aman untuk email utama mereka.

Penyedia Email yang Berfokus pada Privasi

ProtonMail menawarkan email terenkripsi ujung ke ujung, yang berarti bahkan penyedia email itu sendiri tidak dapat membaca pesan Anda. Untuk komunikasi sehari-hari — mengonfirmasi rencana makan malam, menerima notifikasi pengiriman, mengobrol dengan teman — penyedia email Anda saat ini mungkin sudah cukup. Tetapi untuk komunikasi yang sensitif — korespondensi hukum, diskusi keuangan, informasi medis, apa pun yang benar-benar ingin Anda rahasiakan — penyedia email terenkripsi layak dipertimbangkan dengan serius.

GDPR juga memberikan penduduk UE hak-hak spesifik terkait data pribadi mereka, termasuk hak untuk meminta penghapusan alamat email dan data terkait dari layanan mana pun yang menyimpannya. Memahami hak-hak Anda berdasarkan undang-undang privasi yang berlaku juga merupakan bagian dari privasi email — mengetahui apa yang dapat Anda minta untuk dihapus perusahaan, dan benar-benar memintanya, adalah bentuk perlindungan yang berarti.

Menyatukan Semuanya

Tak satu pun dari praktik ini memerlukan keahlian teknis. Aktifkan autentikasi dua faktor — itu peningkatan tunggal terbesar. Gunakan pengelola kata sandi dengan kata sandi yang unik dan panjang untuk email Anda. Periksa paparan pembobolan Anda di Have I Been Pwned dan siapkan pemantauan. Audit aplikasi terhubung Anda. Berhenti langganan dari daftar yang tidak Anda baca. Dan gunakan alamat email sementara untuk apa pun yang tidak perlu masuk ke kotak masuk asli Anda.

Electronic Frontier Foundation memandang privasi sebagai hak fundamental, bukan kemewahan. Pandangan itu penting karena mengingatkan kita bahwa mengambil langkah untuk melindungi informasi pribadi kita bukanlah paranoia — melainkan tanggapan yang masuk akal dan proporsional terhadap cara kerja internet yang sebenarnya saat ini. Alamat email Anda tidak harus ada di mana-mana. Dengan beberapa kebiasaan yang konsisten, alamat itu tidak perlu berada di tempat mana pun yang tidak benar-benar membutuhkannya.