Kalau Akun Google Perusahaan Kena Hack Besok Pagi, Apa Saja yang Hilang?

Di banyak bisnis, satu akun Google memegang hampir segalanya: email ke klien, Google Drive berisi kontrak, sheet operasional yang dipakai tiap hari, Google Business Profile, akun iklan, YouTube, dan login ke banyak tools lain lewat tombol "Sign in with Google". Sering kali akun itu dibuat bertahun-tahun lalu oleh pemilik atau karyawan pertama, passwordnya dibagi lewat chat, dan nggak ada yang ingat nomor pemulihannya milik siapa.

Coba bayangkan besok pagi akun itu diambil alih orang lain. Apa saja yang hilang?

Coba petakan dampaknya

Latihan ini sebaiknya benar-benar kamu lakukan: tulis semua layanan yang memakai akun itu. Biasanya daftarnya lebih panjang dari yang dikira.

Yang paling sering bikin rentan

Di bisnis kecil dan menengah, polanya sering mirip:

• Akun Gmail pribadi dipakai sebagai akun perusahaan, dan dipakai bersama oleh beberapa orang.
• Password dibagi lewat chat, dan nggak pernah diganti saat ada yang keluar.
• Belum ada verifikasi dua langkah (2-Step Verification).
• Hanya ada satu admin. Kalau orang itu nggak bisa dihubungi, nggak ada yang bisa memulihkan.
• Nomor HP atau email pemulihan milik orang yang sudah nggak bekerja di situ.

Soal akun yang nempel ke satu orang, masalahnya sama dengan yang kubahas di Satu Admin Pegang Banyak Akun Sosmed Klien, Gimana Biar Aman? dan Owner Nggak Perlu Ngerti Coding, Tapi Wajib Tahu Ini Sebelum Bayar Developer.

Pagar dasar menurut Google

Untuk perusahaan yang memakai Google Workspace, Google punya praktik keamanan untuk akun administrator. Intinya:

1. Lebih dari satu super admin, masing-masing dipegang orang yang berbeda. Kalau satu akun hilang atau dibobol, yang lain bisa mengerjakan tugas penting sambil akun itu dipulihkan.
2. Aktifkan verifikasi dua langkah untuk akun admin. Google menyebut security key sebagai bentuk verifikasi dua langkah yang paling aman dan paling tahan phishing.
3. Jangan pakai akun super admin untuk kerja sehari-hari. Pakai akun biasa, dan masuk ke akun super admin hanya untuk tugas yang memang membutuhkannya.
4. Pasang opsi pemulihan, daftarkan lebih dari satu security key, dan simpan kode cadangan di tempat yang aman.

Kalau bisnismu masih memakai Gmail pribadi, pindah ke akun yang dikelola perusahaan dengan domain sendiri adalah langkah pertama yang paling berdampak.

Fitur pemulihan bukan pengganti backup

Banyak orang mengira semua yang ada di Google aman karena "di cloud". Padahal ada batas waktunya. Di Google Drive, file di Sampah dihapus permanen setelah 30 hari. Di Workspace, admin masih bisa memulihkan file Drive yang sudah dihapus permanen dalam 25 hari setelah pengguna mengosongkan Sampah, tapi pemulihannya untuk semua file di rentang tanggal tertentu, bukan per file.

Jadi kalau penyerang menghapus data dan nggak ada yang sadar selama sebulan, datanya bisa benar-benar hilang. Simpan salinan berkala data yang penting, seperti sheet operasional dan dokumen kontrak, di tempat terpisah yang aksesnya berbeda.

Kalau sudah terlanjur terjadi

Google punya langkah untuk mengamankan akun yang dibobol. Ringkasnya:

1. Kalau nggak bisa masuk, pakai halaman pemulihan akun.
2. Periksa aktivitas keamanan dan hapus perangkat yang nggak dikenal.
3. Cek dan perbaiki info pemulihan: nomor HP, email pemulihan, dan nama akun.
4. Cabut akses aplikasi pihak ketiga yang nggak dikenal.
5. Ganti password, termasuk di layanan lain yang memakai password yang sama.
6. Aktifkan verifikasi dua langkah.
7. Di Gmail, periksa delegasi, penerusan otomatis, filter, dan label. Hapus yang bukan kamu buat. Penyerang bisa memasang penerusan diam-diam supaya tetap menerima salinan email walau password sudah diganti.

Setelah itu, beri tahu tim dan klien penting. Email penipuan dari akun yang dibobol biasanya justru dipercaya karena datang dari alamat yang mereka kenal. Modus penipuan yang memanfaatkan kepercayaan seperti ini juga kubahas di Nanya Nomor Call Center ke AI Overview, Malah Nyambung ke Penipu.

Penutup

Akun Google perusahaan itu kunci utama ke banyak pintu sekaligus. Petakan apa saja yang bergantung padanya, pastikan ada lebih dari satu admin dengan verifikasi dua langkah, dan simpan salinan data penting di tempat lain. Semuanya bisa dikerjakan dalam satu hari, dan jauh lebih murah daripada memulihkan setelah kejadian.

Kalau kamu ingin memetakan akun dan akses di bisnismu, cerita aja dulu tools apa saja yang dipakai.