Studi: Banyak Situs Masih Izinkan Password Lemah, Pengguna Ikut Terbiasa Ceroboh

Banyak pengguna masih kesulitan membuat kata sandi yang kuat di berbagai akun daring, bukan semata karena kelalaian pribadi, melainkan karena banyak situs web juga tidak menerapkan standar keamanan yang memadai. 

Hal ini terungkap dalam laporan terbaru NordPass yang meneliti seribu situs paling banyak dikunjungi secara global.

Dalam laporan yang dikutip dari TechRadar tersebut, ditemukan mayoritas platform masih mengizinkan kata sandi yang pendek, mudah ditebak, dan tanpa kombinasi karakter yang kuat. 

Kondisi ini membuat kebiasaan penggunaan kata sandi lemah menjadi hal yang dianggap normal.

“Internet mengajarkan kita cara masuk ke layanan online, dan selama puluhan tahun, ia mengajarkan pelajaran yang salah. Jika sebuah situs menerima ‘password123’, pengguna belajar bahwa itu sudah cukup, padahal tidak,” ujar Karolis Arbačiauskas, Head of Product NordPass.

Laporan itu juga menyoroti adanya inkonsistensi aturan keamanan antar sektor. Situs pemerintah, kesehatan, dan layanan makanan justru menjadi yang paling lemah dalam menetapkan kebijakan kata sandi, meski mengelola data berisiko tinggi. 

Banyak platform memilih mempermudah proses pendaftaran akun, bahkan yang menggunakan sistem pembuatan situs instan, alih-alih memperkuat keamanan autentikasi.

NordPass mencatat 58% situs tidak mewajibkan karakter khusus, 42% tidak memiliki batas panjang minimum, dan 11% sama sekali tidak memiliki aturan keamanan kata sandi. Hanya 1% situs yang memenuhi standar terbaik dengan mengharuskan kombinasi karakter kompleks.

Selain itu, teknologi autentikasi modern juga belum diadopsi secara merata. Meski 39% situs mendukung single sign-on, hanya sebagian kecil yang sudah menggunakan passkey, metode autentikasi yang dinilai lebih aman dibanding kata sandi tradisional.

“Keamanan seharusnya menjadi kemitraan. Situs web dapat membentuk kebiasaan pengguna dengan memberikan panduan desain yang lebih baik, seperti aturan yang jelas, indikator visual, hingga mendorong penggunaan passkey,” lanjut Arbačiauskas.

Laporan ini memperingatkan lemahnya aturan kata sandi menciptakan celah yang semakin mudah dieksploitasi, terutama dengan berkembangnya serangan otomatis berbasis kecerdasan buatan. 

Risiko tersebut tak hanya berdampak pada individu, tetapi juga perusahaan dan lembaga pemerintah ketika kata sandi yang sama dipakai berulang di berbagai sistem.

Karena lemahnya standar platform, banyak pengguna akhirnya bergantung pada pengelola kata sandi untuk menghasilkan kredensial yang lebih aman. 

“Kelalaian kata sandi tidak muncul begitu saja. Ketika situs berhenti menuntut kata sandi kuat, pengguna juga berhenti membuatnya. Ini adalah pergeseran budaya, baik di pengguna maupun pengembang internet,” kata Arbačiauskas.