Kata laluan 2026: 7 bilion passkey, 300 akaun setiap orang, dan sebab OTP SMS tidak lagi menahan

Pada 18 Oktober 2026, MyCERT mengeluarkan advisori MA-1482.102026 tentang kempen aktif trojan perbankan Android LongKong yang menyasarkan pengguna Malaysia. Aplikasi umpan tersebar melalui iklan Facebook dan pautan WhatsApp, menyamar sebagai tawaran kerja sambilan, bungkusan COD, perkhidmatan penghantaran, pinjaman, dompet elektronik dan pembaca PDF. Empat peringkat serangan disenaraikan, dan tiga yang pertama selesai dalam masa kurang lima minit.

Tiga hari sebelum itu, pada 15 Oktober 2026, FIDO Alliance mengumumkan anggaran 7 bilion passkey sedang digunakan di seluruh dunia, dengan lebih satu pertiga daripada log masuk berjaya kini menggunakan passkey. Pada 13 Oktober 2026, laporan Dashlane Passkey Power 20 memberi angka pembanding: purata seorang pengguna menguruskan lebih 300 kata laluan, dan di domain dengan kadar passkey tertinggi, Google, hanya 28% log masuk menggunakan passkey.

Dua set angka itu tidak bercanggah. Passkey sedang berkembang, tetapi kata laluan masih memegang majoriti besar log masuk. Pada masa yang sama, serangan di Malaysia sudah beralih: penyerang tidak lagi perlu meneka kata laluan jika dia boleh mengawal telefon yang menyimpannya.

Tiga tarikh Oktober yang menerangkan keadaan sekarang

Indeks Passkey FIDO pada 15 Oktober 2026 mengumpul data daripada 15 perkhidmatan pengguna besar, termasuk Amazon, Google, Microsoft, PayPal, Shopify, TikTok dan WhatsApp. Antara penemuan yang paling praktikal: log masuk passkey berjaya lebih kerap daripada kata laluan dan pengesahan dua langkah tradisional, dan hampir tiga kali lebih pantas. Setiap peserta yang mengukur phishing melaporkan serangan berjaya yang berkurang selepas passkey digunakan, dan setiap peserta yang berkongsi data kos melaporkan kos OTP SMS yang lebih rendah.

Laporan Dashlane pada 13 Oktober 2026 meletakkan angka pertumbuhan yang lebih jelas. Pengesahan passkey oleh pengguna Dashlane meningkat kepada 2.5 juta sebulan, daripada 1.3 juta pada 2025 dan 200,000 pada 2024. Seramai 57% pengguna menyimpan sekurang-kurangnya satu passkey. Tetapi tiada satu pun daripada sepuluh domain teratas dalam senarai itu mewajibkan passkey, dan LINE Yahoo baru merancang untuk menamatkan log masuk kata laluan sahaja bagi Yahoo Japan ID menjelang musim bunga 2027.

MyCERT memberi gambaran yang berlawanan arah. Dalam advisori 18 Oktober 2026, ia menyatakan bahawa pengesahan transaksi perbankan di Malaysia kini terikat pada peranti: kelulusan dalam aplikasi dan PIN enam digit pada telefon berdaftar, selepas OTP SMS dan TAC ditarik. Trojan LongKong dibina tepat untuk model itu.

Kenapa OTP SMS bukan lagi lapisan kedua di Malaysia

Urutan serangan dalam MA-1482.102026 patut dibaca perlahan. Peringkat pertama ialah umpan: iklan Facebook atau pautan WhatsApp yang menawarkan kerja sambilan, bungkusan COD murah, pinjaman atau pembaca PDF, dengan pautan ke pelayan penyerang dan bukan ke Google Play. Peringkat kedua ialah pemasangan: pengguna membenarkan pemasangan daripada sumber tidak diketahui, dan aplikasi menyamar sebagai komponen sistem seperti com.huawei.appmarket atau com.vivo.appstore.

Peringkat ketiga ialah kebenaran. Aplikasi meminta perkhidmatan Accessibility dihidupkan dengan alasan mengesahkan peranti atau menyiapkan pemasangan. Satu kebenaran itu cukup untuk membaca skrin, menekan butang dan memberi semula kebenaran lain secara automatik. Peringkat keempat ialah trojan akses jauh: apabila aplikasi bank dibuka, skrin log masuk palsu dilukis di atasnya, menangkap nama pengguna, kata laluan dan PIN transaksi enam digit, sambil memintas OTP SMS. Pemindahan dimulakan di latar belakang dan diluluskan pada peranti mangsa sendiri, iaitu kelulusan terikat peranti yang tidak dapat dibezakan oleh bank daripada kelulusan sebenar.

MyCERT menyenaraikan sembilan nama aplikasi umpan yang diperhatikan antara Julai dan September 2026, termasuk MaxTagCOD, Delivery4U, Service4U, DanaFinancial, PDF Reader, GetApp Updater, Providence Lending, mParivahan dan RT0-eChallan. Penyerang membina semula aplikasi dengan nama baharu dari semasa ke semasa, jadi padanan nama cepat luput. Duit dipindahkan melalui akaun mule berlapis menggunakan DuitNow dan saluran pindahan segera dalam beberapa minit, dan komunikasi antara aplikasi dengan pelayan penyerang menggunakan HTTP biasa tanpa penyulitan.

Satu kebenaran yang membuka seluruh telefon

Serangan ini bergantung pada dua syarat yang kedua-duanya berada di tangan pengguna: pemasangan dari luar gedung aplikasi, dan kebenaran Accessibility. Pada Android, tiga tempat menyemaknya. Pertama, Tetapan > Kebolehcapaian > Aplikasi terpasang, untuk melihat apl mana yang memegang kebenaran itu. Kedua, Tetapan > Apl > Akses khas > Pentadbir peranti, untuk melihat apl yang boleh mengawal peranti. Ketiga, Tetapan > Keselamatan, untuk memastikan pilihan pemasangan daripada sumber tidak diketahui dimatikan selepas digunakan. Semakan ini mengambil masa kira-kira lima minit.

Ada satu perangkap dalam semakan itu: telefon membenarkan lebih daripada satu perkhidmatan Accessibility, dan pengguna sering terlupa apa yang dihidupkan enam bulan lalu. Apl pembaca skrin, alat autofill dan alat automasi meminta kebenaran yang sama seperti trojan. Kerana itu advisori menasihatkan padanan berdasarkan tingkah laku dan bukan nama: pemasangan bukan dari Play Store, ditambah kebenaran Accessibility, ditambah sambungan ke pelayan luar, ialah gabungan yang patut disyaki walaupun namanya kelihatan biasa.

Apa yang piawaian minta sekarang: NIST 800-63B-4

Semakan keempat NIST Special Publication 800-63B mengubah beberapa nasihat lama. Kata laluan yang digunakan sebagai satu-satunya faktor mesti sekurang-kurangnya 15 aksara. Sistem tidak patut memaksa campuran huruf besar, nombor dan simbol. Sistem tidak patut meminta kata laluan ditukar secara berkala. Sistem mesti menyemak kata laluan terhadap senarai kata laluan yang sudah bocor, dan mesti membenarkan fungsi tampal supaya pengurus kata laluan boleh digunakan.

Akibat praktikalnya mudah: panjang mengalahkan simbol. Frasa laluan 15 aksara seperti gabungan tiga perkataan yang tidak berkaitan lebih mudah diingat dan lebih sukar diteka daripada lapan aksara dengan simbol. Menukar kata laluan setiap 90 hari tanpa sebab hanya menghasilkan variasi kecil pada kata laluan yang sama, iaitu corak yang penyerang sudah jangkakan. Tetapi ada satu batas yang perlu disebut: 800-63B-4 ialah garis panduan untuk sistem persekutuan Amerika Syarikat, bukan undang-undang Malaysia. Banyak sistem mengikutinya, tetapi tiada kewajipan tempatan yang memaksa 15 aksara.

Bila passkey berbaloi diambil, dan bila belum

Data Corbado untuk Oktober 2026 menunjukkan passkey sudah tersedia pada hampir semua pelayar di Windows: WebAuthn tersedia kepada 100% pengguna, 90% peranti bersedia untuk passkey melalui Windows Hello, dan 76% passkey yang dicipta disegerakkan antara peranti. Pecahan pelayar berbeza: Edge bersedia pada 92% dengan 69% disegerakkan, Chrome pada 89% dengan 79% disegerakkan. Jurang 10% itu bukan masalah teknologi, tetapi Windows Hello yang belum disediakan pada peranti berkenaan.

Kalau awak ingin mencuba, tiga akaun sudah cukup untuk menilai sama ada passkey sesuai: akaun Google, akaun Microsoft dan WhatsApp, yang ketiga-tiganya berada dalam Indeks Passkey 2026. Perkara yang patut dielakkan ialah memadam semua kaedah lain selepas menambah satu passkey. Indeks FIDO menyebut bahawa membenarkan hanya satu passkey bagi setiap akaun ialah kesilapan biasa, kerana telefon yang hilang atau rosak akan menutup akaun itu bersama-sama passkey di dalamnya.

Semakan 30 minit: empat akaun dahulu

Kalau masa terhad, empat akaun ini yang menentukan sama ada satu kejadian kecil menjadi kejadian besar. Susunannya mengikut kesan, bukan mengikut kerumitan.

• ▸ E-mel utama, 10 minit: hidupkan pengesahan dua langkah dengan aplikasi, semak peranti yang masih log masuk, dan simpan kod pemulihan di luar telefon.
• ▸ Akaun bank, 5 minit: pastikan kelulusan transaksi terikat pada peranti sendiri, tetapkan had transaksi, dan hidupkan notifikasi bagi setiap pemindahan.
• ▸ WhatsApp, 5 minit: tetapkan PIN pengesahan dua langkah enam digit, dan semak peranti tertaut yang masih aktif.
• ▸ Panel hosting dan domain, 10 minit: kata laluan 15 aksara atau lebih, pengesahan dua langkah dengan aplikasi, dan semak pengguna tambahan yang tidak dikenali.

Empat akaun itu dipilih kerana rantaiannya: e-mel utama boleh menetapkan semula kata laluan bagi hampir semua akaun lain, bank memegang wang, WhatsApp memegang saluran arahan harian, dan panel hosting mengawal laman serta sijil. Menyelesaikan empat ini memberi perlindungan yang lebih nyata daripada menukar 40 kata laluan yang tidak pernah digunakan.

Pengesahan dua langkah juga bukan jaminan penuh. Pada 2 Jun 2026, Dashlane mengesahkan bahawa penyerang memaksa sistem pengesahan dua langkahnya secara brute force, mendapat akses kepada kira-kira 20 akaun pelanggan dan memuat turun sekurang-kurangnya sedozen peti kata laluan yang disulitkan. Syarikat itu menyatakan tiada bukti sistemnya sendiri ditembusi, dan pelanggan yang memilih kata laluan induk yang mudah diteka berisiko lebih tinggi. Pengajarannya bukan berhenti menggunakan pengurus kata laluan, tetapi memastikan kaedah kedua tidak boleh diteka berulang kali tanpa had cubaan.

Apa yang tidak berbaloi

Beberapa tabiat lama masih disyorkan di tempat kerja, walaupun piawaian sudah berubah.

• ▸ Menukar kata laluan setiap 90 hari tanpa tanda kebocoran. NIST 800-63B-4 tidak lagi memintanya, kecuali ada bukti kompromi.
• ▸ Bergantung pada OTP SMS sebagai satu-satunya lapisan kedua untuk akaun penting.
• ▸ Menyimpan kata laluan dalam nota telefon atau dalam sembang WhatsApp yang ditujukan kepada diri sendiri.
• ▸ Memasang APK daripada pautan WhatsApp, walaupun pautan itu datang daripada kenalan yang dikenali.
• ▸ Menganggap passkey sebagai penyelesaian lengkap sedangkan hanya satu passkey disimpan bagi satu akaun.

Tiada satu pun daripada langkah di atas memerlukan alat berbayar. Yang diperlukan ialah keputusan tentang akaun mana yang benar-benar penting, dan kesediaan untuk menyemaknya semula dua kali setahun. Angka Oktober 2026 menunjukkan arah mana yang lebih selamat; pilihan untuk mengikutinya masih terletak pada pemilik akaun.

Pos ini tidak menguji mana-mana produk dan tidak menerima bayaran daripada mana-mana pihak. Semua angka datang daripada sumber bertarikh yang disenaraikan di bawah.