Pwned Password di HIBP, Wajib Tahu untuk Keamanan Bisnis

Password yang pernah bocor bukan hanya menjadi masalah di akun pribadi. Dalam konteks bisnis, satu password yang sudah terekspos bisa menjadi pintu masuk ke email, panel admin, server, hingga data pelanggan. Lalu, apa itu Pwned Password? Fitur ini membantu kamu mengetahui apakah password pernah muncul dalam kebocoran data sehingga bisa segera diganti sebelum dimanfaatkan penyerang.

Apa Itu “Pwned Passwords”?

Sebelum masuk ke pembahasan Pwned Passwords, kita perlu mengingat dulu diskusi sebelumnya tentang Have I Been Pwned atau HIBP.

Kata “pwned” sendiri awalnya populer di kalangan gamer dan hacker. Istilah ini berasal dari salah ketik kata “owned”, yang biasanya dipakai untuk menggambarkan seseorang yang berhasil dikalahkan dalam permainan seperti Warcraft atau Quake.

Dalam keamanan siber, arti “pwned” sedikit berbeda. Istilah ini digunakan ketika sebuah sistem atau perusahaan berhasil diretas dan datanya tersebar. Informasi pengguna yang ikut bocor kemudian bisa dimanfaatkan untuk melancarkan serangan lain.

Baca Juga: Jangan Tunggu Diretas! Begini Cek Password Gmail Kamu!

HIBP adalah layanan yang dikembangkan oleh Troy Hunt, pakar keamanan siber asal Australia, pada 2013. Melalui layanan ini, kamu bisa mengecek apakah alamat email atau password pernah muncul dalam data hasil kebocoran.

Nah, Pwned Passwords adalah salah satu bagian penting dari layanan tersebut. Bedanya dengan pengecekan email, fitur ini secara khusus memeriksa apakah sebuah password pernah ditemukan dalam database password hasil kebocoran.

Ini penting karena password yang sudah pernah terekspos sebaiknya dianggap tidak layak digunakan lagi. Bahkan jika password tersebut terlihat rumit, keberadaannya di database bocor membuatnya sudah diketahui atau setidaknya dapat dicoba oleh penyerang.

Baca Juga: Lebih Canggih! 5 Alternatif Tools Have I Been Pwned di 2026

Cara Kerja Pwned Passwords

Mungkin muncul kekhawatiran: kalau memasukkan password ke situs untuk mengecek kebocoran, bukankah password tersebut justru bisa dicuri?

Sebelum rasa khawatir datang, kamu perlu memahami bagaimana Pwned Password bekerja pada mekanisme keamanan HIBP.

Pwned Passwords menggunakan pendekatan bernama k-anonymity. Ini adalah teknik yang memungkinkan sistem melakukan pencarian tanpa harus mengetahui data lengkap yang sedang dicari.

Prosesnya berlangsung seperti ini:

1. Password diubah menjadi hash SHA-1 secara lokal di perangkat.
2. Hash tersebut memiliki panjang 40 karakter.
3. Hanya lima karakter pertama dari hash yang dikirimkan ke API HIBP.
4. HIBP kemudian mengembalikan daftar suffix hash yang memiliki prefix tersebut.
5. Perangkat kamu melakukan pencocokan terhadap 35 karakter sisanya secara lokal.

Dengan mekanisme ini, password dalam bentuk teks biasa tidak dikirimkan ke server HIBP. Bahkan full hash password juga tidak perlu dikirim.

Jadi, ketika kamu cek potensi password bocor, prosesnya tidak hanya “mengirim password ke situs lalu menunggu hasil”. Ada mekanisme privasi di belakangnya yang dirancang agar password asli tetap berada di perangkat.

Pendekatan ini juga bisa dimanfaatkan developer melalui API Pwned Passwords untuk menambahkan pemeriksaan password ke sistem registrasi atau reset password.

Kenapa Pwned Password Penting untuk Keamanan Bisnis?

Bagi bisnis, password bocor tidak boleh dianggap sepele. Risikonya semakin besar jika password yang sama digunakan untuk email, dashboard, aplikasi kerja, dan layanan lainnya.

Password berulang memperbesar risiko

Saat satu layanan mengalami kebocoran, penyerang dapat mencoba kombinasi email dan password yang sama di platform lain. Teknik ini disebut credential stuffing.

Mereka tidak harus meretas sistem secara langsung. Cukup menggunakan data login yang sudah bocor dan menjalankan percobaan otomatis. Karena itu, keamanan password yang dipakai berulang kali perlu menjadi perhatian utama perusahaan.

Password kompleks belum tentu aman

Password seperti P@ssw0rd!2026 memang terlihat kuat. Namun, jika sudah muncul dalam database kebocoran, password tersebut tetap berisiko.

Pwned Passwords tidak hanya memeriksa panjang atau kombinasi karakter. Fitur ini mengecek apakah password pernah terekspos di dunia nyata. Jadi, password rumit yang pernah bocor sebaiknya tidak digunakan lagi.

Mencegah masalah sejak awal

Sistem dapat memeriksa password saat pengguna membuat akun atau menggantinya. Jika password ditemukan dalam daftar bocor, pengguna bisa diminta memilih yang baru. Inilah penerapan shifting security left.

Bisa diintegrasikan developer

Developer dapat memanfaatkan API Pwned Passwords untuk melakukan pengecekan otomatis saat registrasi atau reset password. Hasilnya, kebijakan password menjadi lebih berbasis risiko, bukan sekadar aturan panjang dan simbol.

Cara Menggunakan Pwned Password HIBP

Ada tiga metode yang bisa digunakan untuk mengecek apakah password pernah muncul dalam kebocoran data di Have I Been Pwned. Pilihannya bisa disesuaikan dengan kebutuhan, mulai dari pengecekan manual hingga integrasi ke sistem bisnis.

Metode 1: Mengecek Password Langsung di Situs HIBP

Metode ini cocok untuk pengguna umum yang ingin memeriksa satu atau beberapa password secara manual. Kamu tidak perlu memasang aplikasi atau memahami teknis hashing.

Langkah-langkahnya:

1. Buka halaman resmi Pwned Passwords dari Have I Been Pwned (https://haveibeenpwned.com/Passwords).
2. Masukkan password yang ingin diperiksa.
3. Klik tombol “check”.
4. Tunggu hingga hasil pemeriksaan muncul.

Jika password tidak ditemukan, bukan berarti password tersebut pasti aman. Tetap gunakan password yang unik, panjang, dan tidak dipakai di layanan lain.

Jika password ditemukan, HIBP akan menampilkan jumlah kemunculannya dalam insiden kebocoran data. Segera ganti password tersebut dengan kombinasi yang benar-benar berbeda. Hindari hanya menambahkan angka atau simbol di bagian akhir.

Metode 2: Menggunakan API Pwned Passwords

API ini menggunakan metode range search untuk menjaga privasi. Password tidak dikirim dalam bentuk teks biasa. Aplikasi mengubah password menjadi hash SHA-1, lalu hanya mengirimkan lima karakter pertama hash ke API.

Alur sederhananya:

1. Pengguna memasukkan password.
2. Aplikasi membuat hash SHA-1.
3. Aplikasi mengambil lima karakter pertama hash.
4. Prefix tersebut dikirim ke API HIBP.
5. API mengembalikan daftar hash yang sesuai.
6. Aplikasi mencocokkan sisa hash secara lokal.
7. Jika ditemukan kecocokan, pengguna diminta membuat password baru.

Metode ini ditujukan untuk developer atau organisasi yang ingin mengintegrasikan pemeriksaan password ke dalam aplikasi.

API Pwned Passwords dapat digunakan saat pengguna:

• Membuat akun baru.
• Mengganti password.
• Melakukan reset password.
• Mengatur password administrator.

Metode ini membantu mencegah pengguna memakai password yang sudah pernah bocor sejak awal.

Metode 3: Menggunakan Database Hash Pwned Passwords secara Lokal

Metode ini cocok untuk organisasi yang membutuhkan kontrol privasi, audit, atau kepatuhan lebih besar.

Dengan database lokal, pemeriksaan password dapat dilakukan di lingkungan internal tanpa mengirimkan permintaan ke layanan eksternal.

Metode ini dapat dipertimbangkan oleh:

• Perusahaan dengan kebijakan data yang ketat.
• Organisasi yang membutuhkan pemeriksaan offline.
• Tim keamanan yang ingin menggunakan blocklist password internal.
• Bisnis dengan jumlah pengguna atau permintaan pengecekan yang besar.

Secara umum, database hash Pwned Passwords diunduh dan disimpan di infrastruktur internal. Sistem kemudian mencocokkan hash password dengan database tersebut.

Namun, metode ini membutuhkan pengelolaan tambahan. Tim perlu memperbarui database secara berkala, menyediakan ruang penyimpanan, dan memastikan proses pencarian tidak memperlambat aplikasi.

Untuk kebutuhan pribadi, pengecekan melalui situs HIBP sudah cukup. API lebih sesuai untuk integrasi aplikasi, sedangkan database lokal dapat dipilih oleh organisasi yang membutuhkan kontrol dan privasi lebih besar.

Password Pernah Bocor, Apa Aman Dipakai Lagi?

Jawaban praktisnya: tidak.

Jika sebuah password sudah tercatat dalam data breach, anggap password tersebut telah kehilangan sifat rahasianya. Jangan mengandalkan tambahan satu angka atau perubahan kecil seperti mengganti password123 menjadi password1234.

Penyerang dapat menggunakan pola-pola umum semacam ini untuk memperluas percobaan mereka.

Lalu, apa yang harus dilakukan?

• Ganti password yang sudah bocor
  Namun, tidak berarti kamu harus mengganti semua password setiap 60 atau 90 hari. Panduan NIST terbaru justru menggeser fokus dari pergantian password berkala menuju pergantian ketika terdapat bukti kompromi.
• Gunakan password yang unik dan panjang
  Password manager dapat membantu membuat serta menyimpan password berbeda untuk setiap layanan tanpa mengharuskan kamu mengingat semuanya.
• Aktifkan MFA
  Untuk akun penting, metode Muti-Factor Authentication yang tahan phising seperti security key berbasis FIDO2/WebAuthn atau authenticator app lebih kuat dibanding hanya mengandalkan SMS OTP.
• Gunakan blocklist password yang sudah bocor
  Untuk aplikasi bisnis, pemeriksaan ini dapat ditempatkan saat registrasi dan perubahan password sehingga pengguna tidak memilih kredensial yang sudah diketahui penyerang.

Kesimpulan

Pwned Passwords menegaskan bahwa keamanan password tidak hanya bergantung pada panjang dan kerumitannya, tetapi juga pada riwayat kebocoran. Password yang pernah terekspos sebaiknya tidak digunakan kembali karena dapat menjadi sasaran credential stuffing dan serangan otomatis lainnya.

Bagi bisnis, pemeriksaan password bocor perlu menjadi bagian dari strategi keamanan menyeluruh. Gunakan password unik, password manager, MFA, serta blocklist untuk mencegah penggunaan kredensial yang sudah diketahui penyerang.

Selain kredensial, infrastruktur aplikasi dan data juga harus dikelola dengan baik. VPS Murah dari IDwebhost dapat dipertimbangkan untuk kebutuhan server yang lebih fleksibel, stabil, dan mudah disesuaikan dengan kebutuhan bisnis.

Pada akhirnya, Pwned Passwords hanyalah salah satu lapisan perlindungan. Keamanan yang kuat membutuhkan kombinasi kebijakan, teknologi, dan kebiasaan digital yang konsisten.