Ilustrasi editorial; ia tidak menunjukkan akaun atau peranti sebenar.
Diterbitkan pada 23 Oktober 2026.
Pengesahan berbilang faktor, atau MFA, boleh menghalang orang lain daripada masuk walaupun kata laluan anda sudah diketahui. Tetapi ramai pengguna hanya menekan butang “Enable” dan meneruskan proses tanpa memikirkan apa yang berlaku jika telefon hilang, aplikasi pengesah dipadam atau mereka perlu log masuk ketika tiada internet.
MFA bukan satu kaedah yang sama untuk semua akaun. Ada perkhidmatan yang menawarkan aplikasi pengesah, kod SMS, notifikasi push, biometrik, passkey atau security key. Setiap pilihan ada tahap perlindungan dan pelan pemulihan yang berbeza.
Ringkasnya
Sebelum mengaktifkan MFA, semak sepuluh perkara ini:
- Akaun mana yang paling penting.
- Kaedah MFA yang ditawarkan.
- Peranti utama yang akan digunakan.
- Peranti kedua atau kaedah sandaran.
- Kod pemulihan.
- Nombor telefon dan email pemulihan.
- Cara menyimpan maklumat sensitif.
- Risiko notifikasi yang tidak dijangka.
- Sesi dan peranti yang sedang log masuk.
- Prosedur jika akses hilang.
MFA yang disediakan dengan baik tidak sepatutnya membuat anda terkunci daripada akaun sendiri. Luangkan beberapa minit untuk membina jalan masuk semula sebelum memerlukannya.
1. Kenal pasti akaun yang paling penting
Mulakan dengan email utama, pengurus kata laluan, perbankan, storan awan, akaun kerja dan akaun yang boleh menetapkan semula akaun lain. Jika email utama boleh digunakan untuk menetapkan semula kata laluan, ia perlu diberi perhatian dahulu.
Selepas itu, semak akaun media sosial, kedai dalam talian dan perkhidmatan yang menyimpan dokumen atau maklumat pembayaran. Anda tidak perlu mengurus semuanya dalam satu malam. Buat senarai dan dahulukan akaun yang memberi kesan paling besar jika dirampas.
2. Lihat kaedah yang tersedia
Pergi ke tetapan keselamatan akaun dan baca pilihan yang ditawarkan. MFA mungkin dipanggil two-factor authentication, two-step verification atau security verification.
Secara umum, aplikasi pengesah menghasilkan kod pada peranti anda, manakala SMS menghantar kod melalui rangkaian telefon. Passkey atau security key menggunakan kaedah kriptografi yang direka untuk mengikat pengesahan kepada laman yang betul. Nama menu boleh berbeza mengikut perkhidmatan, jadi baca penerangan sebelum memilih.
3. Pilih peranti utama yang boleh anda gunakan
Jika menggunakan aplikasi pengesah, pilih peranti yang anda bawa dan boleh buka dengan selamat. Pastikan tarikh dan masa peranti ditetapkan dengan betul kerana kod berasaskan masa bergantung pada jam yang sepadan.
Jika memilih security key, periksa sama ada peranti anda mempunyai port atau sokongan tanpa wayar yang diperlukan. Jika menggunakan passkey, fahami tempat passkey disimpan dan bagaimana ia disegerakkan mengikut ekosistem yang anda gunakan.
Jangan daftar MFA pada komputer awam atau peranti yang dikongsi. Anda tidak mahu meninggalkan akaun terbuka hanya kerana mahu menyelesaikan persediaan dengan cepat.
4. Sediakan kaedah kedua sebelum memerlukannya
Telefon utama bukan satu-satunya pelan. Jika telefon hilang atau rosak, anda masih memerlukan cara untuk membuktikan identiti. Sesetengah perkhidmatan membenarkan beberapa security key, lebih daripada satu peranti untuk passkey atau aplikasi pengesah pada peranti sandaran.
Daftar kaedah kedua hanya pada peranti yang benar-benar anda kawal. Jangan berkongsi kod, security key atau kelulusan login dengan orang lain. Kaedah sandaran yang tidak dilindungi boleh menjadi pintu masuk baharu.
5. Simpan kod pemulihan dengan selamat
Banyak akaun memberikan recovery codes ketika MFA diaktifkan. Kod ini biasanya boleh digunakan apabila kaedah utama tidak tersedia. Simpan di tempat yang terlindung, seperti pengurus kata laluan atau salinan fizikal yang disimpan secara selamat, mengikut risiko dan keadaan anda.
Jangan simpan kod pemulihan sebagai gambar yang mudah muncul dalam galeri atau hantar kepada diri sendiri melalui chat biasa. Anggap kod ini seperti kunci kecemasan: berguna apabila diperlukan, tetapi berbahaya jika tersebar.
6. Semak email dan nombor pemulihan
Periksa sama ada email pemulihan masih aktif dan nombor telefon yang tertera masih milik anda. Buang nombor lama, email kerja yang bakal ditutup atau alamat yang tidak lagi boleh dicapai.
Pemulihan akaun mungkin melibatkan masa menunggu atau semakan tambahan. Jangan anggap menukar nombor telefon di kemudian hari akan sentiasa mudah. Kemas kini maklumat ketika anda masih boleh login dan mengikuti proses pengesahan biasa.
7. Fikirkan tempat menyimpan maklumat sensitif
Jangan tulis kod, kata laluan atau jawapan pemulihan pada nota yang dilekatkan di monitor. Jangan juga menyimpan semuanya dalam satu fail teks tanpa perlindungan. Pilih tempat yang sesuai dengan tahap risiko, kemudian pastikan anda tahu cara mengakses tempat itu apabila peranti utama tidak boleh digunakan.
Untuk akaun kerja, ikut polisi organisasi. Akaun pentadbir mungkin memerlukan security key tambahan atau penyimpanan recovery codes secara berasingan supaya seorang individu tidak menjadi satu-satunya titik kegagalan.
8. Kenali notifikasi login yang tidak dijangka
MFA tidak bermakna anda perlu meluluskan setiap permintaan yang muncul pada telefon. Jika anda tidak cuba login, jangan tekan “Approve”. Tolak permintaan itu dan semak aktiviti akaun melalui aplikasi atau laman rasmi.
Penipu boleh cuba membuat banyak permintaan sehingga pengguna letih lalu menekan butang yang salah. Jangan hubungi nombor telefon dalam mesej yang meragukan. Buka aplikasi rasmi sendiri dan tukar kata laluan jika terdapat aktiviti pelik.
9. Semak sesi dan peranti yang sedang log masuk
Selepas MFA diaktifkan, buka halaman “Your devices”, “Active sessions” atau nama yang serupa. Kenal pasti laptop, tablet, telefon dan pelayar yang masih mempunyai akses. Log keluar daripada peranti lama atau lokasi yang tidak anda kenali.
Ini juga masa yang baik untuk menyemak aplikasi pihak ketiga yang mempunyai akses kepada akaun. MFA melindungi proses login, tetapi token aplikasi yang sudah diberikan mungkin mempunyai kebenaran sendiri. Buang akses yang tidak lagi diperlukan.
10. Tulis pelan jika akses hilang
Jawab soalan ini sekarang: jika telefon hilang malam ini, apakah langkah pertama? Di manakah recovery codes? Siapa yang boleh membantu untuk akaun kerja? Adakah anda tahu laman rasmi untuk memulakan pemulihan?
Tulis jawapan ringkas dan simpan di tempat yang selamat. Untuk akaun penting, lakukan ujian kecil seperti memastikan kaedah kedua benar-benar boleh digunakan—tanpa sengaja mengeluarkan peranti utama sebelum pelan anda jelas.
Kaedah yang patut dielakkan
Jangan memilih SMS semata-mata kerana ia paling mudah jika akaun menyediakan pilihan yang lebih kuat. CISA menyatakan bahawa MFA tahan phishing seperti FIDO/WebAuthn ialah sasaran yang lebih baik, manakala SMS masih lebih lemah terhadap beberapa jenis serangan. Namun, MFA melalui SMS masih lebih baik daripada tiada MFA apabila itu sahaja pilihan yang tersedia.
Jangan berkongsi kod sekali guna dengan sesiapa, termasuk orang yang mengaku daripada bank, platform atau pasukan sokongan. Sokongan sebenar tidak memerlukan anda membaca kod login kepada mereka. Jangan klik pautan dalam mesej untuk mengaktifkan MFA jika anda boleh membuka tetapan melalui aplikasi atau laman rasmi sendiri.
Pandangan Saya
MFA bukan sekadar satu lagi kod untuk ditaip. Ia ialah keputusan tentang siapa yang boleh membuktikan identiti anda dan bagaimana anda pulih apabila peranti utama tidak ada. Persediaan yang baik mengambil masa sedikit lebih lama pada hari pertama, tetapi ia mengelakkan panik ketika akaun sangat diperlukan.
Saya akan mulakan dengan email utama dan pengurus kata laluan, pilih kaedah paling kuat yang boleh digunakan, simpan recovery codes secara selamat dan semak peranti yang mempunyai sesi aktif. Selepas itu barulah saya bergerak ke akaun lain mengikut keutamaan.
Kesimpulan
Aktifkan MFA pada akaun penting, tetapi jangan berhenti pada skrin “Success”. Semak kaedah, peranti, recovery codes, maklumat pemulihan, sesi aktif dan pelan apabila telefon hilang. Keselamatan yang baik bukan hanya menyukarkan orang lain masuk—ia juga memastikan pemilik sebenar masih boleh kembali masuk.