16 Bilion Kata Laluan Bocor: Cara Semak Sama Ada Anda Terjejas

Pada Januari 2026, penyelidik keselamatan menemui 30 pangkalan data tidak selamat yang mengandungi kira-kira 16 bilion pasangan nama pengguna-kata laluan — kebocoran kelayakan terbesar dalam sejarah. Data yang terdedah termasuk kelayakan log masuk untuk Google, Apple, Facebook, GitHub, Telegram, dan juga platform kerajaan.

Jika anda menggunakan internet, kemungkinan besar kelayakan anda ada dalam kebocoran ini.

Apa Yang Bocor

Kebocoran termasuk:

• 16 bilion kelayakan log masuk merentasi 30 set data
• Sesetengah set data mengandungi sehingga 3.5 bilion rekod setiap satu
• Kelayakan dari hampir setiap perkhidmatan dalam talian utama
• Kedua-dua data pelanggaran lama dan log infostealer segar
• Token sesi, cookies, dan metadata dalam banyak kes

Ini bukan sekadar data kitar semula dari pelanggaran lama. Penyelidik menemui data yang baru dikompilasi, berstruktur dan sedia untuk eksploitasi — termasuk log perisian hasad infostealer terkini dengan token sesi aktif.

Cara Menyemak Sama Ada Anda Terjejas

Langkah 1: Semak Have I Been Pwned

Lawati haveibeenpwned.com dan masukkan alamat e-mel anda. Pangkalan data ini dikemas kini dengan kerap dengan data pelanggaran dan akan memberitahu anda pelanggaran mana yang merangkumi kelayakan anda.

Langkah 2: Gunakan Monitor Pelanggaran Pengurus Kata Laluan Anda

Kebanyakan pengurus kata laluan menawarkan pemantauan pelanggaran:

• 1Password: Watchtower memaklumkan anda tentang akaun yang terjejas
• Bitwarden: Data Breach Report menunjukkan kelayakan yang terdedah
• Dashlane: Dark Web Monitoring mengimbas maklumat anda
• Google Password Manager: Semak kata laluan di passwords.google.com

Langkah 3: Semak Laporan Dark Web Google

Jika anda mempunyai akaun Google:

1. Pergi ke myaccount.google.com
2. Navigasi ke Security → Dark web report
3. Jalankan imbasan untuk melihat sama ada maklumat anda muncul di dark web

Langkah 4: Pantau Akaun Kewangan Anda

Walaupun e-mel anda tidak muncul dalam pelanggaran yang diketahui, pantau penyata bank dan kad kredit anda untuk aktiviti yang tidak dibenarkan. Penyerang sering menguji kelayakan pada perkhidmatan kewangan dahulu.

Apa Yang Perlu Dilakukan Jika Anda Terjejas

Tindakan Segera

1. Tukar kata laluan yang terjejas dengan segera

Mulakan dengan akaun paling kritikal anda:

• Akaun e-mel (digunakan untuk set semula kata laluan)
• Perbankan dan perkhidmatan kewangan (Maybank, CIMB, Touch 'n Go eWallet)
• Penyimpanan awan (Google Drive, Dropbox)
• Akaun media sosial (WhatsApp, Facebook, Instagram)

2. Dayakan pengesahan dua faktor di mana-mana

Walaupun penyerang mempunyai kata laluan anda, 2FA menyekat akses tidak dibenarkan:

• Gunakan aplikasi pengesah (Google Authenticator, Authy) berbanding SMS
• Pertimbangkan kunci perkakasan (YubiKey) untuk akaun kritikal
• Dayakan 2FA pada e-mel anda dahulu — ia adalah kunci induk kepada semua yang lain

3. Semak akses tidak dibenarkan

Semak aktiviti terkini pada akaun anda:

• Google: myactivity.google.com
• Facebook: Settings → Security → Where you're logged in
• WhatsApp: Settings → Linked devices
• Instagram: Settings → Security → Login activity

4. Batalkan sesi yang mencurigakan

Log keluar dari semua peranti dan sesi yang tidak anda kenali. Kebanyakan perkhidmatan mempunyai pilihan "Sign out of all devices".

Perlindungan Jangka Panjang

Gunakan kata laluan unik untuk setiap akaun

Sebab kebocoran kelayakan sangat berbahaya adalah penggunaan semula kata laluan. Jika anda menggunakan kata laluan yang sama di berbilang tapak, satu pelanggaran menjejaskan semuanya.

Gunakan pengurus kata laluan untuk menjana dan menyimpan kata laluan unik yang kuat untuk setiap akaun.

Pertimbangkan untuk beralih kepada passkeys

Passkeys tahan pancingan data dan tidak boleh bocor dalam pelanggaran data:

• Google, Apple, dan Microsoft kini menyokong passkeys
• Mereka menggunakan pengesahan biometrik (cap jari, muka) dan bukannya kata laluan
• Tiada kata laluan bermakna tiada apa untuk dicuri

Sediakan amaran pelanggaran

• Dayakan pemberitahuan dari Have I Been Pwned
• Hidupkan pemantauan pelanggaran pengurus kata laluan anda
• Sediakan pemantauan dark web Google

Cara Berkongsi Kelayakan dengan Selamat Pada Masa Hadapan

Satu sebab kelayakan berakhir dalam pelanggaran adalah amalan perkongsian yang tidak selamat. Orang menampal kata laluan dalam:

• Mesej WhatsApp atau Telegram (disimpan pada pelayan)
• E-mel (sering tidak disulitkan, boleh dicari)
• Mesej teks (disandarkan ke awan)
• Dokumen yang dikongsi (akses berterusan)

Gunakan Saluran Selamat yang Tamat Tempoh

Apabila anda perlu berkongsi kata laluan dengan seseorang:

1. Jangan sekali-kali hantar kata laluan dalam teks biasa melalui pemesejan biasa
2. Gunakan ciri perkongsian pengurus kata laluan jika kedua-dua pihak menggunakan pengurus yang sama
3. Gunakan nota selamat yang memusnahkan diri untuk perkongsian sekali guna

Perkhidmatan seperti LOCK.PUB membolehkan anda membuat nota dilindungi kata laluan yang:

• Memusnahkan diri selepas dibaca sekali
• Tamat tempoh selepas masa yang ditetapkan (1 jam, 24 jam)
• Tidak boleh diakses lagi selepas dilihat

Contoh aliran kerja:

• Buat nota selamat dengan kata laluan
• Tetapkan ia untuk tamat tempoh dalam 1 jam
• Hantar pautan melalui satu saluran
• Hantar kata laluan akses melalui saluran berbeza
• Kelayakan tidak akan dapat diambil lagi selepas dilihat

Gambaran Besar

Kebocoran 16 bilion kelayakan ini adalah simptom masalah yang lebih besar: kata laluan pada asasnya rosak.

Statistik utama:

• 94% kata laluan digunakan semula merentasi akaun
• Hanya 3% kata laluan memenuhi keperluan kerumitan NIST
• Serangan berasaskan kelayakan menyumbang hampir separuh daripada semua pelanggaran

Industri bergerak ke arah passkeys dan pengesahan tanpa kata laluan. Sementara itu:

• Gunakan kata laluan unik di mana-mana
• Dayakan 2FA pada semua akaun
• Pantau pelanggaran secara berkala
• Kongsi kelayakan hanya melalui saluran selamat yang tamat tempoh

Semak Diri Anda Sekarang

Jangan tunggu sehingga anda melihat caj tidak dibenarkan atau akaun terkunci. Ambil 10 minit hari ini untuk:

1. Semak haveibeenpwned.com untuk alamat e-mel anda
2. Jalankan laporan pelanggaran pengurus kata laluan anda
3. Dayakan 2FA pada 10 akaun paling penting anda
4. Tukar mana-mana kata laluan yang muncul dalam pelanggaran

Kebocoran sudah berlaku. Apa yang penting sekarang adalah seberapa cepat anda bertindak balas.

Kongsi kelayakan dengan selamat menggunakan nota yang memusnahkan diri →