Cara Semak Sama Ada Data Anda Bocor dan Apa Perlu Buat Lepas Itu

E-mel anda mungkin sudah tersenarai dalam kebocoran data — dan anda tidak akan tahu selagi tidak menyemaknya. Syarikat yang anda percayai datanya boleh digodam, pangkalan data mereka dicuri, dan maklumat itu dijual atau disebarkan dalam talian. Ini bukan salah anda, dan ia tidak bermakna akaun anda sudah digodam. Tetapi selagi anda tidak tahu apa yang bocor, anda tidak boleh melindungi diri.

Perkara paling penting untuk difahami: bukan semua kebocoran sama bahayanya. E-mel yang bocor sendirian membawa risiko berbeza daripada kata laluan yang bocor, dan nombor telefon yang bocor membawa risiko lain pula. Panduan ini tunjukkan cara menyemak dalam masa 5 minit, cara mentafsir keputusan, dan langkah tepat mengikut jenis data yang bocor.

1. Semak e-mel anda dengan Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) ialah alat percuma yang paling dipercayai untuk tujuan ini. Ia dikendalikan oleh penyelidik keselamatan Troy Hunt sejak 2013, dan pangkalan datanya digunakan oleh Mozilla, 1Password, Bitwarden dan banyak pengurus kata laluan lain. Ia tidak meminta kata laluan anda — hanya alamat e-mel.

1. Taip sendiri haveibeenpwned.com dalam pelayar anda. Jangan klik pautan dari e-mel yang mendakwa data anda bocor — itu sendiri salah satu taktik penipuan yang biasa.
2. Masukkan alamat e-mel anda dan tekan semak.
3. Jika keputusannya hijau (“Good news — no pwnage found”), e-mel itu tidak ditemui dalam kebocoran yang diketahui oleh alat tersebut. Itu berita baik, tetapi bukan jaminan mutlak — kebocoran baharu muncul setiap masa.
4. Jika keputusannya merah (“Oh no — pwned”), senarai kebocoran akan dipaparkan berserta jenis data yang terlibat dalam setiap satu: e-mel, kata laluan, nombor telefon, tarikh lahir dan sebagainya.
5. Ulang semakan untuk setiap alamat e-mel yang pernah anda guna, termasuk e-mel lama untuk beli-belah, media sosial dan akaun yang sudah tidak aktif. E-mel lama yang masih berkongsi kata laluan yang sama dengan akaun semasa adalah lubang keselamatan yang sebenar.

Satu amaran: alat semakan yang sah hanya meminta e-mel atau nombor telefon anda. Jangan sesekali taip kata laluan aktif, PIN atau maklumat perbankan ke dalam mana-mana ruangan semakan kebocoran. Kata laluan hanya ditaip di laman yang ia miliki.

2. Semak kata laluan tersimpan anda

Semakan e-mel sahaja tidak cukup, kerana kata laluan yang bocor tidak semestinya terikat pada e-mel yang anda semak. Nasib baik, telefon anda sudah ada alat semakan terbina dalam yang percuma.

Pada Android dan Google Chrome:

1. Buka Pengurus Kata Laluan Google — melalui passwords.google.com, atau dalam Chrome pergi ke Tetapan, kemudian Pengurus Kata Laluan.
2. Pilih Semak Kata Laluan (Check Passwords).
3. Alat ini akan menandakan kata laluan yang terjejas dalam kebocoran yang diketahui, kata laluan yang diguna semula merentas banyak laman, dan kata laluan yang terlalu lemah.

Pada iPhone:

1. Buka aplikasi Kata Laluan (Passwords) pada iOS 18 dan ke atas, atau pergi ke Tetapan, kemudian Kata Laluan pada versi lebih lama.
2. Buka bahagian Cadangan Keselamatan (Security Recommendations).
3. Di sini disenaraikan akaun dengan kata laluan yang terjejas, diguna semula atau lemah — berserta butang untuk menukar kata laluan terus ke laman berkaitan.

Buat semakan ini untuk semua kata laluan yang anda simpan, bukan hanya akaun utama. Akaun forum lama atau kedai dalam talian yang anda lupa pun boleh menjadi pintu masuk, jika ia berkongsi kata laluan yang sama dengan e-mel atau perbankan anda.

3. Semak laporan dark web Google

Google turut menawarkan laporan dark web percuma untuk semua pemegang akaun Google. Ia memantau nama, alamat e-mel, nombor telefon dan maklumat asas lain yang anda daftarkan, dan memberi amaran jika maklumat itu ditemui dalam set data kebocoran yang diketahui.

1. Log masuk ke akaun Google anda dan pergi ke myaccount.google.com.
2. Buka bahagian Keselamatan (Security).
3. Cari bahagian Laporan dark web (Dark web report) dan ikut arahan untuk menyediakan profil pemantauan anda.
4. Google akan memaparkan sebarang penemuan berserta nama kebocoran dan jenis data yang terlibat, dengan cadangan tindakan susulan.

Alat ini berguna sebagai pemantau berterusan, tetapi ia hanya meliputi maklumat yang anda daftarkan dengannya. Gabungkan dengan Have I Been Pwned untuk liputan yang lebih luas, terutamanya bagi e-mel lama dan e-mel kerja.

4. Fahami apa yang bocor — dan apa risikonya

Inilah bahagian yang paling ramai silap. Keputusan “pwned” sahaja tidak memberitahu anda tahap bahaya. Semak jenis data dalam setiap kebocoran:

Hanya alamat e-mel yang bocor. Risiko utama ialah e-mel pancingan data dan spam yang lebih meyakinkan, kerana penjenayah tahu alamat itu aktif. Berwaspada dengan e-mel yang menyamar sebagai bank, kurier atau platform yang anda guna.

Kata laluan yang bocor. Ini yang paling serius. Jika kata laluan itu masih digunakan di mana-mana, tukar serta-merta — bukan sahaja di laman yang bocor, tetapi di setiap laman lain yang berkongsi kata laluan yang sama. Penjenayah memang mencuba kata laluan bocor merentas banyak laman secara automatik.

Nombor telefon yang bocor. Jangkakan panggilan dan SMS penipuan yang lebih disasarkan, termasuk mesej yang menyebut nama atau maklumat anda untuk kelihatan sah. Jangan tekan pautan dalam SMS yang tidak diminta, dan jangan kongsi kod OTP dengan sesiapa — termasuk pemanggil yang mengaku dari bank atau pihak berkuasa.

Maklumat kewangan atau kad yang bocor. Hubungi bank anda serta-merta, semak penyata transaksi, dan minta kad diganti jika perlu. Jika wang sudah dipindahkan, masa adalah segalanya — lihat langkah NSRC di bawah.

Nombor MyKad atau dokumen pengenalan yang bocor. Risiko kecurian identiti. Simpan rekod kebocoran itu, pantau akaun kewangan dan laporan kredit anda, dan laporkan kepada pihak berkuasa jika maklumat itu disalah guna.

5. Jika kata laluan bocor: tukar, jangan kitar semula

Tukar kata laluan yang terjejas kepada kata laluan baharu yang unik — satu kata laluan berbeza untuk setiap laman penting. Menggunakan pengurus kata laluan menjadikan ini mudah, kerana anda tidak perlu mengingati semuanya sendiri.

Kemudian hidupkan pengesahan dua faktor (2FA) pada akaun paling penting: e-mel, perbankan, media sosial dan WhatsApp. Lebih baik lagi, naik taraf kepada passkey — ia menggantikan kata laluan dengan cap jari, Face ID atau PIN peranti, dan mustahil dipancing melalui laman palsu. Panduan passkey kami tunjukkan langkah demi langkah untuk Google, iPhone dan WhatsApp.

Akhir sekali, semak sesi dan peranti yang log masuk ke akaun utama anda. Dalam tetapan keselamatan Google, Apple dan Facebook, tamatkan sesi pada peranti yang anda tidak kenali atau tidak lagi guna.

6. Jika nombor telefon bocor: bersedia untuk panggilan scammer

Data yang bocor tidak boleh “dibocorkan semula” — nombor telefon yang sudah tersebar akan kekal tersebar. Apa yang anda boleh kawal ialah tindak balas anda terhadap cubaan yang menyusul.

Jangan jawab panggilan dari nombor yang tidak dikenali jika anda tidak menjangkakan panggilan itu, dan jangan sesekali sebut kod OTP, kata laluan atau butiran kad kepada pemanggil — bank sebenar tidak pernah meminta maklumat itu melalui telefon. Berhati-hati juga dengan panggilan yang menggunakan klon suara AI yang meniru suara orang yang anda kenali untuk meminta wang atau maklumat.

Jika anda menerima mesej atau panggilan yang mencurigakan, semak dahulu sebelum bertindak — kami sudah menghuraikan cara mengenal pasti dan melaporkan scammer dalam panduan semak scammer dan lapor ke 997 kami.

7. Jika wang hilang: hubungi bank dan NSRC 997 serta-merta

Jika wang dipindahkan tanpa kebenaran anda, atau anda sudah memindahkan wang kepada scammer, bertindak dalam masa 24 jam pertama memberi peluang terbaik untuk mengesan atau membekukan dana tersebut.

1. Hubungi bank anda serta-merta dan minta transaksi dibekukan atau disekat.
2. Hubungi Pusat Respons Scam Kebangsaan (NSRC) di 997. Sejak September 2025, talian ini beroperasi 24 jam di bawah Polis Diraja Malaysia, dan panggilan ke 997 kini dikira sebagai laporan polis — anda tidak lagi perlu ke balai untuk membuat laporan berasingan.
3. Simpan semua bukti: tangkap layar mesej, resit pemindahan, nombor akaun penerima dan garis masa kejadian.

8. Jika syarikat Malaysia cuai dengan data anda: anda ada hak di bawah PDPA

Di Malaysia, Akta Perlindungan Data Peribadi 2010 (Akta 709) memberi anda hak untuk mengakses dan membetulkan data peribadi anda yang dipegang sesebuah organisasi, serta menarik balik persetujuan pemprosesan data. Pindaan 2024 pula menambah kewajipan pemberitahuan kebocoran kepada Pesuruhjaya dan individu yang terjejas, serta denda yang lebih tinggi sehingga RM1 juta.

Jika anda percaya sesebuah organisasi mengendalikan data anda secara cuai atau melanggar Akta, anda boleh membuat aduan kepada Pesuruhjaya Perlindungan Data Peribadi melalui Jabatan Perlindungan Data Peribadi (JPDP) di pdp.gov.my, atau melalui e-mel aduan yang disenaraikan di laman rasmi mereka. Sertakan butiran kebocoran, bukti sokongan dan rekod komunikasi anda dengan organisasi tersebut.

9. Jadikan semakan ini tabiat

Kebocoran data bukan peristiwa sekali sahaja — ia berlaku berterusan. Jadikan tiga perkara ini tabiat:

1. Semak setiap beberapa bulan. Ulang semakan Have I Been Pwned dan semakan kata laluan tersimpan setiap beberapa bulan, dan selepas anda mendengar berita tentang kebocoran besar.
2. Jangan guna semula kata laluan. Satu kebocoran tidak sepatutnya membuka sepuluh akaun lain. Pengurus kata laluan menjadikan kata laluan unik sesuatu yang mudah, bukan beban.
3. Abaikan e-mel “bayar untuk padam data anda”. Tiada pihak yang sah akan meminta bayaran atau kod untuk memadam data anda daripada kebocoran. Itu penipuan yang mengeksploitasi kebocoran itu sendiri.

Data anda mungkin sudah bocor — tetapi itu bukan penamat cerita. Lima minit semakan hari ini, diikuti tindakan yang betul mengikut jenis data yang bocor, sudah cukup untuk menutup kebanyakan pintu yang cuba dibuka oleh penjenayah. Mulakan dengan e-mel utama anda sekarang, sebelum kebocoran seterusnya muncul.