Akaun DingTalk menjadi sasaran peretas? Pengesahan dua langkah pertahanan terakhir untuk perniagaan

Kenapa peretas menyasarkan akaun DingTalk anda

DingTalk sudah lama bukan sekadar platform komunikasi—laporan kewangan, senarai pelanggan, kemajuan projek, rekod mesyuarat dalaman semua disimpan di sini. Bagi peretas, satu akaun DingTalk sama seperti mendapat kunci ke pintu utama syarikat. Sekali mereka mendapat akses log masuk melalui e-mel pengesahan palsu (phishing) atau serangan "credential stuffing", mereka boleh bergerak bebas dalam rangkaian dalaman dengan identiti yang sah, memuat turun maklumat sulit, memindahkan dana, malah memalsukan arahan.

Laporan Verizon DBIR 2025 menunjukkan bahawa 83% kebocoran data berpunca daripada pencurian kata laluan atau kredensial lemah. Masalahnya bukan pada DingTalk tidak selamat, tetapi pada organisasi yang masih bergantung kepada kata laluan statik sebagai satu-satunya benteng pertahanan. Apabila identiti menjadi sempadan, hanya mengandalkan "apa yang anda tahu" sudah tidak mencukupi untuk membina keyakinan—pertahanan sebenar mesti ditambah dengan "apa yang anda miliki" dan "di mana anda melakukan operasi".

Kata laluan kompleks pun tidak dapat menghalang serangan phishing

Walaupun kata laluan anda panjang 16 aksara dan mengandungi simbol, cukup sekali sahaja pekerja mengklik e-mel pembayaran kecemasan yang disamar sebagai bos, dan memasukkan nama pengguna serta kata laluan, peretas akan terus dapat log masuk. Jenis serangan kejuruteraan sosial ini langsung tidak memerlukan pengekodan kata laluan, tetapi secara langsung "ditipu keluar". Kajian Google 2023 mengesahkan bahawa pengesahan dua faktor (MFA) boleh menghalang 100% serangan bot automatik dan 96% percubaan phishing.

Nilai 2FA DingTalk terletak pada pemutusan model "satu kredensial menentukan capaian". Walaupun kata laluan bocor, log masuk masih memerlukan pengesahan tahap kedua, seperti kod dinamik dari telefon atau pengesahan notifikasi tolak (push notification). Ini bermakna organisasi tidak lagi bergantung kepada ingatan manusia untuk keselamatan, tetapi menggunakan teknologi sebagai pengawal, mengurangkan risiko kesilapan manusia secara besar-besaran.

Pengesahan SMS tidak mencukupi, TOTP adalah pilihan utama

Pengesahan mesej ringkas (SMS) secara tradisional kelihatan mudah, tetapi ia bergantung pada rangkaian telekomunikasi dan rentan terhadap serangan pertukaran SIM (SIM swapping)—peretas hanya perlu memperdayakan penyedia perkhidmatan telefon untuk memindahkan nombor, lalu menerima semua mesej OTP. DingTalk menyokong aplikasi TOTP (seperti Google Authenticator), di mana kod dinamik dijana secara luar talian dalam peranti tempatan, tanpa perlu penghantaran melalui rangkaian, sepenuhnya memutuskan saluran pengambilalihan.

Berdasarkan statistik keselamatan Asia Pasifik 2024, penggunaan TOTP boleh mengurangkan risiko penggunaan haram akaun sebanyak 67%. Lebih jauh lagi, integrasi DingTalk dengan kunci keselamatan fizikal FIDO2 dan mekanisme kelulusan tolak (push approval) membolehkan log masuk tanpa kata laluan dan rintangan terhadap phishing. Sebuah institusi kewangan selepas melaksanakannya mencatatkan penurunan 83% dalam log masuk tidak normal dan pengurangan 40% dalam permintaan sokongan IT, meningkatkan keselamatan dan kecekapan secara serentak.

2FA bukan sekadar satu lagi kunci, tetapi sistem pertahanan aktif

Selepas mengaktifkan 2FA DingTalk, sebuah syarikat teknologi sederhana berjaya menghalang 97% log masuk tidak normal dari lokasi asing dalam masa enam bulan, manakala bilangan capaian data tanpa kebenaran menjadi sifar. Laporan Microsoft 2024 menunjukkan bahawa MFA boleh menghalang 99.9% insiden pencerobohan akaun—ini bukan angka teori, tetapi perlindungan nyata terhadap kepercayaan pelanggan dan kestabilan operasi.

Keutamaannya terletak pada integrasi 2FA dengan analisis tingkah laku: sistem akan belajar corak waktu log masuk biasa, lokasi dan peranti pekerja. Jika seseorang log masuk dari IP luar negara pada waktu tengah malam, walaupun kata laluan betul, sistem akan mencetuskan pengesahan kedua atau menyekat secara automatik. Pertahanan dinamik sedemikian menukar pertahanan pasif kepada pemburuan ancaman aktif, memberikan syarikat satu sempadan digital yang boleh belajar dan bertindak balas.

Bagaimana syarikat melaksanakan 2FA tanpa kesilapan

Mengaktifkan 2FA secara serentak dan segera boleh menyebabkan 37% pekerja menghadapi kesukaran log masuk, dan permintaan kerja IT meningkat tiga kali ganda. Kunci pelaksanaan berjaya ialah pendekatan berperingkat: mulakan dengan pengurusan dan akaun berkuasa tinggi dahulu, cipta kesan demonstrasi. Tetapkan dasar keseluruhan melalui konsol pengurusan DingTalk, dan utamakan jabatan sensitif seperti kewangan dan HR.

Serentak itu, hantar e-mel panduan operasi yang mengandungi Kod QR untuk mengurangkan kos pembelajaran. Lebih penting lagi, sediakan mekanisme pemulihan sendiri oleh pengguna—ikat kod cadangan atau e-mel pengesahan terlebih dahulu, supaya pekerja boleh memulihkan akaun sendiri jika hilang telefon, mengurangkan sehingga 60% permintaan IT berkaitan. Digabungkan dengan latihan simulasi phishing setiap suku tahun, tabiat keselamatan sebenar dapat dipupuk.

Jika tidak bertindak sekarang, risiko hanya akan semakin tinggi

Setiap minit yang ditangguhkan untuk mengaktifkan 2FA bermakna lebih banyak akaun terdedah kepada serangan automatik. Ini bukan soal samada perlu dilakukan atau tidak, tetapi bila insiden akan berlaku. Apabila pesaing sudah menggunakan 2FA untuk melindungi data utama, syarikat anda masih menggunakan logik kata laluan zaman dahulu untuk pertahanan—perbezaan inilah yang mencipta jurang.

Jangan biarkan kemudahan menjadi bayaran untuk keselamatan. Bermula hari ini, aktifkan 2FA DingTalk untuk semua akaun berkuasa tinggi, terutamanya mereka yang boleh mengakses data kewangan, sumber manusia dan pelanggan. Ini merupakan pelaburan terkecil, tetapi memberi kesan pengurangan risiko terbesar.

We dedicated to serving clients with professional DingTalk solutions. If you'd like to learn more about DingTalk platform applications, feel free to contact our online customer service or email at This email address is being protected from spambots. You need JavaScript enabled to view it.. With a skilled development and operations team and extensive market experience, we’re ready to deliver expert DingTalk services and solutions tailored to your needs!