Analis Kaspersky di Moskow menemukan fakta bahwa hampir separuh atau sekitar 48 persen dari 231 juta kata sandi yang bocor di dark web dapat dibobol dalam waktu kurang dari 60 detik pada Senin (11/5/2026). Studi yang dirilis bertepatan dengan World Password Day 2026 ini menunjukkan kerentanan sistem keamanan akibat penggunaan algoritma lama.
Dilansir dari Detik iNET, riset tersebut memanfaatkan satu unit kartu grafis GeForce RTX 5090 untuk menguji kekuatan database kata sandi yang telah dienkripsi dengan algoritma MD5. Hasilnya menunjukkan bahwa 60 persen dari total data yang diuji berhasil ditembus dalam durasi kurang dari satu jam.
Angka kerentanan ini tercatat mengalami peningkatan tipis jika dibandingkan dengan studi serupa pada tahun 2024 yang berada di angka 59 persen. Peneliti menyoroti bahwa akselerasi perangkat keras yang makin canggih membuat proses peretasan menjadi jauh lebih cepat dan mudah dilakukan oleh pelaku kejahatan.
Penggunaan algoritma hashing MD5 dinilai menjadi penyebab utama kerentanan karena dirancang untuk komputasi yang sangat cepat. Karakteristik ini memungkinkan penyerang melakukan metode brute-force untuk menebak miliaran kombinasi kata sandi per detik hingga menemukan kecocokan data yang diinginkan.
Kaspersky menekankan bahwa MD5 saat ini sudah tidak layak digunakan untuk mengamankan kata sandi dan hanya cocok untuk pengecekan integritas file sederhana. Kecepatan proses algoritma lawas tersebut justru menjadi celah fatal yang dimanfaatkan peretas untuk membongkar sistem keamanan dalam waktu singkat.
Sebagai langkah pencegahan, para pengembang sistem sangat disarankan untuk segera meninggalkan MD5 dan beralih ke fungsi hashing modern yang lebih lambat seperti bcrypt atau Argon2. Algoritma ini sengaja dirancang lebih berat secara sumber daya untuk menangkal serangan brute-force secara efektif.
Bagi pengguna individu, pengaktifan autentikasi multi-faktor (MFA/2FA) dan penggunaan passkey menjadi perlindungan tambahan yang sangat krusial. Kehadiran lapisan keamanan kedua ini berfungsi mencegah pengambilalihan akun meskipun kata sandi utama telah bocor atau berhasil didekripsi oleh peretas.
