Panduan Keamanan Akun Game Mobile: 2FA & Waspada Top Up Palsu

Foto: viagallery — CC BY 2.0

Ringkasan Cepat

• Amankan dulu akun induk (email dan platform login), karena 2FA di game bergantung pada keamanan email tersebut.
• Tautkan akun hanya lewat menu resmi di dalam game atau situs penerbit, bukan melalui situs top up dan tautan event yang tidak jelas.
• Top up palsu hampir selalu meminta password, kode OTP, atau login akun game—padahal transaksi resmi cukup memakai ID pemain.

Keamanan akun game mobile bertumpu pada tiga hal: verifikasi dua langkah (2FA) yang aktif di akun induk maupun akun game, tautan akun yang hanya dilakukan melalui menu resmi, dan kewaspadaan terhadap top up palsu. Tanpa ketiganya, progres, item berbayar, dan rank yang Anda kumpulkan bertahun-tahun bisa hilang dalam hitungan menit. Panduan ini membahas langkah praktisnya untuk Mobile Legends, PUBG Mobile, Genshin Impact, dan game mobile lain yang memakai sistem akun serupa.

Mengapa Akun Game Mobile Menjadi Incaran

Akun game punya nilai nyata. Di dalamnya ada item yang dibeli dengan uang, skin terbatas, rank hasil pertandingan berbulan-bulan, hingga riwayat pertemanan dan komunitas. Karena itu, akun menjadi komoditas yang diperjualbelikan, dan penyerang tidak perlu membobol server penerbit game. Mereka cukup membobol satu akun pemain, lalu menjualnya atau memakai item di dalamnya.

Sebagian besar insiden bermula dari hal yang terlihat sepele: kata sandi yang dipakai ulang di banyak layanan, email pemulihan yang sudah tidak aktif, tautan akun ke platform yang tidak resmi, atau kepercayaan pada penawaran top up dengan harga yang tidak masuk akal.

• Kata sandi dipakai ulang. Kebocoran di satu forum atau toko online bisa membuka akun game Anda jika kredensialnya sama.
• Email pemulihan lemah. Jika email pemulihan tidak diamankan, seluruh proses pemulihan akun game ikut bisa dibajak.
• Login di perangkat bersama. Warnet, HP sewaan, atau perangkat teman sering meninggalkan sesi login yang belum keluar.
• Tautan dari DM dan grup. Undangan event, giveaway, atau "bantuan rank" lewat pesan langsung adalah jalur phishing yang paling umum.
• Pemasangan file di luar toko resmi. APK modifikasi atau tool bantuan sering meminta izin berlebihan dan menyimpan kredensial.

Pola serangan lewat tautan dan hasil pencarian palsu dibahas lebih rinci di artikel Mengenal Malvertising di Hasil Pencarian dan Media Sosial; pemain game termasuk kelompok yang sering menjadi sasaran karena terbiasa mencari kode redeem dan promo lewat mesin pencari.

Mengaktifkan 2FA dan Mengunci Akun Induk

Verifikasi dua langkah bukan fitur tunggal. Pada praktiknya, ada dua lapis yang perlu Anda amankan: akun platform yang dipakai untuk login (Google, Apple, Facebook) dan akun penerbit game itu sendiri. Jika akun platform Anda direbut, penyerang bisa masuk ke game tanpa menyentuh akun game sama sekali.

Urutan yang paling aman adalah mulai dari bawah: amankan email utama, lalu akun platform login, baru akun game dan layanan komunitasnya seperti HoYoLAB.

• Gunakan aplikasi authenticator (misalnya Google Authenticator atau Authy) atau kunci keamanan fisik jika tersedia. Kode via SMS tetap berguna, tetapi rentan terhadap pengambilalihan nomor.
• Simpan kode pemulihan di tempat yang tidak bisa diakses orang lain, bukan di catatan ponsel yang sama dengan aplikasi authenticator.
• Pasang email dan nomor pemulihan aktif. Nomor lama yang sudah tidak Anda pakai justru bisa menjadi celah pemulihan akun.
• Cek sesi dan perangkat aktif. Keluarkan perangkat yang tidak Anda kenali, termasuk sesi lama di browser.
• Perbarui password setelah ada kabar kebocoran dari layanan lain yang memakai email sama.

Tabel berikut merangkum lapisan pengamanan yang umum tersedia. Nama menu bisa berbeda atau berubah setelah pembaruan aplikasi, jadi sesuaikan dengan tampilan pengaturan akun di game Anda saat ini.

Akun / Platform	Lapisan pengamanan yang umum tersedia	Prioritas pertama
Google, Apple, Facebook	Verifikasi dua langkah, kode pemulihan, notifikasi login baru	Aktifkan 2FA di akun induk
Akun penerbit (misalnya akun Moonton untuk Mobile Legends)	Verifikasi email dan nomor, pengamanan tambahan di menu pengaturan akun	Pastikan email dan nomor aktif serta hanya Anda yang bisa mengaksesnya
PUBG Mobile	Tautan ke akun platform dan fitur kata sandi kedua di pengaturan	Aktifkan kata sandi kedua bila tersedia dan simpan tautan akun yang sah
HoYoverse (Genshin Impact) dan HoYoLAB	Verifikasi email dan nomor, pengaturan keamanan di pusat akun	Amankan email, nomor, dan tautan komunitas resmi

Setelah semua aktif, uji sendiri: coba login dari perangkat lain dan pastikan permintaan verifikasi muncul. Jika tidak muncul, berarti lapisan 2FA Anda belum benar-benar bekerja.

Tautan Akun: Lakukan Hanya dari Menu Resmi

"Tautkan akun" berarti menghubungkan progres game ke satu identitas login resmi agar bisa dipindahkan antar perangkat. Masalahnya, banyak pemain melakukan ini di tempat yang salah: situs top up, halaman giveaway, atau tautan yang dikirim lewat chat.

Aturan sederhananya, proses tautan akun hanya dilakukan dari dalam game (menu pengaturan akun) atau dari situs resmi penerbit. Jika sebuah halaman meminta Anda memasukkan kredensial game, kode OTP, atau kode verifikasi yang baru saja dikirim ke ponsel, halaman itu tidak sah sekalipun tampilannya menyerupai situs resmi.

• Jangan bagikan kode OTP kepada siapa pun, termasuk yang mengaku admin, moderator, atau pembeli akun.
• Periksa alamat situs sebelum login. Halaman tiruan sering memakai nama domain yang hanya berbeda satu atau dua huruf.
• Waspadai permintaan login lewat akun pihak ketiga dari aplikasi yang bukan penerbit resmi game tersebut.
• Batasi jumlah tautan akun ke platform yang benar-benar Anda pakai dan percaya.
• Hindari jual beli akun. Selain melanggar ketentuan layanan, transaksi seperti ini menghapus hampir semua perlindungan resmi jika terjadi sengketa.

Jika Anda aktif di komunitas atau grup jual beli, terapkan juga kebiasaan keamanan percakapan seperti pada artikel Keamanan Akun Telegram untuk Komunitas & Bisnis Indonesia, terutama soal verifikasi identitas lawan bicara dan kehati-hatian membuka tautan dari anggota baru.

Waspada Top Up Palsu dan Giveaway Palsu

Penipuan top up adalah modus paling menguntungkan bagi pelaku karena korbannya menyerahkan akses secara sukarela. Ciri utamanya bukan sekadar harga murah, tetapi jenis informasi yang diminta. Transaksi resmi umumnya cukup membutuhkan ID pemain atau ID akun; sedangkan penipuan selalu berakhir pada permintaan kata sandi, kode OTP, atau login langsung ke akun game.

• Harga terlalu jauh di bawah pasaran dengan alasan "promo terbatas" atau "stok dari dalam".
• Meminta password, PIN, atau kode OTP dengan dalih verifikasi, aktivasi, atau pengecekan akun.
• Meminta Anda login ke situs mereka memakai akun game atau akun platform.
• Menawarkan jasa rank up atau jasa push rank yang mengharuskan akun diserahkan sepenuhnya.
• Mengirim file APK atau "aplikasi top up murah" di luar toko aplikasi resmi.
• Menekan Anda dengan waktu, misalnya "promo berakhir 10 menit lagi" agar Anda tidak sempat berpikir.
• Memakai tautan pendek dan akun baru di komentar atau pesan langsung sebagai sumber informasi.

Giveaway palsu memakai pola serupa: hadiah besar, syarat mudah, dan langkah akhir berupa login atau pembayaran biaya administrasi. Jika hadiah resmi, penerbit game biasanya mengumumkan pemenang melalui kanal resmi, bukan lewat pesan pribadi dari akun anonim.

Untuk memastikan tidak ada aplikasi atau akses mencurigakan yang menempel pada akun Anda, lakukan pemeriksaan berkala seperti pada Tutorial Audit Aplikasi Pihak Ketiga di Google dan Microsoft. Kebiasaan mencabut izin aplikasi yang tidak lagi dipakai sangat membantu mencegah kebocoran dari sisi akun email.

Kebiasaan Aman dan Langkah Pemulihan Akun

Keamanan akun game lebih banyak ditentukan oleh kebiasaan harian daripada satu pengaturan canggih. Berikut daftar periksa yang bisa Anda jalankan sekarang.

1. Ganti kata sandi game dengan kombinasi unik yang tidak dipakai di layanan lain.
2. Pastikan email dan nomor pemulihan aktif serta dilindungi 2FA.
3. Keluar dari semua sesi di perangkat yang tidak Anda gunakan lagi.
4. Simpan struk pembelian atau bukti transaksi sebagai bukti kepemilikan akun.
5. Jangan pernah memasang file atau aplikasi tidak resmi untuk memodifikasi game.
6. Waspadai pesan berisi tautan yang meminta login meski pengirimnya terlihat seperti teman—akun teman Anda mungkin sudah direbut.

Jika akun sudah diambil alih, jangan panik dan jangan menghubungi "jasa pemulihan" pihak ketiga. Segera ubah kata sandi email, keluarkan semua sesi, lalu hubungi dukungan resmi penerbit game melalui kanal resmi yang tertera di situs atau aplikasi. Siapkan data pendukung seperti email terdaftar, riwayat pembelian, dan ID pemain agar proses verifikasi berjalan lebih cepat.

Ingat juga bahwa dukungan resmi tidak akan meminta kata sandi atau kode OTP Anda. Permintaan seperti itu adalah tanda penipuan, bukan bantuan.

Terakhir, tinjau pengaturan privasi dan keamanan secara berkala. Pembaruan game sering menambah opsi baru, dan beberapa opsi lama bisa berubah posisinya. Menghabiskan sepuluh menit setiap beberapa bulan untuk memeriksa akun jauh lebih murah daripada kehilangan akun yang sudah dibangun bertahun-tahun.

Pertanyaan yang Sering Diajukan (FAQ)

Apakah verifikasi dua langkah lewat SMS sudah cukup aman untuk akun game?

Kode SMS jauh lebih baik daripada tanpa 2FA, tetapi bukan pilihan terkuat karena nomor bisa dialihkan melalui praktik yang dikenal sebagai SIM swap. Jika tersedia, gunakan aplikasi authenticator atau kunci keamanan fisik. Yang tak kalah penting, pastikan email pemulihan akun game juga dilindungi 2FA, sebab banyak proses pemulihan berakhir di email.

Saya sudah mengisi data di situs top up yang ternyata palsu. Apa yang harus saya lakukan?

Segera ganti kata sandi akun game dan akun platform login, lalu keluarkan semua sesi aktif dari perangkat yang tidak dikenal. Aktifkan 2FA jika belum aktif, periksa apakah ada perubahan email atau nomor pemulihan, dan hubungi dukungan resmi penerbit game untuk melaporkan kejadian. Jika Anda sempat mengunduh file dari situs tersebut, pindai perangkat dengan pemindai keamanan yang tepercaya.

Apakah aman login ke situs top up memakai akun game?

Tidak perlu dan sebaiknya tidak dilakukan. Layanan top up resmi umumnya hanya membutuhkan ID pemain atau ID akun, bukan kata sandi. Situs yang meminta Anda login dengan akun game atau akun platform adalah tanda bahaya, terlebih jika juga meminta kode OTP.

Bagaimana cara memulihkan akun yang sudah diambil alih orang lain?

Hubungi dukungan resmi penerbit game melalui kanal resmi sesegera mungkin. Siapkan bukti kepemilikan seperti email terdaftar, ID pemain, riwayat pembelian, dan tangkapan layar transaksi. Di sisi lain, amankan email dan nomor pemulihan agar pelaku tidak bisa mengulang proses pengambilalihan. Hindari jasa pemulihan pihak ketiga karena berisiko penipuan lanjutan.

Apakah jual beli akun game berisiko?

Ya. Selain umumnya melanggar ketentuan layanan penerbit, transaksi jual beli akun membuat Anda kehilangan perlindungan resmi jika akun direbut kembali oleh penjual atau pihak lain. Akun juga sering berpindah tangan melalui prosedur yang meminta penyerahan email dan OTP, yang berarti seluruh akses diserahkan sekaligus.

English Version — Mobile Game Account Security Guide: 2FA & Beware of Fake Top-Ups

Quick Summary

• Secure the parent account first (email and login platform), because in-game 2FA depends on the security of that email.
• Link accounts only through official menus inside the game or on the publisher's site, not through top-up sites and unclear event links.
• Fake top-ups almost always ask for a password, OTP code, or game account login—even though official transactions only require the player ID.

Mobile game account security rests on three things: two-factor authentication (2FA) enabled on both the parent account and the game account, account linking performed only through official menus, and vigilance against fake top-ups. Without all three, the progress, paid items, and rank you have built up over years can disappear in minutes. This guide covers practical steps for Mobile Legends, PUBG Mobile, Genshin Impact, and other mobile games that use similar account systems.

Why Mobile Game Accounts Are Targeted

Game accounts have real value. They contain items bought with money, limited skins, ranks earned from months of matches, and even friendship and community histories. As a result, accounts become commodities that are bought and sold, and attackers do not need to breach the game publisher's servers. They only need to breach one player's account, then sell it or use the items inside.

Most incidents start from things that seem trivial: passwords reused across many services, recovery emails that are no longer active, account links to unofficial platforms, or trust in top-up offers at unreasonable prices.

• Reused passwords. A breach on one forum or online store can expose your game account if the credentials are the same.
• Weak recovery email. If the recovery email is not secured, the entire game account recovery process can also be hijacked.
• Logging in on shared devices. Internet cafes, rented phones, or friends' devices often leave login sessions that were not signed out.
• Links from DMs and groups. Event invitations, giveaways, or "rank help" via direct messages are the most common phishing routes.
• Installing files outside official stores. Modified APKs or helper tools often request excessive permissions and store credentials.

The pattern of attacks through links and fake search results is discussed in more detail in the article Understanding Malvertising in Search Results and Social Media; gamers are among the groups often targeted because they are used to looking for redeem codes and promos through search engines.

Enabling 2FA and Locking Down the Parent Account

Two-factor verification is not a single feature. In practice, there are two layers you need to secure: the platform account used to log in (Google, Apple, Facebook) and the game publisher account itself. If your platform account is taken over, an attacker can enter the game without touching the game account at all.

The safest order is to start from the bottom: secure the main email, then the login platform account, then the game account and its community services such as HoYoLAB.

• Use an authenticator app (such as Google Authenticator or Authy) or a physical security key if available. SMS codes are still useful, but they are vulnerable to number takeover.
• Store recovery codes somewhere others cannot access, not in the phone's notes app alongside the authenticator app.
• Set an active recovery email and phone number. An old number you no longer use can actually become an account recovery loophole.
• Check active sessions and devices. Sign out devices you do not recognize, including old browser sessions.
• Update passwords after news of a breach from another service that uses the same email.

The following table summarizes the security layers commonly available. Menu names may differ or change after app updates, so adjust according to the account settings display in your game at the moment.

Account / Platform	Commonly available security layers	First priority
Google, Apple, Facebook	Two-factor authentication, recovery codes, new login notifications	Enable 2FA on the parent account
Publisher account (for example, a Moonton account for Mobile Legends)	Email and phone verification, additional security in the account settings menu	Make sure the email and phone are active and only you can access them
PUBG Mobile	Link to platform account and second password feature in settings	Enable the second password if available and keep the account link legitimate
HoYoverse (Genshin Impact) and HoYoLAB	Email and phone verification, security settings in the account center	Secure the email, phone, and official community links

Once everything is active, test it yourself: try logging in from another device and make sure the verification request appears. If it does not appear, your 2FA layer is not truly working yet.

Account Linking: Do It Only from Official Menus

"Link account" means connecting game progress to one official login identity so it can be moved between devices. The problem is that many players do this in the wrong place: top-up sites, giveaway pages, or links sent via chat.

The simple rule is that account linking should only be done from inside the game (account settings menu) or from the publisher's official site. If a page asks you to enter game credentials, an OTP code, or a verification code just sent to your phone, that page is illegitimate even if its appearance resembles an official site.

• Do not share OTP codes with anyone, including those claiming to be admins, moderators, or account buyers.
• Check the site address before logging in. Fake pages often use domain names that differ by only one or two letters.
• Be wary of login requests via third-party accounts from apps that are not the game's official publisher.
• Limit the number of account links to platforms you actually use and trust.
• Avoid buying and selling accounts. Besides violating the terms of service, such transactions remove almost all official protection if a dispute occurs.

If you are active in communities or buying-and-selling groups, also apply conversation security habits like those in the article Telegram Account Security for Communities & Businesses in Indonesia, especially regarding verifying the identity of the person you are talking to and being careful about opening links from new members.

Beware of Fake Top-Ups and Fake Giveaways

Top-up scams are the most profitable scam method for perpetrators because victims voluntarily hand over access. The main sign is not merely a low price, but the type of information requested. Official transactions generally only require a player ID or account ID; scams always end with a request for a password, OTP code, or direct login to the game account.

• Prices far below market rate with reasons like "limited promo" or "insider stock."
• Asking for a password, PIN, or OTP code under the pretext of verification, activation, or account checking.
• Asking you to log in to their site using a game account or platform account.
• Offering rank-up or rank-push services that require the account to be handed over entirely.
• Sending an APK file or "cheap top-up app" outside official app stores.
• Pressuring you with time, such as "the promo ends in 10 minutes," so you do not have time to think.
• Using shortened links and new accounts in comments or direct messages as sources of information.

Fake giveaways use a similar pattern: big prizes, easy requirements, and a final step involving login or payment of an administrative fee. If a prize is official, the game publisher usually announces winners through official channels, not through private messages from anonymous accounts.

To make sure no suspicious apps or access are attached to your account, perform regular checks as in Tutorial: Auditing Third-Party Apps in Google and Microsoft. The habit of revoking permissions for apps you no longer use greatly helps prevent leaks from the email account side.

Safe Habits and Account Recovery Steps

Game account security is determined more by daily habits than by one advanced setting. Here is a checklist you can run right now.

1. Change the game password to a unique combination not used on other services.
2. Make sure the recovery email and phone number are active and protected by 2FA.
3. Sign out of all sessions on devices you no longer use.
4. Keep purchase receipts or transaction records as proof of account ownership.
5. Never install unofficial files or apps to modify the game.
6. Be wary of messages containing links that ask for login even if the sender appears to be a friend—your friend's account may already have been taken over.

If the account has already been taken over, do not panic and do not contact third-party "recovery services." Immediately change the email password, sign out all sessions, and then contact the game publisher's official support through the official channels listed on the site or app. Prepare supporting information such as the registered email, purchase history, and player ID so the verification process can move faster.

Also remember that official support will not ask for your password or OTP code. Such a request is a sign of fraud, not help.

Finally, review privacy and security settings regularly. Game updates often add new options, and some old options may change position. Spending ten minutes every few months to check your account is far cheaper than losing an account you have built over years.

FAQ (English)

Is SMS two-factor verification secure enough for a game account?

SMS codes are far better than no 2FA, but they are not the strongest option because numbers can be transferred through a practice known as SIM swap. If available, use an authenticator app or a physical security key. Equally important, make sure the game account's recovery email is also protected by 2FA, because many recovery processes end at email.

I entered data on a top-up site that turned out to be fake. What should I do?

Immediately change the password for the game account and the login platform account, then sign out all active sessions from unknown devices. Enable 2FA if it is not active, check whether the recovery email or phone number has been changed, and contact the game publisher's official support to report the incident. If you downloaded a file from that site, scan your device with a trusted security scanner.

Is it safe to log in to a top-up site using a game account?

It is unnecessary and best avoided. Official top-up services generally only require a player ID or account ID, not a password. A site that asks you to log in with a game account or platform account is a danger sign, especially if it also asks for an OTP code.

How do I recover an account that has been taken over by someone else?

Contact the game publisher's official support through official channels as soon as possible. Prepare proof of ownership such as the registered email, player ID, purchase history, and transaction screenshots. On the other hand, secure the recovery email and phone number so the perpetrator cannot repeat the takeover process. Avoid third-party recovery services because they risk further fraud.

Is buying and selling game accounts risky?

Yes. Besides generally violating the publisher's terms of service, account trading causes you to lose official protection if the account is reclaimed by the seller or another party. Accounts also often change hands through procedures that require handing over email and OTP, which means all access is handed over at once.