Panduan Keamanan Rapat Online di Zoom dan Google Meet

Foto: MIKI Yoshihito — CC BY 2.0

Ringkasan Cepat

• Zoombombing terjadi karena tautan rapat mudah tersebar dan pintu masuk tidak dijaga; kata sandi ruang plus ruang tunggu menutup celah itu.
• Zoom memakai istilah passcode dan waiting room, sedangkan Google Meet mengandalkan kode rapat, batasan “hanya yang diundang”, dan antrean persetujuan host.
• Selain setelan, kebiasaan host—hadir lebih awal, menunjuk co-host, membatasi berbagi layar, dan respons cepat saat insiden—menentukan hasil akhirnya.

Zoombombing—masuknya peserta tak diundang ke rapat online—bisa dicegah dengan tiga pengaturan dasar: kata sandi ruang, ruang tunggu, dan kontrol host yang aktif sejak menit pertama. Panduan ini merangkum cara mengaktifkan dan memakai ketiganya di Zoom maupun Google Meet, dilengkapi kebiasaan operasional yang menutup celah paling umum.

Mengapa Rapat Online Rawan Disalahgunakan

Rapat virtual pada dasarnya adalah ruang yang pintunya bisa dibuka siapa saja yang memegang tautan. Tidak ada resepsionis yang memeriksa identitas, dan sebagian besar platform mengizinkan peserta bergabung tanpa akun terverifikasi. Kombinasi itu membuat satu tautan yang bocor sudah cukup untuk mengubah rapat internal menjadi panggung bagi orang tak diundang.

Fenomena ini dikenal sebagai zoombombing, meski tidak hanya terjadi di Zoom. Bentuk gangguannya beragam: menyematkan gambar tidak pantas lewat kamera, memutar audio keras, membanjiri kolom chat, sampai mengambil alih kendali berbagi layar. Dampaknya bukan hanya rapat yang bubar lebih cepat, tetapi juga kebocoran informasi—daftar nama peserta, materi presentasi, atau dokumen yang tanpa sengaja terlihat di layar.

Risiko ini lebih sering muncul dari kebiasaan daripada dari celah teknis. Tautan rapat biasanya diteruskan berulang kali di grup chat, ditempel di agenda publik, atau tertinggal di deskripsi acara daring. Ada pula pola phishing berupa undangan rapat palsu yang mengarahkan korban ke halaman login tiruan, sehingga penting memastikan tautan benar-benar berasal dari domain resmi penyelenggara—sejalan dengan panduan mengamankan akun domain dan DNS.

• ID rapat permanen (Personal Meeting ID) yang dipakai terus-menerus untuk semua sesi, termasuk rapat terbuka.
• Rapat tanpa kata sandi sehingga mengetahui ID atau tautan saja sudah cukup untuk masuk.
• Host belum hadir saat peserta pertama masuk, sehingga tidak ada yang menyaring.
• Izin berbagi layar dan chat dibuka untuk semua peserta, termasuk tamu tak dikenal.

Kata Sandi Ruang: Lapisan Pertahanan Pertama

Kata sandi ruang memastikan bahwa mengetahui ID rapat saja tidak cukup untuk masuk. Di Zoom, fitur ini disebut passcode dan bisa diwajibkan di tingkat akun maupun per rapat. Saat membuat undangan, Zoom umumnya menyematkan sandi ke dalam tautan (embedded passcode)—praktis, tetapi artinya siapa pun yang menerima tautan tersebut otomatis memegang sandinya. Karena itu, kata sandi sebaiknya dipadukan dengan ruang tunggu, bukan dijadikan satu-satunya pertahanan.

Google Meet tidak memakai istilah kata sandi ruang, tetapi memiliki fungsi setara: kode rapat berformat tiga blok huruf yang berperan sebagai kunci, ditambah kontrol host untuk membatasi siapa yang boleh bergabung. Pilihan seperti “hanya orang yang diundang” dan pengaturan akses cepat (quick access) inilah yang menggantikan peran gerbang masuk.

• Gunakan kata sandi unik untuk rapat penting—hindari pola mudah ditebak seperti nama acara diikuti tahun.
• Jangan menempelkan kata sandi di deskripsi acara publik, media sosial, atau kanal terbuka.
• Untuk rapat berulang yang bersifat terbuka, ganti kata sandi dan tautan secara berkala.
• Amankan akun host dengan autentikasi dua faktor; akun host yang diambil alih berarti kendali rapat ikut hilang.
• Hindari memakai Personal Meeting ID untuk sesi publik; buat tautan baru per pertemuan.

Jika tautan rapat dibagikan lewat grup chat, pastikan akun pengirimnya juga terlindungi—lihat panduan mengamankan WhatsApp Business untuk UMKM.

Ruang Tunggu: Menyaring Peserta Sebelum Masuk

Ruang tunggu (waiting room) adalah lapisan kedua yang bekerja setelah kata sandi. Peserta tidak langsung masuk ke ruang utama, melainkan menunggu persetujuan host. Dengan begitu, kalaupun tautan dan sandi bocor, penyusup tetap harus melewati keputusan manusia sebelum bisa mengganggu jalannya rapat.

Di Zoom, ruang tunggu bisa diaktifkan untuk semua rapat atau per rapat, dengan pilihan siapa yang wajib menunggu: semua peserta, hanya tamu dari luar organisasi, atau hanya pengguna di luar domain tertentu. Untuk rapat internal, opsi terakhir paling nyaman karena rekan satu organisasi bisa masuk langsung sementara tamu eksternal tetap disaring.

Di Google Meet, mekanisme serupa berjalan lewat kontrol host: peserta yang tidak berada dalam daftar undangan akan menunggu izin, dan host menerima notifikasi untuk menyetujui atau menolak. Pengaturan ini dikelola dari panel kontrol host selama rapat berlangsung.

Kebiasaan moderasi saat mengizinkan peserta

1. Cocokkan nama tampilan dengan daftar undangan sebelum menekan tombol izinkan.
2. Minta konfirmasi singkat lewat chat pribadi bila nama peserta tidak dikenali.
3. Izinkan masuk satu per satu untuk rapat kecil, bukan sekaligus, agar mudah dipantau.
4. Tunjuk co-host untuk rapat besar supaya penyaringan tetap berjalan saat host sedang berbicara.

Perbandingan Setelan Keamanan Zoom dan Google Meet

Kedua platform menyediakan kontrol yang mirip dengan nama berbeda. Tabel berikut membantu Anda memetakan kebutuhan keamanan ke menu yang tepat.

Kontrol keamanan	Zoom	Google Meet
Gerbang masuk	Passcode per rapat atau akun	Kode rapat dan batasan “hanya yang diundang”
Penyaringan peserta	Waiting room dengan pilihan cakupan	Antrean persetujuan host untuk peserta di luar undangan
Mengunci rapat	Lock Meeting setelah semua peserta hadir	Tidak ada tombol kunci; gunakan pembatasan akses dan pengeluaran peserta
Berbagi layar	Dibatasi ke host saja	Diatur lewat kontrol host
Mengeluarkan peserta	Remove, dengan opsi laporkan dan blokir	Remove oleh host
Perekaman	Izin rekam lokal atau cloud, bisa dibatasi ke host	Perekaman dikendalikan host dan tersimpan di penyimpanan cloud

Satu hal yang tidak bisa digantikan setelan mana pun: pembaruan aplikasi. Celah pada klien versi lama jarang menjadi jalur masuk utama zoombombing, tetapi tetap alasan kuat untuk mengaktifkan pembaruan otomatis. Jaringan yang dipakai rapat juga layak diperhatikan, misalnya dengan mengaktifkan WPA3 dan mematikan WPS di router agar sesi kerja dari kantor atau rumah tidak mudah disadap.

Kebiasaan Sehari-hari dan Respons Saat Zoombombing Terjadi

Setelan hanya efektif bila dijalankan konsisten. Host sebaiknya masuk lebih awal, memastikan ruang tunggu aktif, membatasi berbagi layar ke host, dan mematikan fitur yang tidak diperlukan seperti anotasi atau transfer file untuk rapat publik. Untuk sesi yang melibatkan data sensitif, pertimbangkan membatasi chat ke host, serta mengingatkan peserta agar tidak menampilkan dokumen rahasia di layar.

Jika penyusup terlanjur masuk, panik adalah respons terburuk. Urutan tindakan berikut membantu menekan kerusakan secepat mungkin.

1. Kunci ruang. Aktifkan Lock Meeting di Zoom, atau hentikan penerimaan peserta baru di Google Meet.
2. Hentikan gangguan. Cabut izin berbagi layar dan mute peserta yang bermasalah dari panel peserta.
3. Keluarkan dan laporkan. Gunakan opsi remove, lalu laporkan akun tersebut ke platform bila tersedia.
4. Ganti akses. Buat tautan dan kata sandi baru untuk sesi lanjutan, jangan pakai ulang tautan yang sudah bocor.
5. Catat dan evaluasi. Simpan waktu kejadian, nama tampilan penyusup, dan tindakan yang diambil, lalu perbarui pengaturan default akun Anda.

Sebagai langkah pencegahan jangka panjang, tinjau kembali siapa saja yang memegang akses ke akun host, aktifkan notifikasi saat peserta bergabung, dan biasakan membagikan tautan rapat lewat kanal yang terbatas. Keamanan rapat online pada akhirnya bukan soal satu fitur ajaib, melainkan kombinasi gerbang masuk yang rapat, penyaringan manusia, dan kebiasaan host yang disiplin.

Pertanyaan yang Sering Diajukan (FAQ)

Apakah rapat Zoom tanpa kata sandi masih bisa aman?

Bisa, tetapi hanya jika ruang tunggu aktif dan host menyaring setiap peserta. Namun kombinasi tanpa kata sandi justru membuat tautan yang bocor langsung bisa dipakai, sehingga kata sandi tetap disarankan untuk hampir semua rapat, terutama yang bersifat terbuka atau melibatkan pihak eksternal.

Bagaimana mencegah peserta membagikan tautan rapat ke orang lain?

Batasi akses ke peserta yang diundang atau yang sudah terautentikasi, gunakan kata sandi unik per rapat, dan aktifkan ruang tunggu. Untuk rapat berulang yang sensitif, ganti tautan setiap sesi agar tautan lama tidak bisa dipakai ulang.

Apa yang harus dilakukan saat rapat sedang dibombardir?

Kunci rapat, hentikan izin berbagi layar, keluarkan peserta yang mengganggu, lalu laporkan akunnya. Setelah situasi terkendali, buat tautan dan kata sandi baru untuk sesi lanjutan serta catat kejadiannya untuk evaluasi pengaturan akun.

Apakah Google Meet punya ruang tunggu seperti Zoom?

Google Meet tidak memakai istilah ruang tunggu, tetapi memiliki mekanisme serupa: peserta di luar daftar undangan harus menunggu persetujuan host sebelum bisa masuk. Kontrol ini diatur melalui panel kontrol host selama rapat berlangsung.

Seberapa sering kata sandi rapat sebaiknya diganti?

Untuk rapat internal tertutup, kata sandi tetap bisa dipakai selama tautannya tidak disebar luas. Untuk rapat terbuka atau rutin yang dibagikan ke banyak orang, ganti kata sandi dan tautan setiap sesi atau setidaknya secara berkala, misalnya setiap minggu.

English Version — Online Meeting Security Guide for Zoom and Google Meet

Quick Summary

• Zoombombing happens because meeting links spread easily and entry points are left unguarded; room passwords plus waiting rooms close that gap.
• Zoom uses the terms passcode and waiting room, while Google Meet relies on meeting codes, “only invited people” restrictions, and a host approval queue.
• Beyond settings, host habits—joining early, appointing a co-host, restricting screen sharing, and responding quickly during incidents—determine the outcome.

Zoombombing—uninvited participants entering an online meeting—can be prevented with three basic settings: a room password, a waiting room, and host controls that are active from the first minute. This guide summarizes how to enable and use all three in both Zoom and Google Meet, along with operational habits that close the most common gaps.

Why Online Meetings Are Vulnerable to Abuse

A virtual meeting is essentially a room whose door can be opened by anyone holding the link. There is no receptionist checking identities, and most platforms allow participants to join without a verified account. That combination means one leaked link is enough to turn an internal meeting into a stage for uninvited people.

This phenomenon is known as Zoombombing, although it does not happen only on Zoom. The disruptions vary: displaying inappropriate images via camera, playing loud audio, flooding the chat, or even taking over screen-sharing controls. The impact is not only a meeting that ends early, but also information leaks—participant names, presentation materials, or documents accidentally visible on screen.

This risk more often stems from habits than from technical flaws. Meeting links are often forwarded repeatedly in chat groups, pasted into public agendas, or left in the descriptions of online events. There is also a phishing pattern involving fake meeting invitations that lead victims to imitation login pages, so it is important to make sure links actually come from the organizer's official domain—in line with the guide to securing domain and DNS accounts.

• A permanent meeting ID (Personal Meeting ID) used continuously for every session, including public meetings.
• Meetings without a password, so knowing the ID or link alone is enough to get in.
• The host is not yet present when the first participants join, so no one is screening them.
• Screen-sharing and chat permissions are open to all participants, including unknown guests.

Room Password: The First Layer of Defense

A room password ensures that knowing the meeting ID alone is not enough to get in. In Zoom, this feature is called a passcode and can be required at the account level or per meeting. When creating an invitation, Zoom generally embeds the passcode in the link (embedded passcode)—convenient, but it means anyone who receives that link automatically holds the passcode. Therefore, a password should be combined with a waiting room, not used as the only defense.

Google Meet does not use the term room password, but it has an equivalent function: a meeting code in a three-block letter format that acts as a key, plus host controls to limit who may join. Options such as “only invited people” and quick access settings are what replace the role of an entry gate.

• Use a unique password for important meetings—avoid easily guessed patterns such as the event name followed by the year.
• Do not paste the password into public event descriptions, social media, or open channels.
• For recurring open meetings, change the password and link periodically.
• Secure the host account with two-factor authentication; a compromised host account means losing control of the meeting.
• Avoid using a Personal Meeting ID for public sessions; create a new link for each meeting.

If the meeting link is shared through a chat group, make sure the sender's account is also protected—see the guide to securing WhatsApp Business for SMEs.

Waiting Room: Screening Participants Before They Enter

A waiting room (waiting room) is the second layer that works after the password. Participants do not enter the main room immediately; instead, they wait for host approval. That way, even if the link and password leak, intruders still have to pass a human decision before they can disrupt the meeting.

In Zoom, the waiting room can be enabled for all meetings or per meeting, with options for who must wait: all participants, only guests from outside the organization, or only users outside a specific domain. For internal meetings, the last option is most convenient because colleagues in the same organization can enter directly while external guests are still screened.

In Google Meet, a similar mechanism works through host controls: participants who are not on the invitation list will wait for permission, and the host receives a notification to approve or deny them. These settings are managed from the host controls panel during the meeting.

Moderation Habits When Admitting Participants

1. Match the display name against the invitation list before pressing the admit button.
2. Ask for brief confirmation via private chat if the participant's name is unrecognized.
3. Admit participants one by one for small meetings, not all at once, so they are easier to monitor.
4. Appoint a co-host for large meetings so screening continues while the host is speaking.

Comparison of Zoom and Google Meet Security Settings

Both platforms provide similar controls under different names. The following table helps you map security needs to the right menu.

Security control	Zoom	Google Meet
Entry gate	Passcode per meeting or account	Meeting code and “only invited people” restrictions
Participant screening	Waiting room with scope options	Host approval queue for participants outside the invitation list
Locking the meeting	Lock Meeting after all participants have joined	No lock button; use access restrictions and removal of participants
Screen sharing	Restricted to the host only	Managed through host controls
Removing participants	Remove, with report and block options	Remove by host
Recording	Local or cloud recording permission, can be limited to the host	Recording is controlled by the host and stored in cloud storage

One thing no setting can replace: application updates. Vulnerabilities in older client versions are rarely the main entry path for Zoombombing, but they are still a strong reason to enable automatic updates. The network used for the meeting is also worth attention, for example by enabling WPA3 and disabling WPS on the router so work sessions from the office or home are not easily intercepted.

Everyday Habits and Response When Zoombombing Happens

Settings are only effective when applied consistently. Hosts should join early, make sure the waiting room is active, restrict screen sharing to the host, and turn off unnecessary features such as annotation or file transfer for public meetings. For sessions involving sensitive data, consider restricting chat to the host and reminding participants not to display confidential documents on screen.

If an intruder has already entered, panic is the worst response. The following sequence of actions helps minimize damage as quickly as possible.

1. Lock the room. Enable Lock Meeting in Zoom, or stop admitting new participants in Google Meet.
2. Stop the disruption. Revoke screen-sharing permission and mute the disruptive participant from the participants panel.
3. Remove and report. Use the remove option, then report the account to the platform if available.
4. Change access. Create a new link and password for the continuation session; do not reuse a link that has leaked.
5. Document and evaluate. Save the time of the incident, the intruder's display name, and the actions taken, then update your account's default settings.

As a long-term preventive measure, review who has access to the host account, enable notifications when participants join, and get into the habit of sharing meeting links through restricted channels. In the end, online meeting security is not about one magic feature, but a combination of tight entry gates, human screening, and disciplined host habits.

FAQ (English)

Can a Zoom meeting without a password still be safe?

It can be, but only if the waiting room is active and the host screens every participant. However, a no-password combination means a leaked link can be used immediately, so a password is still recommended for almost all meetings, especially open ones or those involving external parties.

How do you prevent participants from sharing the meeting link with others?

Limit access to invited or authenticated participants, use a unique password per meeting, and enable the waiting room. For sensitive recurring meetings, change the link each session so old links cannot be reused.

What should be done when a meeting is being bombed?

Lock the meeting, revoke screen-sharing permission, remove the disruptive participant, and report the account. Once the situation is under control, create a new link and password for the continuation session and record the incident to evaluate account settings.

Does Google Meet have a waiting room like Zoom?

Google Meet does not use the term waiting room, but it has a similar mechanism: participants outside the invitation list must wait for host approval before they can enter. This control is managed through the host controls panel during the meeting.

How often should a meeting password be changed?

For closed internal meetings, the password can remain in use as long as the link is not widely distributed. For open or routine meetings shared with many people, change the password and link every session or at least periodically, for example every week.