Sebagian besar pengguna internet biasanya langsung mengubah kata sandi saat mendeteksi aktivitas mencurigakan pada akun Google mereka. Langkah cepat ini kerap dianggap sebagai solusi pamungkas untuk mengamankan akun dan otomatis mendepak seluruh sesi asing yang terhubung di berbagai perangkat.
Namun, di balik rasa aman tersebut, terdapat fakta teknis yang mengejutkan. Berdasarkan dokumentasi resmi bagi pengembang, mengubah kata sandi akun Google ternyata tidak otomatis memutus izin akses aplikasi pihak ketiga yang pernah Anda hubungkan sebelumnya, kecuali aplikasi tersebut memiliki izin akses khusus ke kotak masuk Gmail.
Celah Token Otentikasi yang Luput dari Perhatian Pengguna
Banyak pengguna memanfaatkan tombol kemudahan Masuk dengan Google (Sign in with Google) di puluhan hingga ratusan aplikasi maupun situs web. Sebagian besar aplikasi ini tidak meminta akses ke surel Gmail, melainkan izin untuk membaca data profil, foto di Google Photos, jadwal di Google Calendar, kontak, hingga berkas di Google Drive.
Ketika Anda memperbarui kata sandi, sistem keamanan Google secara teknis hanya mencabut token akses (refresh token) pada aplikasi yang memiliki cakupan izin Gmail. Artinya, aplikasi pihak ketiga yang memegang izin ke Google Photos, Drive, maupun Kontak Anda akan tetap leluasa mengakses data tanpa terpengaruh oleh perubahan password tersebut.
Enam Skenario Pencabutan Izin Akun Google
Google sejatinya menetapkan enam skenario di mana izin akses aplikasi luar akan kedaluwarsa atau terputus secara permanen. Skenario tersebut mencakup pencabutan izin manual oleh pengguna, token yang tidak digunakan sama sekali selama enam bulan, perubahan kata sandi yang melibatkan akses Gmail, terlampauinya batas kuota izin aktif, habisnya masa berlaku izin berbatas waktu, atau pembatasan dari administrator organisasi.
Dari keenam kondisi tersebut, mayoritas berjalan di latar belakang tanpa notifikasi eksplisit kepada pemilik akun. Satu-satunya kendali langsung yang sepenuhnya berada di tangan pengguna adalah menghapus akses aplikasi secara manual melalui dashboard manajemen akun.
Langkah Nyata Mengamankan Data Pribadi Anda
Penting untuk diingat bahwa mencabut izin aplikasi hanya berfungsi untuk menghentikan akses pengambilan data di masa mendatang. Data pribadi Anda seperti daftar kontak atau riwayat foto yang telah disalin oleh penyedia aplikasi di masa lalu tetap tersimpan di server milik pihak ketiga tersebut.
Untuk mengamankan akun secara menyeluruh, Anda disarankan secara berkala memeriksa menu Aplikasi dan Layanan Pihak Ketiga di dalam pengaturan Akun Google. Hapus seluruh aplikasi lawas yang sudah tidak Anda gunakan lagi agar tidak meninggalkan celah kebocoran data di kemudian hari.
