Gmail sulit dibobol. Google menyatakan bahwa sistemnya memblokir lebih dari 99,9% spam, upaya phishing, dan malware sebelum sampai ke Anda, serta kunci sandi atau kunci keamanan membuat akun sangat sulit dicuri. Hal itu membuat Gmail aman dari banyak ancaman umum, tetapi belum tentu pribadi.
Keamanan dan privasi menjawab pertanyaan yang berbeda:
- Keamanan menanyakan apakah penjahat dapat menyusup ke kotak masuk.
- Privasi menanyakan siapa lagi yang dapat membaca pesan ini, termasuk perusahaan yang mengelolanya.
Secara bawaan, Gmail tidak terenkripsi secara end-to-end, yang berarti pesan tidak terenkripsi dengan cara yang hanya dapat didekripsi oleh pengirim dan penerima. Google memegang kunci untuk pesan yang tersimpan, memproses isinya untuk menjalankan filter spam dan fitur seperti Smart Compose, serta menghubungkan akun ke profil Google yang sama yang mendukung bisnis periklanannya. Jadi, jawaban singkatnya: Gmail relatif aman, tetapi bukan layanan email pribadi.
- Apakah Gmail terenkripsi?
- Apakah Gmail aman?
- Apakah Gmail pribadi?
- Cara membuat Gmail lebih aman dan pribadi
- Alternatif yang lebih aman dari Gmail
Apakah Gmail terenkripsi?
Ya, tetapi tidak end-to-end. Gmail standar menggunakan TLS saat transit dan enkripsi saat disimpan. Pelanggan bisnis pada beberapa paket Google Workspace berbayar dapat menambahkan opsi yang lebih kuat.
| Jenis enkripsi | Yang dilindungi | Tersedia di | Dapatkah pesan dibaca oleh Google? |
|---|---|---|---|
| TLS | Email yang dikirim di antara server surat, bila server di seberang mendukungnya | Semua akun | Ya |
| Enkripsi saat disimpan | Email tersimpan, terhadap drive yang dicuri dan beberapa serangan terhadap infrastruktur | Semua akun | Ya |
| S/MIME terhosting | Email antarpengguna yang keduanya memiliki sertifikat S/MIME | Paket Enterprise Plus, Frontline Plus, dan Education | Ya: sertifikat dan kunci pribadi diunggah ke Gmail. |
| Enkripsi sisi klien (CSE) | Email terenkripsi di peramban dengan kunci yang dikendalikan organisasi | Enterprise Plus, Frontline Plus, Education Standard dan Plus | Tidak, tetapi organisasi dapat melakukannya. |
Di Gmail pribadi, enkripsi end-to-end yang sesungguhnya memerlukan ekstensi PGP pihak ketiga seperti Mailvelope, dan penerima juga perlu memakai PGP, perangkat lunak yang mengikuti OpenPGP, standar terbuka untuk enkripsi end-to-end.
Apakah mode rahasia Gmail mengenkripsi email?
Tidak. Mode rahasia memungkinkan pengirim menetapkan tanggal kedaluwarsa, mencabut akses, mewajibkan kode sandi SMS, serta mencegah penerima meneruskan, menyalin, mencetak, atau mengunduh pesan. Penerima tetap dapat mengambil tangkapan layar atau foto dari email. Mode rahasia membatasi apa yang dapat dilakukan penerima, tetapi tidak membuat pesan tetap pribadi dari Google.
Apakah Gmail aman?
Ya. Terhadap kata sandi yang dicuri, phishing, spam, dan malware, Gmail termasuk salah satu layanan email terkuat yang tersedia, terutama setelah kata sandi diganti dengan kunci sandi atau kunci keamanan. Berikut alasannya:
Enkripsi saat transit dan saat disimpan
Gmail mengenkripsi pesan dengan TLS (Transport Layer Security) saat pesan berpindah di antara server surat, sehingga email terlindungi saat transit selama penyedia layanan email di ujung lainnya juga mendukung TLS. Jika ikon gembok terbuka berwarna merah muncul di samping pesan, itu berarti email tersebut tidak terenkripsi.
Setelah email sampai di server Google, email tersebut terenkripsi saat disimpan. Whitepaper enkripsi Workspace(jendela baru) dari Google mencantumkan pesan dan lampiran Gmail sebagai terenkripsi dengan AES menggunakan kunci 128-bit atau lebih kuat, yang dibuat dan dikelola oleh Google.
Kedua perlindungan ini mencegah pihak luar, misalnya seseorang yang menyadap tautan jaringan atau mencuri hard drive dari pusat data. Namun, karena Google memegang kunci, Google tetap memiliki akses teknis ke email. Itulah perbedaannya dengan enkripsi end-to-end, yang hanya memungkinkan pengirim dan penerima mendekripsi pesan.
Autentikasi dua faktor dan kunci sandi
Google mendukung autentikasi dua faktor (2FA). Konfirmasi masuk dapat dilakukan lewat permintaan Google di ponsel, aplikasi autentikator, kunci sandi, kunci keamanan fisik, atau kode yang dikirim lewat pesan teks atau panggilan. Kode verifikasi yang dikirim lewat pesan teks atau panggilan rentan terhadap serangan berbasis nomor telepon, dan juru bicara Gmail mengatakan kepada Forbes pada Februari 2025(jendela baru) bahwa Google ingin “untuk beralih dari pengiriman pesan SMS untuk autentikasi.” Kunci sandi, opsi masuk bawaan Google, lebih kuat karena dapat menahan serangan daring seperti phishing.
Bagi orang yang berisiko tinggi, Google menawarkan Advanced Protection Program. Program ini mewajibkan kunci sandi atau kunci keamanan untuk masuk, hanya mengizinkan aplikasi Google dan aplikasi pihak ketiga yang terverifikasi untuk mengakses data akun, serta menjalankan pemeriksaan yang lebih ketat pada unduhan. Program ini tidak mengubah cara Gmail mengenkripsi email, sehingga Google tetap dapat membaca pesan.
Perlindungan spam, phishing, dan malware
Gmail menyaring email masuk secara otomatis. Perusahaan menyatakan bahwa Gmail memblokir hampir 10 juta email spam setiap menit, dan model AI yang lebih baru, yang diperkenalkan pada akhir 2024, memblokir 20% lebih banyak spam dibandingkan sebelumnya. Gmail juga:
- Menolak jenis lampiran berisiko, seperti file yang dapat dieksekusi, dan memperingatkan sebelum lampiran berbahaya diunduh.
- Menampilkan banner peringatan pada pesan mencurigakan, konten tidak aman, dan tautan menyesatkan.
- Mewajibkan siapa pun yang mengirim ke Gmail untuk mengautentikasi domain menggunakan SPF atau DKIM, mengirim melalui TLS, dan menjaga rasio spam di bawah 0,3%. Pengirim yang mengirim lebih dari 5.000 pesan per hari juga wajib menggunakan SPF dan DKIM, serta DMARC dan berhenti berlangganan satu klik. Email yang tidak memenuhi persyaratan ini ditolak atau dikirim ke kotak spam.
- Menampilkan logo terverifikasi (Brand Indicator for Message Identification atau BIMI) berupa tanda centang biru di samping merek yang telah memverifikasi domain dan logo. Hal ini membuat peniruan identitas lebih sulit.
Filter mengurangi risiko, tetapi tidak menghapusnya. Microsoft mendeteksi sekitar 8,3 miliar ancaman phishing berbasis email(jendela baru) pada kuartal pertama 2026, dan penyerang telah menyalahgunakan sistem Google sendiri: pada April 2025, phisher mengirimkan peringatan palsu(jendela baru) dari no-reply@google.com yang lolos pemeriksaan autentikasi Gmail.
Filter spam Gmail juga memiliki pengecualian, dan Google yang menentukan siapa yang memperolehnya. Sejak September 2026, Gmail Verified Sender Program memungkinkan komite politik AS yang terdaftar melewati filter jika mereka mengirim dari domain terverifikasi dan menjaga keluhan di bawah 0,3%. Email politik yang sebelumnya akan ditandai Gmail sebagai spam kini masuk ke kotak masuk, dan penyaringan ulangnya diserahkan kepada Anda.
Fitur keamanan akun
Alat akun Google membantu mendeteksi banyak upaya pengambilalihan akun sejak dini:
Pemeriksaan Keamanan memberikan rekomendasi yang dipersonalisasi, misalnya dengan menghapus perangkat lama atau menambahkan metode pemulihan.
Peringatan keamanan akan memberi tahu Anda melalui telepon atau email jika seseorang masuk di perangkat baru atau jika akun mengirim email dalam jumlah yang tidak biasa. Penipu meniru peringatan ini: Pada 2024, permintaan pemulihan palsu yang disertai panggilan suara AI(jendela baru) digunakan untuk mengambil alih akun. Periksa peringatan dengan membuka Akun Google secara langsung, bukan dengan mengklik tautannya.
Pengelolaan perangkat memungkinkan Anda melihat setiap perangkat yang sedang masuk dan keluar secara jarak jauh. Gunakan fitur ini setelah ada ancaman malware: Pada 2024, peneliti(jendela baru) menemukan infostealer yang tetap memiliki akses ke akun Google meskipun kata sandi sudah diatur ulang, dengan memanfaatkan token sesi yang dicuri. Google menyatakan bahwa keluar dari peramban yang terdampak, atau mencabut aksesnya dari halaman perangkat, akan memutus akses tersebut.
Telepon dan email pemulihan membantu Anda kembali masuk ke akun jika terkunci.
Enhanced Safe Browsing memberikan perlindungan lebih terhadap phishing dan malware di Chrome dan Gmail.
Insiden dan serangan keamanan Gmail
Berikut beberapa insiden keamanan Gmail yang sudah diketahui. Perlu dicatat bahwa insiden-insiden ini berawal dari sisi pengguna, melalui phishing, malware, atau kebocoran kata sandi, bukan dari pembobolan sistem Google.
- Pada Januari 2026, seorang peneliti menemukan basis data yang terekspos berisi 149 juta kredensial yang dicuri(jendela baru), sekitar 48 juta di antaranya untuk Gmail. Google menyatakan bahwa kredensial tersebut dikumpulkan oleh malware di perangkat pengguna, bukan diambil dari Google.
- Pada Agustus 2025, peretas yang dikenal sebagai ShinyHunters mencuri data dari basis data Salesforce milik Google: rincian kontak dan catatan tentang usaha kecil dan menengah. Tidak ada data Gmail yang terlibat.
- Pada Juli 2025, peneliti(jendela baru) menunjukkan bahwa teks tersembunyi dalam email dapat mengecoh fitur “Ringkas email ini” di Gemini untuk menampilkan peringatan keamanan palsu.
- Pada April 2025, pelaku phishing mengirim peringatan palsu(jendela baru) dari no-reply@google.com yang lolos pemeriksaan autentikasi Gmail, dengan tautan ke halaman dukungan palsu di Google Sites.
- Pada Oktober 2024, penipu menggunakan panggilan suara buatan AI yang menyamar sebagai dukungan Google(jendela baru) disertai permintaan pemulihan akun palsu untuk mengambil alih akun Gmail.
- Antara Oktober dan Desember 2018, dua bug di Google+ membocorkan data profil dari hingga 500.000 pengguna, lalu 52,5 juta pengguna. Google menghentikan Google+ dan memperketat akses pihak ketiga ke Gmail.
Apakah Gmail pribadi?
Tidak juga. Gmail melindungi Anda dengan baik dari pihak luar, tetapi Google sendiri dapat mengakses pesan Anda, mengumpulkan data tentang cara Anda menggunakannya, dan menautkan data tersebut ke akun Google Anda. Penyedia email yang berfokus pada privasi dan menggunakan enkripsi zero-access serta enkripsi end-to-end dirancang agar tidak dapat melakukan hal tersebut.
Gmail secara bawaan tidak terenkripsi secara end-to-end
Untuk mengindeks kotak masuk Anda agar bisa dicari dan memberi saran balasan, server Google bekerja dengan email Anda dalam bentuk yang dapat dibaca. Hal itu hanya mungkin karena Google, bukan Anda, yang memegang kunci enkripsi.
Hanya Google Workspace berbayar melalui enkripsi sisi klien yang menyediakan enkripsi end-to-end. Dengan enkripsi end-to-end, pesan dienkripsi di perangkat pengirim dan hanya didekripsi di perangkat penerima. Penyedia menyimpan data yang teracak dan tidak memiliki kuncinya.
Data apa yang dikumpulkan Google dari pengguna Gmail?
Kebijakan Privasi Google berlaku untuk Gmail sebagaimana untuk Penelusuran, Maps, dan YouTube, sehingga aktivitas Anda di semua layanan tersebut menambah informasi yang diketahui Google tentang Anda. Kebijakan ini menyebutkan kategori berikut:
| Kategori | Contoh dari kebijakan privasi Google |
|---|---|
| Hal yang Anda buat atau berikan | Nama, kata sandi, nomor telepon, informasi pembayaran, dan konten, termasuk email |
| Aplikasi, peramban, dan perangkat | Pengidentifikasi unik, jenis peramban dan perangkat, sistem operasi, laporan kerusakan |
| Alamat IP dan lokasi | Alamat IP(jendela baru), GPS, perangkat di sekitar, dan lokasi yang disimpulkan dari aktivitas Anda |
| Aktivitas di layanan Google | Pencarian, video yang ditonton, aktivitas pembelian, dan komunikasi, bergantung pada pengaturan |
Per Oktober 2026, label privasi App Store untuk aplikasi Gmail di iOS mencantumkan data yang dikumpulkan sebagai “Data Tertaut ke Anda”, termasuk pembelian, lokasi perkiraan, kontak, email dan konten pengguna lainnya, riwayat pencarian, ID pengguna dan perangkat, serta data iklan.
Ubah pengaturan privasi Google untuk menjeda Web & App Activity, nonaktifkan iklan yang dipersonalisasi di Pusat Iklan Saya, menghentikan pelacakan lokasi, …
Apakah Google menggunakan data Gmail Anda untuk iklan?
Google membantah tidak menggunakan konten email Anda untuk menargetkan iklan. Praktik itu dihentikan pada 2017, saat Google menyatakan “Konten Gmail konsumen tidak akan digunakan atau dipindai untuk personalisasi iklan apa pun.” Kebijakan Privasi Google kini menyatakan: “Kami tidak menampilkan iklan yang dipersonalisasi berdasarkan konten Anda dari Drive, Gmail, atau Foto.”
Kotak masuk Anda juga tetap menjadi bagian dari bisnis iklan Google dengan cara lain. Misalnya, Gmail menampilkan iklan berdasarkan “aktivitas daring Anda saat masuk ke Google”, seperti pencarian dan riwayat YouTube Anda. Pada 2025, otoritas perlindungan data Prancis mendenda Google 325 juta €(jendela baru), sebagian karena menyisipkan iklan di antara email di tab Promosi dan Sosial tanpa persetujuan. Google mengajukan banding, dan hingga Oktober 2026 belum ada putusan yang dilaporkan.
Apakah Gmail menggunakan email Anda untuk melatih AI?
Google membantahnya. Pada November 2025, juru bicara mengatakan kepada Tom’s Guide(jendela baru): “Kami tidak menggunakan konten Gmail Anda untuk melatih model AI Gemini kami.”
Namun, jika Anda mengizinkan Gemini membaca Gmail Anda, konten email yang ditarik ke dalam obrolan mengikuti aturan Gemini, yang memungkinkan Google menggunakan perintah dan respons Anda untuk pelatihan AI selama aktivitas Gemini disimpan. Obrolan yang ditinjau oleh manusia disimpan hingga tiga tahun.
Pengaturan fitur Smart Gmail menjalankan Smart Compose, pelacakan paket, dan kartu ringkasan. Google menyatakan bahwa jika Anda mengaktifkannya, “kami mungkin juga memproses Workspace Content & Activity Anda untuk meningkatkan fitur ini.” Namun, menonaktifkan Gemini di Gmail juga menonaktifkan fitur bertenaga AI lain yang berguna, seperti kategori kotak masuk dan Smart Reply.
Gugatan dan pelanggaran privasi Gmail
Google telah berulang kali didenda dan digugat terkait cara menangani data pengguna Gmail. Berikut beberapa contohnya:
- Pada November 2025, Thele v. Google(jendela baru) menuduh Google mengaktifkan Gemini untuk Gmail, Chat, dan Meet tanpa persetujuan. Seorang hakim menutup gugatan tersebut dengan kesempatan untuk mengubahnya pada Juli 2026, dan gugatan yang telah diubah masih menunggu keputusan.
- Pada September 2025, CNIL mendenda Google 325 juta €(jendela baru) karena menampilkan iklan di antara email di tab Promosi dan Sosial Gmail tanpa persetujuan, serta karena kuki yang ditetapkan saat pembuatan akun. CNIL menyatakan 53 juta orang melihat iklan tersebut. Google mengajukan banding.
- Pada Juli 2018, The Wall Street Journal melaporkan(jendela baru) bahwa karyawan di aplikasi email pihak ketiga pernah membaca pesan Gmail pengguna. Google menanggapi bahwa “tidak ada seorang pun di Google yang membaca Gmail Anda” kecuali dengan persetujuan atau demi keamanan, dan bahwa pengguna memberikan akses kepada aplikasi tersebut. Kemudian pada Oktober, Google membatasi akses API Gmail hanya untuk aplikasi yang “secara langsung meningkatkan fungsionalitas email.”
- Pada 2013 dan 2014, pengguna menggugat Gmail karena memindai konten email untuk menargetkan iklan(jendela baru). Gugatan class action tersebut gagal dan sebagian besar penggugat menyelesaikan kasusnya secara individual. Google menghentikan pemindaian iklan pada 2017.
Cara membuat Gmail lebih aman dan pribadi
Langkah-langkah ini membuat akun Anda jauh lebih sulit diambil alih dan mengurangi data yang dikumpulkan Google. Tidak satu pun dari langkah ini yang menghentikan Google untuk mengakses pesan Anda.
- Gunakan kunci sandi atau kunci keamanan. Siapkan salah satunya di Akun Google pada bagian Keamanan. Kunci sandi lebih tahan terhadap phishing daripada kata sandi dan kode SMS.
- Aktifkan autentikasi dua faktor dan utamakan permintaan dari Google atau aplikasi authenticator daripada pesan teks.
- Gunakan kata sandi unik yang dibuat oleh pengelola kata sandi, sehingga kebocoran dari situs web lain tidak dapat membuka Gmail Anda.
- Tinjau perangkat Anda dan keluar dari perangkat yang tidak Anda kenali.
- Hapus aplikasi pihak ketiga yang tidak lagi Anda gunakan dari daftar aplikasi terhubung di akun Anda, terutama aplikasi yang memiliki izin membaca email Anda.
- Jalankan Pemeriksaan Keamanan dan tambahkan nomor telepon dan email pemulihan yang Anda kendalikan.
- Nonaktifkan fitur cerdas di pengaturan Gmail jika Anda tidak ingin Google memproses email Anda untuk Smart Compose, kartu ringkasan, dan fitur lintas produk, lalu tinjau kontrol aktivitas di pengaturan Data & privasi Akun Google Anda.
- Pelajari cara mengenali phishing. Waspadai peringatan keamanan yang mendesak, meskipun yang tampaknya berasal dari Google.
- Jangan kirim informasi yang sangat sensitif. Gunakan email pribadi dan aman untuk hal ini.
Alternatif yang lebih pribadi dan aman dari Gmail
Jika Anda menginginkan alternatif Gmail yang lebih aman dan pribadi, carilah layanan dengan enkripsi end-to-end dan enkripsi zero-access bawaan. Proton Mail menyediakan keduanya, beserta fitur sehari-hari yang biasa diharapkan dari Gmail, pada paket gratis maupun berbayar.
Email yang Anda kirim ke pengguna Proton lain atau ke penerima yang menggunakan PGP terenkripsi secara end-to-end, termasuk badan pesan dan lampiran. Untuk kasus lainnya, Anda dapat menambahkan perlindungan kata sandi. Dengan begitu, hanya Anda dan orang yang Anda tuju yang dapat membaca email tersebut. Meskipun jarang terjadi, jika server Proton mengalami pembobolan, konten email Anda tetap terlindungi. Hal yang sama berlaku jika Proton menerima perintah pengadilan.
Proton didanai oleh langganan, bukan oleh data tentang Anda. Proton tidak pernah menampilkan iklan, melacak Anda, menjual data Anda, atau menggunakannya untuk pelatihan AI. Seperti semua aplikasi Proton, Proton Mail dilindungi oleh undang-undang privasi Swiss, salah satu yang paling kuat di dunia.
Anda dapat beralih dari Google dengan Easy Switch. Fitur ini mengimpor pesan, kontak, dan kalender Gmail, meneruskan email baru ke Proton Mail, dan memungkinkan Anda tetap mengirim email dari alamat Gmail sementara Anda membiasakan diri dengan kotak masuk baru. Saat Anda siap meninggalkan Google sepenuhnya, Anda dapat beralih sepenuhnya dan menghapus akun Gmail, langkah penting menuju deGoogling kehidupan Anda.
