Serangan Data Breach: Panduan Lengkap Phishing hingga Credential Stuffing

Pelanggaran data terjadi dalam beberapa cara utama, dan memahami mekanismenya membantu pengguna dan organisasi mengurangi risiko. Artikel ini menjelaskan metode paling umum yang digunakan penyerang untuk mengakses informasi pribadi dan bisnis, mulai dari teknik rekayasa sosial hingga otomasi serangan skala besar.

Phishing: Pintu Masuk Paling Efektif

Phishing tetap menjadi vektor serangan paling efektif untuk kompromi awal. Penyerang mengirim email, pesan teks, atau konten media sosial yang menyamar sebagai organisasi tepercaya, bank, layanan pembayaran, atau aplikasi populer, dengan tujuan mengumpulkan kredensial atau informasi pribadi.

Cara Kerja Serangan Phishing

Email phishing sering meminta penerima mengklik tautan untuk “memverifikasi akun” atau “menyelesaikan pembayaran tertunda”. Tautan itu membawa ke situs palsu yang mencerminkan tampilan asli, di mana korban memasukkan nama pengguna, kata sandi, atau nomor kartu kredit. Sistem email standar kesulitan membedakan email phishing dari komunikasi asli, terutama jika penyerang menduplikasi desain dan bahasa dengan akurat.

Penelitian terhadap insiden keamanan tahun 2023 menunjukkan bahwa phishing menjadi penyebab awal 36 persen dari semua pelanggaran data. Organisasi keuangan di Indonesia telah melaporkan lonjakan serangan phishing berbahasa Indonesia yang menargetkan pengguna aplikasi perbankan digital, sering menyamar sebagai “OJK” atau pihak bank sendiri.

Variasi Phishing Lanjutan

Spearphishing adalah phishing yang ditargetkan, ketika penyerang meneliti korban individu melalui LinkedIn, media sosial, atau informasi publik lainnya, kemudian membuat pesan yang sangat personal untuk meningkatkan kemungkinan keberhasilan. Whaling menargetkan eksekutif atau karyawan dengan akses tinggi. Kampanye phishing QR code baru-baru ini mulai bermunculan, di mana korban disuruh memindai kode untuk “memperbarui informasi”, yang sebenarnya mengarahkan ke situs phishing atau malware.

Credential Stuffing: Serangan Otomatis Skala Besar

Credential stuffing menggunakan daftar kredensial yang bocor dari pelanggaran sebelumnya. Penyerang membeli atau mengunduh daftar tersebut dari pasar gelap, lalu menjalankan skrip otomatis untuk mencoba kombinasi nama pengguna dan kata sandi itu terhadap ribuan situs berbeda, mencari kecocokan.

Serangan ini efektif karena banyak pengguna menggunakan kembali kata sandi di berbagai situs. Ketika database satu layanan bocor, misalnya situs e-commerce atau jaringan sosial, kredensial tersebut menjadi aset berharga bagi penyerang yang ingin mengakses akun email, perbankan, atau aplikasi pembayaran pengguna yang sama.

Bot otomatis credential stuffing dapat mencoba jutaan kombinasi dalam hitungan jam, sering menghindari sistem deteksi dengan beralih IP address, memanfaatkan jaringan proksi, dan menggabungkan kecepatan dengan pola permintaan yang terlihat sah. Layanan captcha sering dilewati menggunakan layanan pemecahan captcha berbayar.

Injeksi SQL dan Kerentanan Aplikasi Web

Pelanggaran data sering terjadi ketika aplikasi web memiliki kerentanan dalam cara mereka menangani masukan pengguna. Injeksi SQL memungkinkan penyerang memasukkan perintah database berbahaya melalui kolom form, mengakses atau memodifikasi data secara langsung.

Contoh sederhana: jika aplikasi mengambil masukan dari bidang pencarian tanpa validasi yang ketat, penyerang dapat mengetikkan perintah SQL alih-alih istilah pencarian. Jika aplikasi menghubungkan masukan langsung ke kueri database, perintah itu dijalankan dengan izin aplikasi, membuka akses ke tabel pengguna, kata sandi, atau data transaksi.

Kerentanan lintas situs (XSS) dan cross-site request forgery (CSRF) bekerja dengan cara serupa, menyuntikkan kode yang dijalankan di browser pengguna atau membuat pengguna melakukan tindakan tanpa pengetahuan. Menurut laporan keamanan industri, kerentanan aplikasi web menyebabkan 15 hingga 25 persen dari semua pelanggaran data.

Malware dan Keylogger

Malware dirancang untuk menjalankan tindakan tidak sah di perangkat pengguna. Keylogger mencatat setiap penekanan tombol, menangkap kata sandi saat pengguna mengetiknya. Program spyware mengawasi akun email, pesan, atau riwayat browsing. Trojan memalsukan aplikasi asli untuk mengumpulkan data login saat pengguna masuk ke akun.

Malware sering didistribusikan melalui lampiran email, file unduhan dari situs yang dikompromikan, atau aplikasi pihak ketiga yang dipercaya. Pengguna Android dan iOS juga berisiko jika mengunduh aplikasi dari sumber tidak resmi, meskipun toko aplikasi resmi memiliki langkah verifikasi.

Rekayasa Sosial dan Insider Threats

Rekayasa sosial adalah seni memanipulasi manusia untuk membagikan informasi rahasia. Penyerang mungkin menelepon departemen IT, menyamar sebagai karyawan baru yang lupa kata sandi, atau berbicara kepada resepsionis sambil menyamar sebagai vendor. Pendekatan low-tech ini sering berhasil karena mengandalkan kepercayaan manusia daripada kerentanan teknis.

Insider threats, yakni karyawan atau kontraktor dengan akses sistem yang berniat jahat atau ceroboh, menyumbang pelanggaran signifikan. Karyawan yang akan pergi mungkin mengunduh data pelanggan untuk membawa ke pesaing. Karyawan yang tidak berhati-hati mungkin membagikan kredensial admin di email grup atau menyimpan catatan di folder bersama yang dapat diakses pihak luar.

Kerentanan Sistem yang Tidak Diperbaiki

Organisasi sering tertinggal dalam menerapkan patch keamanan untuk sistem operasi, aplikasi, atau plugin. Penyerang memantau pengumuman kerentanan publik dan langsung mencari sistem yang belum diperbaiki, mengaksesnya sebelum pengguna sempat melakukan update.

Masa tunggu antara pengumuman kerentanan dan pelepasan patch menciptakan peluang. Sistem lama yang kedaluwarsa tidak menerima patch sama sekali, membuat mereka target yang mudah.

Langkah Perlindungan Praktis

Untuk Individu

Gunakan kata sandi unik untuk setiap akun penting, terutama email dan perbankan, dengan campuran huruf, angka, dan simbol minimal 12 karakter. Manajer kata sandi seperti Bitwarden atau 1Password menyimpan kredensial terenkripsi lokal atau di cloud yang aman. Aktifkan autentikasi multi-faktor (MFA) di semua akun yang mendukungnya, tidak hanya SMS, tetapi aplikasi autentikasi seperti Google Authenticator yang lebih aman dari phishing.

Sebelum memasukkan kredensial, periksa URL browser dengan cermat. Situs phishing sering menggunakan domain yang mirip dengan asli, seperti “faceb00k.com” atau “paypa1.co.id” bukan “paypal.com”. Hindari mengklik tautan di email, ketik alamat sendiri di browser atau gunakan bookmark.

Untuk Organisasi

Implementasikan autentikasi berbasis kunci, seperti WebAuthn atau passkeys, yang tidak rentan terhadap phishing karena bersifat kriptografis. Lakukan pelatihan keamanan reguler untuk karyawan yang mencakup mengenali email phishing, menangani data sensitif, dan melaporkan insiden yang mencurigakan. Terapkan kontrol akses berbasis peran sehingga karyawan hanya memiliki izin yang diperlukan untuk pekerjaan mereka.

Update sistem secara teratur dengan patch keamanan terbaru. Gunakan Web Application Firewall (WAF) untuk mendeteksi dan memblokir serangan injeksi SQL umum. Monitor log akses untuk aktivitas mencurigakan, dan pertahankan cadangan data offline yang tidak dapat diakses dari jaringan utama.

Deteksi Setelah Kompromi

Tidak semua pelanggaran terdeteksi segera. Jika Anda mencurigai akun telah dikompromikan, periksa riwayat login dan aktivitas baru-baru ini di halaman keamanan akun Anda. Ubah kata sandi dari perangkat yang diketahui aman, dan pilih yang belum pernah digunakan sebelumnya. Jika pembayaran tidak sah muncul, hubungi bank Anda dengan segera.

Untuk organisasi, sistem deteksi ancaman modern dapat mengidentifikasi perilaku pengguna yang tidak biasa: login dari lokasi geografis baru, volume unduhan data yang tidak normal, atau akses ke file di luar pola kerja normal, yang menunjukkan akun telah dikompromikan.