Ketika sebuah serangan siber menjadi berita utama, biasanya karena ransomware, pelanggaran data besar, atau transfer uang yang curang. Yang jarang disebutkan adalah bagaimana penyerang awalnya masuk. Semakin sering, jawabannya adalah malware infostealer: sebuah perangkat lunak yang tenang, tidak mencolok, dirancang untuk melakukan satu hal dengan sangat baik: mengumpulkan nama pengguna, kata sandi, cookie browser, dan detail keuangan dari perangkat yang terinfeksi tanpa pernah disadari oleh korban.
Memahami bagaimana malware infostealer beroperasi, dan mengapa malware ini menjadi titik masuk pilihan bagi penjahat siber, adalah langkah pertama untuk bertahan melawan gelombang pelanggaran berbasis kredensial yang kini mendominasi laporan keamanan.
Bagaimana Malware Infostealer Sebenarnya Mencuri Data Anda
Infostealer tidak mencolok. Mereka tidak mengunci file Anda atau langsung meminta tebusan. Sebaliknya, mereka menyelinap ke perangkat melalui unduhan perangkat lunak bajakan, lampiran email berbahaya, pembaruan peramban palsu, atau iklan yang telah disusupi, lalu bekerja diam-diam di latar belakang.
Setelah terinstal, malware memindai brankas kata sandi yang disimpan di browser, cookie login yang tersimpan di cache, data pengisian otomatis, dan bahkan file dompet mata uang kripto. Malware mengemas semua yang ditemukannya menjadi apa yang oleh peneliti keamanan disebut "log pencuri", lalu mengirimkan log tersebut ke penyerang, yang sering menjualnya kembali dalam jumlah besar di pasar gelap. Satu mesin yang terinfeksi dapat menyerahkan puluhan sesi aktif, mulai dari email dan perbankan hingga VPN perusahaan dan panel admin cloud, semuanya tanpa memicu satu pun peringatan antivirus jika malware tersebut dibuat dengan baik.
Ini persis pola yang terlihat dalam paparan log pencuri SunCloudNew, di mana hampir 6.000 catatan yang berisi kata sandi teks biasa, alamat email, dan URL login muncul dari satu kumpulan data yang diretas. Korban dalam kasus itu kemungkinan tidak pernah mengeklik tautan phishing yang terkait dengan akun tertentu; malware hanya menyedot kredensial apa pun yang ada di browser mereka.
Mengapa Kredensial yang Dicuri Sekarang Menjadi Pemicu Sebagian Besar Pelanggaran dan Ransomware
Selama bertahun-tahun, email phishing dan kerentanan perangkat lunak yang belum ditambal menjadi titik masuk utama bagi penyerang yang ingin menerobos jaringan perusahaan. Hal itu telah berubah. Seperti yang dijelaskan secara rinci dalam laporan tentang bagaimana log infostealer telah menggeser phishing sebagai penyebab utama pelanggaran, para peneliti keamanan melihat kredensial login yang valid dan dicuri digunakan untuk langsung masuk melalui pintu depan alih-alih memaksa masuk.
Pergeseran ini masuk akal dari sudut pandang penyerang. Phishing memerlukan meyakinkan target untuk bertindak secara real-time, dan mengeksploitasi kerentanan perangkat lunak membutuhkan menemukan kerentanan yang belum ditambal. Membeli sekumpulan kredensial yang sudah terkumpul dari log pencuri lebih cepat, lebih murah, dan jauh lebih kecil kemungkinannya menimbulkan kecurigaan, terutama ketika kredensial tersebut mencakup cookie sesi aktif yang dapat sepenuhnya melewati permintaan login.
Dinamika ini kini juga menjadi bagian dari operasi ransomware. Menurut laporan yang menemukan bahwa empat dari lima serangan ransomware dimulai dengan identitas yang dicuri alih-alih eksploitasi jaringan, para penyerang semakin sering masuk seperti karyawan alih-alih meretas seperti penyusup stereotipikal bertudung. Pelanggaran di Stewart Home & School, yang mengungkap 3.677 catatan, mengikuti skenario yang sama: insiden ransomware yang berakar pada pencurian kredensial alih-alih eksploitasi teknis yang canggih.
Tanda-Tanda Kredensial Anda Mungkin Sudah Diretas
Karena malware infostealer dibuat untuk tidak terlihat, kebanyakan orang tidak pernah menyadari bahwa mereka terinfeksi sampai kerusakan terjadi. Beberapa tanda peringatan yang patut diperhatikan: peringatan login yang tidak dikenal atau email pengaturan ulang kata sandi yang tidak Anda minta, perangkat atau sesi browser baru yang muncul di riwayat login aktif akun Anda, perubahan tak terduga pada informasi pemulihan akun, atau perlambatan mendadak dan proses asing yang berjalan di perangkat Anda.
Layanan pemantauan kredensial dan alat pemberitahuan pelanggaran juga dapat memberi tahu ketika alamat email atau kata sandi Anda muncul di log pencuri yang bocor, sering kali sebelum Anda menyadari sesuatu yang tidak biasa. Mengingat betapa seringnya log-log ini muncul, mulai dari pelanggaran distrik sekolah kecil hingga insiden portal layanan kesehatan yang lebih besar, memeriksa apakah informasi Anda muncul di salah satunya adalah kebiasaan yang wajar, bukan paranoia.
Pertahanan Praktis: Pengelola Kata Sandi, 2FA, dan Kebiasaan Menjelajah yang Aman
Kabar baiknya adalah bahwa malware infostealer, dengan segala kesembunyiannya, dapat dikalahkan dengan kebersihan keamanan yang cukup mendasar jika diterapkan secara konsisten. Pengelola kata sandi menghilangkan kata sandi yang disimpan di browser yang dirancang khusus untuk dikikis oleh pencuri, dan memungkinkan penggunaan kata sandi unik untuk setiap akun secara realistis, bukan melelahkan. Mengaktifkan otentikasi dua faktor, idealnya melalui aplikasi autentikator daripada SMS, berarti kata sandi yang dicuri saja tidak cukup untuk memberikan akses. Menjaga perangkat lunak dan browser tetap diperbarui menutup beberapa saluran pengiriman yang diandalkan malware, dan menghindari perangkat lunak bajakan, ekstensi browser tidak resmi, serta lampiran yang tidak diminta menghilangkan vektor infeksi yang paling umum sepenuhnya.
Apa Artinya bagi Anda
Pencurian kredensial malware infostealer tidak mengharuskan Anda menjadi eksekutif di perusahaan besar atau target bernilai tinggi. Log pencuri sering kali tanpa pandang bulu, menyedot kredensial apa pun yang kebetulan ada di mesin yang terinfeksi, baik milik administrator rumah sakit, karyawan sekolah, atau konsumen sehari-hari. Insiden portal Hartford HealthCare HUSKY Medicaid menunjukkan bagaimana login kesehatan rutin pun membawa nilai nyata bagi penyerang begitu masuk ke dalam kumpulan kredensial curian. Pelajarannya bukan bahwa seseorang melakukan kesalahan, melainkan bahwa kredensial itu sendiri telah menjadi mata uang yang diperdagangkan oleh para penjahat.
Respons paling efektif bukanlah panik setiap kali log pencuri baru muncul, melainkan membuat akun Anda sendiri kurang berguna bagi siapa pun yang mungkin membelinya. Gunakan pengelola kata sandi, aktifkan otentikasi dua faktor di mana pun tersedia, dan perlakukan peringatan login yang tidak dikenal sebagai hal yang layak diselidiki, bukan diabaikan. Malware infostealer berkembang pesat berkat ketidakterlihatan dan kata sandi yang digunakan kembali. Menghilangkan keduanya adalah salah satu keputusan keamanan paling sederhana dan berdampak tinggi yang tersedia bagi siapa pun yang memiliki akun online.
