Bagaimana sebagian besar serangan ransomware dimulai saat ini?

Empat dari lima serangan ransomware dimulai dengan identitas yang dicuri, di mana penyerang menggunakan kredensial yang valid untuk masuk alih-alih mengeksploitasi kerentanan server.

Mengapa kredensial yang dicuri dapat melewati alat keamanan tradisional?

Login dengan kredensial asli tampak seperti aktivitas pengguna normal dan tidak memicu peringatan berbasis anomali dari firewall, deteksi endpoint, atau sistem pencegahan intrusi.

Metode apa yang digunakan penyerang untuk mendapatkan kredensial yang berfungsi?

Mereka menggunakan perangkat phishing, alat credential-stuffing, dan malware infostealer, atau membeli kredensial yang bocor dari pelanggaran sebelumnya.

Apa arti pergeseran ke serangan berbasis kredensial bagi cara organisasi mempertahankan diri?

Ini mengubah fokus dari perlindungan infrastruktur ke perlindungan identitas, karena menambal server dan menggunakan firewall tidak bisa menghentikan seseorang yang masuk dengan kunci curian.

Ransomware Kini Masuk dengan Login: 4 dari 5 Serangan Dimulai dengan ID yang Dicuri

Q: Seberapa cepat operator ransomware dapat menyebabkan kerusakan setelah mereka berada di dalam jaringan?

Mereka bisa bergerak sangat cepat; satu contoh menunjukkan penyerang mengenkripsi seluruh lingkungan korban dalam waktu kurang dari 24 jam setelah mendapatkan akses awal.

Empat dari lima serangan ransomware saat ini dimulai dengan cara yang sama: dengan identitas seseorang, bukan server mereka. Statistik tunggal ini, yang dilaporkan oleh The Manila Times, mencerminkan pergeseran yang telah terbangun selama bertahun-tahun dan kini mustahil diabaikan. Penyerang tidak lagi berlomba mencari server yang belum ditambal atau mengeksploitasi zero-day. Mereka cukup masuk menggunakan kredensial yang diperoleh melalui phishing, dibeli, atau bocor, lalu berjalan melewati pintu depan seperti pengguna yang sah.

Pergeseran ini penting karena mengubah arti "keamanan" sebenarnya bagi sebagian besar organisasi dan individu. Firewall tidak bisa menghentikan seseorang yang memiliki nama pengguna dan kata sandi yang valid. Server yang sudah ditambal tidak membantu jika penyerang tidak pernah perlu mengeksploitasinya. Serangan ransomware berbasis kredensial telah memindahkan medan pertempuran dari infrastruktur jaringan ke identitas manusia, dan itu berarti pertahanan yang paling penting pun ikut berubah.

Mengapa Identitas, Bukan Infrastruktur, Menjadi Titik Masuk Baru Ransomware

Selama bertahun-tahun, strategi pertahanan ransomware berpusat pada infrastruktur: tambal server Anda, segmentasi jaringan Anda, pantau intrusi. Pertahanan itu tetap penting, tetapi menangani model ancaman yang semakin usang. Ketika empat dari lima serangan dimulai dengan login alih-alih pembobolan, kalkulasinya berubah. Penyerang telah menyadari bahwa kredensial lebih murah, lebih cepat, dan jauh lebih kecil kemungkinannya memicu alarm dibandingkan eksploitasi teknis.

Perangkat phishing, alat credential-stuffing, dan malware infostealer telah menjadikan pengumpulan detail login sebagai bisnis dengan usaha rendah dan imbalan tinggi. Gabungkan dengan banyaknya kata sandi yang digunakan ulang di akun pribadi dan kantor, dan penyerang memiliki pasokan kredensial yang berfungsi tanpa perlu menyentuh firewall. Setelah masuk, mereka tidak tampak seperti penyusup. Mereka tampak seperti karyawan, kontraktor, atau administrator yang sedang menjalankan tugas, justru itulah yang membuat pendekatan ini begitu efektif.

Bagaimana Kredensial yang Dicuri Mengelabui Pertahanan Keamanan Tradisional

Alat keamanan tradisional dibangun untuk mendeteksi anomali: pola lalu lintas yang tidak biasa, upaya akses tanpa izin, tanda tangan malware. Login yang valid menggunakan kredensial asli tidak memicu sebagian besar peringatan tersebut. Sistem deteksi endpoint, alat pencegahan intrusi, bahkan firewall yang dikonfigurasi dengan baik dirancang untuk menghentikan penyerang yang mencoba merusak sesuatu. Alat-alat itu jauh kurang efektif terhadap seseorang yang hanya menggunakan kunci yang diserahkan kepadanya, meskipun kunci itu dicuri.

Inilah salah satu alasan mengapa operasi ransomware menjadi begitu cepat setelah mendapatkan akses. Laporan tentang operasi ransomware Spirals menunjukkan penyerang mengenkripsi seluruh lingkungan korban dalam waktu kurang dari 24 jam setelah akses awal. Ketika masuk tidak memerlukan eksploitasi kerentanan, lebih banyak waktu dan sumber daya langsung digunakan ke fase perusakan. Pola yang sama terlihat dalam serangan yang terkait dengan CVE-2026-0257, kelemahan bypass autentikasi di firewall Palo Alto yang dieksploitasi oleh aktor ransomware Qilin, di mana autentikasi yang dikompromikan, bukan peretasan brute-force, memberi penyerang pijakan yang mereka butuhkan.

Autentikasi Multi-Faktor dan Pengelola Kata Sandi sebagai Garis Pertahanan Pertama

Mengingat kredensial yang dicuri adalah titik masuk utama, pertahanan paling efektif adalah yang membuat kata sandi curian menjadi kurang berguna dengan sendirinya. Autentikasi multi-faktor (MFA) adalah contoh paling jelas. Bahkan jika kata sandi dikompromikan melalui phishing atau pelanggaran data, MFA memerlukan langkah verifikasi kedua, seperti kode dari aplikasi autentikator atau kunci perangkat keras, sebelum akses diberikan. Ini tidak sepenuhnya menghilangkan risiko, tetapi menutup jalur termudah bagi penyerang yang hanya mengandalkan kredensial login.

Pengelola kata sandi mengatasi masalah terkait: penggunaan ulang kata sandi. Ketika orang menggunakan kata sandi yang sama di beberapa akun, satu kredensial yang bocor dapat membuka beberapa sistem yang tidak terkait. Pengelola kata sandi memungkinkan penggunaan kata sandi unik dan kompleks untuk setiap akun, yang membatasi dampak ledakan ketika satu set kredensial terpapar. Kedua alat ini tidak rumit untuk disiapkan, dan keduanya langsung menargetkan kelemahan yang persis dieksploitasi oleh serangan ransomware berbasis kredensial.

Peran VPN dalam Melindungi Akses Admin dan Akun Sensitif

VPN bukanlah peluru perak melawan pencurian kredensial, tetapi memainkan peran spesifik dan berguna, terutama bagi administrator dan siapa pun yang mengakses sistem sensitif dari jarak jauh. VPN mengenkripsi koneksi antara pengguna dan jaringan yang diakses, yang membantu mencegah kredensial disadap saat transit, terutama di jaringan yang tidak aman atau publik. Bagi administrator jarak jauh yang mengelola infrastruktur kritis, memasangkan akses VPN dengan MFA menambahkan lapisan gesekan berarti bagi penyerang yang hanya memiliki kata sandi curian.

Penting untuk jelas tentang apa yang tidak dilakukan VPN: VPN tidak akan menghentikan seseorang menggunakan kredensial valid yang dicuri untuk login melalui titik akses yang sah. Itu sebabnya penggunaan VPN harus dianggap sebagai salah satu lapisan di antara beberapa lapisan, bekerja bersama MFA, kebersihan kata sandi, dan pemantauan akses, bukan sebagai solusi mandiri.

Apa Artinya Ini bagi Anda

Jika Anda mengelola akun sensitif, baik untuk bisnis atau penggunaan pribadi, intinya sederhana: kata sandi Anda tidak lagi cukup, dan mungkin sudah lama tidak cukup. Serangan ransomware berbasis kredensial berhasil karena mengeksploitasi kebiasaan manusia yang dapat diprediksi, kata sandi yang digunakan ulang, login tanpa perlindungan, dan akun tanpa langkah verifikasi kedua. Menutup celah tersebut tidak memerlukan anggaran tingkat perusahaan atau keahlian teknis. Ini memerlukan kebiasaan konsisten yang diterapkan di setiap akun yang penting.

Poin-Poin yang Dapat Dilakukan

Aktifkan autentikasi multi-faktor pada setiap akun yang mendukungnya, dimulai dengan email, layanan keuangan, dan akses administratif apa pun.
Gunakan pengelola kata sandi untuk menghasilkan dan menyimpan kata sandi unik, menghilangkan risiko kredensial yang digunakan ulang dieksploitasi di beberapa akun.
Pasangkan penggunaan VPN dengan MFA untuk akses administratif jarak jauh, terutama saat mengelola sistem melalui jaringan publik atau tidak tepercaya.
Perlakukan kebersihan kredensial sebagai praktik berkelanjutan, bukan pengaturan satu kali, karena akun dan layanan baru ditambahkan secara berkala.

Kelompok ransomware telah menyesuaikan strategi mereka karena ini berhasil. Kabar baiknya adalah langkah-langkah penanganannya—MFA, pengelola kata sandi, dan kontrol akses berlapis—sudah dipahami dengan baik dan dapat dijangkau oleh hampir semua orang. Bergesernya dari membobol menjadi masuk dengan login berarti tanggung jawab pertahanan juga bergeser, dan kini terletak pada kebersihan identitas individu sama seperti pada tim keamanan jaringan.