Endpoint Tanpa Perlindungan Menjadi Mata Rantai Lemah
Insiden ransomware Interlock yang baru didokumentasikan, dilaporkan oleh Sophos, memberikan gambaran jelas tentang masalah yang telah diingatkan oleh tim keamanan selama berbulan-bulan: satu endpoint tanpa perlindungan dapat memberi penyerang semua waktu yang mereka butuhkan untuk mencuri kredensial dan bercokol sebelum ada yang menyadarinya. Menurut Sophos, insiden ini terjadi karena perangkat yang tidak memiliki perlindungan endpoint memungkinkan grup Interlock beroperasi tanpa memicu jenis peringatan yang biasanya akan menandai perilaku mencurigakan pada mesin yang dipantau.
Celah itu penting. Tanpa perangkat lunak keamanan yang mengawasi endpoint, penyerang memiliki ruang untuk bergerak perlahan dan sengaja, mengumpulkan kredensial login dan menyiapkan mekanisme untuk mempertahankan akses ke jaringan lama setelah kompromi awal. Ini adalah pengingat bahwa operator ransomware semakin tidak mengandalkan menerobos pertahanan dan lebih pada mengumpulkan kunci yang memungkinkan mereka masuk lewat pintu depan.
Mengapa Kredensial yang Dicuri Adalah Hadiah Utama
Kasus Interlock sesuai dengan pola yang telah didokumentasikan Sophos selama beberapa waktu. Penelitian Sophos sebelumnya menemukan bahwa 79% ransomware dimulai dengan kredensial yang dicuri, angka yang menegaskan betapa sentralnya pencurian identitas dalam operasi ransomware modern. Pelaporan Sophos yang terpisah melangkah lebih jauh, mengidentifikasi login yang dikompromikan sebagai titik masuk utama ransomware, mengungguli kerentanan perangkat lunak sebagai metode yang disukai penyerang.
Insiden Interlock menunjukkan mengapa pergeseran itu masuk akal dari sudut pandang penyerang. Mengeksploitasi kelemahan perangkat lunak sering kali memerlukan waktu yang tepat dan dapat memicu sistem deteksi yang dibuat untuk menangkap upaya eksploitasi yang tidak biasa. Sebaliknya, mencuri kredensial yang valid dan menggunakannya untuk login dapat terlihat seperti aktivitas pengguna normal, terutama pada endpoint tanpa perangkat lunak perlindungan yang berjalan untuk menandai anomali tersebut. Begitu masuk, penyerang tidak perlu memaksa masuk melalui jaringan; mereka dapat bergerak menggunakan akun yang sudah memiliki akses yang sah.
Ini juga sejalan dengan temuan terkait identitas yang lebih luas. Laporan Sophos terbaru menemukan bahwa 71% organisasi di seluruh dunia mengalami setidaknya satu pelanggaran terkait identitas pada tahun 2025, memperkuat bahwa pencurian kredensial bukanlah teknik khusus yang disediakan untuk aktor canggih. Ini telah menjadi strategi masuk default di berbagai kelompok ransomware, termasuk Interlock.
Persistensi Adalah Separuh Masalah Lainnya
Mencuri kredensial hanya berguna bagi penyerang jika mereka dapat terus menggunakannya, atau menggantinya dengan cara lain begitu akun asli dikunci. Itulah elemen kedua yang disorot Sophos dalam insiden ini: endpoint tanpa perlindungan memberi Interlock cukup waktu tanpa gangguan untuk membangun mekanisme persistensi, pada dasarnya membangun pintu belakang yang memungkinkan mereka kembali bahkan jika kredensial yang dicuri akhirnya ditemukan dan dicabut.
Proses dua langkah ini, pencurian kredensial diikuti oleh persistensi, adalah apa yang membedakan insiden yang terbatasi dari yang berkepanjangan. Organisasi yang menangkap penyalahgunaan kredensial dengan cepat sering kali dapat memutus akses sebelum kerusakan serius terjadi. Tetapi ketika tidak ada pemantauan pada perangkat yang terpengaruh, penyerang dapat menyelesaikan kedua langkah sebelum pembela bahkan tahu ada yang salah. Insiden lain di luar ranah ransomware mengikuti alur yang serupa; satu komputer yang dikompromikan di Plaza Home Mortgage sudah cukup untuk memicu investigasi pelanggaran data yang memengaruhi nomor Jaminan Sosial pelanggan, menunjukkan bagaimana satu titik lemah dalam lingkungan yang seharusnya aman bisa menjadi celah.
Apa Artinya Ini Bagi Anda
Untuk pengguna sehari-hari dan organisasi kecil, pelajaran dari insiden Interlock bukanlah hal yang abstrak. Perlindungan endpoint bukan hanya item daftar periksa perusahaan; ini adalah lapisan yang mengubah potensi kompromi selama berminggu-minggu menjadi deteksi pada hari yang sama. Jika Anda mengelola perangkat, baik laptop pribadi atau jaringan kantor kecil, mesin tanpa perlindungan yang terhubung ke sumber daya bersama adalah kewajiban bagi semua orang di jaringan itu, bukan hanya pemiliknya.
Kebersihan kredensial sama pentingnya. Menggunakan kembali kata sandi di berbagai akun, melewatkan otentikasi multi-faktor, atau membiarkan akun lama tetap aktif setelah seseorang meninggalkan organisasi, semuanya memberi penyerang lebih banyak peluang untuk menyelinap menggunakan login yang dicuri daripada mengeksploitasi bug perangkat lunak. Tren ini tidak terisolasi pada Interlock saja; ini juga menggemakan insiden yang lebih luas yang menjadi berita utama baru-baru ini, termasuk gabungan kasus spionase Zimbra Rusia dan pemerasan Stadler Rail yang telah menarik perhatian pada betapa beragam dan persistennya serangan berbasis kredensial ini.
Langkah Praktis yang Perlu Dilakukan
Pastikan setiap perangkat yang terhubung ke sistem sensitif, termasuk komputer pribadi yang digunakan untuk pekerjaan jarak jauh, memiliki perlindungan endpoint yang aktif. Terapkan otentikasi multi-faktor di mana pun didukung, karena itu mengurangi nilai kata sandi yang dicuri. Audit akun secara teratur untuk kredensial yang tidak digunakan atau terlantar, dan pantau pola login yang tidak biasa alih-alih mengasumsikan bahwa nama pengguna dan kata sandi yang valid berarti pengguna yang sah.
Insiden Interlock adalah studi kasus yang berguna justru karena tidak eksotis. Ini tidak memerlukan eksploitasi baru atau zero-day canggih. Ini memerlukan satu endpoint tanpa perlindungan dan cukup waktu untuk mencuri apa yang tampak seperti kredensial login biasa. Menutup celah itu cukup dalam jangkauan sebagian besar organisasi, dan melakukannya tetap menjadi salah satu pertahanan paling efektif terhadap kelompok ransomware yang jelas telah memutuskan bahwa kredensial, bukan kode, adalah jalan masuk termudah.
