Infostealer Mengintai, Ini Cara Malware Curi Data Diam-Diam

Di tengah semakin tingginya aktivitas digital, pencurian data tidak selalu dilakukan dengan cara yang terlihat mencolok. Ada jenis malware yang bekerja diam-diam di perangkat korban, mengumpulkan username, password, cookie, hingga informasi keuangan tanpa disadari pemiliknya. Malware tersebut dikenal sebagai infostealer.

Infostealer menjadi salah satu ancaman siber yang perlu diperhatikan karena tidak hanya mengincar perusahaan besar. Perangkat pribadi yang digunakan untuk mengakses layanan digital, termasuk perangkat karyawan yang terhubung dengan sistem perusahaan, juga dapat menjadi sasaran.

Yang membuat ancaman ini semakin serius adalah data yang dicuri tidak berhenti pada perangkat korban. Informasi tersebut dapat dikumpulkan menjadi "log", kemudian diperjualbelikan di pasar bawah tanah dan dimanfaatkan pelaku lain untuk melancarkan serangan yang lebih besar.

Apa Itu Infostealer?

Infostealer adalah jenis malware atau perangkat lunak berbahaya yang dirancang untuk mencuri informasi dari perangkat korban. Targetnya dapat berupa kredensial login, password, data kartu pembayaran, informasi akun, hingga data yang tersimpan di browser.

Malware ini umumnya bekerja secara diam-diam. Setelah berhasil masuk ke perangkat, infostealer dapat mencari informasi berharga yang tersimpan di dalamnya dan mengirimkan data tersebut kepada pelaku. Salah satu sasaran utama infostealer adalah browser. Pasalnya, browser sering digunakan untuk menyimpan password, cookie, data pengisian otomatis, serta informasi lain yang berkaitan dengan berbagai layanan online.

Infostealer dapat masuk ke perangkat melalui berbagai cara. Phishing, misalnya, dapat mengelabui korban agar mengklik tautan atau membuka lampiran berbahaya. Selain itu, malware juga dapat disebarkan melalui aplikasi atau file yang telah dimodifikasi, situs berbahaya, serta malvertising, yaitu iklan online yang sengaja digunakan untuk menyebarkan malware.

Karena proses pencurian berlangsung di belakang layar, korban sering kali tidak mengetahui bahwa perangkatnya telah terinfeksi sampai akun mereka digunakan secara tidak sah atau data mereka muncul di pasar gelap.

Mengapa Infostealer Semakin Berbahaya?

Ancaman infostealer berkembang seiring dengan terbentuknya ekosistem perdagangan data curian. Data yang berhasil dikumpulkan tidak harus digunakan langsung oleh orang yang mencurinya. Informasi tersebut dapat dikemas sebagai log dan dijual kepada pelaku lain. Dengan demikian, satu infeksi pada perangkat dapat menjadi awal dari rangkaian kejahatan siber yang lebih panjang.

Laporan State of Cyber Security 2025 dari Check Point mencatat bahwa serangan infostealer meningkat 58 persen sepanjang 2024. Laporan tersebut juga menyoroti berbagai jalur infeksi malware, perkembangan industri pencurian data perusahaan, serta potensi dampaknya terhadap keamanan organisasi.

Teknologi infostealer sendiri tidak mengalami perubahan besar dalam satu tahun terakhir. Namun, sejumlah faktor membuatnya semakin efektif. Salah satunya adalah berkembangnya pasar data curian. Selain itu, berkurangnya penggunaan botnet besar dan semakin luasnya sistem kerja jarak jauh ikut menciptakan kondisi yang menguntungkan bagi penyerang.

Pola serangan infostealer juga berbeda dengan serangan yang sejak awal dirancang untuk membobol satu perusahaan tertentu. Dalam banyak kasus, pelaku menyebarkan malware secara luas dan berharap sebagian korban memiliki data yang bernilai.

Dengan kata lain, infostealer bekerja seperti "jaring" digital. Semakin banyak perangkat yang berhasil terinfeksi, semakin besar pula kemungkinan pelaku memperoleh data yang dapat dijual atau dimanfaatkan.

Perangkat Pribadi Juga Bisa Menjadi Pintu Masuk

Salah satu fakta yang membuat infostealer menjadi perhatian perusahaan adalah banyaknya infeksi yang terjadi pada perangkat pribadi. Penelitian yang dikutip dalam laporan tersebut menunjukkan bahwa sekitar 70 persen perangkat yang terinfeksi infostealer merupakan perangkat pribadi, bukan perangkat perusahaan.

Kondisi ini berkaitan erat dengan tren Bring Your Own Device (BYOD). Melalui konsep tersebut, karyawan menggunakan laptop, komputer, atau perangkat pribadi untuk mengakses kebutuhan pekerjaan. Penggunaan perangkat pribadi memang memberikan fleksibilitas. Namun, pada saat yang sama, hal itu juga memperluas attack surface atau permukaan serangan perusahaan.

Bayangkan seorang karyawan menggunakan laptop pribadi untuk bekerja. Pada laptop yang sama terdapat akun email pribadi, akun media sosial, layanan penyimpanan cloud, password browser, serta akses ke sistem perusahaan.

Jika perangkat tersebut terinfeksi infostealer, penyerang berpotensi memperoleh informasi dari berbagai layanan sekaligus. Bahkan, data yang awalnya tampak tidak berhubungan dengan perusahaan dapat menjadi jalan menuju sumber daya perusahaan.

Bagaimana Data Curian Diperjualbelikan?

Infostealer tidak hanya menghasilkan satu atau dua password. Malware ini dapat mengumpulkan banyak informasi dari sebuah perangkat. Data tersebut kemudian dikemas dalam bentuk log. Log dapat berisi kredensial login dan informasi lain yang berpotensi digunakan untuk mendapatkan akses ke akun atau jaringan.

Setelah dikumpulkan, log dapat diperjualbelikan melalui ekosistem perdagangan data curian. Aktivitas tersebut dapat berlangsung melalui berbagai forum bawah tanah maupun platform komunikasi seperti Telegram.

Hal ini menciptakan rantai bisnis kejahatan siber. Pembuat malware mendapatkan keuntungan dengan menyediakan infostealer, sementara pengguna malware menjalankan kampanye infeksi untuk mengumpulkan data. Data yang terkumpul kemudian dapat berpindah tangan kepada pelaku lain.

Infostealer Ditawarkan sebagai Malware-as-a-Service

Tidak semua penjahat siber memiliki kemampuan untuk membuat malware sendiri. Kondisi inilah yang dimanfaatkan oleh penyedia Malware-as-a-Service (MaaS). Dalam model tersebut, pembuat malware menyediakan perangkat infostealer kepada pelanggan atau afiliasi. Mereka kemudian dapat menggunakan layanan tersebut untuk menjalankan kampanye pencurian data sendiri.

Beberapa nama infostealer yang pernah populer dalam ekosistem tersebut antara lain RedLine Stealer, LummaC2, StealC, dan Vidar.

Model MaaS membuat hambatan teknis untuk melakukan kejahatan siber menjadi lebih rendah. Seseorang tidak harus memiliki kemampuan pemrograman tingkat tinggi untuk menjalankan serangan jika perangkat yang dibutuhkan sudah tersedia sebagai layanan.

Persaingan antarpelaku MaaS juga tidak hanya berkaitan dengan kemampuan malware. Kecepatan dalam mengumpulkan, mengelompokkan, dan menyediakan log terbaru turut menentukan nilai data tersebut.

Mengapa harus cepat?

Karena data curian memiliki masa manfaat. Begitu perusahaan mengetahui adanya kebocoran, menghapus malware, mengganti password, mencabut sesi login, atau memperbaiki celah keamanan, nilai log tersebut dapat turun. Karena itu, log terbaru biasanya lebih berharga dibandingkan data lama yang kemungkinan sudah tidak dapat digunakan.

Ada Initial Access Broker di Balik Ekosistemnya

Ekosistem infostealer juga melibatkan pelaku yang dikenal sebagai Initial Access Broker (IAB). Secara sederhana, IAB dapat dipahami sebagai pihak yang menjembatani data awal hasil pencurian dengan akses yang lebih luas ke jaringan atau sistem perusahaan. Mereka memanfaatkan informasi dari log untuk mendapatkan akses ke target tertentu. Setelah akses diperoleh, akses tersebut dapat dijual kepada pelaku lain yang memiliki tujuan berbeda.

Salah satu calon pembelinya adalah kelompok ransomware.

Dengan demikian, serangan dapat berlangsung secara berantai. Infostealer mencuri data, data tersebut diperoleh atau dimanfaatkan IAB untuk mendapatkan akses, kemudian akses tersebut dapat digunakan oleh pelaku lain untuk melakukan serangan ransomware atau kejahatan lainnya.

Model bisnis seperti ini membuat pencurian informasi menjadi bagian penting dalam industri kejahatan siber modern.

Layanan Apa yang Sering Menjadi Target?

Karena kampanye infostealer biasanya dilakukan secara luas, layanan online yang memiliki banyak pengguna menjadi target yang menarik. Analisis data menunjukkan bahwa sejumlah layanan besar sering muncul dalam log yang diperjualbelikan. Lima di antaranya adalah:

• accounts.google.com
• facebook.com
• roblox.com
• login.live.com
• instagram.com

Temuan tersebut cukup masuk akal karena layanan dengan jumlah pengguna besar tentu menghasilkan lebih banyak akun yang berpotensi dicuri.

Menariknya, layanan yang berkaitan dengan gim juga cukup banyak ditemukan. Roblox, Discord, Twitch, dan Epic Games termasuk dalam sejumlah target yang sering muncul. Hal ini menunjukkan bahwa komunitas gamer juga dapat menjadi sasaran menarik bagi infostealer. Salah satu kemungkinan penyebabnya adalah kebiasaan keamanan digital yang tidak selalu sama pada setiap komunitas pengguna.

Namun, bukan berarti gamer secara otomatis lebih rentan. Faktor seperti kebiasaan menggunakan password yang sama, mengunduh aplikasi dari sumber tidak resmi, atau mengklik tautan mencurigakan tetap menjadi faktor penting dalam menentukan risiko.

Indonesia Termasuk Negara Asal Log yang Ditemukan

Infostealer kerap dikaitkan dengan pasar Rusia karena sebagian data curian diperjualbelikan melalui pasar bawah tanah yang berbasis di Rusia.

Namun, asal perangkat yang datanya dicuri tersebar di berbagai negara. Analisis terhadap log yang tersedia di Russian Market menunjukkan bahwa India menjadi salah satu negara asal log terbesar dengan persentase sekitar 10 persen. Brasil berada di posisi berikutnya dengan 8 persen.

Indonesia berada di posisi berikutnya dengan sekitar 5 persen, sama seperti Pakistan dan Mesir yang masing-masing juga tercatat sekitar 5 persen. Data tersebut menunjukkan bahwa ancaman infostealer bersifat global. Tidak ada negara atau komunitas pengguna internet yang secara otomatis terbebas dari risiko.

Bagaimana Cara Mencegah Infostealer?

Menghadapi infostealer tidak cukup hanya dengan memasang satu perangkat lunak keamanan. Perlindungan harus dilakukan secara berlapis, terutama bagi organisasi yang memiliki banyak perangkat dan pengguna. Berikut beberapa langkah yang dapat dilakukan.

1. Belajar Mengenali Phishing
   Phishing menjadi salah satu jalur yang sering digunakan untuk menyebarkan malware. Karena itu, pengguna perlu berhati-hati ketika menerima email, pesan, tautan, atau lampiran yang mencurigakan. Jangan langsung mengklik tautan hanya karena pesan terlihat berasal dari perusahaan atau layanan yang dikenal. Periksa alamat pengirim, alamat situs, konteks pesan, serta apakah ada permintaan yang tidak biasa.

   Bagi perusahaan, pelatihan keamanan siber bagi karyawan perlu dilakukan secara berkala. Sistem keamanan email juga dapat digunakan untuk membantu memblokir pesan dan tautan berbahaya.

2. Batasi Sinkronisasi Password Browser
   Browser memang memudahkan pengguna menyimpan dan mengakses password. Namun, fitur tersebut juga dapat menjadi sasaran infostealer. Perusahaan perlu mempertimbangkan kebijakan yang membatasi penyimpanan dan sinkronisasi kredensial perusahaan pada perangkat pribadi.

   Tujuannya sederhana: jika perangkat pribadi terinfeksi, informasi yang dapat digunakan untuk masuk ke sistem perusahaan tidak ikut mudah dicuri.

3. Perkuat Pengelolaan Identitas dan Akses
   Perusahaan perlu mengetahui siapa yang mengakses sistem, dari perangkat mana, dan apakah perilakunya sesuai dengan kebiasaan normal. Sistem identity management dan access control dapat membantu mendeteksi aktivitas yang mencurigakan.

   Jika terjadi aktivitas tidak wajar, sistem dapat menerapkan verifikasi tambahan atau memblokir akses untuk mencegah penyalahgunaan akun.

4. Pantau Kebocoran Data
   Perusahaan juga sebaiknya tidak hanya menunggu sampai serangan terjadi. Pemantauan terhadap pasar data curian dan dark web dapat membantu menemukan indikasi bahwa kredensial perusahaan atau karyawan telah bocor.

   Jika ditemukan data yang berkaitan dengan organisasi, tim keamanan dapat segera mengambil tindakan, misalnya mengganti password, mencabut sesi login, memeriksa perangkat yang terindikasi terinfeksi, dan memperketat akses.

5. Gunakan Endpoint Detection and Response
   Endpoint Detection and Response (EDR) dapat membantu perusahaan mendeteksi aktivitas mencurigakan pada perangkat yang terhubung ke jaringan. EDR tidak hanya mengandalkan pola malware yang sudah dikenal, tetapi juga dapat menganalisis perilaku yang mencurigakan.

   Dengan begitu, malware seperti infostealer dapat dideteksi dan ditangani lebih cepat sebelum berkembang menjadi insiden keamanan yang lebih serius.

6. Tetap Gunakan MFA
   Multi-Factor Authentication (MFA) merupakan lapisan keamanan penting untuk melindungi akun. MFA memang bukan solusi sempurna. Dalam situasi tertentu, penyerang dapat berusaha melewati mekanisme tersebut, misalnya dengan mencuri session cookie.

   Namun, MFA tetap memberikan perlindungan tambahan. Jika password berhasil dicuri oleh infostealer, pelaku tidak selalu dapat langsung masuk ke akun apabila masih membutuhkan faktor autentikasi lainnya. Karena itu, MFA sebaiknya tetap diaktifkan, terutama untuk akun yang memiliki akses ke informasi dan sistem penting.

Infostealer Bukan Sekadar Pencuri Password

Infostealer sering kali dianggap sebagai malware yang tugasnya hanya mencuri username dan password. Padahal, dampaknya dapat jauh lebih besar. Satu perangkat yang terinfeksi dapat menjadi sumber berbagai informasi berharga. Data tersebut kemudian dapat diperjualbelikan, digunakan untuk mengambil alih akun, atau dimanfaatkan sebagai pintu masuk menuju jaringan perusahaan.

Risikonya semakin besar ketika perangkat pribadi digunakan untuk bekerja. Perangkat yang awalnya hanya digunakan untuk aktivitas pribadi dapat berubah menjadi jalur menuju sistem organisasi.

Karena itu, perlindungan terhadap infostealer harus dilakukan secara menyeluruh. Pengguna perlu memiliki kebiasaan digital yang aman, sementara perusahaan harus memperkuat keamanan email, browser, identitas, perangkat, jaringan, dan akses.

Pada akhirnya, pertahanan terbaik bukanlah mengandalkan satu teknologi. Kesadaran pengguna, pengamanan perangkat, kontrol akses, pemantauan kebocoran data, EDR, dan MFA perlu bekerja bersama untuk memperkecil peluang infostealer mencuri data dan mengubahnya menjadi serangan siber yang lebih besar.