Apa Itu Password Spraying? Kenali Cara Kerja dan Pencegahannya

Di tengah meningkatnya ketergantungan organisasi terhadap layanan digital, kata sandi masih menjadi salah satu lapisan perlindungan yang paling banyak digunakan untuk mengamankan akun. Namun, kelemahan dalam penggunaan kata sandi dapat dimanfaatkan penjahat siber melalui berbagai teknik serangan. Salah satunya adalah password spraying, metode yang memanfaatkan kata sandi umum untuk mencoba masuk ke banyak akun sekaligus.

Berbeda dengan serangan brute force yang biasanya berfokus pada satu akun dengan mencoba banyak kata sandi, password spraying justru menggunakan satu atau beberapa kata sandi yang umum terhadap banyak akun. Teknik ini membuat serangan lebih sulit dikenali sekaligus dapat menghindari mekanisme penguncian akun yang diterapkan organisasi.

Apa Itu Password Spraying?

Password spraying adalah jenis serangan terhadap sistem autentikasi yang dilakukan dengan mencoba satu kata sandi yang sama pada banyak akun pengguna. Setelah mencoba kata sandi tersebut pada sejumlah akun, penyerang biasanya berpindah ke kata sandi umum lainnya.

Tujuannya sederhana, yaitu menemukan setidaknya satu kombinasi nama pengguna dan kata sandi yang valid.

Misalnya, sebuah organisasi memiliki ribuan akun karyawan. Penyerang tidak langsung mencoba ratusan kata sandi pada satu akun karena tindakan tersebut dapat memicu sistem penguncian. Sebaliknya, penyerang mencoba satu kata sandi yang dianggap umum pada banyak akun.

Sebagai ilustrasi, penyerang dapat mencoba kata sandi yang lemah pada akun A, B, C, D, dan seterusnya. Setelah beberapa waktu, mereka mengganti kata sandi yang digunakan dan mengulangi proses yang sama. Dengan pola tersebut, aktivitas serangan dapat dibuat lebih tersebar.

Istilah spraying sendiri menggambarkan cara kerja tersebut. Kata sandi seperti "disemprotkan" ke banyak akun secara bergantian, bukan digunakan berkali-kali pada satu akun. Teknik ini menjadi berbahaya karena sebagian pengguna masih menggunakan kata sandi sederhana, mudah ditebak, atau bahkan kata sandi yang sama pada beberapa layanan.

Mengapa Password Spraying Berbahaya?

Salah satu alasan password spraying efektif adalah adanya kebijakan penguncian akun. Banyak organisasi membatasi jumlah percobaan login yang gagal. Jika seseorang memasukkan kata sandi yang salah berkali-kali pada satu akun, akun tersebut dapat dikunci sementara.

Mekanisme tersebut memang berguna untuk menghambat brute force konvensional. Namun, password spraying menggunakan pendekatan berbeda. Penyerang dapat mencoba satu kata sandi pada banyak akun sehingga setiap akun hanya mengalami sedikit percobaan login gagal. Dengan demikian, penyerang berusaha menghindari pemicu penguncian akun.

Serangan juga dapat dilakukan secara otomatis dan dalam skala besar. Jika penyerang memiliki daftar akun yang cukup banyak, mereka dapat menguji kredensial secara bertahap untuk mencari akun yang memiliki kata sandi lemah.

Targetnya tidak selalu pengguna biasa. Akun administrator, bagian keuangan, eksekutif, atau akun dengan hak akses tinggi dapat menjadi sasaran yang lebih menarik karena kompromi terhadap satu akun saja berpotensi memberikan akses ke sumber daya penting.

Lingkungan yang menggunakan layanan cloud, single sign-on (SSO), atau autentikasi terfederasi juga perlu mendapat perhatian. Jika satu kredensial memberikan akses ke banyak layanan, keberhasilan kompromi terhadap akun dapat memperluas dampak serangan.

Bagaimana Cara Kerja Password Spraying?

Secara umum, serangan password spraying dapat berlangsung melalui beberapa tahap.

1. Mengumpulkan daftar akun pengguna
   Tahap pertama adalah mendapatkan daftar nama pengguna yang kemungkinan aktif. Informasi tersebut dapat diperoleh dari berbagai sumber. Dalam serangan nyata, penjahat siber dapat memanfaatkan data kredensial yang pernah bocor, informasi yang tersedia di internet, maupun data organisasi yang ditemukan melalui berbagai sumber terbuka.Alamat email perusahaan juga dapat membantu memperkirakan format nama pengguna.

   Misalnya, jika organisasi menggunakan pola nama.depan.nama.belakang@perusahaan, penyerang dapat membuat daftar kandidat berdasarkan informasi pegawai yang tersedia secara publik.

   Penyerang juga dapat memilih target tertentu. Akun administrator, pegawai bagian keuangan, pengelola sistem, atau pengguna dengan hak akses tinggi dapat menjadi sasaran karena nilai aksesnya lebih besar.

2. Menentukan kata sandi yang kemungkinan digunakan
   Setelah memperoleh daftar akun, penyerang mencari kata sandi yang memiliki peluang tinggi untuk berhasil. Kata sandi yang umum digunakan menjadi pilihan karena sebagian pengguna masih memilih kombinasi yang mudah diingat. Contohnya adalah kata sandi yang berkaitan dengan nama perusahaan, nama kota, olahraga, musim, tahun tertentu, atau pola sederhana. Kata sandi default juga dapat menjadi risiko apabila organisasi tidak segera menggantinya setelah akun dibuat.

   Masalahnya, kata sandi yang digunakan oleh banyak orang dapat diketahui melalui berbagai penelitian mengenai kebiasaan pengguna. Informasi tersebut dapat dimanfaatkan penyerang untuk menentukan prioritas percobaan.

3. Mencoba kredensial secara bertahap
   Setelah memiliki daftar akun dan kata sandi yang dianggap potensial, penyerang melakukan percobaan login. Dalam password spraying, satu kata sandi digunakan terhadap banyak akun. Setelah jeda tertentu, penyerang dapat berpindah ke kata sandi berikutnya dan kembali mengujinya terhadap kumpulan akun. Proses ini biasanya dibantu otomatisasi sehingga dapat dilakukan terhadap banyak akun tanpa harus dikerjakan secara manual.

   Tujuan penyerang bukan selalu mendapatkan akses ke seluruh akun. Mendapatkan satu akun valid saja dapat menjadi titik awal untuk melakukan aktivitas lanjutan, seperti mencari data sensitif, meningkatkan hak akses, atau mencoba masuk ke sistem lain.

Password Spraying vs Brute Force

Password spraying sering disamakan dengan brute force karena keduanya sama-sama menyerang mekanisme autentikasi. Namun, cara kerjanya berbeda. Pada brute force, penyerang biasanya berfokus pada satu akun dan mencoba banyak kemungkinan kata sandi sampai menemukan kombinasi yang benar.

Sementara itu, password spraying berfokus pada banyak akun dengan menggunakan satu kata sandi atau sejumlah kecil kata sandi yang dianggap umum. Sederhananya:

• Brute force: satu akun, banyak kata sandi.
• Password spraying: banyak akun, satu atau beberapa kata sandi.
• Credential stuffing: menggunakan pasangan username dan kata sandi yang sudah diperoleh dari kebocoran data untuk mencoba masuk ke layanan lain.

Perbedaan ini penting karena masing-masing serangan membutuhkan pendekatan deteksi dan mitigasi yang berbeda.

Dampak Jika Password Spraying Berhasil

Dampak serangan password spraying bergantung pada akun yang berhasil dikompromikan dan hak akses yang dimilikinya. Jika penyerang mendapatkan akses ke akun biasa, mereka mungkin dapat membaca email, mengakses dokumen internal, atau menyalahgunakan layanan yang tersedia bagi pengguna tersebut.

Namun, situasinya menjadi jauh lebih serius apabila akun yang berhasil ditembus memiliki hak akses tinggi.

Akun yang dikompromikan dapat digunakan sebagai pijakan untuk melakukan serangan lanjutan. Penyerang mungkin mencoba mengakses sistem lain, mencari kredensial tambahan, mengambil data sensitif, atau memanfaatkan kepercayaan yang melekat pada akun tersebut.

Dalam lingkungan bisnis, dampaknya dapat berupa pencurian data, penipuan transaksi, penyalahgunaan email perusahaan, gangguan operasional, hingga kebocoran informasi pelanggan.

Serangan juga dapat menimbulkan kerugian reputasi. Pelanggan dan mitra bisnis dapat mempertanyakan kemampuan organisasi dalam melindungi data mereka. Biaya pemulihan dan investigasi insiden juga dapat menjadi beban tambahan.

Tanda-Tanda Serangan Password Spraying

Mendeteksi password spraying tidak selalu mudah karena penyerang dapat berusaha membuat aktivitasnya terlihat seperti kesalahan login biasa. Meski demikian, terdapat beberapa pola yang patut dicermati.

Pertama, muncul banyak percobaan login gagal terhadap banyak akun dalam periode tertentu. Jika sebelumnya aktivitas tersebut tidak pernah terjadi, pola ini perlu diperiksa.

Kedua, terdapat peningkatan jumlah kegagalan autentikasi pada banyak akun secara bersamaan. Satu pengguna yang salah memasukkan kata sandi beberapa kali belum tentu mencurigakan. Namun, jika puluhan atau ratusan akun mengalami kegagalan login dengan pola yang serupa, organisasi perlu melakukan investigasi.

Ketiga, muncul aktivitas login terhadap akun yang tidak aktif atau tidak ada. Hal ini dapat mengindikasikan bahwa penyerang sedang menggunakan daftar nama pengguna yang diperoleh dari sumber tertentu.

Keempat, terdapat pola autentikasi yang tidak biasa berdasarkan waktu, lokasi, perangkat, jaringan, atau karakteristik akses lainnya.

Karena itu, pemantauan log autentikasi menjadi bagian penting dalam mendeteksi serangan.

Cara Mencegah Password Spraying

Tidak ada satu solusi yang dapat menghilangkan seluruh risiko password spraying. Organisasi perlu menerapkan beberapa lapisan keamanan sekaligus.

• Gunakan kata sandi yang kuat dan unik
  Langkah paling mendasar adalah memastikan setiap akun menggunakan kata sandi yang kuat dan tidak mudah ditebak. Kata sandi sebaiknya tidak menggunakan informasi yang mudah diketahui, seperti nama, tanggal lahir, nama perusahaan, atau kombinasi sederhana.

  Selain kuat, kata sandi juga sebaiknya unik untuk setiap layanan. Jika satu kata sandi digunakan pada banyak akun dan kemudian bocor, penyerang dapat mencoba menggunakannya pada layanan lain.

• Gunakan autentikasi multifaktor
  Multi-factor authentication (MFA) merupakan salah satu lapisan perlindungan penting terhadap serangan berbasis kata sandi.  Dengan MFA, keberhasilan mengetahui kata sandi belum tentu cukup untuk masuk ke akun karena pengguna masih harus memberikan faktor autentikasi tambahan.

  Metode autentikasi yang lebih tahan terhadap serangan phishing, seperti passkey atau perangkat keamanan tertentu, juga dapat dipertimbangkan sesuai kebutuhan organisasi.

• Pantau log autentikasi
  Tim keamanan perlu memantau aktivitas login untuk menemukan pola yang tidak normal. Sistem deteksi dapat mencari indikasi seperti satu sumber yang mencoba masuk ke banyak akun, peningkatan kegagalan autentikasi secara bersamaan, atau pola akses yang berbeda dari kebiasaan pengguna. Informasi tersebut dapat dikombinasikan dengan sistem SIEM, EDR, atau solusi keamanan identitas agar tim keamanan memperoleh gambaran yang lebih lengkap.

• Terapkan kebijakan penguncian akun secara tepat
  Kebijakan penguncian dapat membantu membatasi percobaan autentikasi berulang. Namun, penerapannya harus dilakukan secara seimbang. Jika ambang batas terlalu longgar, penyerang memperoleh lebih banyak kesempatan untuk mencoba kredensial. Sebaliknya, jika terlalu ketat, pengguna sah dapat sering terkunci hanya karena salah memasukkan kata sandi.

  Karena itu, kebijakan penguncian perlu disesuaikan dengan karakteristik organisasi dan dilengkapi prosedur pemulihan akun yang aman.

• Terapkan prinsip Zero Trust
  Pendekatan Zero Trust menekankan bahwa tidak ada pengguna atau perangkat yang otomatis dipercaya hanya karena berada di dalam jaringan organisasi. Setiap permintaan akses perlu diverifikasi berdasarkan identitas, perangkat, konteks, dan tingkat risiko. Hak akses juga diberikan sesuai kebutuhan, bukan secara berlebihan.Pendekatan tersebut dapat membatasi dampak apabila satu akun berhasil dikompromikan.

• Gunakan pengelola kata sandi
  Jumlah akun digital yang dimiliki pengguna terus bertambah. Kondisi ini membuat sebagian orang memilih kata sandi yang sederhana agar mudah diingat. Pengelola kata sandi dapat membantu pengguna membuat dan menyimpan kata sandi yang panjang serta unik untuk setiap layanan. Dengan begitu, pengguna tidak perlu mengingat seluruh kredensial secara manual.

• Pertimbangkan biometrik dan passkey
  Autentikasi biometrik, seperti sidik jari atau pengenalan wajah, dapat menjadi alternatif terhadap penggunaan kata sandi dalam situasi tertentu. Passkey juga semakin banyak digunakan sebagai metode autentikasi yang tidak bergantung pada kata sandi tradisional. Teknologi tersebut dapat mengurangi risiko yang muncul akibat penggunaan kata sandi lemah atau kata sandi yang digunakan berulang.

• Pengguna Juga Memiliki Peran Penting
  Mencegah password spraying bukan hanya tanggung jawab tim keamanan atau administrator. Pengguna memiliki peran yang sama pentingnya. Pengguna sebaiknya tidak menggunakan kata sandi yang sama untuk berbagai layanan. Jangan pula menggunakan kata sandi yang berkaitan dengan informasi pribadi dan mudah ditebak.

  Jika menerima notifikasi login yang tidak dikenal, pengguna sebaiknya segera melaporkannya kepada tim TI atau keamanan organisasi. Perubahan kata sandi juga perlu dilakukan melalui saluran resmi, bukan melalui tautan mencurigakan yang dikirim melalui email atau pesan.

Kesimpulan

Password spraying merupakan serangan yang terlihat sederhana, tetapi dapat menimbulkan dampak serius apabila organisasi masih bergantung pada kata sandi yang lemah dan tidak memiliki pemantauan autentikasi yang baik.

Kekuatan serangan ini terletak pada pendekatannya yang menyebar. Alih-alih mencoba banyak kata sandi pada satu akun, penyerang mencoba kata sandi yang sama pada banyak akun untuk mengurangi kemungkinan terdeteksi oleh mekanisme penguncian.

Karena itu, perlindungan tidak cukup hanya dengan membuat kebijakan kata sandi. Organisasi perlu menggabungkan kata sandi yang kuat dan unik, MFA, pemantauan log, kebijakan penguncian yang tepat, prinsip Zero Trust, pengelola kata sandi, serta metode autentikasi modern.

Pada akhirnya, keamanan akun merupakan kombinasi antara teknologi, kebijakan, dan kebiasaan pengguna. Semakin baik ketiga aspek tersebut diterapkan, semakin kecil peluang password spraying berhasil menjadi pintu masuk menuju sistem dan data organisasi.