Token Theft: Cara Hacker Bobol Akun Tanpa Kata Sandi

Pencurian token atau token theft menjadi salah satu ancaman keamanan siber yang perlu diwaspadai seiring meningkatnya penggunaan layanan cloud dan aplikasi digital. Serangan ini memungkinkan pelaku mendapatkan akses ke akun, aplikasi, hingga data penting tanpa harus mengetahui kata sandi korban. Bahkan, penyerang dapat melewati autentikasi multifaktor (MFA) dengan memanfaatkan token yang telah dicuri. Lantas, apa itu pencurian token, bagaimana cara kerjanya, dan bagaimana cara mencegahnya?

Apa Itu Pencurian Token?

Pencurian token adalah teknik serangan siber ketika pelaku mengambil token autentikasi yang valid, kemudian menggunakannya untuk memperoleh akses tanpa izin ke sistem, aplikasi, atau data milik korban.

Token autentikasi merupakan bukti digital bahwa pengguna telah berhasil melewati proses verifikasi identitas. Token ini biasanya diterbitkan setelah pengguna memasukkan kata sandi dan menyelesaikan proses multifactor authentication (MFA).

Dalam penggunaan sehari-hari, token memungkinkan seseorang tetap masuk ke sebuah aplikasi tanpa harus berulang kali memasukkan kata sandi. Misalnya, ketika pengguna membuka layanan email atau aplikasi kerja, sistem tidak selalu meminta mereka melakukan login kembali.

Kemudahan tersebut dimungkinkan karena aplikasi menyimpan token yang menandakan bahwa pengguna telah berhasil melakukan autentikasi.

Masalah muncul ketika token tersebut jatuh ke tangan orang yang tidak berwenang. Penyerang dapat menggunakan token untuk mengakses sistem seolah-olah mereka adalah pengguna yang sah. Dengan demikian, pencurian token berbeda dari pencurian kata sandi biasa. Penyerang tidak harus mengetahui kata sandi korban karena token yang dicuri sudah dapat digunakan sebagai bukti autentikasi.

Ancaman ini semakin penting untuk diperhatikan karena organisasi kini banyak menggunakan layanan cloud, aplikasi Software as a Service (SaaS), dan sistem identitas terpadu.

Laporan CrowdStrike 2026 Global Threat Report menemukan bahwa penyalahgunaan akun yang valid menyumbang 35% dari insiden keamanan cloud sepanjang 2025. Pencurian token menjadi salah satu teknik utama yang memungkinkan terjadinya penyalahgunaan tersebut.

Cara Kerja Token Autentikasi

Untuk memahami pencurian token, penting mengetahui bagaimana token autentikasi bekerja. Pada aplikasi modern, autentikasi berbasis token digunakan untuk mengelola sesi pengguna. Mekanisme ini memungkinkan pengguna tetap mengakses aplikasi tanpa harus berulang kali melewati proses verifikasi identitas.

Ketika pengguna berhasil login, penyedia identitas akan menerbitkan token sebagai bukti bahwa proses autentikasi telah berhasil dilakukan.

Token tersebut kemudian digunakan aplikasi untuk memverifikasi permintaan akses berikutnya. Selama token masih berlaku dan memenuhi persyaratan keamanan, pengguna dapat terus menggunakan aplikasi tanpa perlu memasukkan kata sandi kembali.

Token biasanya berisi sejumlah informasi yang telah dikodekan, seperti identitas pengguna, izin akses yang diberikan, pihak yang menerbitkan token, dan waktu kedaluwarsa. Informasi tersebut membantu sistem menentukan apakah pengguna berhak mengakses suatu layanan atau sumber daya.

Token dapat disimpan dalam beberapa tempat, termasuk cookie browser, penyimpanan lokal atau local storage, dan memori sesi. Ketika pengguna mengakses aplikasi, token biasanya dikirimkan secara otomatis bersama permintaan yang dilakukan.

Ada beberapa jenis token yang umum digunakan dalam lingkungan perusahaan.

• Pertama, session cookies, yang digunakan untuk mempertahankan sesi web yang telah terautentikasi. Cookie ini memungkinkan pengguna tetap masuk ke aplikasi selama sesi masih berlaku.
• Kedua, token OAuth, yang memberikan izin kepada aplikasi pihak ketiga untuk mengakses sumber daya atas nama pengguna. Contohnya, sebuah aplikasi dapat memperoleh izin untuk mengakses informasi tertentu dari layanan lain.
• Ketiga, JSON Web Token (JWT), yaitu format token yang membawa informasi identitas dan izin akses secara ringkas serta dilindungi tanda tangan kriptografis.
• Keempat, token penyegaran atau refresh token, yang digunakan untuk mendapatkan token akses baru tanpa mengharuskan pengguna melakukan autentikasi ulang. Token ini dapat tetap berlaku selama beberapa hari atau minggu.

Perbedaan jenis token tersebut berpengaruh terhadap dampak pencurian. Token akses yang dicuri biasanya hanya memberikan kesempatan kepada penyerang untuk mengakses sistem dalam waktu terbatas, umumnya satu jam atau kurang, sebelum kedaluwarsa.

Sebaliknya, refresh token yang dicuri dapat mempertahankan akses tanpa izin dalam waktu jauh lebih lama. Penyerang dapat terus menghasilkan token akses baru yang valid sampai pencurian terdeteksi dan token tersebut dicabut.

Karena itu, pencurian refresh token berpotensi menimbulkan dampak yang lebih besar dibandingkan pencurian token akses yang memiliki masa berlaku singkat.

Bagaimana Pencurian Token Terjadi?

Penyerang dapat menggunakan berbagai teknik untuk mendapatkan token autentikasi yang valid. Metode yang digunakan bergantung pada kondisi perangkat korban, sistem yang menjadi sasaran, dan tujuan serangan.

1. Phishing Adversary-in-the-Middle (AiTM)
   Phishing Adversary-in-the-Middle (AiTM) merupakan salah satu metode yang efektif untuk mencuri token autentikasi, terutama karena dapat melewati perlindungan MFA. Pada phishing biasa, penyerang umumnya membuat halaman login palsu untuk mengelabui korban agar memasukkan kata sandi atau informasi pribadi.

   Namun, serangan AiTM bekerja dengan cara berbeda. Penyerang meneruskan sesi autentikasi asli milik korban melalui infrastruktur yang mereka kendalikan. Korban tetap mengakses halaman autentikasi yang sah dan menyelesaikan proses login, termasuk verifikasi MFA. Namun, penyerang menyadap token sesi yang dihasilkan selama proses tersebut berlangsung.

   Setelah memperoleh token, penyerang dapat menggunakannya untuk mengakses layanan tanpa harus mengulangi proses login. Dari sudut pandang sistem yang menjadi sasaran, sesi yang digunakan penyerang dapat terlihat seperti sesi milik pengguna asli.

   Hal inilah yang membuat pencurian token melalui AiTM menjadi ancaman serius. Meskipun korban telah menggunakan MFA, penyerang tetap dapat mengambil alih sesi yang sudah berhasil diautentikasi.

2. Malware Pencuri Informasi
   Malware pencuri informasi atau infostealer merupakan jenis perangkat lunak berbahaya yang dirancang untuk mengambil informasi sensitif dari perangkat korban. Malware ini dapat menargetkan token autentikasi, cookie sesi, dan kredensial yang tersimpan di browser. Informasi yang berhasil dikumpulkan kemudian dikirimkan ke infrastruktur yang dikendalikan penyerang.CrowdStrike 2025 Global Threat Report mencatat bahwa pelaku ancaman memperbarui malware Stealc dan Vidar pada 2024 agar secara khusus menargetkan akun serta kredensial cloud. Perubahan tersebut menunjukkan bahwa malware pencuri informasi semakin dirancang untuk menyerang lingkungan cloud.

   Tren ini berlanjut pada 2025 melalui kemunculan ShaiHulud, malware pencuri informasi yang mampu menyebarkan dirinya sendiri melalui serangan rantai pasokan atau supply-chain attack pada ekosistem npm. Menurut CrowdStrike 2026 Global Threat Report, ShaiHulud tidak hanya mengumpulkan berbagai jenis kredensial dari perangkat yang terinfeksi, tetapi juga mencari token autentikasi. Token tersebut digunakan untuk menyebarkan malware dengan menginfeksi paket npm lainnya.

   Dengan demikian, token yang dicuri tidak hanya menjadi sarana untuk mengambil kredensial, tetapi juga dapat digunakan sebagai mekanisme penyebaran infeksi. Paket yang pertama kali terdampak dilaporkan telah diunduh lebih dari dua juta kali dalam beberapa minggu setelah kampanye serangan tersebut ditemukan.

3. Serangan Pass-the-Cookie dan Pass-the-Token
   Serangan pass-the-cookie dan pass-the-token dilakukan dengan menggunakan kembali token yang telah dicuri dari perangkat atau lingkungan jaringan yang berbeda. Setelah berhasil mendapatkan token, penyerang dapat memasukkannya ke dalam sesi browser mereka sendiri atau menggunakan perangkat untuk mengakses API.

   Layanan yang menerima token tersebut akan memvalidasinya dan memberikan akses jika token masih berlaku serta memenuhi persyaratan yang ditetapkan. Masalahnya, layanan tersebut tidak selalu dapat mengetahui bahwa token sedang digunakan dari perangkat yang berbeda dengan perangkat saat autentikasi awal.

   Akibatnya, penyerang dapat menggunakan token curian untuk mengakses layanan tanpa harus mengetahui kata sandi korban.

4. Cross-Site Scripting (XSS)
   Cross-site scripting (XSS) merupakan metode serangan yang memanfaatkan kerentanan pada aplikasi web. Dalam serangan ini, penyerang menyisipkan kode JavaScript berbahaya ke dalam aplikasi yang memiliki celah keamanan.

   Kode tersebut dapat membaca token yang tersimpan di browser dan mengirimkannya kepada penyerang. Salah satu hal yang membuat serangan XSS berbahaya adalah kemampuannya mengambil token tanpa memerlukan interaksi langsung dari pengguna yang menjadi sasaran.

   Jika token berhasil dicuri, penyerang dapat menggunakannya untuk mengambil alih sesi pengguna selama token masih berlaku.

5. Pencurian Primary Refresh Token (PRT)
   Primary Refresh Token (PRT) digunakan dalam Microsoft Entra ID dan implementasi sistem single sign-on (SSO) yang sejenis. PRT memungkinkan pengguna mengakses berbagai aplikasi yang terhubung dengan sistem SSO tanpa harus berulang kali melakukan autentikasi.

   Ketika PRT berhasil dicuri, penyerang berpotensi memperoleh akses ke berbagai aplikasi yang terhubung dalam lingkungan identitas organisasi. Dari segi dampak dan kemampuan mempertahankan akses, PRT yang dikompromikan memiliki dampak yang sebanding dengan serangan Golden Ticket pada Active Directory yang dikelola secara lokal atau on-premises.

   Pencurian PRT dapat memberikan akses luas dan berkelanjutan ke berbagai sistem dalam ekosistem identitas organisasi. Serangan ini juga dapat sulit dideteksi.

Mengapa Pencurian Token Berbahaya?

Pencurian token menimbulkan risiko besar karena dapat melewati mekanisme autentikasi yang selama ini diandalkan organisasi sebagai salah satu lapisan utama keamanan. Token diterbitkan setelah proses autentikasi berhasil. Karena itu, ketika token dicuri, penyerang dapat memanfaatkan hasil autentikasi tersebut untuk mengakses sistem tanpa harus melewati proses login kembali.

Penyerang yang menggunakan token curian tidak perlu memicu permintaan login baru. Mereka dapat beroperasi dalam sesi yang sudah dianggap sah oleh penyedia identitas. Kondisi ini membuat pencurian token menjadi ancaman yang berbeda dari serangan yang hanya berusaha menebak atau mencuri kata sandi.

Tantangan berikutnya adalah proses deteksi.

Aktivitas berbahaya yang dilakukan melalui sesi curian dapat terlihat sangat mirip dengan perilaku pengguna normal. Token yang digunakan masih valid, sedangkan pola aksesnya mungkin menyerupai kebiasaan pengguna.

Akibatnya, aktivitas tersebut dapat tidak memicu peringatan pada sistem yang hanya mengevaluasi peristiwa autentikasi secara terpisah. Untuk mengidentifikasi pencurian token, organisasi membutuhkan analisis perilaku yang mampu mendeteksi anomali.

Misalnya, sistem perlu memperhatikan sesi yang muncul dari lokasi geografis yang tidak biasa, alamat IP yang tidak sesuai dengan riwayat aktivitas pengguna, serta pola akses yang menyimpang dari kebiasaan normal.

Selain itu, pencurian token juga dapat membuka peluang bagi penyerang untuk berpindah dari satu sistem ke sistem lain, atau dikenal sebagai lateral movement. Token SSO atau OAuth yang valid dapat memberikan akses ke beberapa aplikasi yang saling terhubung secara bersamaan.

Dengan memanfaatkan token tersebut, penyerang dapat mengurangi sejumlah hambatan yang seharusnya memperlambat pergerakan mereka di dalam lingkungan organisasi.

Cara Melindungi Diri dari Pencurian Token

Perlindungan terhadap pencurian token membutuhkan pendekatan keamanan berlapis. Organisasi perlu memastikan bahwa mekanisme autentikasi, pengelolaan token, dan pemantauan aktivitas berjalan secara terintegrasi.

Berikut beberapa langkah yang dapat diterapkan.

1. Menggunakan MFA yang Tahan terhadap Phishing
   MFA yang tahan terhadap phishing merupakan salah satu perlindungan paling langsung terhadap pencurian token melalui serangan AiTM. Salah satu metode yang dapat digunakan adalah autentikasi berbasis FIDO2. Metode ini mengikat bukti autentikasi secara kriptografis dengan perangkat asal sehingga tidak dapat diteruskan melalui mekanisme proxy seperti pada serangan AiTM.

   Dengan demikian, penyadapan sesi selama proses autentikasi tidak menghasilkan informasi yang dapat digunakan kembali oleh penyerang. Sebaliknya, metode autentikasi yang mengandalkan SMS atau notifikasi push tidak memiliki perlindungan serupa sehingga masih rentan terhadap penyadapan melalui serangan AiTM.

2. Membatasi Masa Berlaku Token
   Organisasi perlu membatasi waktu yang dapat dimanfaatkan penyerang apabila berhasil mencuri token. Salah satu caranya adalah menggunakan token akses dengan masa berlaku singkat, biasanya sekitar 15 menit hingga satu jam.

   Dengan masa berlaku yang lebih pendek, penyerang memiliki waktu lebih terbatas untuk menggunakan token sebelum kredensial tersebut tidak lagi valid. Selain itu, refresh token perlu diatur dengan persyaratan autentikasi ulang yang ketat, terutama ketika digunakan untuk mengakses sumber daya sensitif atau hak akses istimewa.

   Organisasi juga perlu menerapkan kebijakan rotasi token untuk mengurangi risiko penyalahgunaan token yang telah lama digunakan.

3. Menerapkan Kebijakan Akses Bersyarat
   Kebijakan akses bersyarat atau conditional access memungkinkan organisasi mengevaluasi akses berdasarkan berbagai informasi kontekstual, bukan hanya keabsahan token. Informasi tersebut dapat mencakup lokasi autentikasi, alamat IP, identitas perangkat, dan waktu akses.

   Sebagai contoh, akses dari lokasi geografis yang tidak biasa atau perangkat yang tidak dikenal dapat menjadi indikator bahwa token sedang digunakan oleh pihak yang tidak berwenang. Organisasi dapat mengatur kebijakan untuk meminta verifikasi tambahan atau langsung memblokir akses ketika ditemukan kondisi yang mencurigakan.

   Dengan cara ini, token yang masih valid tidak otomatis menjamin akses akan diberikan.

4. Memantau Perilaku Pengguna
   Pemantauan perilaku di berbagai sumber data identitas dapat membantu organisasi mendeteksi aktivitas yang tidak biasa. Dalam beberapa kasus, perangkat pengguna mungkin tidak menunjukkan aktivitas mencurigakan karena sesi berbahaya sepenuhnya berlangsung dalam log autentikasi cloud dan SaaS.

   Karena itu, organisasi perlu menghubungkan peristiwa identitas dari berbagai sumber untuk mendapatkan gambaran aktivitas yang lebih lengkap. Dengan menganalisis peristiwa tersebut secara bersamaan, organisasi dapat menemukan anomali yang mengindikasikan adanya sesi yang telah dikompromikan.

5. Membatasi Izin Akses Token
   Penerapan prinsip hak akses minimum atau least privilege pada token dapat membatasi dampak serangan apabila token berhasil dicuri. Organisasi perlu memastikan bahwa pemberian izin OAuth dan token API hanya mencakup izin minimum yang diperlukan untuk menjalankan fungsi tertentu.

   Sebagai contoh, token yang hanya memiliki izin membaca data pada satu aplikasi akan menimbulkan dampak yang lebih kecil apabila dicuri dibandingkan token yang memiliki izin menulis secara luas di berbagai layanan. Pembatasan izin ini dapat mengurangi potensi kerusakan sekaligus mempersempit akses yang dapat dimanfaatkan penyerang.

Kesimpulan

Pencurian token merupakan ancaman keamanan siber yang memungkinkan penyerang mengambil alih sesi pengguna tanpa harus mengetahui kata sandi mereka. Serangan ini dapat dilakukan melalui berbagai cara, mulai dari phishing AiTM, malware pencuri informasi, hingga eksploitasi kerentanan aplikasi web.

Risikonya semakin besar ketika token yang dicuri memiliki masa berlaku panjang atau memberikan akses ke berbagai aplikasi dan sumber daya organisasi.

Karena itu, perlindungan terhadap pencurian token tidak cukup hanya mengandalkan kata sandi dan MFA. Organisasi juga perlu menerapkan autentikasi yang tahan terhadap phishing, membatasi masa berlaku token, memantau perilaku pengguna, dan mengatur izin akses secara ketat.

Dengan pendekatan keamanan berlapis, risiko penyalahgunaan token dapat dikurangi dan dampak serangan dapat dibatasi apabila pencurian tetap terjadi.