Credential Stuffing: Modus Bobol Akun dengan Password yang Bocor

Di tengah semakin banyaknya layanan digital yang digunakan setiap hari, keamanan akun menjadi salah satu aspek yang tidak boleh diabaikan. Mulai dari email, media sosial, layanan perbankan, platform belanja, hingga aplikasi perusahaan, hampir semuanya membutuhkan nama pengguna dan kata sandi. Masalahnya, kebiasaan menggunakan kata sandi yang sama di berbagai layanan dapat membuka celah bagi penjahat siber. Salah satu serangan yang memanfaatkan kebiasaan tersebut adalah credential stuffing.

Credential stuffing merupakan serangan siber otomatis yang memanfaatkan kombinasi nama pengguna dan kata sandi hasil pencurian untuk mencoba masuk ke berbagai layanan digital. Berbeda dengan serangan yang berusaha menebak password, credential stuffing menggunakan kredensial yang sudah diketahui benar dari kebocoran data sebelumnya.

Serangan ini dapat berujung pada Account Takeover (ATO) atau pengambilalihan akun. Setelah berhasil mendapatkan akses, pelaku dapat mencuri informasi, melakukan transaksi ilegal, menyalahgunakan identitas korban, hingga menggunakan akun tersebut sebagai pintu masuk untuk menyerang sistem lain.

Apa Itu Credential Stuffing?

Secara sederhana, credential stuffing adalah teknik serangan ketika penjahat siber menggunakan username dan password yang dicuri dari satu layanan untuk mencoba masuk ke layanan lain.

Sebagai contoh, seseorang menggunakan alamat email dan password yang sama untuk akun media sosial, toko online, forum, dan layanan kerja. Jika salah satu layanan mengalami kebocoran data dan kombinasi email serta password tersebut dicuri, penyerang dapat mencoba menggunakan kombinasi yang sama pada layanan lainnya.

Proses tersebut biasanya dilakukan secara otomatis menggunakan bot sehingga dapat menghasilkan ribuan bahkan jutaan percobaan login dalam waktu singkat.

Inilah yang membuat credential stuffing berbahaya. Penyerang tidak perlu mengetahui password korban secara langsung atau menebaknya satu per satu. Mereka cukup mendapatkan database kredensial dari kebocoran data, kemudian menguji kombinasi tersebut pada berbagai layanan.

Tingkat keberhasilan setiap percobaan memang relatif kecil. Namun, ketika dilakukan terhadap jutaan kombinasi akun, persentase keberhasilan yang hanya sebagian kecil sekalipun tetap dapat menghasilkan ribuan akun yang berhasil diambil alih.

Mengapa Credential Stuffing Bisa Berhasil?

Faktor terbesar yang membuat serangan ini efektif adalah penggunaan ulang password. Banyak pengguna memilih menggunakan satu password untuk beberapa akun karena dianggap lebih mudah diingat. Kebiasaan tersebut memang praktis, tetapi memiliki risiko besar.

Bayangkan satu kunci digunakan untuk membuka pintu rumah, kantor, kendaraan, dan gudang. Jika kunci tersebut jatuh ke tangan orang lain, seluruh tempat yang menggunakan kunci tersebut berada dalam risiko.

Hal yang sama terjadi pada password. Ketika satu kombinasi username dan password bocor, akun lain yang menggunakan kredensial sama ikut terancam.

Menurut sejumlah perkiraan terkait kejahatan siber, tingkat keberhasilan credential stuffing dapat berkisar antara 0,1 persen hingga 4 persen. Angka tersebut terlihat kecil, tetapi menjadi signifikan jika penyerang menguji jutaan kredensial secara otomatis.

Credential Stuffing Berbeda dengan Brute Force

Credential stuffing sering dianggap sama dengan brute force attack, padahal keduanya memiliki pendekatan berbeda.

Pada brute force, penyerang mencoba menebak password dengan menguji berbagai kombinasi. Misalnya, sistem serangan dapat mencoba kata-kata umum, nama, angka, atau kombinasi karakter sampai menemukan password yang benar.

Sementara itu, credential stuffing tidak berusaha menebak password. Penyerang sudah memiliki pasangan username dan password yang diperoleh dari sumber lain.

Perbedaan ini membuat credential stuffing dapat lebih sulit dikenali. Brute force biasanya menghasilkan banyak percobaan login terhadap satu akun atau sistem. Sebaliknya, credential stuffing dapat menyebarkan percobaan login ke banyak akun dan layanan.

Credential Stuffing vs Password Spraying

Selain brute force, credential stuffing juga berbeda dari password spraying. 

Dalam password spraying, penyerang biasanya memiliki daftar username atau alamat email, kemudian mencoba satu atau beberapa password yang umum digunakan pada banyak akun. Misalnya, satu password yang lemah dicoba terhadap ratusan atau ribuan username. 

Pada credential stuffing, penyerang menggunakan kombinasi username dan password yang sudah diketahui dari kebocoran sebelumnya. Ketiganya sama-sama berbahaya, tetapi metode dan pola serangannya berbeda. Karena itu, sistem keamanan perlu menggunakan mekanisme deteksi yang mampu mengenali berbagai pola percobaan login.

5 Tahapan Serangan Credential Stuffing

Untuk memahami ancaman ini dengan lebih baik, serangan credential stuffing dapat dibagi menjadi lima tahap utama.

1. Pengumpulan Kredensial
   Tahap pertama adalah mendapatkan data login. Data dapat berasal dari kebocoran database, pencurian informasi melalui malware, pembelian data di pasar gelap, atau arsip yang tersedia secara publik.

   Penyerang tidak hanya mencari username dan password. Mereka juga dapat mengumpulkan informasi mengenai domain situs, URL, API, server web, layanan cloud, serta infrastruktur digital lainnya. Semakin banyak informasi yang dikumpulkan, semakin luas kemungkinan serangan yang dapat dilakukan.

2. Otomatisasi Serangan
   Setelah memiliki data, penyerang membutuhkan alat untuk menguji kredensial tersebut secara otomatis. Bot dapat melakukan percobaan login dalam jumlah besar tanpa membutuhkan interaksi manusia untuk setiap percobaan.

   Perangkat yang lebih canggih juga dapat mencoba menghindari mekanisme keamanan tertentu, menyamarkan sumber koneksi, dan menyesuaikan pola serangan berdasarkan respons sistem target. Otomatisasi menjadi faktor penting karena membuat penyerang dapat menguji banyak akun dalam waktu singkat.

3. Membangun Infrastruktur
   Serangan skala besar membutuhkan infrastruktur untuk mendistribusikan aktivitas. Penyerang dapat memanfaatkan banyak perangkat, server, atau layanan komputasi untuk menjalankan permintaan secara bersamaan.

   Dengan distribusi tersebut, aktivitas berbahaya menjadi lebih sulit dibedakan dari lalu lintas pengguna normal.

4. Melancarkan Serangan
   Setelah seluruh persiapan selesai, penyerang menjalankan percobaan login. Sistem kemudian memberikan respons apakah kredensial yang digunakan benar atau salah. Kombinasi yang berhasil akan dikumpulkan untuk digunakan pada tahap berikutnya.

5. Pengambilalihan Akun
   Tahap terakhir adalah memanfaatkan akun yang berhasil ditembus. Penyerang dapat mengubah informasi akun, melakukan pembelian, mencuri data pribadi, mengambil informasi keuangan, atau menggunakan akun tersebut untuk menyerang korban lain. Dalam lingkungan perusahaan, akun yang berhasil diambil alih bahkan dapat menjadi pintu masuk menuju sistem internal dan informasi yang lebih sensitif.

Contoh Serangan Credential Stuffing

Credential stuffing bukan sekadar ancaman di atas kertas. Sejumlah perusahaan besar dari berbagai sektor pernah menjadi sasaran serangan yang memanfaatkan kredensial pengguna yang telah dicuri. Kasus-kasus tersebut menunjukkan bahwa perusahaan dengan jumlah pengguna besar sekalipun tetap menghadapi risiko pengambilalihan akun.

• HSBC (2018): HSBC menghadapi serangan credential stuffing yang menempatkan informasi keuangan sejumlah pelanggan dalam risiko.
• DailyMotion, Dunkin' Donuts, Reddit, Deliveroo, Basecamp, Sizmek, dan TurboTax (2019): Sejumlah layanan digital menjadi sasaran serangan sepanjang 2019. Dampaknya beragam, mulai dari pengguna kehilangan akses ke akun, munculnya transaksi yang tidak dilakukan pelanggan, hingga terbukanya informasi sensitif. Dalam kasus TurboTax, penyerang dilaporkan berhasil mengakses informasi pajak dan data pribadi pelanggan.
• Nintendo, Zoom, Spotify, dan The North Face (2020): Serangan kembali terjadi pada sejumlah perusahaan besar. Nintendo dan Zoom menjadi sasaran ketika penggunaan layanan digital meningkat selama pandemi. Spotify juga menghadapi serangan yang memanfaatkan data pengguna dari berbagai sumber. Sementara itu, The North Face harus melakukan reset terhadap sejumlah akun pelanggan setelah mengalami credential stuffing.
• RIPE NCC (2021): Serangan menargetkan layanan Single Sign-On (SSO) milik RIPE NCC. Insiden tersebut berdampak pada sejumlah database dan layanan yang terhubung dengan sistem tersebut.

Berbagai kasus itu memperlihatkan bahwa credential stuffing dapat menyasar perusahaan dari beragam sektor, mulai dari perbankan, teknologi, hiburan, ritel, hingga layanan digital. Serangan tidak selalu berakhir pada pengambilalihan akun. Jika kredensial yang berhasil digunakan memberikan akses lebih luas, penyerang juga dapat memanfaatkannya untuk mencuri data, melakukan transaksi ilegal, atau melancarkan serangan lanjutan.

Karena itu, kebiasaan menggunakan password yang sama di berbagai layanan menjadi salah satu risiko keamanan yang perlu diperhatikan. Satu kebocoran kredensial dapat menjadi pintu masuk menuju sejumlah akun lainnya.

Mengapa Credential Stuffing Semakin Marak?

Ada sejumlah alasan yang membuat serangan credential stuffing terus menjadi perhatian.

• Data Kredensial Semakin Banyak Tersedia
  Kebocoran data dalam jumlah besar menghasilkan jutaan hingga miliaran kredensial yang dapat disalahgunakan.

  Salah satu contoh yang sering disebut adalah Collection 1-5, yang dilaporkan berisi lebih dari 22 miliar username dan password dari berbagai sumber. Ketersediaan data tersebut membuat penyerang tidak perlu memulai dari nol. Mereka dapat menggunakan data yang sudah tersedia untuk mencari akun lain yang masih menggunakan password sama.

• Teknologi Mempermudah Otomatisasi
  Kemajuan teknologi juga membuat otomatisasi serangan semakin mudah. Teknologi seperti headless browser dapat menjalankan aktivitas web tanpa menampilkan antarmuka browser kepada pengguna. Selain itu, penyerang dapat memanfaatkan berbagai infrastruktur jaringan untuk mendistribusikan percobaan login. Mekanisme keamanan seperti CAPTCHA juga menjadi target berbagai teknik pengelakan.

• Biaya Serangan Relatif Rendah
  Credential stuffing tidak selalu membutuhkan sumber daya besar. Ketersediaan perangkat lunak otomatis, layanan komputasi, serta data kredensial curian membuat hambatan untuk memulai serangan menjadi relatif rendah.

  Artinya, ancaman tidak hanya datang dari kelompok peretas dengan sumber daya besar. Pelaku dengan kemampuan teknis terbatas pun dapat mencoba menjalankan serangan.

• Penggunaan Layanan Digital Meningkat
  Peralihan menuju aktivitas digital dan kerja jarak jauh membuat masyarakat semakin bergantung pada berbagai layanan online. Semakin banyak akun yang dibuat dan digunakan, semakin besar pula jumlah kredensial yang berpotensi menjadi target.

• Sulit Dibedakan dari Login Normal
  Inilah salah satu masalah terbesar credential stuffing. Penyerang menggunakan username dan password yang benar. Dari perspektif sistem, login tersebut pada awalnya dapat terlihat seperti aktivitas pengguna yang sah.

  Karena itu, mengandalkan username dan password saja tidak cukup untuk mendeteksi apakah seseorang benar-benar pengguna yang sah.

Dampak Credential Stuffing bagi Perusahaan dan Pengguna

Dampak credential stuffing tidak berhenti ketika penyerang berhasil masuk ke sebuah akun. Jika akun tersebut berisi informasi penting atau terhubung dengan layanan lain, serangan dapat berkembang menjadi masalah yang lebih besar, baik bagi pengguna maupun perusahaan.

Bagi pengguna, pengambilalihan akun dapat menyebabkan berbagai kerugian. Penyerang bisa mencuri data pribadi, melakukan transaksi tanpa izin, mengubah informasi akun, atau mengambil alih identitas korban. Akun yang telah dikuasai juga dapat digunakan untuk mengirim pesan penipuan kepada kontak korban, sehingga orang lain ikut menjadi sasaran.

Risiko semakin besar jika akun yang diretas merupakan akun utama yang terhubung dengan layanan lain. Misalnya, akun email yang berhasil diambil alih dapat dimanfaatkan untuk melakukan reset password pada berbagai layanan yang menggunakan alamat email tersebut.

Sementara itu, bagi perusahaan, credential stuffing dapat menimbulkan dampak yang lebih luas. Kebocoran data pelanggan, gangguan layanan, kerugian akibat transaksi penipuan, hingga biaya investigasi dan pemulihan sistem dapat menguras sumber daya perusahaan.

Perusahaan juga dapat menghadapi tuntutan hukum atau sanksi apabila gagal melindungi data pelanggan sesuai ketentuan yang berlaku. Tidak kalah penting, insiden keamanan dapat menurunkan kepercayaan pelanggan terhadap perusahaan.

Dalam lingkungan perusahaan, satu akun yang berhasil diambil alih bahkan dapat menjadi titik awal serangan yang lebih besar. Jika akun tersebut memiliki hak akses ke sistem internal, penyerang berpotensi menggunakannya untuk menjangkau sumber daya lain, mencuri informasi sensitif, atau memperluas akses di dalam jaringan.

Karena itu, credential stuffing sebaiknya tidak dipandang hanya sebagai masalah password. Serangan terhadap satu akun dapat menjadi pintu masuk menuju rangkaian serangan yang lebih luas, terutama jika organisasi tidak menerapkan autentikasi berlapis dan pengelolaan akses yang baik.

Bagaimana Cara Mendeteksi Credential Stuffing?

Organisasi perlu memantau pola login untuk menemukan aktivitas yang tidak biasa.

Beberapa indikator yang dapat diperhatikan antara lain lonjakan percobaan login, percobaan login dari lokasi yang tidak biasa, pola akses yang menyerupai bot, banyak kegagalan login, hingga keberhasilan login yang terjadi secara tidak wajar.

Sistem keamanan juga dapat menggabungkan informasi seperti perangkat yang digunakan, lokasi, waktu akses, pola perilaku pengguna, dan reputasi alamat IP untuk menentukan apakah suatu login patut dicurigai.

Deteksi yang baik tidak hanya melihat apakah password benar atau salah, tetapi juga mempertimbangkan konteks di balik proses login.

Cara Mencegah Credential Stuffing

1. Gunakan Multi-Factor Authentication
   Multi-Factor Authentication (MFA) merupakan salah satu lapisan pertahanan penting. Dengan MFA, pengguna tidak hanya diminta memasukkan password, tetapi juga faktor tambahan seperti kode autentikasi, aplikasi autentikator, biometrik, atau kunci keamanan. Jika password dicuri, penyerang masih harus melewati lapisan autentikasi berikutnya.

2. Terapkan IT Hygiene
   Organisasi perlu menjaga kebersihan dan keamanan lingkungan IT secara rutin. Langkahnya dapat mencakup pemantauan aktivitas login, pembatasan percobaan login, penggunaan sistem deteksi otomatis, pemblokiran aktivitas mencurigakan, serta pemeriksaan akun yang menunjukkan perilaku tidak normal. Password yang sudah diketahui bocor juga sebaiknya segera diganti.

3. Lakukan Proactive Threat Hunting
   Threat hunting memungkinkan tim keamanan secara aktif mencari tanda-tanda serangan di dalam lingkungan organisasi. Pendekatan ini penting karena tidak semua ancaman dapat ditemukan oleh sistem keamanan otomatis. Tim keamanan dapat mencari pola aktivitas mencurigakan, hubungan antara akun, perangkat, alamat IP, dan sumber daya lain untuk mengetahui apakah organisasi sedang menjadi target serangan yang lebih luas.

4. Edukasi Pengguna
   Teknologi keamanan akan lebih efektif jika pengguna memiliki kebiasaan digital yang baik. Pengguna harus memahami pentingnya membuat password yang panjang, kuat, dan unik untuk setiap akun. Menggunakan password manager dapat membantu membuat dan menyimpan password yang berbeda untuk setiap layanan. Yang tidak kalah penting, pengguna sebaiknya tidak menggunakan kembali password yang pernah digunakan pada layanan lain.

Jangan Gunakan Satu Password untuk Banyak Akun

Credential stuffing menunjukkan bahwa satu kebiasaan sederhana dapat memberikan dampak besar terhadap keamanan digital. Menggunakan password yang sama untuk berbagai layanan memang terasa praktis, tetapi dapat menjadi masalah ketika salah satu layanan mengalami kebocoran data.

Karena itu, setiap akun sebaiknya memiliki password yang berbeda. Jika salah satu kredensial bocor, akun lain tetap memiliki perlindungan. Kombinasi antara password unik, password manager, MFA, pemantauan aktivitas, dan edukasi pengguna dapat memperkuat pertahanan terhadap credential stuffing.

Pada akhirnya, credential stuffing bukan hanya masalah teknologi, tetapi juga masalah kebiasaan keamanan digital. Selama pengguna masih menggunakan kredensial yang sama di banyak layanan, penyerang akan memiliki peluang untuk memanfaatkan satu kebocoran sebagai jalan masuk ke akun lainnya.

Karena itu, keamanan akun perlu dibangun secara berlapis. Password yang kuat merupakan langkah awal, tetapi perlindungan yang lebih efektif membutuhkan MFA, pemantauan aktivitas, deteksi ancaman, pengelolaan kredensial yang baik, serta kesadaran pengguna terhadap risiko keamanan digital.