Credential Stuffing
Serangan otomatis yang mencoba nama pengguna dan kata sandi curian dari satu kebocoran data terhadap banyak situs lain, memanfaatkan orang yang memakai ulang kata sandi yang sama di berbagai akun.
Definisi
Credential stuffing adalah serangan otomatis di mana pelaku kejahatan mengambil daftar besar nama pengguna dan kata sandi yang dicuri dari kebocoran data di satu situs web, lalu secara sistematis mencobanya terhadap banyak situs web dan aplikasi lain yang tidak terkait. Serangan ini sepenuhnya bergantung pada pemakaian ulang kata sandi: karena sebagian besar orang menggunakan kombinasi email dan kata sandi yang sama di berbagai akun, kebocoran di satu layanan dapat dimanfaatkan untuk membobol akun perbankan, email, atau korporat yang sama sekali tidak berhubungan.
Penyerang tidak menebak kata sandi dalam serangan credential stuffing; mereka sudah memiliki pasangan nama pengguna-kata sandi yang valid dan berfungsi, hasil kebocoran sebelumnya, yang sering diperdagangkan atau dijual dalam jumlah besar di pasar gelap. Menggunakan jaringan bot dan alat khusus, mereka mengirimkan pasangan ini ke formulir login dalam skala besar, sering merutekan lalu lintas melalui proxy residensial dan mengacak waktu agar tampak seperti lalu lintas pengguna normal serta menghindari pembatasan laju sederhana. Bahkan tingkat keberhasilan yang sangat rendah, kadang jauh di bawah satu persen, dapat menghasilkan ribuan akun terbobol ketika penyerang menguji jutaan kredensial curian.
Dampak credential stuffing signifikan justru karena mengubah kebocoran pihak ketiga yang tidak terkait menjadi ancaman langsung bagi akun yang sebenarnya tidak pernah dibobol sendiri. Kata sandi nasabah yang bocor dari kebocoran e-commerce dapat dipakai ulang untuk masuk ke perbankan daring atau portal korporat mereka jika mereka memakai ulang kredensial yang sama, temuan yang umum dalam investigasi insiden di seluruh layanan keuangan dan platform pemerintahan Indonesia. Ini juga sering menjadi langkah pertama menuju account takeover dan penipuan yang lebih besar, karena login credential-stuffing yang berhasil memberikan penyerang akses yang tampak sah tanpa memicu tanda bahaya yang jelas.
Karena credential stuffing mengeksploitasi kata sandi yang dipakai ulang, bukan celah teknis pada sistem target, pertahanan paling efektif menggabungkan kata sandi unik dengan autentikasi kuat dan deteksi pada level lalu lintas. Autentikasi multifaktor menghentikan sebagian besar login credential-stuffing bahkan ketika kata sandi benar, karena penyerang jarang memiliki faktor kedua. Pembatasan laju, tantangan CAPTCHA, dan layanan deteksi bot yang mengenali pola percobaan login otomatis menambah lapisan lain, sementara pemantauan lonjakan login gagal dari rentang IP tak biasa membantu tim keamanan menangkap serangan yang sedang berlangsung.
Sekilas info
- Tingkat keparahan
- Tinggi
- Tingkat kejadian
- Sangat umum
- Target utama
- Formulir login mana pun; akun perbankan, email, dan e-commerce
Cara kerjanya
- 1
Sumber kebocoran: penyerang mendapatkan daftar besar pasangan nama pengguna-kata sandi yang bocor dari kebocoran data situs lain yang tidak terkait.
- 2
Penyiapan otomatisasi: jaringan bot dan alat credential-stuffing dikonfigurasi untuk mengirimkan pasangan ini ke formulir login dalam skala besar.
- 3
Penghindaran deteksi: lalu lintas dirutekan melalui proxy residensial dan diatur waktunya menyerupai pengguna normal, menghindari pembatasan laju atau pemblokiran IP sederhana.
- 4
Percobaan login massal: alat tersebut mencoba setiap pasangan curian terhadap situs target, sering menguji jutaan kombinasi.
- 5
Panen keberhasilan: pasangan yang memakai ulang kata sandi yang sama di situs target berhasil masuk, memberikan penyerang akun yang berfungsi.
- 6
Eksploitasi: akun yang terbobol dikuras, dijual kembali, atau dijadikan pijakan untuk penipuan lanjutan dan account takeover.
Tanda peringatan
- Peringatan login atau email konfirmasi untuk login yang tidak Anda lakukan
- Lonjakan percobaan login gagal pada akun Anda yang dilaporkan oleh sebuah layanan
- Keluar tiba-tiba dari akun tanpa alasan atau menemukan pengaturan yang berubah
- Peringatan pengelola kata sandi bahwa sebuah kata sandi muncul dalam kebocoran yang diketahui
- Pembelian, transfer, atau aktivitas tidak biasa segera setelah kebocoran publik di layanan lain yang Anda gunakan
Cara bertahan
- Gunakan kata sandi unik untuk setiap akun, dibuat dan disimpan dalam pengelola kata sandi
- Aktifkan autentikasi multifaktor di mana pun tersedia
- Periksa apakah kredensial Anda muncul dalam kebocoran yang diketahui dan segera ganti kata sandi yang dipakai ulang
- Terapkan pembatasan laju, CAPTCHA, dan deteksi bot pada titik akhir login
- Pantau log autentikasi untuk lonjakan login gagal dari rentang IP atau lokasi geografis tak biasa
- Dorong adopsi pengelola kata sandi di seluruh organisasi alih-alih mengandalkan ingatan atau kata sandi tertulis
Contoh nyata
Sebuah peritel regional mengalami kebocoran data yang mengekspos jutaan pasangan email dan kata sandi. Beberapa minggu kemudian, seorang karyawan di perusahaan asuransi Jakarta yang memakai ulang kata sandi belanja pribadinya untuk webmail korporat menemukan kotak suratnya telah diakses dari negara tak dikenal, karena penyerang cukup mencoba kredensial bocornya terhadap halaman login perusahaan.
Bagaimana Claro membantu
Pelatihan kesadaran keamanan dan simulasi phishing Claro memperkuat kebiasaan yang menghentikan credential stuffing dari akarnya: kata sandi unik per akun, idealnya dibuat dan disimpan dalam pengelola kata sandi, bukan dipakai ulang. Data insiden yang dilaporkan dan skor risiko membantu tenant Indonesia menunjukkan kepada auditor bahwa kebersihan kata sandi diukur dan membaik, bukan sekadar diasumsikan.
Pertanyaan yang sering diajukan
Apa itu Credential Stuffing?
Credential stuffing adalah serangan otomatis yang mengambil nama pengguna dan kata sandi bocor dari satu kebocoran data lalu mencobanya di banyak situs lain, memanfaatkan kebiasaan memakai ulang kata sandi yang sama di berbagai akun.
Apakah credential stuffing sama dengan brute force?
Tidak. Brute force menebak kata sandi melalui coba-coba, sering mencoba banyak kemungkinan terhadap satu akun. Credential stuffing menggunakan pasangan nama pengguna-kata sandi yang sudah valid dan dicuri dari kebocoran berbeda, sehingga langsung berhasil di mana pun kata sandi yang sama dipakai ulang.
Bagaimana penyerang mendapatkan kredensial yang digunakan dalam credential stuffing?
Hampir selalu dari kebocoran data sebelumnya yang tidak terkait di situs atau layanan lain, tempat daftar nama pengguna dan kata sandi dicuri lalu dijual atau dibagikan di pasar gelap.
Apakah autentikasi multifaktor menghentikan credential stuffing?
Ya, dalam hampir semua kasus. Bahkan ketika kata sandi curian benar, penyerang tidak memiliki faktor autentikasi kedua akun tersebut, yang memblokir percobaan login.
Bagaimana saya tahu jika kata sandi saya sudah terekspos dalam kebocoran?
Banyak pengelola kata sandi dan layanan pemantauan kebocoran akan menandai kredensial yang muncul dalam kumpulan data bocor yang diketahui. Jika kata sandi yang Anda pakai ulang di mana pun muncul, ganti di semua tempat kata sandi itu digunakan, bukan hanya di situs yang bocor.
Istilah terkait
Pencurian Kredensial
Pencurian kredensial adalah pengambilan nama pengguna, kata sandi, dan data login lainnya, biasanya lewat halaman login palsu atau pesan yang mengelabui, agar penyerang bisa masuk ke akun dan sistem.
Account Takeover
Ketika penyerang mendapatkan kendali tanpa izin atas akun daring pengguna, biasanya melalui kredensial curian, dan menggunakannya untuk penipuan atau serangan lanjutan.
Data Breach
Insiden di mana informasi sensitif, terlindungi, atau rahasia diakses, diungkap, atau dicuri tanpa izin.
Password Manager
Alat yang secara aman menghasilkan, menyimpan, dan mengisi otomatis kata sandi unik untuk setiap akun, sehingga pengguna tidak perlu menggunakan ulang atau menghafalnya.
Kurangi risiko manusia Anda
Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.
Minta demo