Session Hijacking
Pencurian atau pemalsuan session token atau cookie yang valid, memungkinkan penyerang meniru pengguna yang sudah masuk tanpa pernah membutuhkan kata sandinya.
Definisi
Session hijacking adalah serangan di mana penjahat mencuri atau memalsukan session token atau cookie yang diterbitkan sebuah situs web kepada pengguna setelah mereka berhasil login, lalu menggunakan token tersebut untuk meniru pengguna tanpa pernah membutuhkan nama pengguna atau kata sandinya. Karena session token mewakili sesi yang sudah terautentikasi, memilikinya sering kali sama baiknya, atau bahkan lebih baik, daripada memiliki kredensial korban, karena biasanya melewati layar login dan tantangan autentikasi multifaktor apa pun sepenuhnya.
Penyerang mendapatkan session token melalui beberapa cara: malware di perangkat korban yang membaca cookie peramban secara langsung, kerentanan cross-site scripting di situs web sah yang memungkinkan skrip penyerang mengekstrak session cookie pengunjung, Wi-Fi publik yang tidak aman di mana lalu lintas dapat dicegat, atau, semakin sering, kit phishing adversary-in-the-middle yang merelai seluruh proses login dan menangkap session cookie yang dihasilkan secara real-time. Setelah didapat, penyerang memuat token curian ke peramban mereka sendiri, sering menggunakan ekstensi peramban atau alat pengeditan cookie sederhana, dan aplikasi target memperlakukan mereka sebagai pengguna sah yang sudah masuk.
Session hijacking penting diwaspadai karena mengabaikan pertahanan yang paling diandalkan organisasi: kata sandi yang kuat dan autentikasi multifaktor keduanya melindungi tahap login, tetapi sesi yang dibajak sudah melewati tahap itu pada saat penyerang menggunakannya. Ini menjadikannya teknik favorit terhadap akun webmail dan SaaS bernilai tinggi, karena sesi email korporat yang dibajak dapat digunakan untuk membaca korespondensi rahasia, mengatur aturan penerusan email, atau melancarkan penipuan business email compromise, semuanya tampak seperti aktivitas biasa dari pemilik akun.
Pertahanan berpusat pada mengecilkan nilai dan masa berlaku sesi yang dicuri: waktu habis sesi yang pendek, mengikat sesi ke perangkat atau alamat IP tempat diterbitkan, dan re-autentikasi berbasis risiko yang berkelanjutan semuanya membatasi apa yang dapat dilakukan penyerang bahkan dengan token yang valid. Menerapkan HTTPS di mana pun mencegah pencegatan melalui jaringan yang tidak aman, dan pemantauan sesi yang tiba-tiba digunakan dari lokasi atau perangkat baru yang tidak masuk akal memungkinkan tim keamanan mencabutnya dengan cepat. Karena phishing adversary-in-the-middle kini menjadi sumber utama sesi yang dibajak, autentikasi yang tahan phishing tetap menjadi pertahanan hulu yang penting.
Sekilas info
- Tingkat keparahan
- Tinggi
- Tingkat kejadian
- Umum
- Target utama
- Sesi webmail, SaaS, dan aplikasi web
- Juga dikenal sebagai
- Cookie hijacking, pencurian token
Cara kerjanya
- 1
Penangkapan token: penyerang mendapatkan session cookie atau token korban melalui malware, cross-site scripting, pencegatan Wi-Fi tidak aman, atau proxy phishing adversary-in-the-middle.
- 2
Replay token: penyerang memuat token curian ke peramban atau alat mereka sendiri, menyajikannya ke aplikasi target sebagai bukti sesi yang sudah terautentikasi.
- 3
Peniruan: aplikasi menerima token dan memperlakukan penyerang sebagai pengguna sah yang sudah masuk, melewati layar login dan tantangan MFA apa pun.
- 4
Akses diam-diam: penyerang menjelajah, membaca data, atau mengubah pengaturan sambil tampak seperti pemilik akun biasa bagi sistem.
- 5
Eskalasi: sesi email korporat atau SaaS yang dibajak sering digunakan untuk membangun persistensi, seperti aturan penerusan, atau melancarkan penipuan lebih lanjut.
Tanda peringatan
- Daftar sesi aktif atau aktivitas login menunjukkan perangkat, peramban, atau lokasi yang tidak Anda kenali
- Keluar tiba-tiba dari akun tanpa terduga, yang bisa terjadi ketika penggunaan sesi curian penyerang bertabrakan dengan Anda
- Aturan kotak masuk, pengaturan penerusan, atau pesan terkirim yang tidak Anda buat
- Peringatan keamanan tentang sesi yang diakses dari lokasi baru atau tidak masuk akal segera setelah menggunakan Wi-Fi publik
- Aktivitas atau perubahan aplikasi yang tidak Anda ingat lakukan saat sedang login
Cara bertahan
- Terapkan HTTPS di mana pun agar session token tidak dapat dicegat melalui jaringan
- Tetapkan masa berlaku sesi dan token yang pendek, membutuhkan re-autentikasi untuk tindakan sensitif
- Ikat sesi ke perangkat atau alamat IP asal dan tandai atau blokir penggunaan dari konteks berbeda
- Terapkan MFA yang tahan phishing untuk mengurangi pasokan sesi yang ditangkap melalui kit adversary-in-the-middle
- Tinjau sesi aktif secara rutin dan cabut yang terlihat tidak dikenal
- Hindari menggunakan akun sensitif di Wi-Fi publik yang tidak aman, atau gunakan VPN tepercaya saat melakukannya
Contoh nyata
Seorang karyawan memeriksa webmail korporatnya melalui jaringan Wi-Fi terbuka sebuah hotel. Penyerang di jaringan yang sama mencegat session cookie yang tidak terenkripsi dan memuatnya ke peramban mereka sendiri, mendapatkan akses penuh ke kotak surat tanpa pernah melihat kata sandi atau permintaan MFA, karena sesi tersebut sudah terautentikasi.
Bagaimana Claro membantu
Simulasi phishing dan pelatihan JIT Claro mencakup skenario login tiruan yang memicu session hijacking melalui kit adversary-in-the-middle, sementara skor risiko menandai akun yang menunjukkan tanda aktivitas sesi anomali, memberikan tim keamanan Indonesia cara berbasis bukti untuk memprioritaskan kontrol sesi mana yang perlu diperketat lebih dulu.
Pertanyaan yang sering diajukan
Apa itu Session Hijacking?
Session hijacking adalah serangan di mana penjahat mencuri atau memalsukan token sesi yang membuat Anda tetap login, sehingga bisa mengambil alih sesi aktif Anda tanpa perlu kata sandi.
Apakah session hijacking sama dengan mencuri kata sandi?
Tidak. Session hijacking mencuri token yang diterbitkan setelah login berhasil, bukan kata sandi itu sendiri, yang berarti ia melewati layar login dan autentikasi multifaktor apa pun sepenuhnya selama token tersebut masih berlaku.
Bagaimana penyerang bisa mencuri session token?
Metode umum meliputi malware yang membaca cookie peramban, celah cross-site scripting pada situs web, pencegatan melalui Wi-Fi publik yang tidak aman, dan kit phishing adversary-in-the-middle yang merelai login secara real-time dan menangkap sesi yang dihasilkan.
Apakah mengganti kata sandi menghentikan session hijacking yang sedang berlangsung?
Sering ya, karena banyak layanan membatalkan sesi aktif saat kata sandi berubah, tetapi tidak dijamin di semua tempat. Meninjau dan mencabut sesi aktif secara manual adalah langkah yang lebih andal setelah dugaan hijacking.
Bisakah autentikasi multifaktor mencegah session hijacking?
MFA melindungi tahap login, tetapi sesi yang dibajak sudah melewati tahap itu, sehingga MFA saja tidak menghentikannya. Masa berlaku sesi yang pendek, pengikatan perangkat, dan metode login yang tahan phishing lebih efektif secara langsung.
Istilah terkait
Adversary-in-the-Middle (AiTM) Phishing
Teknik phishing real-time yang menggunakan server proxy untuk merelai proses login korban ke situs asli, mencuri session cookie dan melewati sebagian besar autentikasi multifaktor.
Account Takeover
Ketika penyerang mendapatkan kendali tanpa izin atas akun daring pengguna, biasanya melalui kredensial curian, dan menggunakannya untuk penipuan atau serangan lanjutan.
Malware
Perangkat lunak apa pun yang sengaja dirancang untuk merusak, mengganggu, atau mendapatkan akses tanpa izin ke perangkat atau jaringan.
Kurangi risiko manusia Anda
Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.
Minta demo