Apa Itu Credential Stuffing? Penjelasan Lengkap Mengenai Salah Satu Serangan Siber

Cara Kerja Credential Stuffing

Pada dasarnya, credential stuffing mengikuti logika yang cukup sederhana, meskipun eksekusinya melibatkan otomatisasi dalam skala besar. Proses ini biasanya dimulai dengan daftar pasangan nama pengguna (username) dan kata sandi yang dicuri—sering kali diperoleh dari kebocoran data di perusahaan lain, yang kemudian disebarkan atau dijual di pasar gelap (dark web). Kumpulan data hasil kebocoran ini bisa berisi jutaan hingga miliaran pasangan kredensial, yang terkumpul dari berbagai insiden kebocoran selama bertahun-tahun di banyak layanan yang berbeda.

Para penyerang kemudian menggunakan perangkat otomatis—yang sering disebut sebagai bot credential stuffing—untuk mencoba memasukkan kombinasi nama pengguna dan kata sandi curian tersebut ke halaman masuk (login) berbagai website, seperti portal perbankan, platform e-commerce, layanan streaming, maupun aplikasi perusahaan. Asumsi dasar di balik serangan ini adalah kebiasaan pengguna yang menggunakan kembali kata sandi yang sama, yaitu jika seseorang menggunakan kombinasi email dan kata sandi yang sama di dua situs berbeda, dan salah satu situs tersebut mengalami kebocoran data, maka kredensial yang dicuri tersebut kemungkinan besar juga dapat digunakan untuk mengakses situs lainnya. Karena asumsi ini sering terbukti benar pada sebagian besar pengguna internet, maka meskipun tingkat keberhasilan per percobaan tergolong sangat rendah, serangan yang dijalankan dalam skala besar tetap dapat menghasilkan banyak akun yang berhasil dibobol.

Operasi credential stuffing modern jarang dilakukan dengan cara yang kasar atau mudah terdeteksi. Penyerang sering kali menyebarkan upaya login mereka melalui jaringan server proksi yang luas—termasuk menggunakan koneksi internet rumah yang telah disusupi, yang dikenal sebagai residential proxy. Hal ini membuat lalu lintas serangan tampak seolah-olah berasal dari banyak pengguna biasa yang berbeda lokasi, alih-alih berasal dari satu sumber otomatis. Strategi distribusi ini dirancang khusus untuk menghindari pertahanan dasar, seperti pemblokiran alamat IP yang mencurigakan. Inilah salah satu alasan mengapa credential stuffing tetap efektif, bahkan ketika kesadaran mengenai teknik ini sudah semakin luas.

Mengapa Credential Stuffing Begitu Umum Terjadi

Beberapa faktor bergabung menjadikan credential stuffing sebagai salah satu ancaman paling persisten dalam dunia keamanan siber saat ini. Faktor pertama adalah ketersediaan kredensial curian yang sangat besar dan terus bertambah. Akumulasi kebocoran data selama bertahun-tahun di berbagai perusahaan telah menghasilkan kumpulan data yang berisi puluhan miliar kombinasi nama pengguna dan kata sandi. Kumpulan data ini terus diedarkan kembali, digabungkan, dan diperbarui oleh kelompok kriminal, bahkan lama setelah kebocoran awal terjadi. Kata sandi yang bocor beberapa tahun lalu masih bisa digunakan oleh penyerang saat ini jika korban tidak pernah mengubahnya untuk akun-akun lain.

Faktor kedua adalah rendahnya biaya dan tingginya skalabilitas serangan ini. Menjalankan jutaan upaya masuk otomatis hanya memerlukan sumber daya teknis yang relatif sederhana, jauh lebih ringan dibandingkan serangan canggih yang menuntut penemuan dan eksploitasi kerentanan software. Perangkat khusus dan infrastruktur sewaan untuk melancarkan serangan semacam ini juga tersedia di pasar gelap kriminal, sehingga menurunkan ambang batas teknis yang diperlukan untuk melakukannya. Faktor ketiga—yang mungkin paling krusial—adalah bahwa serangan ini tidak bergantung pada kelemahan apa pun dalam sistem keamanan website target. Sebuah perusahaan bisa saja memiliki pertahanan yang sangat baik terhadap upaya peretasan, namun akun penggunanya tetap bisa disusupi melalui credential stuffing. Hal ini terjadi karena kerentanan yang dieksploitasi bukan terletak pada sistem perusahaan tersebut, melainkan pada kebiasaan pengguna dalam mengelola kata sandi di layanan lain yang tidak saling berkaitan.

Credential Stuffing Dibandingkan dengan Serangan Login Lainnya

Penting untuk membedakan credential stuffing dari beberapa jenis serangan lain yang serupa namun secara teknis berbeda, mengingat istilah-istilah ini terkadang digunakan secara longgar atau saling tertukar dalam percakapan sehari-hari. Serangan brute-force melibatkan upaya menebak kata sandi secara sistematis—sering kali dengan mencoba setiap kombinasi karakter yang mungkin atau menggunakan daftar kata sandi yang umum—tanpa harus mengetahui pasangan nama pengguna (username) dan kata sandi yang valid sebelumnya. Credential stuffing berbeda karena penyerang sudah memiliki kombinasi nama pengguna dan kata sandi yang berfungsi; persoalannya bukan lagi apakah kombinasi tersebut valid untuk suatu akun, melainkan apakah kombinasi yang sama juga dapat digunakan pada situs lain yang tidak berkaitan.

Password spraying adalah teknik lain yang serupa, di mana penyerang mencoba sejumlah kecil kata sandi yang sangat umum terhadap daftar nama pengguna yang banyak. Teknik ini dilakukan alih-alih mencoba banyak kata sandi pada satu akun saja, dengan tujuan menghindari mekanisme penguncian akun yang biasanya aktif setelah beberapa kali percobaan gagal pada satu akun tertentu. Credential stuffing berbeda dari password spraying karena menggunakan pasangan nama pengguna dan kata sandi spesifik yang sebelumnya telah bocor, bukan kata sandi umum yang bersifat generik. Hal ini membuat serangan tersebut lebih terarah dan memiliki peluang keberhasilan yang lebih tinggi pada setiap percobaan individu, meskipun tingkat keberhasilan secara keseluruhan dalam sekumpulan besar percobaan biasanya tetap rendah.

Konsekuensi Nyata dari Serangan yang Berhasil

Ketika upaya credential stuffing berhasil, dampaknya bisa meluas jauh melampaui satu akun yang disusupi. Pengambilalihan akun (account takeover)—istilah umum untuk tindakan penyerang yang memperoleh kendali tidak sah atas akun pengguna yang sah—merupakan akibat langsung yang paling sering terjadi. Kerugian spesifik yang ditimbulkan sangat bergantung pada jenis akun apa yang disusupi. Pengambilalihan akun keuangan dapat langsung berujung pada transaksi penipuan atau pencurian. Pengambilalihan akun e-commerce atau akun program loyalitas dapat memungkinkan penyerang untuk melakukan pembelian, menukarkan nilai yang tersimpan, atau bahkan menjual akun yang disusupi tersebut kepada pihak kriminal lainnya. Pengambilalihan akun email sering kali sangat merugikan, karena email kerap berfungsi sebagai mekanisme pemulihan untuk akun-akun lain; artinya, satu kotak masuk yang disusupi bisa menjadi batu loncatan untuk membobol berbagai akun tambahan lainnya.

Bagi organisasi, kampanye credential stuffing yang berhasil membawa beban biaya yang melampaui sekadar kerugian akibat penipuan pada akun yang disusupi. Perusahaan sering kali harus mengeluarkan biaya untuk penanganan insiden, layanan pelanggan guna membantu pengguna yang terdampak untuk mendapatkan kembali kendali atas akun mereka, serta—tergantung pada yurisdiksi dan jenis data yang terlibat—kewajiban pelaporan kepada pihak berwenang. Kerusakan reputasi juga menjadi kekhawatiran nyata; pelanggan yang mengalami pengambilalihan akun sering kali tetap mengaitkan kejadian tersebut dengan perusahaan tempat akun itu berada, meskipun penyebab utamanya adalah kebiasaan pengguna dalam menggunakan kembali kata sandi, bukan karena adanya celah langsung pada sistem perusahaan itu sendiri. Riset industri memperkirakan bahwa kampanye pengambilalihan akun dalam skala besar dapat menimbulkan kerugian hingga jutaan dolar bagi organisasi yang terdampak, yang mencakup kerugian langsung akibat penipuan maupun biaya operasional yang diperlukan untuk merespons insiden tersebut.

Cara Individu Melindungi Diri

Pertahanan paling efektif terhadap serangan credential stuffing, dari sudut pandang individu, adalah langkah yang paling sederhana untuk dinyatakan—meskipun mungkin terasa melelahkan untuk diterapkan secara konsisten—yaitu: jangan pernah menggunakan kata sandi yang sama untuk berbagai akun. Karena credential stuffing sepenuhnya bergantung pada asumsi bahwa kata sandi yang dicuri dapat digunakan di tempat lain, penggunaan kata sandi yang unik untuk setiap akun akan menghilangkan kerentanan yang dieksploitasi oleh serangan tersebut, terlepas dari berapa banyak layanan lain yang mungkin mengalami kebocoran data.

Penggunaan pengelola kata sandi (password manager) membuat praktik ini lebih mudah dilakukan oleh kebanyakan orang. Alat ini meringankan beban untuk menghafal puluhan kata sandi yang unik dan rumit, dengan cara membuat serta menyimpan kata sandi tersebut secara aman; pengguna hanya perlu mengingat satu kata sandi utama yang kuat. Mengaktifkan autentikasi multi-faktor di setiap layanan yang menyediakannya akan memberikan lapisan perlindungan tambahan yang signifikan. Dengan cara ini, meskipun kata sandi berhasil ditebak atau dicuri, penyerang tetap tidak dapat mengakses akun karena diperlukan langkah verifikasi kedua, seperti kode sekali pakai atau kunci keamanan perangkat keras (hardware security key). Selain itu, ada baiknya untuk memeriksa secara berkala apakah alamat email kita pernah muncul dalam kebocoran data melalui layanan pemberitahuan kebocoran yang tepercaya. Langkah ini memungkinkan kita untuk segera mengganti kata sandi pada akun mana pun yang mungkin masih menggunakan kata sandi yang telah terekspos tersebut. Terakhir, perhatikan setiap pemberitahuan mengenai kebocoran akun dari layanan yang kita gunakan, dan segera ganti kata sandi kita sebagai respons terhadap peringatan tersebut. Jangan mengabaikan peringatan tersebut, karena tindakan cepat kita akan menutup celah yang justru menjadi kunci keberhasilan serangan credential stuffing.

Cara Organisasi Melindungi Diri dari Serangan Credential Stuffing

Bagi perusahaan yang bertanggung jawab melindungi akun pengguna, upaya menangkal serangan credential stuffing umumnya memerlukan pendekatan berlapis, bukan sekadar satu solusi tunggal. Hal ini dikarenakan penyerang terus menyesuaikan metode mereka untuk menghindari pertahanan yang ada. Rate limiting—mekanisme untuk membatasi jumlah upaya masuk dari sumber tertentu dalam jangka waktu tertentu—merupakan langkah pengendalian dasar. Namun, karena penyerang sering menggunakan jaringan proksi terdistribusi, rate limiting saja jarang cukup untuk memberikan perlindungan yang memadai.

Sistem deteksi dan pengelolaan bot menganalisis pola dalam lalu lintas login—seperti waktu permintaan, browser fingerprinting, dan sinyal perilaku—untuk membedakan lalu lintas serangan otomatis dari pengguna manusia yang sah, bahkan ketika lalu lintas tersebut tampak berasal dari berbagai alamat sumber yang berbeda. Tantangan CAPTCHA, meskipun tidak sempurna dan terkadang menyulitkan pengguna asli, dapat memberikan hambatan yang mampu mencegah serangan otomatis sederhana; meski demikian, bot yang lebih canggih kini telah mampu memecahkan atau melewati implementasi CAPTCHA dasar. Mewajibkan atau sangat menyarankan penggunaan autentikasi multi-faktor memberikan lapisan pertahanan tambahan yang tetap efektif meskipun kata sandi yang dicuri berhasil digunakan, karena sistem akan memblokir penyerang pada tahapan berikutnya dalam proses login.

Banyak organisasi juga secara proaktif memantau kumpulan data kebocoran informasi (breach datasets) dan sumber-sumber di dark web untuk mencari kredensial yang mungkin milik pengguna mereka. Dengan cara ini, organisasi dapat memaksa pengaturan ulang kata sandi pada akun yang terdampak sebelum penyerang sempat mengeksploitasi kebocoran tersebut. Device fingerprinting dan autentikasi berbasis risiko—yang mengevaluasi sinyal seperti lokasi login yang tidak biasa, karakteristik perangkat, atau anomali perilaku—dapat memicu langkah verifikasi tambahan khusus untuk upaya login yang mencurigakan, tanpa mengganggu sebagian besar aktivitas login yang sah dan normal. Saat ini, para peneliti keamanan dan berbagai organisasi semakin mengarah pada metode autentikasi tanpa kata sandi (passwordless authentication)—seperti passkeys yang dibangun berdasarkan standar autentikasi modern—sebagai solusi yang lebih mendasar. Pendekatan ini sepenuhnya menghilangkan penggunaan kata sandi yang dapat dipakai berulang kali, sehingga meniadakan kerentanan spesifik yang justru menjadi target utama dari serangan credential stuffing.

Mengapa Ancaman Ini Terus Berkembang

Meskipun kesadaran dan investasi dalam pertahanan telah dilakukan selama bertahun-tahun, serangan credential stuffing belum menurun secara signifikan sebagai ancaman, dan dalam beberapa hal justru terus meningkat. Pasokan kredensial yang bocor terus bertambah seiring dengan terjadinya pelanggaran data baru dan beredarnya kembali kumpulan data yang sebelumnya dicuri serta bergabung dengan kebocoran data yang lebih baru. Penyerang juga semakin canggih dalam menghindari deteksi, dengan sebagian besar lalu lintas serangan kini dialihkan melalui jaringan proxy residensial yang jauh lebih sulit dibedakan oleh pihak bertahan dari lalu lintas pengguna asli dibandingkan dengan lalu lintas pusat data yang lebih mudah diblokir yang digunakan pada tahun-tahun sebelumnya. Perlombaan senjata yang terus berkembang antara penyerang yang menyempurnakan teknik penghindaran mereka dan pihak bertahan yang menyempurnakan metode deteksi mereka adalah alasan utama mengapa masalah ini terus berlanjut dan bukannya mereda seiring dengan meningkatnya kesadaran.


Jadi, credential stuffing memanfaatkan salah satu kebiasaan manusia yang paling umum dan wajar dalam kehidupan digital, yaitu menggunakan kata sandi yang sama untuk berbagai akun. Dengan mengambil kredensial yang dicuri dari suatu kebocoran data dan mengujinya secara sistematis pada layanan lain, penyerang dapat membobol akun dalam skala masif, meskipun tingkat keberhasilan untuk setiap upaya individu tergolong rendah. Teknik ini tidak mengharuskan penyerang untuk menembus pertahanan keamanan milik pengguna itu sendiri; inilah alasan mengapa teknik ini sangat sulit untuk dihilangkan sepenuhnya dan tetap menjadi salah satu metode yang paling sering digunakan untuk mengambil alih akun di internet saat ini.