Bayangkan seorang karyawan di Jakarta mengunduh sebuah aplikasi "gratis" untuk mempercepat komputernya. Dalam hitungan detik, sebuah program diam-diam menyalin seluruh kata sandi tersimpan di peramban, cookie sesi login, token, hingga dompet kripto miliknya. Beberapa jam kemudian, data itu sudah dijual di pasar gelap seharga kurang dari harga secangkir kopi. Inilah wajah ancaman siber yang paling cepat berkembang saat ini: infostealer, atau malware pencuri informasi. Bagi tim keamanan, kredensial yang bocor lewat infostealer bukan lagi insiden sesekali, melainkan sumber utama pelanggaran data di seluruh dunia.
Sepanjang 2025, infostealer diperkirakan mencuri sekitar 1,8 miliar kredensial dari jutaan perangkat yang terinfeksi. Kata sandi dan cookie sesi yang dicuri kini muncul dalam sekitar 86% pelanggaran data. Artikel ini membedah cara kerja ekonomi gelap kredensial curian dari hulu ke hilir, mengapa serangan ini begitu efektif menembus pertahanan konvensional, dan langkah konkret yang bisa diambil organisasi di Indonesia untuk bertahan.
Apa Itu Infostealer dan Stealer Logs
Infostealer adalah jenis malware yang dirancang dengan satu tujuan sempit namun merusak: mengumpulkan sebanyak mungkin data sensitif dari perangkat korban lalu mengirimkannya ke penyerang. Berbeda dengan ransomware yang mengunci berkas dan menuntut tebusan secara terang-terangan, infostealer bekerja senyap. Korban sering kali tidak pernah sadar telah terinfeksi.
Data yang dikumpulkan dari satu perangkat yang terinfeksi dikemas dalam paket yang disebut stealer log. Satu log biasanya berisi:
- Kredensial login (username dan password) yang tersimpan di peramban seperti Chrome, Edge, dan Firefox.
- Cookie sesi dan token autentikasi yang memungkinkan penyerang membajak sesi login yang masih aktif.
- Data pengisian otomatis: nomor kartu kredit, alamat, dan informasi pribadi.
- Kredensial dompet kripto, kunci SSH, dan file konfigurasi VPN.
- Sidik jari sistem (fingerprint) perangkat, yang membantu penyerang meniru identitas korban.
Yang membuat stealer log begitu berbahaya adalah keberadaan cookie sesi. Ketika penyerang memiliki cookie sesi yang valid, mereka bisa masuk ke akun korban tanpa perlu memasukkan password sama sekali, dan dalam banyak kasus melewati Multi-Factor Authentication (MFA). Sesi yang sudah terautentikasi cukup dibajak langsung. Inilah alasan mengapa MFA berbasis SMS atau aplikasi otentikator saja tidak lagi cukup.
Skala Masalah: Angka yang Mengkhawatirkan
Untuk memahami betapa masifnya ancaman ini, mari lihat data terbaru dari 2025 hingga awal 2026:
- Lebih dari 16 juta perangkat terinfeksi infostealer sepanjang 2025, dipimpin oleh keluarga malware seperti Lumma, Acreed, Vidar, StealC, dan RedLine.
- Tiga keluarga teratas (Lumma, StealC, dan RedLine) bertanggung jawab atas lebih dari 75% mesin terinfeksi pada 2024.
- Pada Juni 2026, sebuah basis data Elasticsearch yang salah konfigurasi membocorkan kompilasi berisi sekitar 24 miliar kredensial curian, salah satu kumpulan stealer log terbesar yang pernah tercatat.
- Menurut laporan Flare 2026 yang menganalisis 18,7 juta log, sekitar 16% infeksi kini mengekspos kredensial SSO (Single Sign-On) perusahaan pada akhir 2025, naik dari hanya 6% pada awal 2024.
Angka terakhir itu sangat penting. Kredensial SSO adalah "kunci induk": satu kredensial membuka akses ke setiap aplikasi yang terhubung di platform tersebut. Tidak heran jika di 2026, kredensial identity provider dan SSO menjadi target dengan nilai tertinggi di pasar gelap.
Rantai Pasok Kejahatan: Dari Infeksi ke Ransomware
Infostealer jarang menjadi tujuan akhir. Ia adalah pintu masuk dalam sebuah rantai pasok kejahatan siber yang terspesialisasi. Berikut alur khasnya:
1. Distribusi dan Infeksi
Malware disebar melalui software bajakan, crack game, iklan berbahaya (malvertising) di hasil pencarian, lampiran phishing, hingga teknik rekayasa sosial seperti ClickFix yang menipu korban agar menempelkan perintah berbahaya ke terminal. Model Malware-as-a-Service (MaaS) membuat siapa pun bisa menyewa infostealer dengan biaya berlangganan murah. Lumma Stealer, misalnya, ditawarkan mulai sekitar USD 250 per bulan.
2. Pengumpulan dan Eksfiltrasi
Setelah menginfeksi, malware mengumpulkan seluruh data dalam hitungan detik lalu mengirimkannya ke server penyerang. Perangkat mungkin tetap bersih secara kasat mata, tetapi seluruh rahasianya sudah tersalin.
3. Penjualan di Pasar Gelap
Stealer log dijual di marketplace seperti Russian Market dan 2easy, serta lewat kanal Telegram, dengan harga bervariasi mulai dari sekitar USD 1 hingga lebih dari USD 100 per log, tergantung nilai akses yang dikandungnya. Jendela waktu antara infeksi dan penjualan bisa sesingkat beberapa jam saja.
4. Initial Access Broker (IAB)
Di sinilah mata rantai menjadi berbahaya bagi korporasi. Initial Access Broker adalah pialang yang menyisir jutaan log untuk mencari kredensial korporat, memvalidasi aksesnya, lalu menjualnya kembali sebagai "tiket masuk" siap pakai kepada afiliasi ransomware dengan harga jauh lebih tinggi. Fakta yang paling menohok: 54% korban ransomware ternyata sudah memiliki kredensial domain mereka beredar di marketplace stealer log sebelum serangan terjadi. Dengan kata lain, banyak serangan ransomware besar berawal dari satu laptop karyawan yang terinfeksi infostealer berbulan-bulan sebelumnya.
Infostealer telah mengubah ekonomi kejahatan siber: penyerang tidak lagi perlu meretas benteng Anda, mereka cukup membeli kuncinya seharga beberapa dolar.
Mengapa Pertahanan Tradisional Sering Gagal
Banyak organisasi merasa aman karena sudah memasang antivirus dan mengaktifkan MFA. Namun infostealer justru dirancang untuk menghindari asumsi ini:
- Pencurian cookie sesi melewati MFA. Karena penyerang membajak sesi yang sudah terautentikasi, lapisan MFA tidak pernah diuji ulang.
- Kredensial valid tampak sah. Login menggunakan username dan password yang benar dari kredensial curian tidak memicu alarm seperti serangan brute-force.
- Perangkat pribadi (BYOD) dan shadow IT. Laptop rumah karyawan yang mengakses email kantor sering berada di luar jangkauan kontrol keamanan perusahaan.
- Infrastruktur malware yang tangguh. Lumma Stealer, misalnya, tetap beroperasi meski telah menjadi target dua kali operasi penegakan hukum, menandakan betapa murah dan mudah diganti infrastruktur kejahatan ini.
Konteks Indonesia: Regulasi dan Tanggung Jawab
Bagi organisasi di Indonesia, ancaman ini bukan sekadar soal teknis, melainkan juga kepatuhan hukum. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mewajibkan Pengendali Data Pribadi menerapkan langkah teknis dan organisasi yang memadai untuk melindungi data. Kebocoran kredensial yang berujung pada tersingkapnya data pribadi pelanggan dapat memicu kewajiban notifikasi dalam waktu 3x24 jam kepada pemilik data dan lembaga terkait, serta membuka potensi sanksi administratif hingga denda.
Selain itu, kredensial curian kerap disalahgunakan untuk penipuan berbasis identitas, pembobolan rekening, dan penyalahgunaan akun yang bersinggungan dengan ketentuan UU ITE. Badan Siber dan Sandi Negara (BSSN) secara konsisten mendorong penerapan kerangka kerja seperti standar NIST Cybersecurity Framework dan ISO/IEC 27001 sebagai fondasi tata kelola keamanan informasi. Prinsip manajemen identitas dan akses (Identity and Access Management) menjadi salah satu kontrol paling relevan menghadapi era pencurian kredensial ini.
Strategi Pertahanan Berlapis
Menghadapi infostealer memerlukan pendekatan yang berfokus pada identitas, bukan sekadar perimeter jaringan. Berikut langkah-langkah prioritas:
Pencegahan di Titik Akhir (Endpoint)
- Terapkan solusi EDR/XDR yang mampu mendeteksi perilaku eksfiltrasi data, bukan sekadar antivirus berbasis signature.
- Larang penggunaan software bajakan dan batasi hak instalasi aplikasi (least privilege) di perangkat kerja.
- Nonaktifkan fitur penyimpanan password di peramban dan wajibkan penggunaan password manager terkelola.
Perkuat Identitas dan Sesi
- Migrasikan ke MFA tahan-phishing berbasis passkey atau FIDO2/WebAuthn, yang mengikat autentikasi pada perangkat sehingga cookie curian jauh lebih sulit dimanfaatkan.
- Perpendek masa berlaku sesi dan aktifkan mekanisme pencabutan sesi (session revocation) secara cepat.
- Terapkan conditional access yang mengevaluasi lokasi, perangkat, dan risiko sebelum memberi akses, sejalan dengan prinsip Zero Trust.
Deteksi Dini lewat Cyber Intelligence
Karena kredensial curian sering beredar di pasar gelap sebelum digunakan menyerang, pemantauan dark web dan stealer log (dark web monitoring) menjadi kontrol proaktif yang sangat berharga. Dengan memantau kemunculan domain, alamat email, dan kredensial perusahaan di marketplace serta kanal Telegram bawah tanah, organisasi bisa mendeteksi paparan lebih awal dan segera memaksa reset kata sandi serta pencabutan sesi sebelum penyerang sempat bertindak. Layanan intelijen ancaman semacam inilah yang menutup celah antara "sudah bocor" dan "sudah diserang".
Penutup
Infostealer telah menggeser titik lemah keamanan dari server ke identitas manusia. Selama masih ada karyawan yang login ke sistem perusahaan, satu perangkat yang terinfeksi bisa menjadi awal dari kebocoran berjenjang hingga serangan ransomware berskala besar. Kabar baiknya, ancaman ini bisa dilawan dengan kombinasi kebersihan digital yang disiplin, autentikasi tahan-phishing, arsitektur Zero Trust, dan pemantauan intelijen ancaman yang proaktif.
Bagi organisasi di Indonesia, momen untuk bertindak adalah sekarang, sebelum kredensial Anda menjadi salah satu dari miliaran baris data yang diperjualbelikan di pasar gelap. Pertanyaannya bukan lagi apakah kredensial karyawan Anda akan bocor, melainkan apakah Anda akan mengetahuinya sebelum penyerang memanfaatkannya. Siberindo siap membantu organisasi Anda membangun kapabilitas deteksi dini dan pertahanan identitas yang tangguh menghadapi era pencurian kredensial ini.
