Password Attacks adalah jenis serangan siber yang umum terjadi yang dapat mengakibatkan kompromi data pribadi dan perusahaan. Pada dasarnya, serangan password terjadi ketika seorang peretas mencoba untuk mendapatkan akses yang tidak sah ke akun individu atau organisasi dengan mencuri password mereka. Faktanya, 81% pelanggaran data yang terjadi pada tahun 2020 merupakan hasil dari kredensial login yang disalahgunakan.
Alasan mengapa passwords rentan terhadap serangan adalah karena passwords terbatas dalam hal karakter yang dapat digunakan. Passwords yang hanya terdiri dari huruf dan angka dapat dengan mudah ditebak atau dibobol oleh alat peretas password yang canggih. Selain itu, banyak pengguna cenderung menggunakan passwords yang mudah ditebak seperti “123456” ataupassword”, membuat akun mereka semakin rentan terhadap serangan.
Panduan ini bertujuan untuk memberikan pemahaman yang komprehensif tentang berbagai jenis serangan password, termasuk contoh nyata untuk setiap jenisnya:
Serangan dengan Kekerasan (Brute Force)
Serangan brute force adalah jenis serangan password yang menggunakan perangkat lunak otomatis untuk mencoba setiap kombinasi karakter yang mungkin sampai menemukan password yang benar. Jenis serangan ini biasanya berhasil jika password lemah, pendek, atau mudah ditebak.
Berikut adalah beberapa cara di mana serangan brute force dapat dieksekusi:
- Mencoba semua kemungkinan kombinasi karakter: Pada metode ini, penyerang mencoba semua kemungkinan kombinasi karakter sampai password yang benar ditemukan. Sebagai contoh, jika password terdiri dari empat huruf, ada 456.976 kemungkinan kombinasi yang bisa dicoba. Jika password lebih panjang, jumlah kombinasi yang mungkin meningkat secara eksponensial.
- Mencoba kombinasi password yang umum: Banyak serangan brute force yang menggunakan daftar passwords umum atau kata-kata dalam kamus sebagai titik awal. Penyerang kemudian menggabungkan kata-kata ini dengan angka atau karakter khusus untuk membuat lebih banyak kemungkinan password. Metode ini sering disebut sebagai serangan kamus.
- Mencoba variasi informasi pribadi: Penyerang dapat mencoba variasi informasi pribadi, seperti nama korban, tanggal lahir, atau nama hewan peliharaan, dalam upaya menebak password. Metode ini sering digunakan dalam serangan yang ditargetkan.
Contoh:
Pada tahun 2016, sekelompok penjahat siber melakukan serangan brute force pada server email Komite Nasional Demokratik. Para peretas menggunakan alat perangkat lunak yang secara sistematis mencoba setiap kombinasi karakter yang mungkin sampai mereka dapat menebak password yang memberi mereka akses ke server. Hal ini memungkinkan mereka untuk mencuri informasi rahasia dan mencampuri pemilihan presiden AS.
Baca Lebih Lanjut Menjelajahi Serangan Injeksi SQL dan Jenis-jenisnya
Serangan Penyemprotan Passwords
Serangan penyemprotan passwords adalah jenis serangan brute force yang melibatkan percobaan sejumlah kecil passwords yang umum digunakan di sejumlah besar akun pengguna. Tidak seperti serangan brute force tradisional, yang mencoba memecahkan password pengguna tunggal dengan mencoba sejumlah besar kemungkinan kombinasi, serangan penyemprotan kata password melibatkan penggunaan serangkaian passwords terbatas dan mencobanya pada banyak akun pengguna yang berbeda.
Serangan penyemprotan passwords dapat dilakukan dengan beberapa cara, termasuk:
- Menargetkan organisasi tertentu: Penyerang dapat menargetkan organisasi tertentu dan berusaha mendapatkan akses ke beberapa akun dalam organisasi tersebut menggunakan rangkaian passwords yang sama.
- Menargetkan beberapa organisasi: Penyerang juga dapat menargetkan beberapa organisasi, menggunakan rangkaian passwords yang sama di semua akun, dengan harapan beberapa akun akan disusupi.
- Menggunakan botnet: Penyerang dapat menggunakan botnet untuk mendistribusikan serangan ke beberapa perangkat, sehingga lebih sulit dideteksi dan diblokir.
Contoh:
Seorang penjahat siber pada tahun 2019 menggunakan serangan penyemprotan password untuk mendapatkan akses tidak sah ke catatan pasien rumah sakit di Texas. Penyerang menggunakan daftar passwords yang umum digunakan untuk menargetkan beberapa akun, mencoba setiap password secara bergantian sampai mereka mendapatkan akses ke sistem. Hal ini memungkinkan mereka untuk melihat informasi rahasia pasien dan membahayakan keamanan data rumah sakit.
Serangan Phishing
Serangan phishing adalah jenis serangan rekayasa sosial di mana penyerang mencoba mengelabui korban untuk memberikan kredensial login atau informasi sensitif lainnya dengan menyamar sebagai entitas yang dapat dipercaya, seperti bank atau situs media sosial.
Berikut ini adalah bagaimana serangan phishing dapat dilakukan:
- Penyerang mengirimkan email, pesan teks, atau pesan media sosial yang tampaknya berasal dari sumber yang sah, seperti bank atau situs media sosial.
- Pesan tersebut biasanya berisi tautan ke situs web palsu yang terlihat identik dengan yang asli.
- Ketika korban memasukkan kredensial login mereka di situs web palsu, penyerang menangkap informasi tersebut dan dapat menggunakannya untuk mendapatkan akses ke akun korban.
Contoh:
Selama pandemi COVID-19, serangan phishing diluncurkan terhadap Organisasi Kesehatan Dunia (WHO). Para penyerang membuat halaman login palsu yang meyakinkan untuk sistem email WHO dan mengirimkan email phishing ke karyawan, berharap untuk mengelabui mereka agar memasukkan kredensial login mereka. Serangan tersebut berhasil mendapatkan akses ke beberapa akun karyawan, yang memungkinkan para penyerang mencuri informasi sensitif dan menyebarkan disinformasi.
Serangan Kamus
Serangan kamus adalah jenis serangan password yang menggunakan daftar kata yang sudah ditentukan sebelumnya, passwords yang umum digunakan, atau kombinasi karakter untuk menebak password. Penyerang menggunakan perangkat lunak otomatis untuk mencoba kata-kata atau kombinasi ini sampai mereka menemukan password yang benar.
Beberapa cara yang dapat dilakukan oleh penyerang untuk mengeksekusi serangan kamus adalah:
- Menggunakan passwords yang umum: Penyerang sering menggunakan daftar passwords yang umum, seperti “123456” ataupassword”, sebagai titik awal serangan kamus. Mereka juga dapat menggunakan daftar passwords yang sebelumnya telah dibobol, yang tersedia secara luas di web gelap.
- Menggunakan kata-kata kamus: Penyerang juga bisa menggunakan daftar kata kamus yang sudah ditentukan sebelumnya sebagai titik awal serangan kamus. Daftar ini dapat mencakup kata, nama, atau frasa yang umum.
- Menambahkan angka dan simbol: Untuk meningkatkan peluang keberhasilan mereka, penyerang dapat menggabungkan kata-kata kamus dengan angka, simbol, atau variasi huruf besar untuk membuat lebih banyak kemungkinan password.
Contoh:
Pada tahun 2015, peretas menggunakan serangan kamus untuk mendapatkan akses ke sistem email Parlemen Inggris. Para penyerang menggunakan daftar passwords yang umum digunakan dan mencobanya secara sistematis hingga menemukan kecocokan. Hal ini memungkinkan mereka untuk mengakses informasi dan email yang sensitif, sehingga menyebabkan kerusakan yang signifikan terhadap keamanan dan reputasi pemerintah Inggris.
Serangan Keylogger
Serangan keylogger adalah jenis serangan password yang melibatkan penggunaan perangkat lunak untuk merekam setiap penekanan tombol yang dilakukan pengguna pada komputer atau perangkat seluler mereka. Keylogger dapat dipasang pada perangkat korban dengan beberapa cara, termasuk melalui lampiran email berbahaya, unduhan perangkat lunak, atau bahkan akses fisik ke perangkat. Setelah terinstal, keylogger dapat merekam setiap penekanan tombol yang dilakukan korban, termasuk passwords, nomor kartu kredit, dan informasi sensitif lainnya.
Beberapa cara di mana serangan keylogger dapat dieksekusi adalah:
- Unduhan berbahaya: Penyerang dapat mengelabui pengguna untuk mengunduh perangkat lunak atau aplikasi berbahaya yang berisi keylogger.
- Serangan phishing: Penyerang dapat menggunakan serangan phishing untuk mengelabui pengguna agar mengklik tautan yang memasang keylogger pada perangkat mereka.
- Akses fisik: Penyerang dapat mengakses perangkat korban secara fisik dan memasang keylogger tanpa sepengetahuan korban.
Contoh:
Penjahat siber menggunakan serangan keylogger untuk mencuri lebih dari $1 juta dari sebuah bank Rusia pada tahun 2018. Para penyerang memasang malware pada komputer karyawan bank, yang merekam semua penekanan tombol mereka dan memungkinkan para penyerang mendapatkan akses ke sistem bank. Hal ini memungkinkan mereka untuk mentransfer dana ke rekening mereka sendiri tanpa terdeteksi.
Serangan Meja Pelangi
Serangan tabel pelangi adalah jenis serangan password yang melibatkan penggunaan tabel hash password yang telah dikomputasi sebelumnya untuk memecahkan passwords dengan cepat. Tabel pelangi pada dasarnya adalah daftar nilai hash yang telah dikomputasi sebelumnya untuk sejumlah besar kemungkinan passwords. Tabel-tabel ini bisa dibuat oleh penyerang atau diperoleh dari sumber yang tersedia untuk umum. Ketika tabel pelangi digunakan dalam sebuah serangan, penyerang membandingkan nilai hash dari data password yang dicuri dengan nilai hash dalam tabel. Jika ditemukan kecocokan, password yang sesuai dengan nilai hash dalam tabel adalah password yang dicuri.
Rainbow Table Attack dapat dilakukan dengan beberapa cara, termasuk:
- Membuat tabel pelangi: Penyerang dapat membuat tabel pelangi sendiri menggunakan perangkat lunak yang dirancang khusus untuk tujuan ini. Ini bisa menjadi proses yang memakan waktu dan sumber daya yang intensif, tetapi bisa efektif terhadap passwords yang tidak terlindungi dengan baik.
- Mendapatkan tabel pelangi yang sudah dibuat sebelumnya: Penyerang juga bisa mendapatkan tabel pelangi yang sudah dibuat sebelumnya dari sumber yang tersedia untuk umum atau pasar web gelap.
Contoh:
Sekelompok peretas pada tahun 2012 menggunakan serangan tabel pelangi untuk mencuri 6,5 juta passwords LinkedIn. Para penyerang menggunakan tabel hash yang telah dihitung sebelumnya untuk memecahkan passwords dengan cepat dan mendapatkan akses ke akun LinkedIn. Pelanggaran ini menjadi pengingat penting akan pentingnya menggunakan passwords yang kuat dan risiko menyimpan kata sandi dalam format yang tidak terenkripsi.
Kesimpulan
Password Attacks adalah metode umum yang digunakan oleh peretas untuk mendapatkan akses tidak sah ke akun dan informasi sensitif. Berbagai jenis serangan password, termasuk brute force, penyemprotan password, phishing, kamus, keylogger, dan serangan tabel pelangi, memiliki karakteristik yang berbeda dan dapat dieksekusi dengan metode yang berbeda. Setiap jenis serangan memiliki potensi untuk membobol kata sandi yang lemah dan menyebabkan kerusakan yang signifikan pada individu dan organisasi.