brand merek: Apple

Bisnis.com, JAKARTA — Sebanyak 16 miliar kredensial login, termasuk password, terungkap dan beredar di internet. Investigasi yang dilakukan sejak awal tahun oleh tim peneliti Cybernews dan Forbes mengungkap bahwa data ini bukan sekadar daur ulang dari kebocoran lama, melainkan koleksi baru yang dihasilkan oleh berbagai malware infostealer yang semakin merajalela.

Dilansir dari Forbes, Jumat (20/6/2025), kredensial yang bocor ini mencakup akun dari hampir semua layanan daring utama—mulai dari Apple, Google, Facebook, Telegram, GitHub, VPN, hingga layanan pemerintahan. 

Malware Bytes melaporkan para peneliti menyebut kebocoran ini sebagai “peta biru eksploitasi massa” karena dapat menjadi dasar serangan phishing, pengambilalihan akun, pencurian identitas, hingga penipuan finansial berskala global.

“Ini bukan hanya kebocoran – ini adalah cetak biru untuk eksploitasi massal. Ini bukan hanya pelanggaran lama yang didaur ulang, mereka memperingatkan, ini adalah kecerdasan yang segar dan dapat dipersenjatai dalam skala besar.” kata para peneliti dilansir dari Independent. 

Data bocor ini ditemukan dalam 30 kumpulan database berbeda, masing-masing berisi puluhan juta hingga lebih dari 3,5 miliar kredensial. Hampir seluruh dataset ini belum pernah dilaporkan sebelumnya, kecuali satu database berisi 184 juta password yang sempat menjadi viral pada Mei lalu. 

Seluruhnya diduga kuat berasal dari infostealer—malware yang secara diam-diam mencuri data login dari perangkat korban, lalu mengirimkannya ke pelaku kejahatan siber. 

Infostealer merupakan jenis malware yang mencuri kredensial, dompet kripto, dan data lain dari perangkat yang terinfeksi.

Malware ini menyerang baik sistem Windows maupun Mac, dan ketika dijalankan, akan mengumpulkan semua kredensial yang tersimpan di perangkat dan menyimpannya dalam sebuah “log”. 

Log infostealer biasanya berupa arsip berisi banyak file teks yang memuat daftar kredensial dari browser, file, dan aplikasi lain, dengan format umum URL:username:password, meski delimiter bisa berbeda-beda.

Masalah infostealer kini sangat meluas sehingga kredensial bocor menjadi salah satu cara paling umum bagi pelaku kejahatan siber untuk membobol jaringan.

Banyak dari log ini kemudian diunggah ke pelaku kejahatan untuk serangan lanjutan atau dijual di pasar gelap siber. Bahkan, beberapa kompilasi besar kredensial ini dibagikan secara gratis di platform seperti Telegram, Pastebin, dan Discord untuk membangun reputasi atau sebagai teaser penawaran berbayar menurut laporan Bleeping Computer.

Pakar keamanan menegaskan, kebocoran ini membuka peluang eksploitasi massal. Para penjahat siber kini memiliki akses ke miliaran kredensial yang bisa digunakan untuk pengambilalihan akun mulai dari media sosial, email, hingga perbankan dan korporasi.

Kemudian, data juga berpotensi digunakan untuk pencurian data pribadi memungkinkan penipuan, aplikasi pinjaman, atau penyamaran. Terakhir, kredensial bisnis yang bocor membuka pintu bagi serangan ransomware atau penipuan transfer dana.

Google segera mengimbau miliaran penggunanya untuk mengganti password dengan passkey yang lebih aman. FBI juga memperingatkan masyarakat agar tidak mengklik tautan mencurigakan di SMS atau email, mengingat maraknya penjualan password curian di dark web.

Darren Guccione dari Keeper Security menekankan pentingnya penggunaan password manager, monitoring web, dan penerapan zero-trust model oleh organisasi untuk membatasi akses ke sistem sensitif. Pakar lain mengingatkan, keamanan siber bukan hanya isu teknis, tapi tanggung jawab bersama antara pengguna dan organisasi. 

Langkah Perlindungan yang Disarankan

Pakar keamanan merekomendasikan langkah-langkah berikut untuk melindungi diri dari dampak kebocoran ini:

– Ganti password semua akun penting, gunakan kombinasi kuat dan unik.

– Aktifkan multi-factor authentication (MFA) di semua layanan yang mendukung.

– Gunakan password manager untuk menyimpan dan mengelola password.

– Pantau aktivitas akun secara rutin untuk mendeteksi aktivitas mencurigakan.

– Segera beralih ke passkey jika tersedia.

– Jangan pernah membagikan password dan waspadai tautan mencurigakan.