Hacker Tak Lagi Curi Password, Kini Incar Cookie Browser untuk Bypass Akun

Ancaman siber kini berubah: peretas tak lagi fokus mencuri kata sandi, melainkan mengeksploitasi cookie sesi browser untuk masuk ke akun pengguna tanpa perlu mengetahui password sama sekali. Pada April 2023, FBI dan aparat dari 17 negara sukses membongkar pasar gelap Genesis Market melalui operasi "Operation Cookie Monster", di mana 80 juta kredensial curian—termasuk cookie sesi dari 1,5 juta perangkat—diamankan.

Meski pasar itu telah ditutup, data cookie curian yang disebut stealer logs terus beredar luas. NordVPN mencatat lebih dari 52,4 miliar cookie dicuri antara Juni 2025 hingga 2026.

Apa Itu Cookie Sesi?

Cookie sesi adalah file teks kecil yang disimpan browser setelah pengguna login. Fungsinya memungkinkan situs web mengenali identitas pengguna tanpa meminta password berulang kali. Namun, jika cookie ini dicuri melalui malware infostealer seperti Lumma, Vidar, StealC, Acreed, atau Atomic Stealer (AMOS)—yang menyebar lewat situs terinfeksi, perangkat lunak bajakan, atau penginstal palsu—peretas bisa langsung menyamar sebagai pemilik akun.

Rantai distribusi cookie curian kini berpindah dari Genesis Market ke Russian Market dan transaksi privat di Telegram. Sekitar 180.000 stealer logs terjual hanya di paruh pertama 2025, dengan harga per data berkisar dari USD 5 hingga USD 500. Pembeli bisa menyortirnya berdasarkan negara, aplikasi, atau hak akses.

Cara Memeriksa dan Memulihkan Akun yang Terdampak

Pengguna bisa memeriksa kebocoran sesi dengan mengecek daftar perangkat aktif di pengaturan akun mereka. Jika ada perangkat asing, kemungkinan besar akun telah dibobol. Layanan seperti Have I Been Pwned juga bisa membantu memeriksa apakah kredensial email atau kata sandi pernah bocor.

Untuk pemulihan, langkah pertama adalah memindai sistem dengan antivirus atau menginstal ulang sistem operasi. Lalu, ganti kata sandi email, aktifkan autentikasi dua faktor (2FA), dan keluar dari semua sesi aktif di semua platform. Setelah itu, ganti kata sandi secara bertahap mulai dari akun perbankan, penyimpanan awan, hingga pengelola kata sandi. Jangan lupa tinjau dan cabut akses aplikasi pihak ketiga yang mencurigakan.

Masa Depan: Device Bound Session Credentials (DBSC)

Di masa depan, teknologi Device Bound Session Credentials (DBSC) mulai diterapkan untuk mengatasi ancaman ini. DBSC mengunci sesi login pada chip keamanan perangkat, sehingga cookie tidak bisa digunakan di perangkat lain. Google telah mulai menerapkan DBSC secara bertahap di Chrome untuk Windows dan akun Google.

Edukasi: Lindungi Cookie Anda Sebelum Dicuri

Serangan berbasis cookie ini menunjukkan bahwa keamanan akun tidak lagi cukup hanya dengan kata sandi yang kuat. Berikut langkah-langkah yang bisa Anda lakukan untuk melindungi diri:

• Aktifkan 2FA di Semua Akun: Ini adalah lapisan pertahanan tambahan. Meskipun cookie berhasil dicuri, peretas tetap membutuhkan kode verifikasi kedua untuk masuk.
• Jangan Sembarangan Mengunduh: Hindari mengunduh perangkat lunak bajakan atau mengklik tautan dari sumber tidak dikenal. Malware infostealer sering menyebar melalui jalur ini.
• Gunakan Password Manager: Alat ini tidak hanya menyimpan kata sandi, tetapi juga bisa mendeteksi situs phishing dan memperingatkan Anda jika ada upaya login mencurigakan.
• Rutin Cek Perangkat Aktif: Luangkan waktu untuk memeriksa daftar perangkat yang terhubung ke akun Anda (Google, email, media sosial). Jika ada yang tidak dikenal, segera logout dan ganti kata sandi.
• Hati-hati dengan Ekstensi Browser: Hanya instal ekstensi dari sumber resmi. Beberapa ekstensi jahat bisa membaca cookie sesi Anda.
• Waspadai Jaringan Wi-Fi Publik: Jangan mengakses akun sensitif di Wi-Fi publik tanpa VPN. Peretas di jaringan yang sama bisa menyadap cookie Anda.

Di era di mana cookie bisa lebih berharga daripada password, kewaspadaan digital bukan lagi pilihan, melainkan keharusan. Jangan biarkan akun Anda diambil alih hanya karena satu file kecil yang terlupakan.