Password Attack: Jenis Serangan dan Cara Melindungi Akun

Password attack adalah upaya mendapatkan akses ke akun dengan menebak, mencuri, atau memanfaatkan kata sandi milik pengguna sah. Kata sandi masih menjadi gerbang utama hampir semua layanan, sehingga satu kata sandi yang lemah atau bocor bisa membuka email, media sosial, hingga sistem kantor. Artikel ini menjelaskan jenis serangannya secara konseptual dan cara melindungi akun Anda.

Apa Itu Password Attack dan Mengapa Efektif?

Penyerang password tidak selalu perlu keahlian teknis tinggi. Mereka memanfaatkan kebiasaan manusia: memakai kata sandi pendek, mengulang kata sandi yang sama di banyak layanan, atau menyimpannya di tempat yang tidak aman. Ditambah lagi, aplikasi yang hanya mengandalkan kata sandi sebagai satu-satunya faktor autentikasi sangat bergantung pada kualitas pilihan penggunanya.

Dampaknya bisa luas. Begitu satu akun penting jatuh, penyerang dapat membaca pesan, mereset akun lain lewat email pemulihan, melakukan penipuan atas nama korban, atau masuk lebih dalam ke jaringan organisasi. Dalam laporan Verizon Data Breach Investigations Report 2025, yang menganalisis lebih dari 22.000 insiden, penyalahgunaan kredensial menjadi pintu masuk awal terbanyak pada pelanggaran data, yaitu 22 persen.

Jenis-Jenis Password Attack

Bagian ini hanya menjelaskan cara kerja secara konsep agar Anda tahu apa yang dilawan, bukan panduan menjalankannya.

Brute force dan dictionary attack

Brute force mencoba kombinasi karakter secara sistematis, sedangkan dictionary attack mencoba daftar kata sandi yang umum dipakai. Keduanya mengandalkan jumlah percobaan yang besar. Karena itu sistem yang membatasi jumlah percobaan gagal jauh lebih tahan terhadap serangan ini.

Credential stuffing

OWASP mendefinisikannya sebagai pemakaian otomatis pasangan nama pengguna dan kata sandi hasil kebocoran terhadap formulir login situs lain. Serangan ini berhasil karena banyak orang memakai ulang kata sandi yang sama di berbagai layanan. OWASP menyebut autentikasi multi-faktor sebagai penangkal utamanya.

Password spraying

Kebalikan dari brute force biasa: penyerang mencoba satu kata sandi umum pada banyak akun, bukan banyak kata sandi pada satu akun, sehingga lolos dari penguncian akun. Serangan ini paling mudah berhasil pada kata sandi bawaan yang dibagikan administrator kepada pengguna baru.

Phishing

Pengguna dibujuk memasukkan kata sandinya sendiri ke halaman palsu. Inilah bentuk yang paling umum karena tidak perlu menebak apa pun. Cara mengenalinya dibahas dalam artikel tentang ciri-ciri phishing.

Pencurian lewat malware dan kebocoran data

Malware pencuri informasi atau keylogger merekam kata sandi dari perangkat yang terinfeksi, sementara kebocoran basis data menyebarkan kredensial dalam jumlah besar. Data seperti ini kemudian dipakai ulang dalam credential stuffing.

Serangan offline terhadap hash

Jika basis data sebuah layanan bocor, kata sandi yang tersimpan sebagai hash dapat dicoba ditebak di luar layanan tersebut tanpa batas percobaan. Di sinilah penyimpanan yang benar dengan hash yang kuat dan salt menjadi penting bagi pengembang, seperti dijelaskan di artikel perbedaan hashing dan enkripsi. Auditor keamanan yang berwenang memakai perangkat seperti Hashcat untuk menguji kekuatan kata sandi milik organisasinya sendiri.

Cara Melindungi Akun dari Password Attack

Pedoman NIST SP 800-63B menjadi rujukan yang banyak dipakai. Beberapa poin pentingnya:

• Utamakan panjang. Kata sandi yang dipakai sebagai satu-satunya faktor harus minimal 15 karakter, dan sistem sebaiknya mengizinkan panjang hingga 64 karakter atau lebih. Frasa sandi yang panjang lebih mudah diingat daripada deretan simbol acak.
• Tolak kata sandi yang sudah bocor atau umum. Sistem perlu memeriksa pilihan pengguna terhadap daftar kata sandi yang diketahui lemah atau pernah bocor.
• Jangan memaksa aturan komposisi dan pergantian berkala. NIST melarang kewajiban campuran jenis karakter maupun pergantian rutin tanpa alasan. Kata sandi perlu diganti ketika ada bukti kebocoran atau pembobolan. Memahami hal ini membantu Anda tidak terjebak pada kebiasaan lama seperti mengganti kata sandi hanya dengan menambah angka di akhir.
• Batasi percobaan gagal. Pengembang wajib menerapkan pembatasan laju yang efektif terhadap percobaan autentikasi yang gagal.

Di luar itu, ada kebiasaan praktis yang paling berdampak:

1. Gunakan kata sandi unik untuk setiap akun, dibantu password manager.
2. Aktifkan autentikasi dua faktor, terutama untuk email, perbankan, dan akun administrator. Pilih aplikasi autentikator atau kunci keamanan dibanding SMS bila tersedia.
3. Ganti segera kata sandi bawaan dan kata sandi yang Anda duga bocor.
4. Waspadai tautan login dalam pesan, dan buka layanan lewat alamat yang Anda ketik sendiri.
5. Pasang pembaruan dan perlindungan endpoint agar malware pencuri kata sandi tidak mudah masuk.

NIST juga mencatat bahwa kata sandi sendiri tidak tahan phishing, sehingga untuk layanan yang sensitif pilih metode yang tahan phishing seperti kunci keamanan atau passkey bila didukung.

Aspek Hukum yang Perlu Diingat

Mencoba masuk ke akun atau sistem milik orang lain tanpa izin, termasuk dengan menebak kata sandi, dapat dijerat hukum pidana, khususnya ketentuan tentang akses ilegal pada Pasal 332 KUHP (sebelumnya Pasal 30 UU ITE). Pengujian kata sandi hanya sah dilakukan pada sistem milik sendiri atau dengan izin tertulis pemiliknya, misalnya dalam penetration testing resmi.

Pertanyaan yang Sering Diajukan

Seberapa panjang kata sandi yang aman?

Menurut NIST SP 800-63B, kata sandi yang dipakai sebagai satu-satunya faktor minimal 15 karakter. Frasa sandi beberapa kata acak yang panjang umumnya lebih kuat dan lebih mudah diingat daripada kata pendek penuh simbol.

Apakah kata sandi harus diganti secara berkala?

Tidak harus. NIST menyarankan sistem tidak mewajibkan penggantian berkala, kecuali ada bukti kata sandi bocor. Yang lebih penting adalah kata sandi yang unik, panjang, dan dilindungi autentikasi multi-faktor.

Apa bedanya brute force dan password spraying?

Brute force mencoba banyak kata sandi pada satu akun, sedangkan password spraying mencoba satu kata sandi pada banyak akun untuk menghindari penguncian.

Bagaimana tahu kata sandi saya sudah bocor?

Periksa lewat layanan pemantau kebocoran terpercaya dan segera ganti kata sandi di semua tempat yang memakainya.

Kesimpulan

Password attack berkembang dari tebakan sederhana hingga pemakaian ulang kredensial bocor secara otomatis, tetapi perlindungannya konsisten: kata sandi panjang dan unik, password manager, autentikasi multi-faktor, dan kewaspadaan terhadap phishing. Jika Anda ingin memahami cara kerja pertahanan akun secara lebih mendalam dan legal, jelajahi kursus keamanan siber di Linuxhackingid.

Referensi: NIST SP 800-63B, OWASP, Credential Stuffing, dan OWASP, Password Spraying Attack.