Satu kata sandi yang dicuri tidak langsung menimbulkan kekacauan. Kata sandi itu mungkin tersimpan dalam basis data yang bocor, atau digabungkan dengan ribuan catatan lain. Terkadang kata sandi tersebut diperdagangkan, dijual kembali, diuji ke layanan lain, atau digunakan beberapa minggu kemudian dalam kampanye phishing yang tampak tidak terkait dengan pembobolan awal.

Saat bisnis menyadari salah satu akunnya terekspos, kredensial tersebut mungkin sudah berpindah tangan beberapa kali. Itulah yang membuat kredensial bisnis di dark web begitu sulit dikelola. Pembobolan mungkin terjadi di satu tempat, data bisa muncul di tempat lain, dan serangan yang menyusul dapat menyasar sistem yang sama sekali berbeda.

Saat kredensial tersebut muncul di dark web, pembobolan sudah terjadi di suatu tempat. Yang kemudian terlihat di sana adalah risiko berikutnya: siapa yang dapat menemukan data itu, siapa yang dapat menggunakannya kembali, dan seberapa cepat bisnis dapat merespons. Kredensial bisnis di dark web merupakan sumber daya berharga bagi pelaku kejahatan siber, sehingga bisnis Anda perlu bersiap jika terkena pembobolan data.

Bagaimana kredensial bisnis dicuri

Bisa memerlukan waktu berhari-hari, berminggu-minggu, bahkan berbulan-bulan sebelum bisnis menyadari bahwa kredensial telah bocor. Kredensial dapat diambil melalui halaman masuk palsu, ditarik dari perangkat yang terinfeksi, terekspos dalam pembobolan pemasok, atau digunakan ulang dari akun pribadi lama, dan sering kali berakhir di pasar dark web tempat data curian dibeli dalam jumlah besar.

Phishing

Email phishing masih menjadi jalur umum pencurian kredensial. Seorang karyawan mungkin tiba di halaman yang menyerupai platform SaaS yang biasa digunakan, membuka permintaan dokumen yang memintanya masuk, atau mengikuti pesan yang tampak berasal dari layanan tepercaya. Setelah kredensial dimasukkan, penyerang dapat langsung mencoba menggunakannya atau menyimpannya untuk nanti. Satu serangan phishing yang berhasil dapat mengekspos setiap sistem yang dapat diakses oleh akun yang dikompromikan.

Ransomware

Kebocoran lain kurang terlihat. Selama insiden ransomware, penyerang dapat mencuri file sebelum mengenkripsi sistem, termasuk daftar akun, file konfigurasi, kata sandi, dan catatan akses. Pembobolan rantai pasok dapat mengekspos kredensial melalui vendor, kontraktor, penyedia perangkat lunak, atau mitra layanan terkelola, bahkan ketika sistem milik bisnis sendiri bukan titik kompromi pertama.

Kata sandi yang digunakan ulang

Ketika karyawan menggunakan kata sandi yang sama di akun pribadi dan akun kerja, pembobolan di luar perusahaan tetap bisa menjadi masalah bisnis. Penyerang tidak perlu lebih dulu membobol sistem kerja. Mereka dapat menguji kredensial yang sudah bocor ke puluhan layanan dan melihat mana yang masih berfungsi, sebuah serangan yang dikenal sebagai credential stuffing.

Malware infostealer

Perangkat karyawan juga dapat menjadi sumber eksposur. Malware infostealer dirancang untuk mengumpulkan kata sandi yang tersimpan, sesi peramban, kuki, data isi otomatis, dan informasi sensitif lainnya dari perangkat. Jika perangkat tersebut digunakan untuk bekerja, bahkan sesekali, kompromi pribadi dapat memberi penyerang akses ke akun bisnis, alat, atau kanal komunikasi.

Saat kredensial muncul dalam kumpulan data kriminal atau sumber dark web, pencurian aslinya mungkin sudah berlangsung berhari-hari, berminggu-minggu, atau berbulan-bulan. Bisnis tidak hanya berhadapan dengan kata sandi yang bocor. Ada ketidakpastian yang harus dihadapi: dari mana kredensial itu berasal, siapa yang telah melihatnya, apakah sudah diuji, dan apa lagi yang mungkin terekspos bersamanya.

Apa yang terjadi setelah kredensial dicuri

Setelah kredensial dicuri, jarang sekali kredensial itu tetap berada di satu tempat. Kredensial dapat ditambahkan ke kumpulan data pembobolan yang lebih besar, dibagikan secara privat, dijual dalam jumlah besar, atau digunakan oleh berbagai grup untuk tujuan berbeda. Sebagian penyerang menginginkan akses langsung ke akun. Sebagian lain menginginkan daftar email bisnis yang valid, kata sandi, data sesi, atau akun admin yang bisa mereka jual kembali.

Nilainya bergantung pada apa yang bisa dibuka oleh kredensial tersebut:

  • Kredensial masuk karyawan biasa dapat berguna untuk phishing atau pengintaian internal
  • Kata sandi yang digunakan ulang dapat membuka beberapa akun
  • Kredensial admin dapat memberi akses ke pengaturan, data pelanggan, informasi penagihan, atau pengelolaan pengguna
  • Kredensial masuk akun keuangan dapat digunakan untuk penipuan pembayaran
  • Kredensial SaaS dapat mengekspos dokumen, pesan, data proyek, atau catatan pelanggan

Data bisnis di dark web menjadi berbahaya karena dapat digunakan untuk melakukan tindakan yang merusak. Sebuah kredensial mungkin membuka sebuah akun, tetapi catatan yang tidak lengkap pun dapat membantu penyerang memahami siapa yang harus ditiru, pelanggan mana yang harus disasar, proses keuangan mana yang harus dipalsukan, atau karyawan mana yang harus ditekan berikutnya. Apa yang tampak seperti basis data bocor bagi bisnis mungkin tampak seperti sekumpulan peluang bagi seseorang yang menyiapkan penipuan, phishing, vishing, atau pengambilalihan akun.

Dalam artikel yang memperkenalkan Data Breach Observatory⁠ dari Proton, dijelaskan bahwa banyak pembobolan tidak diberitakan, yang menyembunyikan skala masalah sebenarnya. Proton membangun Observatory untuk menunjukkan di mana data bisnis bocor ke dark web dan membantu organisasi memahami risiko yang muncul dari eksposur nyata.

Data bisnis apa yang paling bernilai di dark web

Data bisnis yang paling bernilai di dark web tidak terbatas pada kata sandi atau rincian pembayaran. Penyerang sering mencari informasi apa pun yang membantu mereka mengakses akun, meniru karyawan, menyasar pelanggan, atau memahami cara sebuah bisnis beroperasi.

Data Breach Observatory⁠ milik Proton menunjukkan betapa beragamnya data bisnis yang terekspos, mulai dari nama dan alamat email hingga rincian kontak, kata sandi, dan catatan lain yang dapat mendukung serangan lanjutan. Informasi yang tidak lengkap pun dapat menjadi berguna bila digabungkan dengan data dari kebocoran lain.

Data bisnis yang paling bernilai bagi penyerang biasanya meliputi:

  • Kredensial masuk: Alamat email, kata sandi, kuki sesi, dan token autentikasi dapat memberi penyerang jalur langsung ke akun bisnis. Risiko ini lebih tinggi ketika karyawan menggunakan ulang kata sandi di berbagai alat atau ketika MFA tidak diaktifkan.
  • Informasi karyawan: Nama, jabatan, email kerja, nomor telepon, dan rincian organisasi dapat membantu penyerang mengidentifikasi siapa yang harus disasar dan bagaimana membuat pesan tampak sah. Data ini dapat mendukung upaya phishing, peniruan identitas, dan kompromi email bisnis.
  • Data pelanggan: Nama, rincian kontak, alamat, informasi akun, dan riwayat pembelian dapat digunakan untuk penipuan, pencurian identitas, phishing, atau rekayasa sosial. Bahkan ketika data ini tidak mencakup kata sandi, data tersebut dapat membantu penyerang membuat penipuan lebih personal dan meyakinkan.
  • Informasi keuangan dan pembayaran: Faktur, rincian bank, catatan penagihan, dokumen pajak, dan data pembayaran dapat mendukung penipuan faktur, penipuan pengalihan pembayaran, atau upaya meniru pemasok dan mitra.
  • Dokumen bisnis internal: Kontrak, daftar pemasok, file proyek, dokumen strategi, dan catatan operasional mungkin tidak memberi akses langsung ke akun, tetapi dapat mengungkap cara bisnis berjalan, pada siapa bisnis bergantung, dan di mana penyerang dapat menemukan kelemahan.

Kata sandi yang digunakan ulang, kredensial yang bocor, dan kombinasi yang mudah ditebak adalah cara termudah untuk masuk ke akun bisnis, tanpa perlu eksploit, hanya daftar dan kesabaran. Namun data lain yang terekspos tetap membantu penyerang menyusun serangan yang lebih terarah. Setelah informasi bisnis muncul di dark web, risikonya bukan hanya satu akun yang mungkin dikompromikan. Data yang sama dapat digunakan ulang, digabungkan, dan dieksploitasi jauh setelah pembobolan awal.

Apa yang harus dilakukan jika kredensial bisnis Anda ditemukan di dark web

Meskipun tidak ada perkiraan pasti untuk kerugian yang disebabkan khusus oleh aktivitas dark web, aktivitas ini berperan dalam ekonomi kejahatan siber yang jauh lebih besar. Sebuah tinjauan akademis, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(jendela baru), memperkirakan total kerugian kejahatan siber global sekitar 500 miliar dolar AS per tahun, dengan kisaran yang mungkin antara 100 miliar dan 1 triliun dolar AS. Forum dan pasar dark web berkontribusi pada ekosistem ini dengan membuat kredensial curian, data pribadi, dan informasi bisnis lebih mudah diperdagangkan, digabungkan, dan digunakan ulang.

Jika kredensial bisnis ditemukan di dark web, prioritas utama Anda haruslah mengurangi kemungkinan penyerang masih dapat menggunakannya. Kredensial yang terekspos berbulan-bulan lalu mungkin masih valid jika kata sandinya belum diubah, autentikasi multi-faktor (MFA) tidak diterapkan, atau kata sandi yang sama digunakan ulang di alat lain.

1. Identifikasi akun, karyawan, dan sistem mana yang mungkin terdampak

Atur ulang kata sandi yang terekspos, cabut sesi aktif, dan periksa apakah kata sandi yang sama atau serupa digunakan di tempat lain. Jika akun tersebut terhubung ke email, penyimpanan file, sistem keuangan, data pelanggan, atau panel admin, anggap risikonya lebih tinggi dan tinjau aktivitas terbaru untuk menemukan percobaan masuk yang mencurigakan, aturan penerusan, perubahan izin, atau pengunduhan yang tidak biasa.

Jika kredensial yang terekspos mencakup data pribadi, nilailah apakah insiden tersebut perlu dilaporkan ke otoritas pengawas terkait, yaitu ICO(jendela baru) di Inggris, otoritas perlindungan data nasional di setiap negara anggota UE. Berdasarkan GDPR Inggris maupun UE, tidak setiap pembobolan data pribadi wajib dilaporkan, tetapi organisasi harus memberi tahu jika pembobolan tersebut berpotensi menimbulkan risiko terhadap hak dan kebebasan orang. Panduan melaporkan pembobolan(jendela baru)⁠ dari ICO dapat membantu bisnis menilai insiden dan memahami proses pelaporannya.

2. Terapkan MFA di mana pun memungkinkan

Pastikan untuk memprioritaskan alat yang menyimpan data bisnis sensitif seperti email, akun admin, dan platform cloud. Jika MFA sudah diaktifkan, tinjau metode autentikasi dan opsi pemulihan untuk memastikan penyerang tidak dapat melewatinya melalui kode cadangan yang dikompromikan, akun email pemulihan yang lemah, atau rekayasa sosial.

3. Beri tahu pengguna internal yang terdampak

Selanjutnya, Anda perlu memberi tahu anggota tim yang terdampak, dan memberikan instruksi yang jelas tentang apa yang harus diubah dan apa yang harus diwaspadai. Setelah kredensial muncul di dark web, penyerang dapat menggunakannya untuk credential stuffing, phishing, peniruan identitas, atau upaya berpindah dari satu akun yang dikompromikan ke sistem bisnis lainnya.

4. Tinjau kontrol akses Anda

Hapus akun yang tidak digunakan, perbarui izin, periksa kredensial bersama, dan pastikan karyawan menggunakan kata sandi unik untuk setiap layanan bisnis. Pengelola kata sandi dapat membantu tim membuat kata sandi yang lebih kuat, menyimpannya dengan aman, membagikan akses tanpa mengekspos kata sandinya sendiri, dan memberi admin visibilitas lebih baik terhadap perilaku kata sandi yang berisiko.

5. Terus lakukan monitoring untuk eksposur lanjutan

Terakhir, terus lakukan monitoring untuk eksposur di masa depan. Data dark web dapat muncul kembali, dikemas ulang, atau digabungkan dengan kebocoran lain jauh setelah pembobolan awal. Menemukan kredensial yang terekspos lebih awal memberi bisnis peluang lebih besar untuk mengatur ulang akses sebelum penyerang mengubah data bocor menjadi pengambilalihan akun, penipuan, atau insiden keamanan yang lebih luas. Pengelola kata sandi bisnis seperti Proton Pass for Business mempermudah hal itu dengan mengidentifikasi akun yang rentan dan mengirimkan peringatan pembobolan data di satu tempat, sehingga eksposur terungkap tanpa perlu ada yang mencarinya.

Bagaimana Pass Monitor membantu mendeteksi eksposur kredensial

Eksposur dark web sering kali tertunda dan terpisah-pisah. Alamat email yang bocor mungkin muncul di satu kumpulan data, kata sandi di kumpulan lain, dan informasi pribadi terkait di tempat lain lagi. Monitoring membantu memunculkan sinyal tersebut lebih cepat, sebelum kredensial yang terekspos diam-diam digunakan ulang dalam pengambilalihan akun, phishing, atau penipuan.

Dengan pengelola kata sandi bisnis seperti Proton Pass for Business⁠, tim dapat menyimpan kredensial di brankas kata sandi yang terenkripsi, membuat kata sandi unik, mengisi otomatis proses masuk, membagikan akses dengan aman, mengelola kunci sandi, dan menggunakan autentikasi dua faktor bawaan. Fitur admin seperti kebijakan, pelaporan, log, pengelolaan grup, provisi SCIM, dan integrasi SSO membantu menjaga akses tetap terkendali seiring pertumbuhan bisnis.

Alat monitoring dark web kami adalah fitur di Proton Pass for Business yang membantu Anda mengidentifikasi akun bisnis yang rentan dan menerima peringatan pembobolan data di satu tempat. Fitur ini mencakup monitoring dark web, pemeriksaan kesehatan kata sandi, dan peringatan 2FA yang tidak aktif.

Pass Monitor dapat memperingatkan pengguna saat informasi pribadi terkompromikan dalam kebocoran data dan mengidentifikasi kata sandi yang digunakan ulang atau lemah. Kesehatan kata sandi memperkirakan berapa lama waktu yang dibutuhkan untuk memecahkan kata sandi, sehingga tim dapat melihat perbedaan antara kata sandi yang dapat dipecahkan dalam hitungan detik dan kata sandi yang membutuhkan waktu bertahun-tahun.

Fitur ini juga menyoroti akun yang tidak mengaktifkan 2FA, lapisan keamanan tambahan yang penting, dan sering menjadi pembeda antara kata sandi yang bocor sebagai ketidaknyamanan biasa dan sebagai pembobolan. Daripada menunggu sampai terlambat untuk mengetahui adanya pembobolan data, berikan bisnis Anda alat yang dibutuhkan untuk melindungi diri.

Pantau kredensial bisnis Anda di dark web dengan pengelola kata sandi bisnis⁠.