Sebagian besar saran pencegahan pembobolan, termasuk panduan kami tentang mencegah pembobolan data, berfokus pada upaya menjaga penyerang agar tidak masuk ke jaringan bisnis Anda. Menggunakan kredensial yang lebih kuat, ketahanan terhadap phishing, sistem yang diperbarui, dan pemasok yang terverifikasi adalah komponen utama dari praktik ini. Semuanya merupakan praktik penting, namun tidak bisa menjadi satu-satunya taktik perlindungan pembobolan data: praktik tersebut tidak akan memberi dukungan jika penyerang berhasil membobol jaringan Anda.
Mendapatkan akses dan pencurian data adalah dua hal yang berbeda. Penyerang yang mengompromikan satu kotak masuk, satu laptop, atau satu koneksi pemasok belum mencuri apa pun. Mereka baru mendapatkan pijakan, dan apa yang terjadi antara pijakan tersebut dan saat data keluar dari gedung adalah fase yang dilewati sepenuhnya oleh sebagian besar panduan keamanan UKM, karena ini bukan hanya tentang mengamankan jaringan Anda; ini juga tentang menyadari bahwa data sedang dipindahkan ke luar jaringan.
Fase ini disebut eksfiltrasi, dan biasanya berlangsung selama berhari-hari atau bahkan berbulan-bulan tanpa terdeteksi. Hal ini dimungkinkan karena adanya alat dan kanal yang terlihat sangat biasa bagi siapa pun yang tidak secara khusus mengawasinya. Notifikasi pembobolan sering kali datang terlambat bukan karena organisasi ceroboh terkait kompromi awal, melainkan karena penyerang tidak terdeteksi di dalam jaringan bisnis.
Fase eksfiltrasi: apa yang terjadi antara akses dan pencurian
Mengapa eksfiltrasi sulit dikenali?
Hal yang harus dipantau oleh bisnis
Bagaimana deteksi dini dapat mengubah posisi hukum Anda
Apa yang terjadi pada data bisnis yang dieksfiltrasi?
Batasi apa yang dapat dijangkau penyerang
Fase eksfiltrasi: apa yang terjadi antara akses dan pencurian
Setelah penyerang mendapatkan akses awal, baik melalui email phishing, kredensial yang dicuri, atau koneksi pemasok yang terkompromi, mereka jarang langsung mencuri data. Bertindak langsung berisiko memicu peringatan sebelum mereka menemukan sesuatu yang berharga untuk diambil, sehingga pola yang lebih umum adalah bersabar.
Penyerang menghabiskan waktu untuk memetakan lingkungan, termasuk:
- Di mana catatan keuangan tersimpan
- Menilai alat SaaS mana yang berisi data pelanggan
- Menemukan akun dengan akses terluas
- Mendeteksi apakah monitoring aktivitas, jika ada, diterapkan.
Tahap pengintaian ini bisa berjalan lambat. Sebagian penyerang bergerak dalam hitungan jam, terutama dalam kasus ransomware oportunistik ketika kecepatan lebih penting daripada penyamaran. Penyerang lainnya, terutama dalam kasus yang dibangun seputar pencurian data jangka panjang atau spionase, tetap tersemat selama berminggu-minggu atau berbulan-bulan, mempelajari pola aktivitas normal hingga cukup menyatu dengannya.
Bagaimanapun juga, saat penyerang mulai memindahkan data ke luar, mereka biasanya sudah tahu persis apa yang mereka inginkan dan akun atau sistem mana yang memungkinkan mereka mengambilnya tanpa memicu alarm.
Seperti apa eksfiltrasi data
Eksfiltrasi berbahaya sulit dikenali karena terlihat seperti aktivitas sehari-hari. Admin IT tidak mencari transfer file yang sedikit lebih besar dari biasanya atau folder yang disinkronkan ke tempat yang tidak seharusnya.
Transfer data dalam jumlah besar atau tidak biasa
Ini adalah bentuk eksfiltrasi yang paling langsung. Misalnya, sebuah akun tiba-tiba menarik gigabita dari server file atau database yang biasanya hanya diakses sesekali, atau melakukan ekspor massal dari platform CRM atau SDM.
Dalam lingkungan yang sarat SaaS, eksfiltrasi sering terjadi melalui fitur ekspor milik platform itu sendiri: unduh CSV massal, ekspor PDF catatan pelanggan, atau serangkaian tangkapan layar dari dasbor yang tidak memiliki tombol ekspor sama sekali.
Kasus umum mungkin terlihat seperti ini: akun SDM yang terkompromi digunakan selama beberapa minggu untuk melakukan ekspor catatan karyawan secara berkala dalam jumlah kecil, alih-alih satu unduh massal yang mencolok. Setiap ekspor individual tampak wajar dengan sendirinya, sangat sesuai dengan apa yang diharapkan dari seseorang dengan peran tersebut di platform SDM.
Hanya pola selama beberapa minggu, yaitu akun yang sama mengekspor data serupa pada interval yang janggal, yang akan mengungkap apa yang sedang terjadi, dan pola tersebut hanya akan terlihat oleh bisnis yang mencarinya.
Kompromi kotak masuk
Penyerang yang mengompromikan kotak surat email bisnis dapat menyiapkan aturan yang secara diam-diam menyalin setiap pesan, atau setiap pesan yang cocok dengan kata kunci tertentu, ke alamat eksternal, sehingga memberi mereka umpan korespondensi sensitif yang terus berlanjut lama setelah email phishing awal dilupakan.
Kompromi penyimpanan cloud
Penyimpanan cloud pribadi adalah rute umum lainnya. Laptop karyawan yang terkompromi, atau akun terkompromi dengan akses ke file perusahaan, dapat digunakan untuk menyalin dokumen ke Dropbox, Google Drive pribadi, atau layanan serupa, transfer yang sering kali terlihat identik dengan cadangan file yang sah kecuali jika ada yang memeriksa ke mana data tersebut berakhir.
Mengapa eksfiltrasi sulit dikenali?
Kenyataan yang tidak menyenangkan tentang eksfiltrasi adalah bahwa hal ini biasanya tidak memerlukan malware(jendela baru) sama sekali. Penyerang yang menggunakan akun yang terkompromi untuk mengekspor laporan, meneruskan beberapa email, atau mengunggah file ke drive cloud menggunakan alat dan izin yang sama seperti yang digunakan karyawan sah setiap hari.
Tidak ada executable mencurigakan yang ditandai oleh perangkat lunak antivirus, atau proses tidak biasa yang ditangkap oleh deteksi endpoint, karena tidak ada yang secara teknis tidak normal dari aktivitas tersebut. Aktivitas itu hanya terlihat salah dalam konteksnya, dan konteks inilah yang justru tidak dirancang untuk dievaluasi oleh sebagian besar alat keamanan UKM.
Inilah sebabnya pertahanan yang berfokus pada perimeter, betapapun baiknya diterapkan, tidak cukup jika berdiri sendiri. Sebuah bisnis dapat melakukan semuanya dengan benar di titik masuk, menerapkan kredensial yang kuat, melatih karyawan untuk melawan phishing, memperbarui setiap sistem, dan tetap tidak memiliki cara untuk mengetahui bahwa akun yang terkompromi secara konsisten memindahkan file ke tujuan eksternal, karena aktivitas tersebut sejak awal tidak pernah dirancang agar terlihat mencurigakan.
Peneliti keamanan terkadang menyebut hal ini sebagai “living off the land”: menggunakan perangkat lunak, integrasi cloud, dan alat administratif sah milik target daripada menggunakan alat apa pun yang akan dikenali oleh produk antivirus sebagai alat yang tidak sah.
Klien sinkronisasi file, fitur ekspor bawaan, atau aturan email standar bukanlah alat berbahaya. Inilah alasan mengapa penyerang yang mengandalkannya dapat beroperasi sekian lama tanpa memicu apa pun yang dirancang untuk menangkap malware.
Hal yang harus dipantau oleh bisnis
Mendeteksi eksfiltrasi sejak dini bergantung pada pengawasan terhadap sejumlah kecil sinyal spesifik, daripada memindai secara luas aktivitas yang mencurigakan.
Lalu lintas dan ekspor
Volume atau tujuan transfer data yang tidak biasa patut mendapatkan perhatian paling ketat. Organisasi Anda harus mewaspadai lonjakan lalu lintas keluar, ekspor massal dari sistem yang biasanya tidak memilikinya, atau transfer apa pun yang menuju ke tujuan yang tidak dikenali.
Panduan NCSC tentang keamanan data(jendela baru) secara khusus merekomendasikan pencatatan log akses ke data sensitif dan melakukan monitoring terhadap kueri yang tidak biasa atau upaya ekspor massal, tepatnya karena pola tersebut merupakan tanda bahwa sesuatu telah melampaui penggunaan normal.
Aturan penerusan email
Aturan penerusan email sangat layak diaudit secara langsung, terutama untuk akun mana pun yang pernah terlibat dalam insiden dugaan phishing. Aturan yang diam-diam meneruskan pesan ke alamat yang tidak dikenal bisa luput dari perhatian selama berbulan-bulan, dan ini adalah salah satu hal paling sederhana untuk diperiksa jika tahu apa yang harus dicari.
Aktivitas masuk yang tidak biasa
Aktivitas masuk dari lokasi atau waktu yang tidak terduga adalah sinyal yang patut ditanggapi dengan serius. Masuk pada pukul 3 pagi dari negara tempat bisnis tidak beroperasi bukanlah bukti apa pun secara tersendiri, tetapi jika direferensikan silang dengan transfer data pada waktu yang hampir bersamaan, ini adalah rincian yang dapat mengonfirmasi suatu insiden.
Aktivitas akun admin di luar jam kerja patut mendapat perhatian khusus, karena akun admin biasanya memiliki jangkauan terluas ke dalam suatu sistem dan menjadi target utama justru karena jangkauan tersebut.
Aktivitas pada akun ini di larut malam, di akhir pekan, atau selama periode ketika administrator sebenarnya diketahui sedang tidak bertugas di kantor adalah salah satu indikator yang lebih andal bahwa sebuah akun, bukan hanya perangkat, telah dikompromikan.
Bagaimana deteksi dini dapat mengubah posisi hukum Anda
Berdasarkan GDPR UE dan GDPR Inggris, Pasal 33(jendela baru) memberi organisasi waktu 72 jam untuk memberi tahu otoritas pengawas yang relevan begitu mereka mengetahui bahwa pembobolan yang memengaruhi data pribadi telah terjadi; ICO di Inggris(jendela baru) atau otoritas perlindungan data nasional di setiap negara anggota UE.
Persyaratannya secara materi sama untuk semua yurisdiksi: batas waktu bagi organisasi Anda dimulai sejak saat disadari, bukan sejak saat pembobolan benar-benar terjadi. Inilah sebabnya monitoring eksfiltrasi yang menyeluruh sangat penting untuk kepatuhan, bukan hanya keamanan.
Bisnis yang mendeteksi eksfiltrasi sejak dini, melalui audit aturan penerusan, monitoring transfer, atau peringatan aktivitas masuk yang tidak biasa, dapat memberikan notifikasi secara proaktif, sesuai batas waktunya sendiri, dengan gambaran yang cukup jelas tentang apa yang telah diambil.
Bisnis yang baru mengetahui pembobolan berminggu-minggu atau berbulan-bulan kemudian, sering kali karena pelanggan mengeluh atau data yang dicuri muncul di forum kriminal, memberikan notifikasi secara reaktif, di bawah tekanan, sering kali dengan gambaran cakupan yang tidak lengkap dan regulator yang menanyakan mengapa butuh waktu begitu lama untuk menyadarinya.
Perbedaannya tidak hanya sebatas bagaimana reputasi Anda terpengaruh. Hal ini membentuk bagaimana seluruh insiden dinilai, dan seberapa besar kelonggaran yang cenderung diberikan oleh regulator.
Apa yang terjadi pada data bisnis yang dieksfiltrasi?
Data Breach Observatory Proton melacak apa yang muncul di dark web setelah pembobolan terjadi, dan polanya adalah pemeriksaan realitas yang berguna tentang apa yang sebenarnya diincar oleh eksfiltrasi.
Menurut pembaruan Data Breach Observatory 2026, nama dan alamat email muncul di hampir sembilan dari sepuluh pembobolan yang dilacak, rincian kontak seperti nomor telepon dan alamat fisik muncul di sekitar tiga perempat di antaranya, dan kata sandi terekspos di hampir setengahnya.
Kategori yang lebih sensitif, seperti tanda pengenal yang diterbitkan pemerintah, catatan kesehatan, dan informasi identitas pribadi lainnya, muncul di lebih dari sepertiga pembobolan, sementara informasi keuangan langsung muncul dalam porsi yang lebih kecil, sekitar satu dari dua puluh.
UKM merupakan mayoritas dari pembobolan yang dilacak Observatory, dan terwakili secara tidak proporsional di antara insiden yang melibatkan kategori data paling sensitif.
Kombinasi ini, penargetan yang sering dan tingkat paparan data sensitif yang tinggi, konsisten dengan jenis eksfiltrasi yang dijelaskan dalam artikel ini: serangan yang terjadi dalam jangka waktu lama di dalam sistem organisasi yang lebih kecil cenderung memberikan hasil lebih besar, karena tidak ada yang tahu bahwa data sedang bocor dan penyerang dapat mengambil semuanya.
Batasi apa yang dapat dijangkau penyerang
Monitoring eksfiltrasi menangkap data saat sedang dikeluarkan, namun besarnya masalah ditentukan lebih awal, yaitu oleh apa yang dapat dijangkau oleh akun yang terkompromi sejak awal. Penyerang yang mendapatkan akses ke akun dengan izin yang luas dan tidak terbatas dapat menarik dari jauh lebih banyak sistem dibandingkan penyerang yang mengompromikan akun yang dibatasi secara ketat hanya untuk apa yang benar-benar dibutuhkan oleh peran tersebut.
Kredensial unik di setiap akun, dipadukan dengan akses yang terbatas pada apa yang benar-benar dibutuhkan oleh suatu peran, secara langsung memperkecil celah eksfiltrasi. Jika akun pemasaran yang terkompromi hanya dapat menjangkau sistem pemasaran, skenario terburuk sudah dibatasi secara terencana, alih-alih bergantung pada pengendalian diri penyerang atau sistem monitoring yang menangkap mereka tepat waktu.
Ini adalah logika pembatasan yang sama yang membatasi radius dampak dalam pembobolan berbasis kredensial secara umum: akun yang dikompromikan seharusnya hanya dapat membocorkan apa yang secara sah diizinkan untuk diaksesnya.
Pengelola kata sandi bisnis seperti Proton Pass for Business membuat pembatasan cakupan ini realistis untuk dipertahankan, karena menghilangkan godaan untuk menggunakan kembali serangkaian kredensial umum di berbagai alat hanya karena mengelola kredensial unik secara manual tidak dapat ditingkatkan skalanya.
Ketika setiap akun memiliki kredensialnya sendiri dan akses ditinjau berdasarkan apa yang sebenarnya dibutuhkan suatu peran, satu akun yang terkompromi tidak lagi menjadi rute menuju seluruh data organisasi dan, paling buruk, menjadi insiden yang terkendali.
Proton Pass for Business dapat mendukung bisnis Anda dengan:
- Kebijakan tim yang dapat disesuaikan untuk membantu menerapkan kebijakan kata sandi Anda dengan persyaratan kata sandi, autentikasi dua faktor (2FA) wajib, dan aturan pembagian data yang dicabut
- Log penggunaan yang memungkinkan melihat aktivitas di dalam jaringan Anda, dengan dukungan tambahan dari program keamanan tingkat tinggi canggih kami Proton Sentinel
- Grup yang diatur berdasarkan peran, proyek, atau tingkat akses, menyederhanakan manajemen akses dan memastikan bahwa setiap anggota tim hanya memiliki akses ke hal yang mereka butuhkan.
Hentikan eksfiltrasi data berbasis kredensial dengan pengelola kata sandi bisnis.
