Account Takeover: Serangan Siber Canggih Rugikan Miliaran Rupiah

Dalam dunia digital yang serba terhubung seperti saat ini, hampir semua orang pernah mengalami atau mendengar cerita mengenai akun digital yang dibajak. Dari akun media sosial hingga layanan streaming, pengambilalihan akun atau Account Takeover (ATO) menjadi salah satu bentuk kejahatan siber yang semakin sering terjadi dan membawa dampak besar bukan hanya bagi pengguna, tetapi juga bagi perusahaan.

Mari kita mulai dengan ilustrasi berikut ini:

“Tiba-tiba aku tidak bisa masuk ke akun streaming-ku. Setelah berhasil mengatur ulang kata sandi, semua acara favoritku menghilang. Tampilannya berubah ke bahasa Spanyol, dan semua acara yang tampil juga berbahasa Spanyol. Aku bahkan tidak pernah nonton itu sebelumnya!”

Ini adalah gambaran sederhana dari serangan ATO, di mana akun pribadi diambil alih oleh pihak tidak bertanggung jawab. Sayangnya, banyak orang tidak menyadari betapa serius dan besarnya skala ancaman ini, apalagi jika menyasar jutaan akun dalam waktu bersamaan.

Apa Itu Account Takeover (ATO)?

Pengambilalihan akun atau Account Takeover (ATO) adalah tindakan peretasan di mana pelaku berhasil mengakses akun seseorang baik melalui pencurian kredensial seperti kata sandi, ataupun lewat teknik canggih seperti pencurian data sesi pengguna (session hijacking). Akun yang telah diretas ini kemudian sering dijual di pasar gelap digital.

Bayangkan akun streaming dengan akses premium dijual hanya seharga $4 USD sebagai "akun seumur hidup." Bagi pengguna biasa, ini mungkin hanya terasa seperti gangguan sesaat. Namun, bagi perusahaan, efek domino dari ATO bisa menyebabkan kerugian ekonomi hingga jutaan dolar.

Seberapa Besar Skala Masalah ATO?

Menurut laporan terbaru dari Flare, industri seperti e-commerce, permainan daring (game), aplikasi produktivitas (SaaS), dan layanan streaming adalah target utama serangan ATO. Setiap bulannya, lebih dari 100.000 akun dari masing-masing industri tersebut dilaporkan mengalami pembobolan.

Statistik ini semakin mencemaskan jika melihat bahwa:

• 1,4% akun dari platform dengan 5 juta hingga 300 juta pengguna berisiko dibobol.

Teknik pembajakan sesi (session hijacking) kini kian marak, karena pelaku tidak lagi perlu memasukkan kata sandi cukup dengan mencuri session token pengguna melalui malware pencuri informasi (infostealer).

Session hijacking memungkinkan penyerang langsung mengakses akun korban tanpa perlu melalui proses autentikasi dua faktor (MFA). Token yang dicuri ini kemudian digunakan melalui alat khusus anti-deteksi untuk membuka akun korban dan semua itu terjadi tanpa sepengetahuan pengguna.

Dampak Ekonomi dari ATO: Miliaran Dolar Hilang Secara Diam-diam

Account Takeover (ATO) atau pengambilalihan akun merupakan salah satu bentuk serangan siber yang sering terjadi namun sering kali luput dari perhatian. Dalam serangan ini, pelaku berhasil mengakses akun pengguna secara ilegal, biasanya dengan mencuri identitas atau kredensial login. Meskipun tampak seperti insiden individual, ATO sebenarnya bisa menyebabkan kerugian ekonomi dalam skala besar bahkan mencapai miliaran dolar bagi perusahaan.

Tiga Jenis Kerugian Utama Akibat ATO

1. Biaya Tenaga Kerja Tambahan
   Setiap kali terjadi insiden ATO, perusahaan harus mengalokasikan sumber daya tambahan untuk menangani masalah ini. Tim keamanan siber, teknisi IT, dan layanan pelanggan harus bekerja ekstra untuk:
   • Menyelidiki bagaimana akun bisa diretas.
   • Mengembalikan akses ke akun pelanggan yang sah.
   • Memperbaiki sistem keamanan agar kejadian serupa tidak terulang.

   Semua proses ini tentu memerlukan waktu dan biaya, terutama dari sisi tenaga kerja profesional.

2. Kerugian Akibat Penipuan (Fraud)
   Setelah mengambil alih akun, penyerang biasanya melakukan aktivitas ilegal seperti:
   • Melakukan pembelian produk atau layanan dengan dana pengguna.
   • Mengakses data pribadi lainnya untuk dijual atau disalahgunakan.
   • Menyebarkan serangan lebih lanjut, seperti phishing atau spam, dari akun yang telah diretas.

   Akibatnya, perusahaan bisa menghadapi kerugian finansial secara langsung maupun tanggung jawab hukum dari pengguna yang dirugikan.

3. Kehilangan Pelanggan dan Kepercayaan
   Salah satu dampak jangka panjang yang paling berbahaya dari ATO adalah hilangnya kepercayaan pelanggan. Konsumen yang pernah mengalami kebocoran akun cenderung merasa tidak aman dan memilih meninggalkan layanan tersebut.

   Bila skala kejadian cukup besar, reputasi perusahaan juga bisa tercoreng, dan biaya untuk memulihkan citra bisa sangat mahal. 

Simulasi Kerugian: Kasus Layanan Streaming
Untuk menggambarkan besarnya kerugian akibat ATO, berikut simulasi sederhana:

• Misalnya sebuah layanan streaming memiliki 100 juta pelanggan yang masing-masing membayar $120 per tahun.
• Jika 0,5% akun dibobol, berarti ada 500.000 akun yang terkena ATO.
• Jika dari jumlah tersebut, 20% pengguna memutuskan untuk berhenti berlangganan karena kecewa atau takut, maka:
  • 100.000 pelanggan x $120 = $12 juta kerugian per tahun
• Dalam skenario yang lebih buruk, jika 73% dari pengguna terdampak berhenti, maka:
  • 365.000 pelanggan x $120 = $43,8 juta kerugian per tahun

Dan ini hanya dari satu platform saja. Bayangkan jika kejadian serupa menimpa ratusan aplikasi dan layanan digital lainnya di berbagai sektor mulai dari e-commerce, perbankan digital, media sosial, hingga layanan transportasi daring. Maka tak heran bila kerugian ekonomi global akibat ATO dapat mencapai miliaran dolar per tahun.

Mengapa ATO Sulit Dideteksi?

Serangan Account Takeover (ATO) atau pengambilalihan akun menjadi semakin umum terjadi di era digital saat ini. Namun yang membuatnya sangat berbahaya adalah kenyataan bahwa banyak korban tidak menyadari bahwa akun mereka telah dibobol. Pertanyaannya, mengapa hal ini bisa terjadi?

1. Serangan yang Diam-diam dan Cerdas
   Berbeda dengan peretasan konvensional yang biasanya langsung mengubah kata sandi atau melakukan aktivitas mencolok, serangan ATO modern jauh lebih halus. Para pelaku tidak perlu melakukan perubahan yang jelas terlihat oleh pemilik akun. Sebaliknya, mereka:
   
   • Masuk ke dalam akun secara diam-diam menggunakan informasi yang dicuri, seperti kredensial login dari kebocoran data sebelumnya.
   • Tidak mengganti kata sandi, agar korban tetap bisa masuk ke akunnya dan tidak curiga.
   • Tidak langsung mengubah informasi profil atau membuat transaksi besar yang mencolok.

   Sebagai hasilnya, pengguna tetap bisa menggunakan akunnya seperti biasa, sementara pelaku siber menggunakan akses tersebut di latar belakang untuk mengumpulkan informasi, mencuri data, atau melakukan aksi penipuan secara perlahan

2. Teknik Session Hijacking: Senjata Ampuh Para Peretas
   Salah satu teknik yang sering digunakan dalam serangan ATO adalah session hijacking. Dalam teknik ini, pelaku mencuri sesi aktif dari pengguna yang sedang login, tanpa perlu mengetahui kata sandinya. Begitu berhasil, mereka dapat bertindak layaknya pemilik akun yang sah dan mendapatkan akses penuh ke layanan tersebut.

   Karena sistem keamanan banyak platform menganggap sesi tersebut "sah", maka tidak ada alarm yang menyala. Ini membuat session hijacking menjadi salah satu metode favorit peretas modern, terutama karena sangat sulit dikenali, baik oleh sistem maupun oleh pengguna itu sendiri.

3. Minimnya Pemberitahuan dari Perusahaan
   Yang lebih mengkhawatirkan, banyak perusahaan tidak memberi tahu pengguna ketika terjadi ATO pada akun mereka. Padahal pemberitahuan dini bisa membantu pengguna untuk segera mengambil langkah pencegahan, seperti mengganti kata sandi atau meninjau aktivitas mencurigakan.

   Menurut laporan dari Sift, hanya 43% korban ATO yang menerima pemberitahuan dari perusahaan tempat akun mereka dibobol. Artinya, lebih dari separuh korban tidak tahu sama sekali bahwa akun mereka telah disalahgunakan. Banyak dari mereka baru menyadari saat sudah terjadi kerugian, seperti:

   • Saldo rekening atau dompet digital berkurang.
   • Data pribadi tersebar atau disalahgunakan.
   • Akun digunakan untuk aktivitas ilegal, yang bisa mencoreng reputasi pribadi atau profesional.

Siapa Dalang di Balik ATO? Jawabannya: Infostealer

Saat ini, infostealer menjadi jenis malware paling berbahaya dan tersebar luas yang menjadi pemicu ATO.

Infostealer adalah malware yang bertugas mencuri informasi seperti:

• Kredensial login (username dan password)
• Cookie sesi (session token)
• Informasi kartu kredit dan data browser

Menurut laporan Verizon DBIR 2025, 88% serangan terhadap aplikasi web berasal dari kredensial yang dicuri. Artinya, meskipun serangan ransomware lebih populer di berita, infostealer sebenarnya jauh lebih sering terjadi dan berbahaya dalam skenario ATO.

Tips & Trik Menghindari Account Takeover

1. Gunakan Kata Sandi yang Kuat dan Unik
   Jangan gunakan kata sandi yang sama di banyak situs. Gunakan password manager untuk menyimpan dan mengelola berbagai kata sandi yang unik dan kompleks.
2. Aktifkan Autentikasi Dua Faktor (MFA)
   Meskipun tidak 100% aman dari session hijacking, MFA tetap memberikan lapisan keamanan tambahan dan membuat serangan lebih sulit dilakukan.
3. Periksa Aktivitas Akun Secara Berkala
   Lihat riwayat login atau lokasi perangkat yang pernah digunakan. Jika Anda melihat aktivitas mencurigakan, segera ubah kata sandi dan keluarkan semua sesi aktif.
4. Gunakan Perangkat Keamanan Tambahan
   Instal antivirus modern dan aktifkan fitur anti-malware untuk mencegah infostealer masuk ke perangkat Anda.
5. Waspadai Tautan atau File Asing
   Jangan sembarangan membuka email atau mengunduh file dari sumber yang tidak dikenal. Banyak infostealer disebarkan melalui phishing atau situs palsu.
6. Logout dari Akun Saat Tidak Digunakan
   Apalagi jika Anda menggunakan perangkat publik atau bersama. Ini menghindari penyimpanan cookie sesi yang bisa dicuri.
7. Jangan Simpan Kata Sandi di Browser
   Gunakan aplikasi password manager yang lebih aman daripada menyimpan kredensial di browser, yang rentan terhadap infostealer.

Apa yang Bisa Dilakukan Perusahaan?

1. Pantau Ekosistem Infostealer
   Perusahaan harus menggabungkan intelijen ancaman real-time ke dalam sistem manajemen identitas mereka. Deteksi kredensial dan cookie yang bocor harus dilakukan secara otomatis.
2. Deteksi Akun yang Telah Dibobol
   Gunakan sistem otomatis untuk mendeteksi akun yang memiliki session cookie mencurigakan dan segera ambil tindakan preventif seperti memaksa logout atau reset kata sandi.
3. Komunikasikan Langkah Keamanan pada Pengguna
   Beritahu pengguna jika akun mereka dibobol. Transparansi membangun kepercayaan. Jangan menunggu hingga pengguna sendiri menemukan ada yang salah.

Kesimpulan:

Pengambilalihan akun pelanggan atau Account Takeover adalah masalah siber global bernilai miliaran dolar yang sering dianggap sepele. Dampaknya bisa sangat besar bagi individu maupun perusahaan. Maka dari itu, kesadaran, edukasi, dan pencegahan perlu dilakukan sejak dini.

Dengan menerapkan tips di atas dan mengadopsi langkah-langkah keamanan yang cerdas, baik pengguna maupun organisasi bisa meminimalisir risiko dari ATO dan melindungi aset digital mereka.