Cookie Browser Dicuri Hacker, Akun Bisa Dibajak Tanpa Kata Sandi

Harianjogja.com, JOGJA— Pencurian cookie browser menjadi salah satu ancaman keamanan digital yang perlu diwaspadai pengguna internet. Melalui teknik session hijacking, peretas dapat memanfaatkan sesi login yang masih aktif untuk masuk ke akun korban tanpa harus mengetahui kata sandinya.

Ancaman ini berbeda dari pencurian kata sandi biasa. Jika kredensial login merupakan kunci untuk membuka akun, session cookie dapat menjadi tanda pengenal bahwa pengguna sudah berhasil masuk ke sebuah layanan. Ketika data tersebut dicuri dan masih berlaku, pelaku berpotensi mengambil alih sesi korban.

Pada April 2023, FBI bersama aparat penegak hukum dari 17 negara membongkar Genesis Market melalui operasi bernama Operation Cookie Monster. Pasar gelap di dark web tersebut menjadi tempat perdagangan berbagai data hasil pencurian dari perangkat pengguna.

Dalam operasi itu, aparat menemukan sekitar 80 juta kredensial curian yang berasal dari sekitar 1,5 juta perangkat. Data yang ditemukan juga mencakup cookie sesi yang dapat dimanfaatkan untuk mengakses akun korban tanpa memasukkan kata sandi kembali.

Laporan Lifehacker pada Rabu (11/11/2026) menyebutkan bahwa meskipun Genesis Market telah ditutup, perdagangan data hasil pencurian melalui malware masih berlangsung. Salah satu temuan yang menjadi perhatian adalah riset NordVPN mengenai jumlah cookie yang ditemukan dalam kumpulan data infostealer.

NordVPN mencatat lebih dari 52,4 miliar catatan cookie curian dalam data yang dianalisis selama periode 9 Juni 2025 hingga 8 Juni 2026. Angka tersebut merupakan jumlah catatan cookie, bukan jumlah pengguna atau akun yang berhasil dibajak. Sebagian besar cookie yang ditemukan merupakan cookie iklan dan pelacakan, sehingga tidak semuanya dapat digunakan untuk mengambil alih akun.

Meski demikian, cookie autentikasi yang masih aktif tetap berisiko apabila jatuh ke tangan pelaku kejahatan siber.

Mengapa Session Cookie Menjadi Sasaran Peretas?

Setiap kali pengguna berhasil masuk ke sebuah situs web, layanan tersebut biasanya membuat sesi autentikasi agar pengguna tidak perlu memasukkan kata sandi berulang kali saat berpindah halaman.

Salah satu mekanisme yang digunakan adalah session cookie, yakni data kecil yang disimpan oleh browser untuk membantu situs mengenali sesi pengguna. Cookie tersebut dapat berisi pengenal sesi yang menjadi bagian dari proses autentikasi, meskipun tidak semua cookie memiliki fungsi untuk mengakses akun.

Masalah muncul ketika cookie autentikasi yang masih berlaku berhasil dicuri. Peretas dapat mencoba menggunakan kembali data tersebut melalui browser atau perangkat lain sehingga situs web mengenali sesi itu sebagai sesi pengguna yang sah.

Teknik ini dikenal sebagai session hijacking. Dalam kondisi tertentu, pelaku dapat melewati proses login biasa karena sesi sebelumnya sudah terautentikasi. Bahkan, autentikasi dua faktor tidak selalu cukup untuk menghentikan penyalahgunaan cookie sesi yang valid.

Salah satu cara pencurian data tersebut dilakukan melalui infostealer, yaitu malware yang dirancang untuk mengambil informasi dari perangkat korban. Malware ini dapat menyasar kata sandi yang tersimpan di browser, data pengisian otomatis, hingga cookie sesi.

Sejumlah keluarga malware yang disebut dalam pemberitaan antara lain Lumma, Vidar, StealC, Acreed, dan Atomic Stealer atau AMOS. Infeksi dapat terjadi ketika pengguna mengunduh perangkat lunak bajakan, membuka penginstal palsu, atau mengakses situs yang telah disusupi.

Setelah memperoleh data, malware mengirimkannya kepada pelaku. Kumpulan informasi dari perangkat yang terinfeksi tersebut dikenal sebagai stealer logs dan dapat diperdagangkan di pasar gelap.

Stealer Logs Diperdagangkan di Dark Web dan Telegram

Genesis Market pernah menjadi salah satu tempat perdagangan data hasil pencurian perangkat. Setelah pasar tersebut dibongkar aparat pada 2023, aktivitas jual beli stealer logs tidak serta-merta berhenti.

Russian Market menjadi salah satu tempat yang masih digunakan untuk memperjualbelikan data tersebut. Riset Rapid7 mencatat lebih dari 180.000 infostealer logs ditawarkan di pasar itu selama paruh pertama 2025.

Sementara itu, perusahaan keamanan siber Flare menyebut Telegram menjadi saluran distribusi yang dominan dalam pengamatan mereka. Lebih dari 90% stealer logs yang diamati Flare ditemukan di Telegram. Angka ini menggambarkan temuan dari pemantauan Flare, bukan persentase seluruh transaksi ilegal di internet.

Di Telegram, pelaku dapat menggunakan kanal dan bot otomatis untuk menawarkan kumpulan data hasil pencurian. Informasi dapat dikelompokkan berdasarkan negara, aplikasi, atau jenis akses yang dimiliki korban.

Laporan yang menjadi rujukan naskah ini menyebut harga data dapat berkisar antara USD5 hingga USD500, atau sekitar Rp90.000 sampai Rp9 juta. Harga tersebut merupakan kisaran yang dilaporkan dalam sumber, bukan patokan tetap untuk seluruh transaksi di pasar gelap.

Perdagangan data semacam ini membuat risiko pencurian informasi tidak berhenti pada satu perangkat. Data yang telah dikumpulkan dapat berpindah tangan dan dimanfaatkan untuk mencoba mengakses berbagai layanan digital.

Cara Memeriksa Kemungkinan Pembajakan Sesi Browser

Pengguna dapat memulai pemeriksaan dengan membuka pengaturan keamanan akun yang digunakan, seperti email, media sosial, dan layanan penyimpanan awan. Periksa daftar perangkat, aktivitas login, serta lokasi akses yang tercatat.

Jika muncul perangkat atau aktivitas yang tidak dikenali, pengguna perlu segera mengamankan akun dan mengakhiri sesi yang mencurigakan. Namun, lokasi login yang berbeda tidak selalu berarti akun dibajak. Penggunaan VPN, jaringan seluler, atau layanan privasi tertentu dapat membuat lokasi yang terdeteksi berbeda dari lokasi sebenarnya.

Pengguna juga dapat memanfaatkan Have I Been Pwned untuk memeriksa apakah alamat email atau kata sandi pernah muncul dalam kebocoran data yang diketahui. Perlu dipahami, layanan tersebut tidak memeriksa apakah session cookie pengguna telah dicuri.

Dengan demikian, hasil pemeriksaan email yang tidak menunjukkan kebocoran bukan jaminan bahwa perangkat bebas dari infostealer. Sebaliknya, temuan kebocoran kata sandi juga tidak otomatis membuktikan cookie sesi ikut dicuri.

Layanan keamanan berbayar, termasuk fitur pemantauan dari NordVPN, menawarkan pemantauan tambahan terhadap sejumlah ancaman digital. Pengguna tetap perlu memahami cakupan layanan dan jenis data yang dipantau sebelum mengandalkannya sebagai perlindungan utama.

Langkah Pemulihan Jika Session Cookie Dicuri

Jika terdapat indikasi perangkat terinfeksi atau sesi akun digunakan pihak lain, penanganan perlu dilakukan secara berurutan. Mengganti kata sandi saja belum tentu cukup apabila malware masih berada di perangkat dan dapat kembali mencuri informasi.

Langkah pertama adalah memutus koneksi perangkat yang dicurigai dari internet jika diperlukan, kemudian menjalankan pemindaian keamanan menggunakan perangkat lunak antivirus tepercaya. Jika infeksi tidak dapat dibersihkan dengan yakin, pertimbangkan instal ulang sistem operasi setelah mencadangkan berkas penting secara hati-hati.

Berikutnya, gunakan perangkat yang diyakini aman untuk mengganti kata sandi akun email utama. Aktifkan autentikasi dua faktor atau metode autentikasi yang lebih kuat jika tersedia. Email perlu diprioritaskan karena sering digunakan untuk menerima tautan pemulihan dan kode verifikasi berbagai layanan.

Setelah itu, buka pengaturan keamanan setiap akun dan pilih opsi keluar dari seluruh perangkat atau cabut semua sesi aktif. Langkah ini penting untuk meminta layanan menerbitkan sesi autentikasi baru dan membatalkan sesi lama yang masih berlaku, sepanjang layanan tersebut mendukung mekanisme pencabutan sesi.

Pengguna kemudian perlu mengganti kata sandi akun lain, terutama layanan perbankan, penyimpanan awan, media sosial, dan pengelola kata sandi. Jika menggunakan kata sandi yang sama pada beberapa layanan, seluruh akun yang memakai kata sandi tersebut harus diamankan.

Terakhir, periksa izin aplikasi pihak ketiga yang terhubung dengan akun. Cabut akses aplikasi yang tidak dikenal atau tidak lagi digunakan. Pengguna yang memakai kunci API juga perlu memeriksa aktivitasnya dan mengganti kunci apabila diduga telah terekspos.

DBSC Jadi Salah Satu Upaya Mengurangi Pencurian Cookie

Ancaman pencurian sesi mendorong pengembangan teknologi keamanan yang tidak hanya mengandalkan kata sandi. Salah satu pendekatan yang dikembangkan adalah Device Bound Session Credentials (DBSC).

Teknologi ini dirancang untuk mengikat sesi autentikasi dengan perangkat yang digunakan saat pengguna masuk. Mekanismenya memanfaatkan pasangan kunci kriptografi, yaitu kunci publik dan kunci privat. Kunci privat disimpan secara aman pada perangkat dan digunakan untuk membuktikan bahwa sesi masih berasal dari perangkat yang sah.

Dengan mekanisme tersebut, cookie yang dicuri dan digunakan dari perangkat lain akan lebih sulit dimanfaatkan karena pelaku tidak memiliki kunci privat yang terikat pada perangkat asli. Teknologi ini tidak menghilangkan seluruh risiko malware, tetapi dapat mengurangi peluang penyalahgunaan cookie sesi.

Google telah menghadirkan DBSC pada Chrome untuk Windows. Fitur tersebut tersedia secara bertahap dan memerlukan dukungan browser serta perangkat keras yang sesuai, seperti Trusted Platform Module (TPM).

Google juga menyatakan DBSC tersedia bagi pengguna akun Google dan Google Workspace yang memenuhi persyaratan teknis. Perlindungan ini tidak otomatis berlaku untuk seluruh situs web atau semua browser, sehingga pengguna tetap perlu memperbarui perangkat lunak, menghindari unduhan berisiko, dan memeriksa aktivitas akun secara berkala.

 

Cek Berita dan Artikel yang lain di Harian Jogja, dan edisi cetak versi elektronik kami hadir di Epaper Harian Jogja.