326 Ribu Komputer Bocor dalam Sebulan, Kenali Malware Infostealer Sebelum Akun Kamu Jadi Korban Berikutnya

Pada Oktober 2026 saja, Breachsense mengindeks 326.444 mesin terinfeksi dalam laporan stealer log bulanannya, dan dari mesin-mesin itu bocor 74.316.771 rekaman kredensial yang memuat 29.983.953 pasangan nama pengguna dan kata sandi yang berbeda. Mesin yang terinfeksi pada medianya membocorkan 21 kredensial tersimpan, seperempatnya membocorkan 65 kredensial atau lebih, dan sepersepuluhnya membocorkan 142 kredensial atau lebih. Angka itu bukan gambaran serangan terhadap perusahaan raksasa saja, karena laporan yang diperbarui 1 November 2026 itu juga mencatat 47.655 mesin menyimpan kata sandi Microsoft 365, 29.175 mesin menyimpan kredensial OpenAI, dan 26.021 mesin menyimpan kredensial GitHub. Inilah wajah malware infostealer pada 2026, pencuri diam-diam yang tidak mengenkripsi berkas kamu, tidak menampilkan pesan tebusan, tetapi mengambil hampir semua yang tersimpan di browser kamu dalam hitungan detik.

Angka yang Membuat Malware Infostealer Tidak Bisa Lagi Dianggap Remeh

Data Breachsense untuk Oktober 2026 memberi gambaran yang sulit diabaikan. Dari 326.444 mesin terinfeksi yang diindeks pada bulan itu, tercatat 74.316.771 rekaman kredensial. Rata-rata kasarnya memang tidak menggambarkan korban individual, tetapi angka mediannya jauh lebih berbicara, yaitu 21 kredensial tersimpan bocor dari satu mesin yang terinfeksi. Artinya, satu kali infeksi jarang berujung pada satu akun yang bocor saja, melainkan satu bundel akun sekaligus, mulai dari email, media sosial, sampai layanan kerja.

Pola yang sama terlihat pada laporan Flare yang dirilis 14 Oktober 2026. Antara September 2025 dan Agustus 2026, sebanyak 422.747 stealer log yang memuat kredensial layanan keuangan dibagikan di forum bawah tanah, naik 56,3 persen dari 270.444 log pada periode setahun sebelumnya. Flare juga menemukan sekitar 2.000 mesin terinfeksi yang memegang akses operator ke sistem yang dipakai bank, termasuk konsol penerbit kartu, vendor core banking, dan jalur pembayaran. Satu laptop yang terinfeksi bisa menjadi pintu masuk ke sistem yang melayani banyak institusi sekaligus.

Di sisi lain, laporan Breachsense menunjukkan betapa dekatnya ancaman ini dengan pekerjaan sehari-hari para pengelola teknologi. Kredensial GitHub tercatat di 26.021 mesin terinfeksi, kredensial OpenAI di 29.175 mesin, dan kredensial Microsoft 365 di 47.655 mesin. Bagi pembaca AwanServers yang mengelola VPS, panel server, dan repositori kode, angka-angka itu adalah peringatan langsung, karena kredensial yang bocor dari satu laptop pribadi bisa saja merupakan kunci yang sama dengan yang dipakai untuk mengakses server produksi.

Apa Itu Malware Infostealer dan Apa yang Sebenarnya Dicuri

Malware infostealer adalah program jahat yang dirancang untuk satu tugas, yaitu mengumpulkan data berharga dari perangkat korban, mengemasnya menjadi satu bundel yang disebut stealer log, lalu mengirimkannya ke penyerang secepat mungkin. Berbeda dengan ransomware yang mengunci berkas dan meminta tebusan, malware infostealer bekerja diam-diam dan sering kali selesai dalam hitungan detik, sehingga korban tidak menyadari apa pun sampai akunnya dipakai orang lain berminggu-minggu kemudian.

Isi stealer log biasanya jauh lebih lengkap daripada sekadar daftar kata sandi. Malware infostealer mengambil kata sandi yang tersimpan di browser, data autofill seperti nama dan alamat, cookie sesi, token akses, berkas dompet kripto, dan dalam banyak kasus juga kunci API serta token akses yang tersimpan di perangkat pengembang. Pencurian kredensial dalam skala ini menjelaskan kenapa satu infeksi bisa membuka banyak pintu sekaligus, karena browser modern menyimpan kredensial untuk puluhan layanan dalam satu tempat.

Stealer log yang sudah terkumpul kemudian diperjualbelikan di forum bawah tanah. Pembeli tidak perlu meretas apa pun lagi, mereka cukup membeli log yang berisi akun yang mereka incar, lalu mencoba kredensial itu satu per satu. Inilah alasan kenapa pencurian kredensial lewat malware infostealer sering menjadi langkah pertama sebelum serangan yang lebih besar, termasuk pembobolan akun dan ransomware.

Cara Malware Infostealer Masuk ke Komputer Kamu

Jalur masuk malware infostealer yang paling umum masih sama dari tahun ke tahun, yaitu phishing dan unduhan yang tampak meyakinkan. Email phishing yang menyamar sebagai faktur, dokumen kerja, atau pemberitahuan akun bisa membawa lampiran atau tautan yang mengunduh malware infostealer. Tautan yang sama juga menyebar lewat iklan berbahaya, situs unduhan palsu, dan perangkat lunak bajakan yang dibundel dengan malware.

Phishing modern tidak lagi mudah dikenali dari ejaan yang berantakan. Halaman login palsu kini bisa meniru halaman asli dengan sangat rapi, dan lampiran yang tampak seperti dokumen biasa bisa menjalankan pemuat malware di latar belakang. Sekali pemuat itu berjalan, malware infostealer mengambil data browser dan mengirimkan stealer log keluar sebelum pengguna menyadarinya.

Jalur lain adalah perangkat lunak dari sumber tidak resmi, termasuk crack, keygen, dan mod gim. Pengguna sering menginstal sendiri pintu masuknya karena mengira sedang menginstal program gratis, padahal paket itu sudah disisipi malware infostealer. Bila sumber unduhannya tidak bisa diverifikasi, anggap saja berisiko.

Kenapa Cookie Sesi Lebih Berbahaya daripada Kata Sandi yang Dicuri

Banyak orang mengira mengganti kata sandi sudah cukup setelah mendengar kabar kebocoran. Untuk malware infostealer, anggapan itu berbahaya, karena cookie sesi yang ikut dicuri bisa memberi penyerang akses tanpa perlu kata sandi sama sekali. Cookie sesi adalah token yang dipakai layanan web untuk mengingat bahwa kamu sudah login, sehingga penyerang yang memegang cookie sesi yang masih aktif bisa membuka akun kamu seolah-olah ia adalah kamu, dari perangkat lain, tanpa melewati layar login.

Inilah mekanisme di balik bypass MFA yang membuat banyak korban terkejut. Autentikasi dua faktor memang mempersulit login dengan kata sandi curian, karena penyerang masih butuh kode kedua. Namun bila penyerang memakai ulang cookie sesi yang masih berlaku, ia tidak melakukan login baru sama sekali, sehingga tantangan autentikasi dua faktor tidak pernah muncul. Dengan kata lain, bypass MFA lewat cookie sesi bukan berarti MFA kamu rusak, melainkan penyerang melewati jalur yang memang tidak meminta MFA lagi.

Risiko ini makin besar karena sesi login modern bisa bertahan lama. Browser yang jarang logout, aplikasi yang tetap masuk selama berminggu-minggu, dan layanan yang mengingat perangkat tepercaya membuat cookie sesi yang dicuri tetap berguna dalam jangka waktu yang cukup panjang. Karena itu, respons terhadap dugaan infeksi harus selalu mencakup pencabutan sesi, bukan hanya penggantian kata sandi. Bila kamu hanya mengganti kata sandi tetapi membiarkan sesi lama tetap aktif, penyerang yang memegang cookie sesi lama masih bisa masuk.

Kenapa MFA Biasa Bisa Dilewati dan Apa yang Benar-Benar Menahan Serangan Ini

Autentikasi dua faktor tetap penting, tetapi tidak semua bentuknya sama kuat. Kode sekali pakai lewat SMS atau aplikasi autentikator memang menghambat pencurian kredensial biasa, karena penyerang yang hanya memegang kata sandi masih kekurangan satu faktor. Akan tetapi, seperti dijelaskan di atas, bypass MFA tetap mungkin lewat cookie sesi curian, dan juga lewat phishing yang menipu korban agar memasukkan kode autentikatornya sendiri ke halaman palsu secara real time.

Perlindungan yang jauh lebih kuat terhadap kedua jalur itu adalah passkey dan kunci keamanan perangkat keras yang memakai standar FIDO2. Passkey mengikat login ke perangkat dan domain asli layanan tersebut, sehingga kredensial itu tidak bisa dipakai ulang di situs phishing, dan tidak ada kode yang bisa dipancing dari korban. Untuk akun yang paling penting, seperti email utama, GitHub, dan panel penyedia cloud, passkey adalah peningkatan keamanan akun yang paling layak diprioritaskan pada 2026.

Di lingkungan kerja, perlindungan tambahan datang dari kebijakan perangkat. Breachsense mencatat bahwa dari 11.446 mesin terinfeksi yang menyimpan kata sandi Microsoft 365 sekaligus mencatat nama perangkat, sebanyak 7.593 mesin memakai nama default Windows. Bila perusahaanmu selalu mengganti nama perangkat yang dikelolanya, nama default menjadi sinyal kuat bahwa mesin itu bukan perangkat yang dikelola IT. Kebijakan yang hanya mengizinkan login dari perangkat yang patuh dan terkelola bisa memutus jalur ini, karena sesi dari mesin yang tidak dikenal tidak akan diterima meski kredensialnya bocor.

Tanda-Tanda Akun atau Perangkat Kamu Sudah Terkena

Malware infostealer jarang memberi gejala yang dramatis. Tanda yang paling sering muncul justru berasal dari akun kamu, bukan dari komputernya. Misalnya, ada peringatan login dari lokasi atau perangkat yang tidak kamu kenali, kata sandi yang tiba-tiba tidak berlaku, sesi yang terputus di semua perangkat, atau notifikasi pergantian kata sandi dan pemulihan akun yang tidak pernah kamu minta.

Tanda lain adalah aktivitas yang tidak kamu lakukan, seperti email terkirim yang tidak kamu tulis, repositori yang berubah, atau token akses baru di akun GitHub atau penyedia cloud. Bila kamu mengelola server, waspadai juga login SSH atau panel dari IP asing serta kunci API baru yang tidak pernah kamu buat.

Alat bantu yang layak dipakai adalah layanan pengecekan kebocoran seperti Have I Been Pwned untuk email kamu, serta halaman riwayat login dan sesi aktif di tiap layanan penting. Namun stealer log yang diperjualbelikan secara privat mungkin belum muncul di basis data publik, sehingga hasil bersih bukan jaminan aman. Bila ada satu tanda kuat saja, perlakukan situasinya sebagai infeksi sampai terbukti sebaliknya.

Langkah Darurat Bila Kamu Curiga Sudah Terinfeksi

Langkah pertama adalah memutus akses penyerang sebelum membersihkan perangkat. Ganti kata sandi akun terpenting dari perangkat lain yang bersih, mulai dari email utama, karena email adalah kunci pemulihan untuk hampir semua akun lain. Setelah itu, cabut semua sesi login aktif dari halaman keamanan tiap layanan, dan cabut token akses serta kunci API yang tidak kamu kenali, terutama di GitHub, penyedia cloud, dan panel server.

Langkah kedua adalah mengisolasi perangkat yang diduga terinfeksi. Putuskan koneksinya dari jaringan bila memungkinkan, jangan dipakai untuk login ke akun penting selama proses pembersihan, dan jalankan pemindaian antivirus yang mutakhir. Untuk perangkat kerja yang menyimpan akses sensitif, pemasangan ulang sistem operasi adalah pilihan yang paling aman, sesuai rekomendasi Breachsense untuk mesin milik perusahaan yang terkonfirmasi dalam stealer log. Membersihkan dengan antivirus saja sering tidak cukup bila penyerang sudah menanam komponen persisten.

Langkah ketiga adalah mengganti semua kredensial yang pernah tersimpan di browser perangkat itu, bukan hanya akun yang terlihat bermasalah. Ingat angka median Breachsense, yaitu 21 kredensial dari satu mesin, sehingga mengganti satu atau dua kata sandi saja hampir pasti meninggalkan pintu lain yang masih terbuka.

Cara Mengamankan Akun Pribadi dari Malware Infostealer

Pondasi keamanan akun yang paling efektif adalah berhenti menyimpan kata sandi penting di browser tanpa perlindungan tambahan, dan memindahkannya ke password manager yang tepercaya. Password manager membuat tiap akun memakai kata sandi yang unik dan panjang, sehingga satu stealer log tidak otomatis membobol semua akun kamu dengan pola kata sandi yang sama. Pastikan password manager itu sendiri dilindungi kata sandi utama yang kuat dan autentikasi dua faktor yang kuat, dan aktifkan passkey bila layanan tersebut mendukungnya.

Selanjutnya, aktifkan autentikasi dua faktor di semua akun penting, dan utamakan passkey atau kunci keamanan perangkat keras untuk email, perbankan, dan media sosial utama. Autentikasi dua faktor berbasis aplikasi masih jauh lebih baik daripada tanpa perlindungan sama sekali, tetapi passkey memberi perlindungan tambahan terhadap phishing dan pemakaian ulang kredensial, dua jalur yang paling sering dipakai bersama malware infostealer.

Kebiasaan kecil juga memberi dampak besar untuk keamanan akun. Biasakan logout dari layanan penting di perangkat bersama, jangan simpan kata sandi server atau akun kerja di browser pribadi yang sama dengan akun hiburan, dan jangan unduh perangkat lunak dari sumber yang tidak resmi. Terakhir, perbarui sistem operasi dan browser secara rutin, karena pembaruan keamanan sering menutup celah yang dipakai pemuat malware untuk masuk. Pembaruan saja tidak menghentikan phishing, tetapi ia mempersempit jalan masuk yang tersedia bagi penyerang.

Cara Melindungi Akun Kerja dan Akses Server

Untuk pembaca yang mengelola VPS dan layanan self-hosted, aturan pemisahan adalah yang paling penting. Jangan pernah menyimpan kredensial root, kata sandi panel, atau kunci API produksi di browser yang dipakai untuk menjelajah umum dan mengunduh berkas sehari-hari. Gunakan profil browser atau perangkat terpisah untuk pekerjaan administrasi, dan simpan kredensial server di password manager yang berbeda dari tempat penyimpanan kata sandi hiburan.

Di sisi server, praktik yang sudah dibahas di artikel Amankan VPS Ubuntu Baru dalam 30 Menit, 8 Langkah Anti Bobol untuk Pemula tetap relevan, yaitu kunci SSH, nonaktifkan login kata sandi bila memungkinkan, dan batasi akses panel hanya dari alamat yang tepercaya. Bila kredensial admin bocor lewat stealer log dari laptop kamu, lapisan server inilah yang menentukan apakah penyerang bisa benar-benar masuk atau hanya memegang kata sandi yang sudah tidak berlaku.

Terakhir, jangan menunda patch untuk layanan yang menghadap internet. Pada Oktober 2026, CISA memperbarui peringatannya pada 30 Oktober 2026 tentang celah Ivanti Connect Secure yang sudah dieksploitasi untuk pencurian kredensial dan eksfiltrasi data, setelah sebelumnya menambahkan celah GitLab dan Cisco ke katalog kerentanan yang diketahui dieksploitasi pada 29 Oktober 2026. Kredensial yang dicuri dari laptop admin menjadi jauh lebih berbahaya bila layanan yang ditujunya juga belum ditambal.

Untuk tim, terapkan pemantauan kebocoran kredensial sebagai rutinitas, bukan sebagai respons darurat. Pantau kemunculan alamat email karyawan di stealer log, wajibkan perangkat yang patuh untuk login ke layanan kerja, dan buat prosedur yang jelas, yaitu cabut sesi, ganti kata sandi, cabut token akses, lalu periksa log server. Respons yang cepat jauh lebih menentukan daripada sekadar memiliki alat pemantau, karena stealer log yang sudah beredar bisa dipakai kapan saja setelah infeksi.

Kesalahan Umum yang Membuat Perlindungan Gagal

Kesalahan pertama adalah hanya mengganti kata sandi tanpa mencabut sesi dan token akses. Seperti dijelaskan sebelumnya, cookie sesi yang masih aktif membuat bypass MFA tetap mungkin, sehingga akun bisa kembali dibobol meski kata sandinya sudah baru. Selalu pasangkan penggantian kata sandi dengan pencabutan sesi di semua perangkat.

Kesalahan kedua adalah memakai ulang kata sandi yang sama di banyak layanan. Password manager ada justru untuk memutus kebiasaan ini, karena satu kredensial yang bocor seharusnya tidak membuka akun lain. Bila kamu masih memakai satu kata sandi andalan untuk email, bank, dan GitHub sekaligus, satu stealer log sudah cukup untuk meruntuhkan semuanya.

Kesalahan ketiga adalah menganggap antivirus sebagai satu-satunya pertahanan. Antivirus membantu, tetapi malware infostealer sering masuk lewat phishing dan unduhan yang disetujui pengguna sendiri. Kombinasi yang benar adalah password manager, passkey atau autentikasi dua faktor yang kuat, pemisahan browser kerja dan pribadi, dan pembaruan rutin.

Pertanyaan yang Sering Diajukan

Apakah mengganti kata sandi sudah cukup setelah terkena malware infostealer

Tidak. Kamu juga harus mencabut semua sesi login aktif dan mencabut token akses yang tidak dikenali, karena cookie sesi yang dicuri bisa dipakai untuk bypass MFA tanpa kata sandi. Setelah itu, ganti semua kredensial yang pernah tersimpan di browser perangkat yang terinfeksi, bukan hanya satu akun.

Apakah autentikasi dua faktor masih berguna bila cookie sesi bisa dicuri

Ya, autentikasi dua faktor tetap menghambat pencurian kredensial biasa dan phishing sederhana. Namun untuk perlindungan yang lebih kuat, gunakan passkey atau kunci keamanan perangkat keras di akun terpenting, karena keduanya tidak bisa dipakai ulang di situs phishing dan tidak bergantung pada kode yang bisa dipancing.

Apakah password manager aman dari malware infostealer

Password manager mengurangi dampak pencurian kredensial karena tiap akun memakai kata sandi unik, dan brankasnya terenkripsi dengan kata sandi utama. Namun bila perangkat sudah terinfeksi dan tidak dibersihkan, penyerang masih bisa memanfaatkan sesi yang sedang aktif, sehingga perangkat yang terinfeksi tetap harus diisolasi dan dipasang ulang bila perlu.

Bagaimana cara mengetahui apakah email saya ada di stealer log

Kamu bisa memeriksa alamat email di layanan pengecekan kebocoran publik dan memantau peringatan dari penyedia layanan yang kamu pakai. Akan tetapi, stealer log yang diperjualbelikan secara privat mungkin belum tercatat di basis data publik, sehingga tidak adanya hasil bukan jaminan aman bila sudah ada tanda-tanda lain.

Penutup

Malware infostealer berbahaya justru karena ia tidak berisik. Ia tidak mengunci berkas dan tidak meminta tebusan, ia hanya mengambil kredensial dan cookie sesi kamu, lalu membiarkan orang lain memakainya di kemudian hari. Data Oktober 2026 dari Breachsense dan laporan Flare menunjukkan skalanya sudah industrial, dengan ratusan ribu mesin terinfeksi dalam sebulan dan ratusan ribu stealer log layanan keuangan dalam setahun.

Kabar baiknya, pertahanan yang efektif tidak memerlukan alat mahal. Pindahkan kata sandi ke password manager, aktifkan passkey di akun terpenting, pisahkan browser kerja dari browser pribadi, cabut sesi begitu ada kecurigaan, dan jangan unduh perangkat lunak dari sumber yang tidak bisa diverifikasi. Lakukan lima hal itu sekarang, sebelum stealer log berikutnya memuat nama kamu.