Sumit Agarwal, orang yang pertama kali menciptakan istilah Credential Stuffing pernah menjabat sebagai wakil asisten menteri pertahanan AS di bawah Presiden Barrack Obama. Tahun 2011, saat bekerja di Pentagon, Agarwal mulai memperhatikan pola serangan brute-force di situs web militer yang melayani kepentingan publik.
Dalam serangan itu, hacker menggunakan kredensial, seperti nama pengguna dan password, yang dicuri dari satu situs web untuk mendapatkan akses ke situs lain.
Hari ini, Agarwal adalah salah satu pendiri dan CTO dari Shape Security. Dia menyebut serangan Credential Stuffing telah menjadi sasaran utama yang membuat hidup manajer cybersecurity dan banyak orang sengsara.
“Serangan Credential Stuffing adalah masalah besar hari ini, terutama dengan terjadinya pergeseran ekstrim ke layanan online akibat Covid-19,” kata Agarwal dilansir DarkReading, 22 Mei 2020.
Credential Stuffing terjadi ketika hacker mendapatkan kredensial curian melalui beberapa cara – biasanya dari Dark Web – dan kemudian menggunakan botnet atau alat otomatisasi lainnya untuk dan menggunakan nama pengguna dan password curian ini untuk mendapatkan akses ke akun lain.
Ada beberapa teknik dan alat (tools) yang bisa digunakan untuk mengurangi serangan Credential Stuffing.
Berikut sejumlah rekomendasi dari pakar keamanan:
1. Tingkatkan kesadaran pengguna (SDM) tentang manajemen password.
Dengan banyaknya pengguna yang masih menggunakan password yang sama di seluruh akun, maka satu-satunya cara untuk mengatasi ini adalah literasi dan edukasi SDM.
“Mendidik karyawan tentang praktik terbaik dan mengingatkan mereka untuk mengubah password secara teratur dapat mempersulit hacker untuk melakukan serangan ini. Dan, kemungkinan serangan ini berhasil semakin kecil,” kata Direktur Security Engineering Auth0, Charlotte Townsley.
2. Terapkan otentikasi multifaktor (MFA)
Otentikasi dua faktor (2FA) atau multifaktor (MFA) harus diaktifkan di setiap akun yang diizinkan dan tersedia. Ini menambahkan lapisan lain yang membuatnya lebih sulit bagi hacker untuk menembus.
3. Gunakan alat pendeteksi anomali:
Ini bisa berupa alat (tools) intelijen ancaman (threat intelligence) online gratis atau berbayar yang dapat membantu mengidentifikasi risiko. Seperti identifikasi password yang dibobol atau jumlah upaya otentikasi gagal yang lebih tinggi dari biasanya
Tools pendeteksi anomali juga dapat digunakan untuk menentukan peningkatan mendadak atau tidak biasa dalam jumlah IP yang mengunjungi situs web, yang bisa menjadi petunjuk telah aktivitas jahat.
4. Sebarkan password manager
Beberapa pengelola password (password manager) level enterprise banyak tersedia gratis. Ini dapat membantu pengguna membuat password yang unik dan kuat untuk setiap akun, sehingga lebih aman dan dapat membantu mengurangi masalah penggunaan kembali password.
Berbagai password manager banyak tersedia dan cocok untuk perusahaan dan usaha kecil (UKM). Menurut riset pasar terbaru dari Ovum, nama-nama yang umum dikenal seperti 1Password Business, Dashlane Business, Keeper for Business, LastPass Enterprise, ManageEngine Password Manager Pro, Server Password, dan RoboForm.
Ovum juga memberi pujian kepada Bluink, Passwork, Bitwarden, TeamPassword, dan Passbolt untuk fitur uniknya.
5. Cantumkan (embed) keamanan ke dalam desain situs web.
Para profesional cybersecurity dan web developer dapat membuat pekerjaan hacker lebih sulit dengan memastikan bahwa situs web menggunakan segala tindakan penangkaran/pencegahan yang tersedia, termasuk CAPTCHA dan MFA.
Perubahan sederhana pada fungsionalitas situs web juga dapat diterapkan. Misalnya, pemberitahuan yang setelah terjadi upaya login
sumber : https://cyberthreat.id/read/7116/Tips-Mengurangi-Risiko-Serangan-Credential-Stuffing
