Kejahatan siber semakin menjadi hal yang ditakuti oleh para user karena dapat memberikan kerugian yang sangat besar. Hal tersebut terjadi dengan adanya data-data privasi yang dicuri dan disalahgunakan oleh penyerang. Dalam perkembangannya, ada banyak sekali bentuk serangan siber sehingga untuk melakukan mitigasi, maka sangat perlu bagi Anda untuk memahaminya.
Adapun salah satu kejahatan siber yang sedang marak terjadi adalah session hijacking yang merupakan jenis kejahatan pengambilalihan kendali session milik user lain. Dengan demikian, jika Anda penasaran dengan kejahatan tersebut dan ingin mengetahui bagaimana cara agar terhindar darinya, maka bacalah artikel berikut ini!
Daftar Isi
Apa Itu Session Hijacking
Session hijacking adalah jenis penyerangan siber yang dilakukan oleh penyerang siber jahat dengan menempatkan dirinya di antara komputer Anda dengan website server yang sedang Anda telusuri dengan harapan untuk melakukan pencurian data-data personal.
Penyerang melakukan pembajakan melalui session pengguna atau juga dikenal dengan pembajakan cookie. Adapun session adalah mekanisme untuk mempertahankan informasi pada semua halaman web yang berbeda untuk mengidentifikasi pengguna pada saat mereka menelusuri situs atau aplikasi. Suatu session dimulai ketika seorang pengguna login pada suatu servis dan berakhir ketika pengguna tersebut logout. Dengan demikian, penyerangan ini bergantung pada pengetahuan penyerang terhadap session cookie pengguna.
Adapun contoh session hijacking misalnya Anda mendapatkan suatu e-mail mengenai penjualan dari toko retail favorit Anda kemudian Anda pun mengakses link pada email dan mulai berbelanja. Pada dasarnya email tersebut dikirim oleh penyerang yang menyertakan kunci sesinya sendiri sehingga penyerang pun dapat menyerang keseluruhan sesi dan melakukan belanja dengan kartu kredit Anda. Berdasarkan contoh tersebut, dapat dilihat pengguna menggunakan session cookie untuk melakukan pencurian siber.
Tipe-Tipe Session Hijacking
Pada dasarnya, session hijacking dapat dibedakan sebagai berikut:
-
Aktif
Pada session hijacking aktif, penyerang akan mengambil alih kontrol terhadap koneksi jaringan aktif pengguna. Hal tersebut memungkinkan pengguna untuk mengetahui aliran pertukaran informasi antara server dan klien dengan beberapa metode. Dengan demikian, penyusup biasanya mengirim sejumlah trafik yang masif untuk mengganggu session yang valid dengan berpotensi memicu serangan denial of service (DoS).
-
Pasif
Pada session hijacking pasif, penyerang akan melakukan pengamatan terhadap pertukaran informasi yang terjadi di antara server dan klien namun tidak melakukan pengambilalihan kontrol terhadap koneksi jaringan aktif pengguna. Adapun tujuan utamanya adalah untuk mengetahui informasi personal untuk tujuan jahat.
-
Hybrid
Pada session hijacking hybrid, penyerang akan melakukan monitor terhadap trafik jaringan sampai mereka menemukan suatu permasalahan kemudian mengambil alih session dan memulai imitasi pengguna yang sah. Dengan demikian, teknik ini menggunakan kombinasi antara teknik aktif dan pasif.
Cara Kerja Session Hijacking
Salah satu cara untuk melakukan upaya preventif terhadap serangan session hijacking adalah dengan mengetahui cara kerja session hijacking yakni sebagai berikut:
Pengguna masuk ke dalam akun tanpa ada rasa curiga
Adapun cara kerja diawali dengan login akun oleh pengguna seperti pada akun bank, online store, atau aplikasi lainnya. Situs atau aplikasi tersebut akan menginstall session cookie sementara pada browser pengguna. Pada cookie tersebut berisi informasi yang mengenai pengguna sehingga membuat penyerang mencoba masuk dan melacak aktivitas pengguna saat session tersebut. Adapun session cookie akan selalu berada pada browser sampai pengguna tersebut melakukan logout.
Penyerang mengembangkan askes terhadap pengguna internet melalui valid session
Penyerang siber memiliki berbagai cara untuk melakukan pencurian session seperti mengambil session cookie pengguna, mencari tahu session ID di dalam cookie, dan menggunakan informasi tersebut untuk mengambil alih session. Dengan demikian, ketika penyerang mendapatkan session ID maka mereka bisa mengambil alih session tanpa terdeteksi.
Penyerang mendapatkan keuntungan pribadi karena pembajakan sesi
Ketika pengguna asli dapat dibajak dan dilacak oleh penyerang, maka akan memungkinkan penyerang untuk dapat menggunakan sesi yang sedang berlangsung untuk melakukan serangkaian tindakan jahat seperti membeli suatu barang, menarik uang, dan sebagainya.
Metode Session Hijacking
Untuk mengetahui cara penyerang mengambil alih session dalam internet, maka Anda perlu mengetahui metode session hijacking yang digunakan oleh penyerang, yakni sebagai berikut:
-
Session sniffing
Adapun pada jenis penyerangan ini, penyerang akan menangkap lalu lintas jaringan yang berisi Session ID antara sebuah website dan klien menggunakan software seperti Wireshark atau Proxy. Dengan demikian, ketika penyerang mampu menangkap hal tersebut maka dia bisa menggunakan token yang valid ini untuk mendapatkan akses yang tidak sah.
-
Cross-site scripting (XSS)
Pada jenis session hijacking ini, penyerang akan mengambil keuntungan dengan adanya keamanan web service yang lemah dan memasukkan skrip halaman web. Misalnya ketika penyerang mengirimkan tautan khusus kepada korban yang berisi kode-kode JavaScript yang jahat.
Ketika korban melakukan klik pada tautan tersebut, maka JavaScript akan menjalankan atau mengikuti instruksi penyerang tersebut. Dengan demikian, penyerang mampu mengakses kunci session Anda sehingga bisa melakukan pengambilalihan dan mendapatkan informasi personal.
-
Brute Force Attack
Penyerangan session hijacking jenis ini memungkinkan penyerang untuk menebak session ID sampai dia berhasil. Ketika dia berhasil, maka penyerang akan melakukan pembajakan session. Serangan ini umumnya hanya berfungsi jika keamanan situs web yang lemah dan memiliki kunci session yang pendek dan cepat ditebak.
-
Malware
Pada dasarnya, penyerang bisa menjebak pengguna dengan melakukan klik link yang dapat menyebarkan malware terhadap device. Ketika malware mampu melakukan pelacakan maka memungkinkan pencurian session cookie dan mentransmisikannya kepada penyerang. Dari data tersebut, penyerang bisa mendapatkan session ID dan membajak session.
-
Session Fixation
Session fixation merupakan jenis session hijacking yang memungkinkan penyerang untuk membuat session ID dan menipu pengguna untuk menggunakannya. Salah satu metode yang sering digunakan adalah dengan mengirimkan email kepada pengguna yang menyertakan tautan login screen untuk web yang ingin diakses oleh penyerang.
-
Man-in-the-browser-attack
Melalui metode ini, penyerang akan melakukan install Trojan horse pada komputer pengguna yang memungkinkan untuk mengubah transaksi web pengguna. Pada dasarnya, metode ini akan membuat website mengalami kesulitan untuk mengidentifikasi hal yang palsu.
Cara Mencegah Session Hijacking
Setelah mengetahui metode-metode yang digunakan oleh penyerang untuk melakukan session hijacking, maka perhatikanlah langkah-langkah preventif yang bisa Anda gunakan dalam menghindari serangan session hijacking berikut ini:
-
Hindari penggunaan wifi publik
Ketika Anda menggunakan wifi publik maka session id Anda akan disertakan ketika membagikan link atau mengakses suatu website. Dengan demikian, pastikan ketika Anda menghindari wifi publik ketika melakukan transaksi penting seperti melakukan pembayaran, transfer, belanja online, dan sebagainya.
-
Gunakan VPN yang aman
Ketika Anda mengakses wifi publik maka Anda juga bisa menggunakan Virtual Private Network (VPN) yang akan membantu Anda untuk lebih aman. Adanya VPN akan menutupi alamat IP dan membuat aktivitas online Anda lebih terprivasi dengan membuat “private tunnel” sehingga VPN mengenkripsikan data yang dikirim dan diterima.
-
Tambahkan software pengaman
Pastikan Anda melakukan instal software pengaman terhadap device dan pastikan untuk selalu melakukan update sehingga dapat mengakses fitur-fitur yang lebih baik. Pada dasarnya, software pengaman dapat membantu dalam mendeteksi virus dan melindungi malware.
-
Pastikan menggunakan website HTTPS
Mengakses halaman website HTTPS akan membuat data yang Anda kirimkan dienkripsikan. Hal ini akan membantu mencegat penyerang yang ingin mencuri session ID.
-
Hati-hati dengan penipuan
Hindari melakukan klik pada link suatu email kecuali Anda mengetahui bahwa pengirim email tersebut dari orang yang Anda percaya atau institusi resmi. Jika Anda melakukan klik pada link email sembarangan, maka bisa saja link tersebut mengandung malware yang bisa dimanfaatkan oleh penyerang.
-
Pada akhir session, jangan lupa untuk logout
Ketika Anda keluar dari akun Anda, maka session pun akan berakhir dan secara tidak langsung akan membuat penyerang juga logout dari akun tersebut. Dengan demikian, pastikan Anda untuk selalu melakukan logout.
Penutup
Sebagai salah satu serangan siber, session hijacking menyerang pengguna dengan memanfaatkan session untuk mendapatkan akses yang ilegal untuk mendapatkan informasi personal. Dengan demikian, mudah-mudahan artikel di atas dapat menjadi langkah preventif yang dapat Anda implementasikan untuk mengenal dan melakukan mitigasi terhadap session hijacking.
Jika Anda ingin memiliki layanan server yang aman dan tentunya terjamin, maka Anda dapat menggunakan layanan Bare Metal IDCloudHost yang memberikan pelayanan penyewaan server single-tenant untuk operasional pengembangan website Anda. Dengan 7 data center yang tersebar di Indonesia dan Singapura, serta keamanan maksimal dan dukungan tim teknis 24/7, Anda tak perlu khawatir akan keamanan dan performa website maupun aplikasi Anda.
