5.1 Apa Itu Account Takeover?

Account Takeover (ATO) adalah kondisi ketika akun pengguna berhasil dikuasai atau digunakan oleh pihak yang tidak berwenang.

Penyerang biasanya memperoleh akses melalui credential yang dicuri, password yang digunakan kembali, phishing, malware, atau metode lainnya.

Contoh alur:

Credential Dicuri
       ↓
Attacker Login
       ↓
Authentication Berhasil
       ↓
Account Dikuasai
       ↓
Data / Sistem Diakses

Account takeover dapat berdampak pada akun pribadi maupun akun organisasi.

5.2 Bagaimana Account Takeover Terjadi?

Beberapa jalur yang umum antara lain:

1. Credential Theft

Password diperoleh melalui phishing atau metode lainnya.

Phishing
   ↓
Username + Password
   ↓
Attacker Login

2. Password Reuse

Password yang sama digunakan pada beberapa layanan.

Jika salah satu layanan mengalami kebocoran, credential tersebut dapat dicoba pada layanan lainnya.

3. Credential Stuffing

Penyerang menggunakan kombinasi username dan password yang diperoleh dari kebocoran sebelumnya untuk mencoba login ke layanan lain.

Leaked Credentials
       ↓
Automated Login Attempts
       ↓
Multiple Accounts
       ↓
Successful Login

4. Social Engineering

Penyerang memanipulasi pengguna agar memberikan credential atau menyetujui permintaan autentikasi.

5. Compromised Session

Dalam kondisi tertentu, penyerang dapat memperoleh informasi autentikasi yang memungkinkan penggunaan sesi pengguna tanpa harus mengetahui password secara langsung.

5.3 Authentication vs Authorization

Dua istilah ini harus dibedakan.

Authentication

Menjawab pertanyaan:

“Siapa Anda?”

Contohnya:

Username
+
Password
+
MFA

Authorization

Menjawab pertanyaan:

“Apa yang boleh Anda akses?”

Contohnya:

User
  ↓
Login berhasil
  ↓
Authorization
  ├── Email
  ├── LMS
  └── HR System

Seorang pengguna mungkin berhasil melakukan authentication, tetapi hanya diberikan authorization untuk mengakses sistem tertentu.

Prinsip penting

Berhasil login bukan berarti berhak mengakses semua sistem dan data.

5.4 Apa yang Terjadi Setelah Akun Diambil Alih?

Account takeover dapat menjadi titik awal untuk serangan lanjutan.

Contohnya:

Account Takeover
       ↓
Email Access
       ↓
Password Reset
       ↓
Other Accounts
       ↓
Additional Access

Jika akun tersebut memiliki akses terhadap data organisasi, dampaknya dapat meluas.

Misalnya:

• membaca email;
• mengakses dokumen;
• mengubah konfigurasi akun;
• mengirim email atas nama korban;
• mengakses aplikasi internal;
• melakukan password reset;
• mengakses data pribadi;
• menggunakan akun untuk melakukan serangan berikutnya.

5.5 Unauthorized Access

Unauthorized access adalah akses terhadap sistem atau resource tanpa hak atau melampaui kewenangan yang diberikan.

Contohnya:

Skenario A

Seorang karyawan menggunakan password milik rekannya untuk login ke akun rekannya.

Meskipun password tersebut benar, pengguna tersebut tidak otomatis memiliki kewenangan untuk menggunakan akun tersebut.

Skenario B

Seorang administrator memiliki akses ke sistem tertentu, tetapi menggunakan hak akses tersebut untuk membuka data yang berada di luar kebutuhan atau kewenangannya.

Di sini kita perlu membedakan:

Valid Credential
       ≠
Valid Authorization

5.6 Perspektif UU ITE

UU ITE yang berlaku saat ini adalah UU No. 1 Tahun 2024, yang merupakan perubahan kedua atas UU No. 11 Tahun 2008. Database Peraturan | JDIH BPK

Dalam konteks keamanan akun, konsep akses tanpa hak atau melampaui kewenangan penting untuk dipahami.

Karena itu, pengguna tidak boleh berasumsi bahwa:

“Saya punya password-nya, berarti saya boleh masuk.”

Credential dapat digunakan untuk autentikasi, tetapi kewenangan akses ditentukan oleh pemilik atau pengelola sistem dan aturan yang berlaku.

Aktivitas akses yang tidak sah dapat memiliki konsekuensi hukum sesuai dengan fakta, cara, tujuan, dan unsur hukum yang terpenuhi.

Jadi, dalam security awareness, prinsip sederhananya adalah:

Gunakan akun dan akses hanya untuk tujuan dan kewenangan yang diberikan.

5.7 Perspektif UU PDP

Account takeover menjadi lebih serius ketika akun tersebut memberikan akses terhadap Data Pribadi.

UU No. 27 Tahun 2022 mengatur kewajiban Pengendali Data Pribadi untuk melindungi dan memastikan keamanan Data Pribadi yang diprosesnya. Pasal 35 secara khusus mengatur kewajiban tersebut. Database Peraturan | JDIH BPK

Contohnya:

Account Takeover
       ↓
Unauthorized Access
       ↓
Application
       ↓
Personal Data
       ↓
Potential Data Exposure

Karena itu, keamanan akun menjadi salah satu lapisan dalam perlindungan data pribadi.

Namun, tidak setiap account takeover otomatis berarti terjadi pelanggaran UU PDP. Penilaian hukumnya bergantung pada siapa yang memproses data, jenis data, kejadian yang terjadi, kewajiban pihak terkait, serta fakta dan ketentuan hukum yang relevan.

5.8 Contoh Skenario

Bayangkan Anda menerima notifikasi:

“New login detected from an unfamiliar device.”

Anda tidak melakukan login tersebut.

Kemudian Anda menemukan:

1. Login baru terdeteksi
2. Password recovery email berubah
3. MFA berubah
4. Terdapat aktivitas akun yang tidak Anda lakukan

Ini merupakan indikator kuat bahwa akun perlu segera diamankan.

Apa yang harus dilakukan?

Jangan menunggu sampai aktivitas menjadi lebih parah.

Lakukan:

1. Gunakan perangkat terpercaya.
2. Ubah password.
3. Pastikan MFA masih berada di bawah kendali Anda.
4. Revoke session/perangkat yang tidak dikenal.
5. Periksa recovery email dan nomor telepon.
6. Periksa aktivitas akun.
7. Laporkan kepada IT/Security.
8. Jika akun memiliki akses ke sistem lain, periksa akun-akun terkait.

5.9 Jika Akun Organisasi Terkompromi

Untuk akun perusahaan, jangan hanya melakukan reset password kemudian menganggap masalah selesai.

Security team dapat perlu melakukan:

Account Compromised
       ↓
Containment
       ↓
Credential Reset
       ↓
Revoke Sessions
       ↓
Verify MFA
       ↓
Review Logs
       ↓
Identify Unauthorized Activity
       ↓
Recovery
       ↓
Incident Reporting

Tujuannya bukan hanya mengembalikan akses kepada pengguna, tetapi juga mengetahui apakah penyerang sudah melakukan aktivitas lain.

5.10 Apa yang Harus Anda Lakukan?

DO

✅ Gunakan akun sendiri.
✅ Gunakan akses sesuai kewenangan.
✅ Aktifkan MFA.
✅ Gunakan password unik.
✅ Perhatikan notifikasi login.
✅ Laporkan indikasi account takeover.
✅ Segera amankan akun jika credential diduga bocor.

DON’T

❌ Jangan menggunakan akun orang lain.
❌ Jangan mencoba credential yang bukan milik Anda.
❌ Jangan mengakses sistem hanya karena secara teknis Anda bisa masuk.
❌ Jangan mengabaikan login yang tidak dikenal.
❌ Jangan mengubah atau menghapus aktivitas/log untuk menyembunyikan penggunaan akun.
❌ Jangan menggunakan privilege untuk mengakses data di luar kewenangan.

5.11 Prinsip Utama

1. Access Is a Privilege

Akses diberikan untuk tujuan tertentu dan harus digunakan sesuai kewenangan.

2. Authentication Is Not Authorization

Password dan MFA membuktikan identitas atau membantu proses autentikasi. Keduanya bukan izin untuk mengakses semua resource.

3. Report Early

Semakin cepat account takeover diketahui, semakin cepat organisasi dapat melakukan containment dan mencegah dampak lebih lanjut.