--- title: "Bahaya Password Daur Ulang dan Serangan Credential Stuffing" description: "Credential stuffing memakai daftar password bocor untuk membobol akun di situs lain. Kenali tandanya di website kamu dan pertahanan yang efektif." url: "https://nivelva.com/insight/credential-stuffing-password-daur-ulang" category: "Keamanan/Cyber Security" tags: ["credential stuffing","password bocor","2fa","keamanan login","bot login"] author: "Theresia Candiawan" published: "2026-11-06T21:37:00+07:00" updated: "2026-11-06T21:37:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Bahaya Password Daur Ulang dan Serangan Credential Stuffing > **Jawaban singkat:** Credential stuffing adalah serangan otomatis yang mencoba pasangan email dan password hasil kebocoran ke halaman loginmu, dan berhasil karena orang memakai ulang password. Pertahanan utamanya: 2FA, pembatasan laju login, cek password bocor, dan tantangan bot untuk lalu lintas mencurigakan. Credential stuffing adalah serangan ketika pelaku mengambil daftar email dan password yang bocor dari satu layanan, lalu mencobanya secara otomatis ke layanan lain. Tidak ada celah yang dibobol. Yang dimanfaatkan hanyalah kebiasaan memakai password yang sama di banyak tempat. Taruhannya besar untuk dua pihak. Bagi pengguna, satu kebocoran di forum lama bisa berujung akun email kantor atau toko online diambil alih. Bagi pemilik website, akun pelanggan yang dibajak berarti saldo poin dikuras, data pribadi terbuka, keluhan menumpuk, dan kewajiban hukum bila data pribadi ikut terungkap. Memilih pertahanan yang salah, misalnya hanya mengandalkan CAPTCHA, sering membuat serangan tetap jalan sementara pelanggan asli jadi repot. ## Bagaimana credential stuffing bekerja? ### Dari kebocoran ke daftar siap pakai Setiap kali sebuah layanan bocor, pasangan email dan password (atau hash yang berhasil dipecahkan) beredar dan digabung dengan kebocoran lain. Hasilnya adalah daftar raksasa yang dijual atau dibagikan. Pelaku tidak perlu tahu siapa kamu. Mereka cukup tahu bahwa sebagian orang di daftar itu kemungkinan juga punya akun di websitemu dengan password yang sama. ### Otomatisasi dan penyamaran Daftar itu dimasukkan ke alat otomatis yang mengisi form login berulang kali. Agar tidak mudah diblokir, permintaan disebar ke banyak IP, sering melalui jaringan proxy residensial, dan user agent dibuat mirip browser biasa. Setiap IP hanya mencoba sedikit, sehingga pembatasan per IP yang sederhana bisa terlewati. ### Kenapa berbeda dari brute force Brute force menebak banyak password untuk satu akun. Credential stuffing mencoba satu atau beberapa password yang "benar di tempat lain" untuk banyak akun. Akibatnya, tingkat kegagalan per akun rendah dan kunci akun setelah lima kali salah jarang terpicu. ## Tanda websitemu sedang jadi sasaran Beberapa gejala yang bisa kamu lihat di log dan dasbor: - Jumlah percobaan login naik tajam, tapi pendaftaran dan transaksi biasa saja. - Rasio login gagal jauh di atas kebiasaan, dengan banyak email yang tidak terdaftar. - Percobaan datang dari banyak IP berbeda, masing-masing hanya beberapa kali. - Pelanggan melaporkan email "login dari perangkat baru" yang tidak mereka lakukan. - Muncul perubahan email, nomor HP, atau alamat pengiriman yang tidak wajar setelah login berhasil. Cara membaca pola ini dari log akses dan log aplikasi dijelaskan di membaca log server untuk deteksi serangan. ## Membandingkan pertahanan yang tersedia ### Tabel perbandingan | Pertahanan | Yang dihentikan | Kelemahan | Dampak ke pengguna | |:--|:--|:--|:--| | 2FA (TOTP, passkey, kunci keamanan) | Login walau password benar | Perlu adopsi pengguna; SMS lebih lemah | Sedikit langkah tambahan | | Pembatasan laju login | Volume tinggi dari sumber yang sama | Bisa dielakkan dengan banyak IP | Hampir tidak terasa | | Cek password bocor | Password yang sudah beredar | Tidak menolong bila password belum pernah bocor | Diminta ganti password saat daftar atau login | | Tantangan bot (CAPTCHA, proof-of-work) | Alat otomatis sederhana | Sebagian bot bisa lolos; bisa mengganggu aksesibilitas | Terasa bila ditampilkan ke semua orang | | Deteksi perangkat dan notifikasi login baru | Pengambilalihan yang tidak disadari | Butuh pengembangan dan penyimpanan data perangkat | Email atau notifikasi tambahan | ### 2FA sebagai rem utama Password yang benar tidak cukup bila akun butuh faktor kedua. Pedoman NIST SP 800-63B-4 menempatkan autentikasi kriptografis seperti WebAuthn (dasar passkey) sebagai metode tahan phishing, sementara pengiriman kode lewat SMS berstatus "restricted". Untuk website bisnis, menawarkan aplikasi authenticator atau passkey sudah lompatan besar. Pembahasan lengkapnya ada di [panduan autentikasi modern](https://nivelva.com/insight/panduan-autentikasi-modern-bisnis). ### Cek password bocor saat daftar dan ganti password NIST SP 800-63B-4 mewajibkan verifier mencocokkan password baru dengan daftar password yang umum, mudah ditebak, atau pernah bocor. Salah satu cara yang banyak dipakai adalah API Pwned Passwords dari Have I Been Pwned dengan model k-anonymity: kamu hanya mengirim 5 karakter awal hash SHA-1 password, lalu mencocokkan sisanya sendiri, sehingga password utuh tidak pernah keluar dari servermu. > **Jangan menyimpan atau mencatat password mentah:** > > Saat menambah pengecekan atau logging di halaman login, pastikan password tidak ikut tercatat di log aplikasi, log WAF, atau alat debugging. Log yang bocor bisa menjadi daftar credential stuffing berikutnya. ## Kapan memilih yang mana? Kalau websitemu kecil dan sumber daya terbatas, mulailah dari yang murah tapi berdampak: aktifkan 2FA (minimal untuk akun admin dan staf), pasang pembatasan laju di halaman login, dan cek password bocor saat pendaftaran. Ketiganya bisa dilakukan tanpa mengganggu sebagian besar pelanggan. Kalau kamu sudah melihat serangan aktif dari banyak IP, tambahkan tantangan bot yang hanya muncul untuk lalu lintas mencurigakan, bukan untuk semua orang. WAF atau layanan proteksi bot di depan website bisa membantu memilah pola ini. Konsepnya ada di [apa itu WAF](https://nivelva.com/insight/apa-itu-waf). Untuk layanan dengan nilai akun tinggi, seperti saldo, poin, atau data sensitif, wajibkan 2FA dan tambahkan notifikasi login dari perangkat baru serta konfirmasi ulang saat mengubah email atau nomor HP. Lapisan terakhir ini yang sering menyelamatkan akun ketika lapisan lain kebobolan. Dari sisi pengguna dan tim internal, kebiasaan paling mendasar tetap sederhana: satu password unik per layanan. Itu hanya realistis dengan password manager, misalnya yang dibahas di [password manager untuk tim dengan Vaultwarden](https://nivelva.com/insight/password-manager-tim-vaultwarden). ## Pertanyaan yang sering diajukan ### Apakah mengunci akun setelah beberapa kali gagal cukup untuk mencegah credential stuffing? Tidak cukup. Credential stuffing biasanya hanya mencoba sedikit password per akun, jadi batas gagal per akun jarang terpicu. Kombinasikan dengan pembatasan laju per sumber, cek password bocor, dan 2FA. ### Apakah CAPTCHA saja sudah aman? CAPTCHA menyaring sebagian alat otomatis, tapi tidak semua. Bila ditampilkan ke semua orang, CAPTCHA juga merepotkan pelanggan. Lebih baik tampilkan hanya pada lalu lintas mencurigakan dan jadikan salah satu lapisan, bukan satu-satunya. ### Bagaimana kalau ada akun pelanggan yang sudah diambil alih? Kunci sesi aktif akun tersebut, minta pengguna mengatur ulang password lewat kanal yang terverifikasi, periksa perubahan data akun, dan catat kejadiannya. Bila data pribadi ikut terungkap, pelajari kewajiban pemberitahuan sesuai UU PDP. ### Apakah pengguna perlu tahu bahwa passwordnya pernah bocor? Ya, sampaikan dengan bahasa yang jelas dan tidak menakutkan, misalnya bahwa password tersebut pernah muncul dalam kebocoran data di layanan lain, lalu minta mereka memilih password baru yang unik. ## Sumber - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/credential-stuffing-password-daur-ulang Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com