Kredensial Perusahaan Diburu Bot Palsu

Kredensial Perusahaan Diburu Bot Palsu – Penyerang siber menggunakan identitas lebih dari 30 bot kecerdasan buatan (AI) untuk memindai sistem perusahaan dan mencari kredensial yang terekspos.

Mereka menyamar sebagai bot dan asisten AI dari berbagai penyedia layanan, termasuk OpenAI, Anthropic, Perplexity, dan Meta.

Di balik identitas tersebut, pemindai berbahaya berupaya menemukan berkas yang menyimpan kata sandi, kunci API, kredensial cloud, hingga kunci privat SSH.

Temuan yang dipublikasikan pada akhir Oktober 2026 ini memperlihatkan tantangan baru bagi tim keamanan siber: membedakan agen AI yang sah dari bot yang menyalahgunakan identitas tepercaya.

Meski sebagian besar permintaan yang diamati dilaporkan berhasil diblokir atau gagal, aktivitas tersebut menunjukkan bahwa penyerang terus mencari cara untuk menemukan celah akses sebelum memanfaatkannya lebih jauh.

Menyamar sebagai Puluhan Bot AI

Menurut laporan penelitian CQ Prime Research, aktivitas pemindaian ini telah berlangsung sejak akhir September 2026 dan masih terpantau hingga akhir Oktober. Aktivitas tersebut teridentifikasi pada 21 Oktober.

Dalam satu hari pada bulan itu, sekitar 48% organisasi yang dilindungi oleh layanan keamanan yang diteliti menerima lalu lintas dari bot berbahaya tersebut.

Pemindai itu menggunakan sekitar 32 identitas bot berbeda. Identitas yang ditiru mencakup bot perayap (crawler) dan asisten AI dari sejumlah penyedia layanan.

Targetnya meliputi organisasi di sektor ritel, jasa keuangan, telekomunikasi, energi, dan perangkat lunak.

Cara kerjanya cukup agresif. Pemindai mengirimkan 50 hingga 190 permintaan dalam waktu sekitar delapan detik, lalu beralih ke target berikutnya.

Aktivitas ini berlangsung terus-menerus, dengan tujuan mencari berkas atau jalur akses yang mungkin menyimpan informasi sensitif.

Pemindai tersebut juga mencoba mengakses sekitar 90 jalur berkas yang umum digunakan untuk menyimpan konfigurasi, kredensial cloud, dan kunci privat SSH.

Informasi semacam ini sangat berharga bagi penyerang karena dapat membuka jalan menuju sistem, layanan, atau akun lain jika ditemukan dan dapat digunakan.

Namun, penting untuk membedakan upaya pemindaian dari keberhasilan pencurian data. Laporan tersebut menyebutkan bahwa hampir seluruh permintaan yang diamati berhasil diblokir atau gagal.

Dengan demikian, temuan ini menunjukkan adanya upaya pencarian kredensial, bukan bukti bahwa seluruh target telah mengalami kebocoran data.

Identitas Bot yang Tidak Konsisten Menjadi Petunjuk

Penyerang berusaha menyamarkan aktivitasnya dengan mengganti identitas bot agar terlihat seperti lalu lintas otomatis yang sah. Akan tetapi, beberapa perilakunya justru menjadi petunjuk bahwa aktivitas tersebut mencurigakan.

Pertama, satu mesin menggunakan banyak identitas bot secara bergantian dalam waktu singkat. Dalam hitungan detik, mesin yang sama mengaku sebagai agen dari penyedia AI yang berbeda.

Pergantian identitas seperti ini tidak sesuai dengan pola yang diharapkan dari bot resmi yang konsisten dengan identitas dan fungsi layanannya.

Kedua, pemindai mengirimkan permintaan ke jalur acak yang tidak masuk akal untuk mengetahui apakah suatu situs memberikan respons yang sama terhadap berbagai permintaan.

Teknik ini dapat membantu penyerang menemukan situs yang salah konfigurasi atau memiliki mekanisme penanganan permintaan yang lemah.

Ketiga, bot tersebut berusaha mengakses berkas sensitif, tetapi tidak memberikan identifikasi maupun informasi kontak yang jelas.

Padahal, layanan pemindaian internet yang sah umumnya menyediakan identitas dan informasi yang memungkinkan pengelola situs memverifikasi aktivitasnya.

Temuan ini menegaskan bahwa identitas bot yang tercantum dalam permintaan tidak cukup untuk membuktikan bahwa bot tersebut benar-benar berasal dari penyedia layanan yang diklaimnya. Pengelola sistem perlu memeriksa asal permintaan, pola aktivitas, dan tujuan aksesnya.

Risiko Meluas ketika Kredensial Berhasil Ditemukan

Kredensial yang terekspos dapat menimbulkan dampak lebih besar daripada sekadar kebocoran satu berkas.

Kata sandi, kunci API, atau kredensial cloud yang masih aktif dapat dimanfaatkan untuk mengakses layanan, mengambil data, menjalankan fungsi tertentu, atau memperluas akses ke sistem lain.

Risiko serupa berlaku bagi kunci privat SSH yang tidak terlindungi dengan baik. Jika kunci tersebut dapat digunakan untuk mengakses server, penyerang berpotensi memperoleh jalur masuk tanpa harus mengeksploitasi kerentanan perangkat lunak secara langsung.

Pada sektor keuangan, persoalannya menjadi lebih kompleks karena tidak semua agen otomatis yang mengakses layanan merupakan bot berbahaya.

Agen AI yang benar-benar bertindak atas nama pelanggan dapat menghasilkan lalu lintas yang berbeda dari aktivitas manusia biasa.

Di sisi lain, penyerang juga dapat menggunakan kredensial pelanggan melalui peramban biasa tanpa memperkenalkan diri sebagai agen AI.

Karena itu, mendeteksi bot berdasarkan identitas atau pola otomatisasi saja tidak cukup. Pengelola layanan harus mempertimbangkan siapa yang mengakses akun, apakah akses tersebut sah, tindakan apa yang dilakukan, serta apakah aktivitasnya sesuai dengan hak akses yang diberikan.

Langkah Pencegahan bagi Perusahaan

Untuk mengurangi risiko penyalahgunaan identitas bot AI dan pencurian kredensial, organisasi dapat menerapkan beberapa langkah berikut.

1. Verifikasi identitas setiap agen AI.

Jangan memberikan akses hanya karena permintaan mengaku berasal dari bot resmi. Gunakan mekanisme verifikasi yang sesuai, seperti:

Permintaan bertanda tangan digital.
Integrasi resmi,.
Atau rentang alamat IP yang dipublikasikan dan dapat diverifikasi.

Informasi alamat IP sebaiknya menjadi salah satu indikator, bukan satu-satunya dasar autentikasi.

2. Pantau pola permintaan yang tidak wajar.

Perhatikan lonjakan permintaan dalam waktu singkat, pergantian identitas bot yang terlalu sering, pemindaian jalur berkas secara sistematis, serta permintaan ke lokasi yang biasanya tidak dibutuhkan oleh layanan AI. Aktivitas yang menyimpang dari fungsi normal agen perlu ditinjau lebih lanjut.

3. Hindari menyimpan kredensial di berkas yang mudah diakses.

Kata sandi, kunci API, token akses, dan kredensial cloud tidak seharusnya ditinggalkan dalam berkas konfigurasi yang dapat dijangkau melalui web atau sistem yang terekspos.

Batasi hak akses berkas dan gunakan pengelolaan rahasia terpusat (secrets management) untuk menyimpan serta mendistribusikan kredensial secara aman.

4. Terapkan hak akses minimum.

Setiap agen AI, akun layanan, dan aplikasi hanya boleh memperoleh izin yang benar-benar diperlukan untuk menjalankan tugasnya.

Jika suatu agen hanya membutuhkan akses baca ke data tertentu, jangan memberinya izin untuk mengubah konfigurasi atau mengakses seluruh lingkungan cloud.

5. Kurangi penggunaan kredensial berumur panjang.

Kredensial statis yang berlaku dalam jangka panjang meningkatkan risiko jika bocor. Jika memungkinkan, gunakan kredensial berumur pendek, rotasi kunci secara berkala, dan cabut akses yang tidak lagi diperlukan.

Apabila kredensial terindikasi terekspos, segera evaluasi dan ganti kredensial terkait sesuai prosedur penanganan insiden.

6. Perkuat pemantauan dan respons insiden.

Catat aktivitas autentikasi, penggunaan API, akses berkas sensitif, dan perubahan hak akses. Jika ditemukan aktivitas mencurigakan, blokir sumber yang terverifikasi berbahaya, periksa apakah ada kredensial yang berhasil diakses, dan telusuri kemungkinan penggunaan kredensial tersebut setelah pemindaian terjadi.

Prinsip Dasar

Penyamaran bot AI menunjukkan bahwa penyerang dapat memanfaatkan kepercayaan terhadap layanan otomatis untuk mencari jalan masuk ke sistem perusahaan. Mengidentifikasi bot berdasarkan nama atau identitas yang diklaimnya tidak lagi memadai jika permintaan tersebut dapat dipalsukan.

Perusahaan perlu memastikan bahwa setiap agen AI yang terhubung ke sistem memiliki identitas yang dapat diverifikasi, izin yang terbatas, dan aktivitas yang dapat dipantau. Pada saat yang sama, penyimpanan kredensial harus dikelola dengan baik agar kegagalan pada satu titik tidak membuka akses yang lebih luas.

Di tengah meningkatnya penggunaan AI dalam operasional bisnis, prinsip dasarnya tetap sama: jangan memberikan kepercayaan secara otomatis; verifikasi identitas, batasi akses, dan pantau setiap aktivitas yang berisiko.

Baca artikel lainnya: