Brute Force Adalah: Cara Kerja dan Cara Mencegahnya
Brute force adalah serangan yang menebak password atau kunci dengan mencoba banyak kombinasi secara otomatis sampai berhasil. Penyerang mengandalkan kecepatan mesin, bukan kecerdikan, sehingga password lemah cepat jebol. Karena serangan ini menyasar kata sandi, autentikasi biometrik yang mustahil mesin tebak menjadi pertahanan yang kuat.
Apa Itu Brute Force
Brute force adalah metode serangan yang mencoba setiap kemungkinan kombinasi password sampai menemukan yang benar. Penyerang menjalankan alat otomatis yang menebak ribuan hingga jutaan kombinasi per detik. Jadi kekuatan serangan ini bukan dari trik, melainkan dari volume percobaan.
Semakin pendek dan umum sebuah password, semakin cepat brute force menembusnya. Password seperti “123456” atau “password” jebol hampir seketika, sedangkan kata sandi panjang dan acak butuh waktu jauh lebih lama. Karena itu, brute force adalah ancaman klasik yang tetap relevan selama sistem masih bergantung pada password.
Cara Kerja Serangan Brute Force, Langkah demi Langkah
Serangan brute force modern jarang berupa satu orang yang mengetik tebakan. Biasanya, pelaku menjalankan proses otomatis dengan alur berikut.
- Memilih target. Pelaku mencari halaman login, API, atau formulir OTP yang tidak membatasi jumlah percobaan.
- Menyiapkan bahan tebakan. Pelaku memakai daftar password umum, kamus kata, atau pasangan kredensial dari kebocoran data.
- Menjalankan bot. Alat otomatis mengirim ribuan percobaan, sering lewat banyak alamat IP atau proxy agar tidak mudah terblokir.
- Memanfaatkan akun yang jebol. Setelah satu tebakan berhasil, pelaku mengambil alih akun, mencuri data, atau menjual akses itu.
Rotasi IP membuat serangan terlihat seperti banyak pengguna biasa. Karena itu, pertahanan yang hanya menghitung percobaan per alamat IP sering kalah oleh serangan yang tersebar.
Jenis Serangan Brute Force
Brute force punya beberapa varian, dan masing-masing menukar kecepatan dengan ketepatan. Memahaminya membantu tim keamanan memilih pertahanan yang tepat.
| Jenis | Cara kerja |
|---|---|
| Simple brute force | Mencoba semua kombinasi karakter satu per satu |
| Serangan kamus (dictionary attack) | Mencoba daftar kata dan password umum lebih dulu |
| Credential stuffing | Memakai pasangan email dan password dari kebocoran data lama |
| Reverse brute force | Memakai satu password umum ke banyak akun sekaligus |
| Hybrid | Menggabungkan kata dari kamus dengan variasi angka dan simbol |
Credential stuffing layak mendapat perhatian khusus. Karena banyak orang memakai password yang sama di banyak layanan, satu kebocoran data bisa membuka banyak akun lain. Pola ini sering berujung pengambilalihan akun, dan pelakunya memanfaatkan kombinasi yang sudah bocor, bukan menebak dari nol.
Seberapa Cepat Password Bisa Jebol
Kekuatan password bergantung pada jumlah kombinasi yang harus pelaku coba. Tabel berikut menunjukkan betapa cepat jumlah itu membengkak saat panjang dan variasi karakter bertambah.
| Jenis rahasia | Jumlah kombinasi | Tingkat risiko |
|---|---|---|
| PIN 4 digit | 10 ribu | Sangat tinggi tanpa batas percobaan |
| PIN 6 digit | 1 juta | Tinggi tanpa batas percobaan |
| 8 huruf kecil | Sekitar 209 miliar | Tinggi untuk serangan offline |
| 8 karakter campuran (huruf besar, kecil, angka, simbol) | Sekitar 6,6 kuadriliun | Sedang |
| Frasa sandi 15 karakter atau lebih | Jauh di atas kuadriliun | Rendah, asalkan tidak bocor |
Angka ini hanya berlaku untuk tebakan acak. Dalam praktik, password umum dan password bocor jebol jauh lebih cepat, karena pelaku mencobanya lebih dulu. Jadi panjang membantu, tetapi keunikan sama pentingnya.
Kebijakan Password yang Efektif
Pedoman identitas digital NIST di Amerika Serikat banyak menjadi acuan global. Intinya, pedoman itu menekankan panjang dan keunikan, bukan aturan rumit.
- Utamakan panjang. Frasa sandi yang panjang lebih kuat dan lebih mudah diingat daripada kombinasi pendek yang rumit.
- Tolak password bocor. Sistem sebaiknya mencocokkan password baru dengan daftar password yang pernah bocor, lalu menolaknya.
- Hindari ganti password berkala tanpa alasan. Pergantian paksa sering mendorong pola yang mudah tebak, seperti menambah angka di akhir.
- Izinkan pengelola password. Fitur tempel (paste) membantu pengguna memakai password acak yang panjang.
Meski begitu, password terbaik tetap bisa bocor. Karena itu, kebijakan password perlu pasangan berupa faktor yang tidak bisa pelaku tebak.
Dampak dan Target Serangan Brute Force
Target utama brute force adalah halaman login, baik mobile banking, e-wallet, maupun panel admin. Begitu satu akun jebol, penyerang bisa menguras dana, mencuri data, atau memakai akun itu untuk serangan lanjutan. Jadi dampaknya melompat dari satu kredensial ke kerugian yang jauh lebih luas.
Bisnis juga menanggung beban di luar akun yang jebol. Gelombang percobaan login membebani server, memicu biaya, dan kadang menyamarkan serangan lain seperti malware atau ransomware. Karena itu, membiarkan brute force berarti membuka pintu bagi masalah yang lebih besar.
Brute Force di Layanan Keuangan Digital
Aplikasi keuangan menjadi sasaran favorit karena hasilnya langsung berupa uang. Selain itu, banyak aplikasi masih memakai PIN pendek. PIN enam digit, misalnya, hanya punya satu juta kombinasi, sehingga batas percobaan dan penguncian menjadi syarat mutlak.
Formulir OTP juga rawan. Kalau sistem tidak membatasi percobaan, pelaku bisa mencoba kode satu per satu sampai cocok. Jadi setiap titik yang menerima rahasia pendek, baik PIN, OTP, maupun kode reset, perlu pembatasan percobaan yang ketat.
Tanda Serangan Brute Force pada Sistem
Tim keamanan biasanya bisa melihat brute force dari pola log. Beberapa tanda berikut patut memicu investigasi.
- Lonjakan login gagal dalam waktu singkat, terutama di luar jam sibuk.
- Banyak percobaan ke satu akun dari alamat IP yang berganti-ganti.
- Pelaku mencoba satu password yang sama ke banyak akun, ciri password spraying.
- Banyak akun terkunci bersamaan.
- Login berhasil dari lokasi atau perangkat asing setelah rentetan kegagalan.
Tanda terakhir paling penting. Login sukses setelah banyak kegagalan sering berarti serangan sudah berhasil, sehingga sistem perlu langsung meminta verifikasi tambahan.
Cara Mencegah Brute Force
Pencegahan brute force bekerja paling baik secara berlapis, karena penyerang mudah melewati satu kontrol saja. Lapisan dasarnya ada di sisi aplikasi, lalu lapisan identitas memperkuatnya, dan lapisan itu lebih sulit penyerang tembus.
- Kebijakan password kuat. Wajibkan kata sandi panjang dan unik agar ruang tebakan membengkak.
- Rate limiting dan penguncian akun. Batasi jumlah percobaan login, lalu kunci sementara setelah beberapa kali gagal.
- CAPTCHA. Hentikan alat otomatis dengan tantangan yang sulit mesin selesaikan.
- Autentikasi berlapis. Tambahkan 2FA agar password saja tidak cukup untuk masuk.
Lapisan paling kuat memindahkan kunci dari sesuatu yang mudah mesin tebak ke sesuatu yang melekat pada orangnya. Di sinilah biometrik berperan. Pencocokan wajah dan liveness detection membuat login tidak lagi bergantung pada rahasia yang bisa mesin tebak, sehingga brute force kehilangan sasarannya. Penyerang tidak bisa menebak wajah hidup seperti menebak password.
Batasnya tetap jujur. Verihubs menyediakan lapisan autentikasi biometrik, bukan rate limiting atau kebijakan password yang menjadi ranah infrastruktur aplikasi. Jadi pertahanan brute force yang matang memadukan kontrol aplikasi dengan autentikasi biometrik, bukan mengandalkan satu lapisan saja. Serangan ini juga sering berpasangan dengan social engineering, sehingga edukasi pengguna tetap penting.
Kesalahan Umum Saat Menangkal Brute Force
- Hanya mengandalkan CAPTCHA. Layanan pemecah CAPTCHA kini murah, jadi CAPTCHA perlu kontrol pendamping.
- Mengunci akun permanen. Pelaku bisa sengaja mengunci akun banyak pengguna, sehingga layanan justru lumpuh. Penguncian sementara dengan jeda bertahap lebih aman.
- Pesan galat yang terlalu jelas. Pesan seperti “username benar, password salah” membantu pelaku memetakan akun yang valid.
- Mengabaikan credential stuffing. Password kuat tetap jebol bila pengguna memakainya di layanan lain yang bocor.
- Tidak melindungi API. Aplikasi mobile sering memanggil API login langsung, dan API itu juga perlu pembatasan percobaan.
Menghindari kesalahan ini membuat serangan jauh lebih mahal bagi pelaku. Meski begitu, selama akses masih bergantung pada rahasia, risikonya tidak pernah hilang sepenuhnya.
Pertanyaan Umum tentang Brute Force
Brute force adalah apa?
Brute force adalah serangan yang menebak password atau kunci dengan mencoba banyak kombinasi secara otomatis sampai berhasil. Kekuatannya datang dari kecepatan mesin, bukan trik.
Apa saja jenis serangan brute force?
Jenisnya meliputi simple brute force, serangan kamus, credential stuffing, reverse brute force, dan hybrid. Masing-masing menukar kecepatan dengan ketepatan tebakan.
Apa beda brute force dan serangan kamus?
Simple brute force mencoba semua kombinasi karakter, sedangkan serangan kamus mencoba daftar kata dan password umum lebih dulu. Serangan kamus lebih cepat menembus password umum.
Berapa lama brute force membobol password?
Tergantung panjang dan kerumitannya. Password pendek dan umum jebol hampir seketika, sedangkan kata sandi panjang dan acak bisa butuh waktu sangat lama, bahkan tidak praktis.
Apa beda brute force dan credential stuffing?
Brute force menebak password dari nol atau dari kamus. Sementara itu, credential stuffing memakai pasangan email dan password asli dari kebocoran data lama, lalu mencobanya di layanan lain.
Apakah serangan brute force termasuk tindak pidana?
Ya. Di Indonesia, mengakses sistem elektronik milik orang lain tanpa hak, termasuk dengan menjebol sistem pengamanan, termasuk perbuatan yang UU ITE larang dan ancam dengan pidana.
Bagaimana cara mencegah brute force?
Gabungkan password kuat, rate limiting, penguncian akun, CAPTCHA, dan autentikasi berlapis. Lapisan terkuat adalah biometrik, misalnya pencocokan wajah plus liveness, karena mesin tidak bisa menebak wajah hidup.
Brute Force Melemah Saat Login Tidak Lagi Bergantung Password
Brute force pada akhirnya adalah serangan terhadap rahasia yang bisa mesin tebak. Selama akses bergantung pada password, penyerang akan terus punya target untuk ditebak dengan mesin. Sebaliknya, ketika login bersandar pada wajah hidup, brute force kehilangan dasarnya karena tidak ada kombinasi untuk dicoba. Jadi pertanyaan pentingnya bukan seberapa rumit password pengguna, melainkan apakah akses masih bergantung pada sesuatu yang bisa mesin tebak sama sekali.
Di tengah maraknya kebocoran data, password saja terlalu rapuh. Lewat autentikasi biometrik, tim Verihubs mendampingi perusahaan keuangan digital memastikan akses hanya terbuka bagi pemilik aslinya.
