Apa itu vektor serangan?

Vektor serangan adalah jalur atau metode di mana peretas mendapatkan akses tidak sah ke sistem target untuk melakukan serangan siber. Vektor serangan umum termasuk serangan rekayasa sosial, ancaman orang dalam, dan penyusupan rantai pasokan.

Bersama-sama, vektor serangan organisasi (juga dikenal sebagai vektor ancaman) dan kerentanan keamanan siber membentuk permukaan serangannya. Permukaan serangan telah berkembang seiring bisnis terlibat dalam transformasi digital, seperti adopsi kecerdasan buatan (AI), migrasi cloud dan pusat data, penggunaan perangkat Internet of Things, dan pemberdayaan kerja jarak jauh. Dengan begitu banyak aset yang sekarang menjadi bagian dari lanskap teknologi yang semakin kompleks dan tersebar, penjahat siber memiliki lebih banyak titik masuk untuk menyusup ke jaringan dan sistem operasi.

Sementara itu, ruang lingkup dan kecanggihan vektor serangan juga telah berkembang. Aktor ancaman memanfaatkan teknologi baru seperti AI untuk memanipulasi pengguna dan menghindari langkah-langkah keamanan konvensional.

Untungnya, tim keamanan tingkat perusahaan dapat memanfaatkan disiplin keamanan siber seperti manajemen permukaan serangan (ASM) untuk menggagalkan para penyerang ini. ASM membantu organisasi mengidentifikasi metode serangan potensial dan bertahan terhadap vektor serangan, langkah-langkah kunci dalam mengurangi risiko keamanan siber.

Dalam epidemiologi, vektor adalah agen yang menularkan penyakit menular. Itu dapat berkisar dari makhluk hidup (nyamuk, kelelawar) hingga benda mati (jarum suntik, uang kertas).¹ Memahami vektor-vektor ini menginformasikan upaya pencegahan dan penularan penyakit di bidang kesehatan masyarakat.

Demikian pula, memahami keberagaman vektor serangan siber membantu organisasi (dan para profesional keamanan siber yang bekerja dengan mereka) untuk merancang dan menerapkan strategi serta alat untuk deteksi dan remediasi ancaman siber.

Tanpa deteksi dan remediasi seperti itu, konsekuensi serius dapat terjadi. Vektor serangan sering memungkinkan pelanggaran data, di mana aktor ancaman mendapatkan akses ke informasi sensitif atau rahasia.

Menurut laporan IBM Laporan Biaya Pelanggaran Data 2025, biaya rata-rata pelanggaran data adalah 4,44 juta USD. Biaya berasal dari penyelidikan dan audit pelanggaran; melaporkan pelanggaran kepada pelanggan, regulator, dan pemangku kepentingan; penyelesaian dan biaya hukum; dan kehilangan pelanggan. Insiden cenderung sangat mahal di industri dengan regulasi ketat di mana pelanggaran data dapat mengakibatkan denda peraturan. Misalnya, menurut laporan IBM, biaya rata-rata pelanggaran data layanan kesehatan pada tahun 2025 adalah 7,42 juta USD.

Vektor serangan juga dapat digunakan peretas untuk menonaktifkan atau merusak aset, menyebabkan gangguan bisnis dan ekonomi yang signifikan. Pada bulan September 2025, misalnya, serangan siber pada sistem check-in bandara menyebabkan pembatalan dan penundaan penerbangan di bandara-bandara di kota-kota besar di Eropa. Sebelumnya di bulan yang sama, serangan siber memaksa penutupan selama berminggu-minggu di sebuah produsen mobil ternama Inggris.

Seperti halnya patogen yang bermutasi, lingkungan ancaman siber juga berkembang. Misalnya, dua dekade lalu, vektor serangan yang bertanggung jawab atas sekitar setengah dari pelanggaran data adalah perangkat yang hilang atau dicuri, seperti laptop atau thumb drive. Saat ini, pencurian perangkat menyumbang kurang dari 10% dari semua pelanggaran data, dengan serangkaian vektor lain, mulai dari phishing hingga rantai pasokan yang tersusupi, terlibat dalam sisanya, menurut Laporan Biaya Pelanggaran Data IBM 2025.

Penjahat siber menggunakan teknologi baru untuk menyederhanakan pendekatan mereka terhadap vektor. Misalnya, mereka semakin menerapkan AI untuk membuat email phishing dan halaman web yang meyakinkan, di antara aktivitas tipuan lainnya. Menurut laporan Laporan Biaya Pelanggaran Data IBM 2025, rata-rata 16% pelanggaran data melibatkan penyerang yang menggunakan AI, paling sering untuk serangan phishing yang dihasilkan AI (37%) dan serangan penipuan deepfake (35%).

Peretas juga menjelajahi dark web untuk membeli perangkat lunak kejahatan sebagai layanan (CaaS) untuk menggerakkan aktivitas kejahatan siber mulai dari menggunakan spyware hingga pemecahan kata sandi. Dilengkapi dengan alat canggih, “musuh siber yang berubah bentuk mendapatkan lebih banyak akses, pindah melintasi jaringan dengan lebih mudah, dan membuat pos terdepan baru dalam ketidakjelasan relatif”, menurut Indeks Intelijen Ancaman IBM® X-Force Threat Intelligence Index 2025.

Melacak vektor serangan aktor ancaman yang berkembang dapat membantu perusahaan menangkal mereka. “Semakin banyak Anda tahu tentang apa yang dilakukan peretas, semakin baik Anda dapat membangun pertahanan”, Jeff Crume, IBM Security Distinguished Engineer, menjelaskan dalam video terbaru dari IBM Technology. “Informasi adalah kekuatan.”

Sementara organisasi yang berbeda mengklasifikasikan vektor serangan dengan cara yang berbeda, kategori umum termasuk:

• Rekayasa sosial
• Pembobolan vendor pihak ketiga dan rantai pasokan
• Denial-of-service
• Kredensial yang disusupi
• Ancaman orang dalam
• Eksploitasi kerentanan
• Malware
• Serangan fisik

Serangan rekayasa sosial memanipulasi orang untuk percaya bahwa mereka berkomunikasi dengan pihak tepercaya dan meyakinkan mereka untuk membahayakan keamanan data pribadi mereka (kata sandi bank, nomor kartu kredit), atau aset organisasi (informasi kepemilikan, rahasia dagang).  

Salah satu serangan rekayasa sosial yang paling umum adalah phishing, yang melibatkan penggunaan email palsu, pesan teks, panggilan telepon atau situs web. Dalam Laporan Biaya Pelanggaran Data IBM 2025, phishing menduduki peringkat sebagai vektor paling umum untuk pelanggaran data, menyumbang 16% dari pelanggaran dengan biaya rata-rata 4,8 juta USD per serangan. Serangan phishing sering melibatkan spoofing, di mana penyerang menyamarkan alamat email mereka atau metode komunikasi lainnya untuk menyamar sebagai sumber tepercaya.

Peretas akan mencoba menyusup ke vendor pihak ketiga untuk mendapatkan akses ke mitra mereka, menjadikan rantai pasokan target populer untuk serangan siber. Ekosistem rantai pasokan modern semakin rentan melalui sistem digital dan teknologi komunikasi mereka, yang menciptakan permukaan serangan yang luas.

Serangan siber pada rantai pasokan dapat menghentikan produksi, mengganggu transportasi dan logistik, merusak infrastruktur penting, mencuri kekayaan intelektual, dan banyak lagi. Menurut Laporan Biaya Pelanggaran Data IBM 2025, penyusupan rantai pasokan adalah vektor paling umum kedua untuk pelanggaran data serta rata-rata termahal kedua, yaitu 4,91 juta USD per serangan.

Serangan terhadap rantai pasokan perangkat lunak, khususnya, semakin mengkhawatirkan karena semakin banyak perusahaan yang mengandalkan perangkat lunak sumber terbuka untuk sistem komputer mereka. Menurut sebuah penelitian, ancaman rantai pasokan perangkat lunak dari repositori paket sumber terbuka meningkat 1.300% dalam tiga tahun.²

Serangan Denial-of-Service (DoS) adalah serangan siber yang memperlambat atau menghentikan aplikasi atau layanan. Sering kali, insiden DoS berupa penyerang membanjiri server jaringan dengan lalu lintas, akhirnya membebani server dan menghentikannya memproses permintaan yang sah. Menurut Laporan Biaya Pelanggaran Data IBM 2025, serangan denial-of-service menyumbang lebih dari 12% dari pelanggaran data.

Jenis serangan DoS yang kuat adalah serangan denial-of-service terdistribusi (DDoS). Dalam serangan DDoS, lalu lintas serangan berasal dari berbagai sumber sekaligus, berpotensi membuat mereka lebih sulit dikenali dan dilawan. Serangan DDoS sering dilakukan melalui botnet, yang merupakan kelompok perangkat terhubung yang telah dibajak peretas untuk kegiatan kriminal mereka.

Serangan penyusupan kredensial terjadi ketika peretas mendapatkan akses tidak sah ke sistem melalui kredensial login pengguna yang sah seperti nama pengguna dan kata sandi. Menurut IBM® X-Force Threat Intelligence Index, 30% serangan siber melibatkan pencurian dan penyalahgunaan akun yang valid.

Peretas memiliki opsi berbeda untuk menjalankan serangan penyusupan kredensial. Misalnya, mereka dapat menggunakan kredensial pengguna yang dicuri yang terpapar pada pelanggaran data sebelumnya atau menerapkan phishing untuk membujuk korban untuk berbagi kredensial. Mereka juga dapat menggunakan serangan brute force, yang memanfaatkan kekuatan komputasi dan otomatisasi untuk menemukan kata sandi melalui coba-coba, dengan kata sandi yang lemah umumnya terbukti lebih mudah untuk ditemukan.

Ancaman orang dalam adalah ancaman keamanan siber yang berasal dari pengguna yang sah (karyawan, kontraktor, mitra bisnis) yang secara sengaja atau tanpa sengaja menyalahgunakan akses yang sah, atau akun mereka dibajak oleh penjahat siber.

Ada berbagai jenis ancaman orang dalam, termasuk orang dalam yang jahat (karyawan yang tidak puas yang berniat membalas dendam), orang dalam yang lalai (karyawan yang tidak sengaja menciptakan ancaman keamanan melalui ketidaktahuan atau kecerobohan) dan orang dalam yang tersusupi (karyawan yang kredensialnya dicuri).

Menurut Laporan Biaya Pelanggaran Data IBM 2025, serangan orang dalam yang jahat menonjol sebagai penyebab pelanggaran data paling mahal di antara semua vektor serangan, yaitu 4,92 juta USD per insiden.

Eksploitasi kerentanan terjadi ketika aktor ancaman internal atau eksternal mengeksploitasi kelemahan keamanan di lingkungan digital organisasi. Menurut X-Force Threat Intelligence Index, eksploitasi kerentanan dalam aplikasi yang menghadap publik adalah salah satu vektor serangan siber teratas.

Contoh kerentanan meliputi:

• Perangkat lunak yang belum ditambal: Kelemahan keamanan yang terjadi ketika patching (penerapan pembaruan perangkat lunak) belum dilakukan.
  
  
• Kesalahan konfigurasi: Port jaringan, saluran, titik akses nirkabel, firewall, atau protokol yang tidak dikonfigurasi dengan benar dapat menjadi pintu masuk bagi peretas.
  
  
• Kerentanan port terbuka: Penyerang mengeksploitasi kelemahan pada titik akhir komunikasi jaringan.
  
  
• Kerentanan injeksi SQL: Penyerang menggunakan kueri yang dirancang khusus untuk mengakses data.
  
  
• Injeksi skrip lintas situs (XSS): Aplikasi web menangani input pengguna dengan tidak benar, memungkinkan penyerang untuk menyuntikkan skrip berbahaya ke halaman web.

Meskipun ada katalog kerentanan keamanan seperti daftar Kerentanan dan Paparan Umum (CVE), banyak kerentanan tetap tidak diketahui dan tidak ditangani. Kelemahan keamanan semacam itu disebut kerentanan zero-day karena penyedia perangkat lunak atau vendor perangkat tidak memiliki waktu (nol hari) untuk perbaikan celah tersebut sebelum aktor jahat dapat memanfaatkannya. Serangan yang dihasilkan dikenal sebagai serangan zero-day.

Sementara malware, atau perangkat lunak berbahaya, biasanya merupakan komponen dari vektor serangan lainnya, seperti rekayasa sosial atau penyusupan rantai pasokan, itu juga dapat dianggap sebagai kategori vektornya sendiri. Pada tahun 2024, ransomware merupakan bagian terbesar dari kasus malware (28%), menurut IBM® X-Force Threat Intelligence Index.

Contoh malware lainnya termasuk malware akses jarak jauh (yang menyediakan akses jarak jauh ke peretas), trojan horse (program berbahaya yang disamarkan sebagai program yang berguna) dan spyware (program yang mengumpulkan informasi sensitif dan mengirimkannya ke peretas).

Malware infostealer, yang dirancang untuk mencuri informasi berharga, adalah ancaman yang berkembang di ruang angkasa. Menurut X-Force Threat Intelligence Index, jumlah infostealer yang dikirim setiap minggu melalui email phishing telah melonjak 84%.

Sementara peretas memiliki banyak alat digital yang mereka miliki, intrusi fisik tetap menjadi perhatian nyata dalam keamanan siber. Misalnya, penyerang dapat memalsukan lencana, menyamar sebagai vendor atau mengikuti orang yang memiliki akses ke area bisnis yang aman (praktik yang dikenal sebagai tailgating). Dari sana, mereka dapat mencuri laptop dan perangkat lain, mengunduh malware atau meninggalkan drive USB yang sarat dengan malware di sekitar kantor (sehingga karyawan yang penasaran memasang drive dan secara tidak sengaja mengunggah malware sendiri).

Menurut Laporan Biaya Pelanggaran Data IBM 2025, pencurian fisik atau masalah keamanan merugikan organisasi rata-rata lebih dari 4 juta USD, per insiden.

Serangan siber sering kali mencakup dua atau lebih vektor serangan. Misalnya, penyerang mungkin menggunakan phishing untuk mengelabui pengguna agar mengizinkan ransomware diunduh ke komputer mereka. Kemudian, penyerang mungkin mengancam serangan DDoS jika korban tidak membayar uang tebusan yang diminta. Atau, mereka mungkin mengeksploitasi kerentanan dalam sistem vendor untuk mengakses sistem pelanggan mereka (serangan kompromi rantai pasokan) dan menyuntikkan kode berbahaya ke sistem tersebut untuk memindai kredensial yang kemudian dapat digunakan peretas untuk mengeksfiltrasi data.

Cara lain untuk mengatur vektor adalah membaginya menjadi dua kelompok: pasif atau aktif.

Penjahat siber menggunakan vektor serangan pasif untuk mendapatkan akses ke informasi tanpa mengubah sistem. Contoh vektor serangan pasif adalah jaringan Wi-Fi yang tidak memiliki enkripsi, membuatnya rentan terhadap penyadapan oleh peretas.

Sebaliknya, peretas menggunakan vektor serangan aktif untuk mendapatkan kendali atas, mengganggu, atau berdampak pada sistem. Vektor serangan aktif termasuk serangan denial-of-service dan serangan ransomware.

Terkadang, penggambaran antara apa yang merupakan vektor serangan aktif dan apa yang merupakan vektor serangan pasif tidak jelas. Misalnya, phishing dapat dianggap sebagai vektor serangan pasif ketika digunakan semata-mata untuk mendapatkan informasi dari target tanpa mengubah sistem target. Namun, phishing yang menipu korban untuk mengunduh ransomware ke sistem dapat dianggap sebagai vektor serangan aktif.

Sementara profesional keamanan siber memiliki berbagai alat dan strategi yang mereka miliki, manajemen permukaan serangan (ASM) sangat penting untuk mengatasi vektor serangan potensial. Tidak seperti keamanan siber lainnya, ASM dilakukan dari perspektif peretas, menilai sistem untuk peluang yang dapat menarik bagi penjahat siber.

ASM terdiri dari empat proses inti: