Apa itu serangan man-in-the-middle (MITM)?

Setelah secara diam-diam menempatkan diri mereka di tengah-tengah komunikasi dua pihak, penyerang MITM mencegat data sensitif seperti nomor kartu kredit, informasi akun, dan kredensial login. Peretas kemudian menggunakan informasi itu untuk melakukan kejahatan siber lainnya seperti melakukan pembelian yang tidak sah, membajak akun keuangan dan pencurian identitas.

Selain pertukaran antara pengguna dan aplikasi, penyerang MITM juga dapat menguping komunikasi pribadi antara dua orang. Dalam skenario ini, penyerang mengalihkan dan menyampaikan pesan di antara dua orang, terkadang mengubah atau mengganti pesan untuk mengendalikan percakapan.

Beberapa organisasi dan pakar keamanan siber mulai meninggalkan istilah “man-in-the-middle” karena beberapa orang mungkin menganggap istilah tersebut berpotensi bias. Istilah mungkin gagal menangkap contoh dimana entitas di tengah-tengahnya adalah bot, perangkat, atau malware, bukan seorang manusia.

Istilah alternatif untuk jenis serangan siber ini meliputi: machine-in-the-middle, on-path attack, adversary-in-the-middle (AITM), dan manipulator-in-the-middle.

Kerentanan di seluruh jaringan, browser web, akun email, perilaku pengguna dan protokol keamanan adalah titik awal serangan MITM. Penjahat siber mengeksploitasi kelemahan ini untuk menyisipkan diri di antara pengguna dan aplikasi tepercaya sehingga mereka dapat mengontrol komunikasi dan mencegat data secara real time.

Serangan phishing adalah salah satu cara masuk umum bagi penyerang MITM. Dengan mengklik tautan berbahaya di email, pengguna dapat secara tidak sadar meluncurkan serangan man-in-the browser. Penyerang MITM sering mengandalkan taktik ini untuk menginfeksi browser web pengguna dengan malware yang memungkinkan mereka membuat perubahan rahasia pada halaman web, memanipulasi transaksi dan memata-matai aktivitas pengguna.

Sumber umum serangan MITM lainnya adalah hotspot wifi publik. Router wifi publik memiliki protokol keamanan yang lebih sedikit daripada router wifi rumah atau tempat kerja. Hal ini memudahkan pengguna di sekitar untuk terhubung dengan jaringan. Tetapi hal itu juga memudahkan para peretas untuk membahayakan router sehingga mereka dapat menyadap lalu lintas internet dan mengumpulkan data pengguna.

Penyerang MITM terkadang membuat jaringan wifi publik mereka sendiri yang berbahaya untuk memikat pengguna yang tidak menaruh curiga dan memanen data pribadi mereka.

Penyerang MITM mungkin juga membuat situs web palsu yang terlihat sah tetapi sebenarnya mengumpulkan data penting seperti kredensial login. Peretas kemudian dapat menggunakan kredensial tersebut untuk masuk ke akun pengguna di situs web autentik. Atau mereka mungkin menggunakan situs web palsu untuk menipu pengguna agar melakukan pembayaran atau mentransfer dana.

Serangan man-in-the-middle mengharuskan penjahat siber untuk: 1) mengintersepsi data yang melintas di antara dua target mereka dan 2) mendekripsi informasi tersebut.

Untuk masuk ke tengah-tengah dua target yang berkomunikasi, seperti pengguna dan aplikasi web, penyerang harus mencegat data yang berjalan di antara keduanya. Penyerang kemudian menyampaikan informasi yang dialihkan itu di antara target seolah-olah komunikasi normal sedang berlangsung sehingga korban tidak curiga.

Sebagian besar komunikasi internet saat ini dienkripsi, sehingga data apa pun yang dicegat penyerang MITM kemungkinan besar perlu didekripsi sebelum penyerang dapat menggunakannya. Penyerang dapat mendekripsi data dengan mencuri kunci enkripsi, menjalankan serangan brute-force atau menggunakan teknik serangan MITM khusus (lihat bagian selanjutnya).

Penyerang menggunakan berbagai teknik untuk mencegat dan mendekripsi data selama serangan MITM. Teknik umum meliputi:

Pemalsuan IP: Internet Protocol (IP) mengidentifikasi entitas online seperti situs web, perangkat, dan alamat email. Penyerang MITM mengubah atau ‘memalsukan’ alamat IP mereka sehingga pengguna terlihat berkomunikasi dengan host asli padahal sebenarnya mereka terhubung ke sumber berbahaya.

Spoofing ARP atau keracunan cache ARP: Address Resolution Protocol (ARP) menghubungkan alamat IP dengan alamat Media Access Control (MAC) yang benar pada jaringan area lokal. Dengan memalsukan alamat ARP, penyerang dapat merutekan koneksi ini ke alamat MAC mereka sendiri untuk mengekstrak informasi.

Pemalsuan DNS: Sistem Nama Domain (DNS) menghubungkan nama domain situs web dengan alamat IP yang ditetapkan. Dengan mengubah nama domain dalam catatan DNS, penyerang MITM dapat mengarahkan pengguna dari situs yang sah ke situs web palsu.

Spoofing HTTPS: Hypertext Transfer Protocol Secure (HTTPS) memastikan komunikasi aman dengan mengenkripsi data yang bergerak bolak-balik antara pengguna dan situs web. Penyintas MITM akan mengarahkan pengguna secara diam-diam ke halaman HTTP standar tanpa enkripsi untuk mengakses data yang tidak terlindungi.

Pembajakan SSL: Secure Sockets Layers (SSL) adalah teknologi yang menyediakan autentikasi dan enkripsi antara browser web dan server web menggunakan sertifikat SSL. Penyerang MITM menggunakan sertifikat SSL palsu untuk membajak proses ini dan mencegat data sebelum dapat dienkripsi.

Stripping SSL: Teknik ini terjadi ketika situs web menerima koneksi HTTP yang masuk sebelum mengarahkan lalu lintas tersebut ke koneksi HTTPS yang aman. Penyerang MITM mengganggu proses transisi ini sehingga mereka dapat mengakses data yang tidak terenkripsi sebelum berpindah ke koneksi HTTPS yang aman.

Dalam jenis serangan ini, penjahat siber menguasai akun email suatu bisnis atau organisasi. Penyerang MITM sering menargetkan lembaga keuangan seperti bank atau perusahaan kartu kredit untuk jenis serangan ini.

Para peretas memantau komunikasi, mengumpulkan data pribadi dan mengumpulkan intelijen tentang transaksi. Dalam beberapa kasus, mereka memalsukan alamat email perusahaan untuk meyakinkan pelanggan atau mitra untuk melakukan deposit atau mentransfer dana ke rekening palsu.

Saat browser web pengguna berkomunikasi dengan situs web, browser web tersebut menyimpan sementara
informasi tentang cookie sesi. Penyerang MITM mendapatkan akses ke cookie ini dan menggunakannya untuk menyamar sebagai pengguna atau mencuri informasi yang ada di dalamnya, yang dapat mencakup kata sandi, nomor kartu kredit, dan informasi akun lainnya.

Karena cookie berakhir ketika sesi berakhir, peretas harus bertindak cepat sebelum informasi hilang.

Penyerang MITM terkadang membuat jaringan wifi publik dan hot spot di tempat-tempat umum yang populer seperti bandara, restoran, dan pusat kota. Nama-nama jaringan penipuan ini sering kali mirip dengan bisnis terdekat atau koneksi wifi publik tepercaya lainnya. Peretas juga dapat membahayakan hotspot wifi publik yang sah yang digunakan oleh publik.

Dalam kedua kasus, saat pengguna yang tidak menaruh curiga masuk, penyerang mengumpulkan data sensitif seperti nomor kartu kredit, nama pengguna, dan kata sandi.

Pada tahun 2017, agen pelaporan kredit Equifax menjadi korban serangan man-in-middle karena kerentanan yang tidak ditambal dalam kerangka kerja aplikasi webnya. Serangan itu mengungkap informasi keuangan hampir 150 juta orang.

Di saat yang sama, Equifax menemukan celah keamanan pada aplikasi selulernya yang dapat membuat pelanggan rentan terhadap serangan MITM lebih lanjut. Equifax menghapus aplikasi dari Apple App Store dan Google Play.

Menggunakan situs web palsu untuk mengumpulkan kata sandi, peretas melancarkan serangan MITM yang berhasil terhadap otoritas keamanan digital Belanda DigiNotar pada tahun 2011.

Pelanggaran ini cukup signifikan karena menyebabkan DigiNotar mengeluarkan lebih dari 500 sertifikat keamanan yang disusupi ke situs-situs besar termasuk Google, Yahoo! dan Microsoft. DigiNotar akhirnya dihapus sebagai penyedia sertifikat keamanan dan dinyatakan bangkrut.

Pada tahun 2024, para peneliti keamanan melaporkan bahwa sebuah kerentanan memungkinkan para peretas meluncurkan serangan MITM untuk membuka kunci dan mencuri kendaraan Tesla.1

Dengan menggunakan hotspot wifi palsu di stasiun pengisian daya Tesla, penyerang dapat memanen kredensial akun pemilik Tesla. Penyerang kemudian dapat menambahkan “kunci mobile” baru yang membuka dan menyalakan kendaraan tanpa sepengetahuan pemilik kendaraan, menurut para peneliti.

Ada langkah-langkah keamanan siber yang dapat diterapkan organisasi dan individu untuk melindungi dari serangan man-in-the-middle. Para pakar merekomendasikan untuk fokus pada strategi ini:

HTTPS: Pengguna hanya boleh mengunjungi situs web dengan koneksi yang aman, yang ditandai dengan "HTTPS" dan ikon gembok di bilah alamat browser. Halaman web yang hanya menawarkan koneksi HTTP yang tidak aman harus dihindari. Selain itu, protokol SSL dan Transport Layer Security (TLS) untuk aplikasi dapat melindungi dari lalu lintas web yang berbahaya dan mencegah serangan spoofing.

Keamanan titik akhir: Titik akhir seperti laptop, smartphone, workstation, dan server adalah target utama penyerang MITM. Keamanan titik akhir, termasuk patch dan perangkat lunak antivirus terbaru, sangat penting untuk mencegah penyerang menginstal malware pada perangkat ini.

Jaringan pribadi virtual: VPN memberikan pertahanan yang kuat terhadap serangan MITM dengan mengenkripsi lalu lintas jaringan. Bahkan jika terjadi pelanggaran, peretas tidak akan dapat membaca data sensitif seperti kredensial login, nomor kartu kredit, dan informasi akun.

Autentikasi multifaktor (MFA): MFA memerlukan langkah tambahan selain memasukkan kata sandi untuk mengakses akun, perangkat, atau layanan jaringan. Bahkan jika penyerang MITM dapat memperoleh kredensial login, autentikasi multifaktor dapat membantu menghentikan penyerang mengambil alih akun.

Enkripsi: Enkripsi adalah persyaratan mendasar untuk keamanan jaringan dan pertahanan terhadap serangan MITM. Enkripsi end-to-end yang kuat pada semua lalu lintas dan sumber daya jaringan-termasuk konten email, catatan DNS, aplikasi perpesanan, dan titik akses-dapat menggagalkan banyak serangan MITM.

Jaringan wifi publik: Pengguna harus menghindari jaringan wifi publik saat melakukan transaksi yang melibatkan data sensitif, seperti saat melakukan pembelian.