Bagaimana Ancaman Berbasis Browser Mampu Mengelabui Sistem Keamanan Jaringan Konvensional

Log firewall Anda bersih, agen endpoint Anda tidak menampilkan peringatan apa pun, dan umpan reputasi URL menyatakan situs tersebut aman. Namun, seorang penyerang baru saja mencuri cookie sesi seorang manajer keuangan untuk layanan SaaS penggajian perusahaan Anda, kemudian beralih ke intranet Anda, dan mencuri data kompensasi selama satu kuartal—semuanya melalui tab browser yang sama sekali tidak memicu deteksi apa pun. Ancaman berbasis browser bukanlah hal baru, tetapi kesenjangan antara cara kerja ancaman tersebut saat ini dan apa yang dirancang untuk dideteksi oleh kontrol perimeter dan endpoint tradisional belum pernah sebesar ini.

Artikel ini menguraikan mekanisme spesifik yang digunakan penyerang untuk memanfaatkan browser sebagai senjata, menjelaskan mengapa sistem pertahanan lama secara sistematis gagal mendeteksinya, serta menguraikan hal-hal yang perlu diprioritaskan oleh tim keamanan saat ini.

Analisis Serangan yang Dilancarkan Melalui Peramban yang Terlewatkan oleh Sistem Anda

Bayangkan skenario ini: seorang analis pengadaan di sebuah perusahaan manufaktur sedang mencari pemasok industri khusus. Sebuah hasil pencarian bersponsor—yang ditayangkan melalui jaringan iklan besar dan sah—muncul di urutan teratas hasil pencarian. Domain iklan tersebut lolos penyaringan URL; reputasi platform iklan itu sendiri pun bersih. Analis tersebut mengkliknya. Halaman arahan tersebut mendeteksi versi peramban, memastikan bahwa halaman tersebut bukan sandbox, memuat muatan JavaScript yang disamarkan di balik tiga lapisan pengalihan, dan menanamkan program pencuri informasi yang mengumpulkan setiap kredensial yang tersimpan di pengelola kata sandi peramban. Antivirus endpoint mendeteksi proses Chromium yang ditandatangani sedang melakukan apa yang biasa dilakukan peramban—menjalankan JavaScript—dan tidak melakukan apa-apa.

MITRE ATT&CK mendokumentasikan pola ini sebagai T1189 (Drive by Compromise): penyerang memperoleh akses ke suatu sistem melalui pengguna yang mengunjungi sebuah situs web dalam aktivitas penjelajahan internet yang biasa. Metode penyebarannya meliputi situs web sah yang disisipi kode berbahaya, berkas skrip yang disajikan dari penyimpanan awan yang telah diretas, serta iklan berbahaya yang ditayangkan melalui penyedia iklan sah (malvertising).

Bahkan Google mengakui skalanya: pada tahun 2024 saja, Google memblokir 5,1 miliar iklan berbahaya dan menangguhkan 39,2 juta akun pengiklan (Laporan Keamanan Google Ads, 2025). Angka-angka tersebut sungguh mengejutkan—dan itu baru mewakili apa yang berhasil terdeteksi. Iklan-iklan yang lolos membentuk titik rentan yang paling sulit dipantau oleh SOC Anda, karena setiap kontrol dalam rantai—DNS, kategori URL, sertifikat TLS, tanda tangan endpoint—telah mengevaluasi infrastruktur iklan tersebut sebagai tepercaya.

Seandainya sesi analis ini dialihkan melalui remote browser isolation, maka JavaScript tersebut akan dijalankan di dalam kontainer cloud sementara. Program pencuri data tidak akan memiliki proses lokal yang dapat disusupi, tidak ada penyimpanan kredensial yang dapat dibaca, dan tidak ada jalur persisten ke titik akhir.

Mengapa Keamanan Jaringan Tradisional Secara Sistematis Gagal di Tingkat Browser

Sistem pertahanan perimeter konvensional dirancang untuk dunia di mana ancaman datang dalam bentuk berkas yang dikirim melalui jaringan atau koneksi ke alamat IP yang diketahui berbahaya. Peramban telah membalikkan model tersebut. Di sinilah kontrol-kontrol tertentu menjadi tidak efektif:

Kelemahan dalam pemeriksaan lalu lintas terenkripsi

Laporan Serangan Terenkripsi ThreatLabz 2024 menemukan bahwa 87% ancaman tersembunyi dalam lalu lintas TLS/SSL. Sebagian besar gateway web aman generasi lama tidak mampu mendekripsi TLS 1.3 dalam skala besar atau mengabaikan kategori lalu lintas yang luas—seperti perbankan, portal layanan kesehatan, dan aplikasi SaaS dengan certificate pinning—dari proses inspeksi. Seorang penyerang yang menghosting halaman pengumpulan kredensial di balik sertifikat Let's Encrypt yang valid pada domain yang baru didaftarkan dapat lolos dengan mulus melalui celah tersebut. Seorang analis SOC yang meninjau log proxy hanya melihat koneksi HTTPS keluar ke CDN. Tidak ada yang tampak mencurigakan hingga sudah terlambat.

Penyaringan URL dan keterlambatan reputasi

Basis data reputasi URL bersifat reaktif. Kampanye malvertising yang menggunakan domain baru, menyamarkan halaman tujuannya agar menampilkan konten yang tampak tidak berbahaya kepada crawler, dan hanya menyajikan muatan berbahaya kepada korban yang memiliki sidik jari browser tertentu, tidak akan muncul di feed ancaman mana pun hingga setelah gelombang pertama serangan terjadi. Pertimbangkan kampanye perangkat lunak yang disusupi trojan yang umum didistribusikan melalui iklan pencarian: situs-situs tersebut mempromosikan aplikasi yang tampak sah, domain unduhannya lolos pemeriksaan reputasi, dan malware tersebut tetap tidak aktif selama berminggu-minggu sebelum diaktifkan—cukup lama untuk bertahan lebih lama daripada sebagian besar pemblokiran URL retroaktif.

Titik buta antivirus dan EDR pada perangkat akhir di peramban

Serangan di dalam browser sulit dideteksi oleh alat keamanan endpoint karena jejaknya bersifat sementara, tersembunyi di dalam memori browser, dan dikirimkan hampir seketika untuk menjaga pengalaman pengguna (GitLab Security Tech Notes, 2025). Ketika muatan JavaScript berbahaya dijalankan di dalam mesin V8 browser, muatan tersebut tidak menyimpan file ke disk; melainkan memanipulasi DOM, membaca bidang formulir, dan mengekstraksi data melalui koneksi WebSocket yang tampak identik dengan lalu lintas browser yang sah. Agen EDR yang memantau pohon proses, penulisan file, dan perubahan registri tidak mendeteksi hal yang dapat ditindaklanjuti.

Apa yang Berubah: Browser Kini Menjadi Ruang Kerja Perusahaan

Tiga perubahan yang saling terkait telah mengubah peramban dari hal yang semula dianggap sekunder menjadi titik serangan utama:

Pertama, SaaS telah menggantikan jaringan sebagai batas keamanan. Ketika karyawan mengakses Salesforce, Workday, ServiceNow, dan Microsoft 365 melalui peramban, sesi peramban itulah yang menjadi lapisan akses. Sesi peramban yang diretas memberikan akses yang sama dengan VPN yang diretas—bahkan seringkali lebih luas, karena sesi SaaS umumnya tetap aktif di berbagai perangkat dan tidak dilengkapi dengan pencatatan di lapisan jaringan seperti yang disediakan oleh koneksi VPN.

Kedua, serangan melalui situs web sebagai vektor infeksi awal sedang melonjak. Laporan Mandiant M Trends 2025 menemukan bahwa serangan melalui web meningkat dari 5% menjadi 9% dari vektor infeksi awal antara tahun 2023 dan 2024—hampir dua kali lipat. Serangan melalui web mencakup drive-by compromise, iklan berbahaya, SEO poisoning, dan situs web yang disusupi. Peningkatan ini bukanlah fenomena acak; hal ini mencerminkan bahwa penyerang secara sengaja beralih ke metode penyebaran berbasis browser karena metode ini dapat menghindari kontrol yang telah diinvestasikan oleh organisasi.

Ketiga, pencurian kredensial dan pembajakan sesi telah menjadi praktik yang terstruktur secara besar-besaran. Kredensial yang dicuri menjadi vektor akses awal paling umum kedua, yaitu 16% dari insiden yang diselidiki, menurut Mandiant M Trends 2025. Laporan Verizon 2025 DBIR menyebutkan bahwa kredensial yang dicuri digunakan dalam 22% insiden pelanggaran keamanan. Banyak dari kredensial tersebut berasal dari browser: kata sandi yang diisi otomatis, cookie di penyimpanan lokal, dan token sesi yang dicuri oleh malware pencuri data yang berjalan dalam konteks rendering. Konvergensi antara malware pencuri data, pasar kredensial, dan browser sebagai ruang kerja berarti bahwa satu sesi browser yang disusupi saja sudah cukup untuk membuka seluruh rantai serangan penyerang.

Ekstensi Browser: Serangan Rantai Pasokan yang Belum Anda Pantau

Seorang koordinator pemasaran menginstal ekstensi Chrome untuk pemeriksaan tata bahasa yang populer, yang memiliki 500.000 pengguna dan peringkat 4,8 bintang. Enam bulan kemudian, pengembang ekstensi tersebut menjualnya kepada pembeli yang tidak diketahui. Pemilik baru tersebut merilis pembaruan diam-diam yang menambahkan kode untuk mencuri cookie dan token sesi dari setiap situs yang dikunjungi pengguna, termasuk portal SSO perusahaan. Tidak ada peringatan yang muncul karena ekstensi tersebut sudah dipercaya, pembaruan tersebut berasal dari toko resmi, dan pencurian data tersebut menggunakan panggilan HTTPS standar.

Pada Desember 2024, seorang pelaku ancaman melancarkan serangan rantai pasokan perangkat lunak dengan memanfaatkan akun pengembang yang diretas untuk mendistribusikan pembaruan ekstensi peramban berbahaya dari Chrome Web Store (GitLab Security Tech Notes, 2025). Pelaku ancaman tersebut memperbarui ekstensi-ekstensi tersebut dengan kode yang mencuri data dari header HTTP dan konten DOM berdasarkan konfigurasi dinamis—serangan canggih yang berdampak pada setidaknya 3,2 juta pengguna.

Model operasionalnya sangat sederhana hingga mengkhawatirkan. Pola yang paling konsisten sejak akhir 2024 adalah penyalahgunaan kepercayaan melalui pembaruan: para penyerang menerbitkan ekstensi di toko resmi, meretas akun pengembang, atau mengambil alih ekstensi yang sudah mapan, lalu menyebarkan pembaruan yang dimodifikasi secara massal kepada pengguna yang sudah ada. Ekstensi "tidur" tetap tampak tidak berbahaya cukup lama untuk membangun kredibilitas, lalu mengaktifkan spyware, pencurian token, atau perilaku pengalihan melalui pembaruan.

Dari sudut pandang SOC, jenis serangan ini nyaris tak terdeteksi. Ekstensi tersebut beroperasi di dalam proses peramban, berkomunikasi melalui HTTPS ke domain yang mungkin baru saja didaftarkan atau dihosting di platform cloud, dan mengakses konten halaman yang persis sama dengan yang dilihat pengguna secara sah. Agen endpoint tidak mendeteksinya. Pemantauan jaringan hanya mendeteksi lalu lintas terenkripsi ke CDN. Satu-satunya langkah pencegahan yang efektif adalah pengelolaan ekstensi yang terperinci—daftar putih, audit izin, dan penguncian versi—serta mengisolasi sesi peramban melalui isolasi peramban sehingga bahkan ekstensi yang disusupi pun tidak dapat menjangkau endpoint yang sebenarnya.

Pencurian Kredensial dan Pembajakan Sesi: Mengelabui Otentikasi Multi-Faktor (MFA) Melalui Browser

Seorang administrator penggajian menerima email mengenai pembaruan kebijakan tunjangan. Tautan tersebut membuka halaman yang tampak persis seperti halaman login penyedia identitas perusahaan—branding yang sama, ikon gembok sertifikat yang sama, serta struktur domain yang sama jika pengguna tidak memeriksa subdomainnya dengan cermat. Administrator tersebut memasukkan kredensial dan token MFA-nya. Seorang penyerang yang berada di proxy perantara meneruskan kredensial tersebut ke penyedia identitas yang sebenarnya secara real-time, menangkap cookie sesi, dan memutar ulang cookie tersebut dari browser miliknya sendiri. Penyerang kini memiliki sesi yang terotentikasi. MFA telah menjalankan fungsinya—yaitu mengotentikasi pengguna—tetapi penyerang mencuri hasil dari proses otentikasi tersebut.

MITRE ATT&CK T1185 (Pencurian Sesi Browser) menjelaskan bagaimana penyerang memanfaatkan kerentanan keamanan dan fungsi bawaan dalam perangkat lunak browser untuk mengubah konten, memodifikasi perilaku pengguna, dan menyadap informasi. Contoh spesifiknya adalah ketika penyerang menyisipkan perangkat lunak ke dalam peramban yang memungkinkan mereka mengambil alih cookie, sesi HTTP, dan sertifikat klien SSL. Dengan izin tersebut, penyerang berpotensi mengakses sumber daya apa pun di intranet, seperti SharePoint atau webmail. Teknik "browser pivoting" juga dapat melewati sistem keamanan yang disediakan oleh otentikasi dua faktor.

Ini bukanlah masalah teoretis. Kit phishing "Adversary in the Middle" kini telah menjadi komoditas. Kit "Phishing as a Service" kini menggunakan teknik "Browser in the Browser" (BitB) yang menampilkan jendela browser palsu di dalam browser asli pengguna untuk meniru alur login yang sah. Kit-kit ini menampilkan layar login yang meyakinkan, lengkap dengan bilah alamat yang dipalsukan, serta menangkap kredensial dan token sesi aktif. Mereka menggunakan pemeriksaan perlindungan bot, pemuatan bersyarat, rotasi domain cepat, dan pengaburan kode untuk menghindari deteksi.

Pengendalian jaringan tradisional—seperti reputasi IP, penyaringan berdasarkan usia domain, bahkan pemantauan transparansi sertifikat—kesulitan mengikuti laju perputaran infrastruktur yang cepat. Pertahanan paling efektif adalah mencegah halaman phishing ditampilkan di browser pengguna sejak awal, dan itulah tepatnya yang dilakukan oleh secure web gateway generasi berikutnya dengan RBI terintegrasi: bahkan jika pengguna mengkliknya, halaman tersebut akan ditampilkan dalam wadah terisolasi di mana kredensial tidak dapat direkam oleh keylogger dan token sesi tidak dapat disadap.

Pengambilan Data Berbasis JavaScript: Kehilangan Data Melalui Mesin Render

Seorang analis di sebuah perusahaan layanan kesehatan membuka portal riset yang telah diretas melalui skrip analitik pihak ketiga. Kode JavaScript yang disisipkan secara diam-diam membaca DOM dari aplikasi SaaS ber-tab yang sedang dibuka oleh analis tersebut—khususnya, dasbor catatan pasien—menyerialisasikan data yang terlihat menjadi blob JSON, dan mengirimkannya melalui metode POST ke titik akhir yang dikendalikan penyerang melalui koneksi WebSocket yang tampak seperti lalu lintas telemetri. Tidak ada file yang diunduh. Tidak ada file eksekusi yang ditanamkan. Aturan DLP yang memantau lampiran, penulisan ke USB, atau unggahan ke cloud tidak pernah terpicu.

Skenario ini menggambarkan mengapa data loss prevention mencakup sesi peramban itu sendiri. JavaScript yang berjalan di peramban memiliki akses baca ke semua hal yang dapat dilihat pengguna. Pembatasan lintas asal memang membantu, tetapi skrip pihak pertama yang disusupi, pustaka yang terkontaminasi dalam rantai pasokan, dan ekstensi berbahaya semuanya beroperasi dalam asal yang sama dengan aplikasi yang sah.

Mandiant tidak dapat mengidentifikasi vektor infeksi awal pada 34% dari total insiden intrusi tahun 2024 (M Trends 2025)—proporsi tersebut mengindikasikan adanya potensi kelemahan dalam kemampuan pencatatan dan deteksi di lingkungan perusahaan. Eksfiltrasi berbasis peramban kemungkinan besar menjadi salah satu faktor penyebab kesenjangan tersebut: ketika data keluar melalui mesin rendering alih-alih melalui sistem berkas, jejak forensik yang tertinggal sangat minim.

Apa yang Harus Dilakukan Tim Keamanan Saat Ini

Ketidakcocokan struktural antara ancaman yang disebarkan melalui peramban dan pengendalian di lapisan jaringan tidak akan teratasi dengan sendirinya. Berikut ini adalah rencana tindakan yang telah diprioritaskan:

1. Terapkan remote browser isolation lalu lintas berisiko tinggi

RBI menjalankan konten web dalam wadah cloud sekali pakai dan hanya mengalirkan hasil visual yang aman ke titik akhir. Muatan malvertising, eksploitasi drive-by, dan eksfiltrasi berbasis JavaScript semuanya terhenti di dalam wadah tersebut. Mulailah dengan URL yang belum dikategorikan dan kategori berisiko, lalu perluas cakupannya ke seluruh lalu lintas web untuk pengguna dengan hak istimewa dan peran sensitif. Platform SSE Skyhigh Security yang terintegrasi dengan RBI menghindari kerumitan penerapan produk isolasi mandiri.

2. Menerapkan pemeriksaan TLS tanpa pengecualian

Jika sebagian besar ancaman bersembunyi dalam lalu lintas terenkripsi, membebaskan sebagian besar lalu lintas HTTPS dari pemeriksaan akan menciptakan titik buta yang pasti. Arsitektur SWG berbasis cloud modern dapat memeriksa TLS 1.3 dalam skala besar tanpa masalah latensi dan pengelolaan sertifikat yang sering ditemui pada perangkat legacy. Sebagaimana ditekankan dalam NIST SP 800-207, model zero trust mengasumsikan bahwa tidak ada kepercayaan implisit yang diberikan kepada aset atau akun pengguna hanya berdasarkan lokasi fisik atau jaringan mereka. Prinsip tersebut juga berlaku untuk sesi terenkripsi: percayalah pada identitas dan data, bukan pada lapisan protokolnya.

3. Nonaktifkan ekstensi peramban

Implement an allowlist of approved extensions. Audit permissions aggressively—any extension requesting <all urls host permissions or access to cookies and web requests should require security review. Pin extension versions to prevent silent malicious updates. For organizations that cannot fully restrict extensions, RBI provides a safety net by isolating extension activity from the corporate session.

4. Pindahkan DLP ke dalam konteks peramban

Sistem DLP tingkat file dan tingkat jaringan tidak dapat mendeteksi eksfiltrasi berbasis JavaScript. Kebijakan DLP inline yang diterapkan melalui gerbang keamanan web dan cloud yang disediakan oleh Skyhigh dapat memeriksa konten dalam sesi browser, mendeteksi tindakan salin-tempel data sensitif ke tujuan yang tidak disetujui, menambahkan tanda air digital pada tangkapan layar konten browser yang sensitif, serta mengontrol unduhan ke perangkat yang tidak dikelola.

5. Menggunakan sistem otentikasi yang tahan terhadap serangan phishing

Kunci keamanan perangkat keras yang sesuai dengan standar FIDO2 mengikat proses otentikasi ke domain yang sah, sehingga serangan phishing tipe "man-in-the-middle" secara struktural tidak mungkin terjadi, bahkan jika pengguna mengklik tautan berbahaya. Pengikatan token sesi dan penilaian status keamanan secara berkelanjutan semakin meminimalkan rentang waktu paparan risiko.

Urgensi: Kesenjangan dalam Deteksi Semakin Melebar, Bukan Menyempit

Waktu tinggal median global mencapai 11 hari pada tahun 2024 (Mandiant M Trends 2025), dan banyak serangan terdeteksi dalam minggu pertama. Hal itu terdengar menggembirakan—sampai Anda menyadari bahwa serangan berbasis browser dapat menyelesaikan seluruh rantai serangan (kill chain) dalam hitungan menit: pencurian kredensial, pembajakan sesi, pengambilan data, dan pembersihan jejak—semuanya dalam satu sesi browser yang mungkin tidak pernah tercatat dalam log endpoint atau jaringan.

57% organisasi pertama kali mengetahui adanya pelanggaran keamanan pada tahun 2024 dari sumber eksternal (Mandiant M Trends 2025). Jika SOC Anda sendiri bukanlah pihak yang mendeteksi pelanggaran tersebut, pertanyaannya adalah apakah alat yang Anda gunakan memiliki visibilitas sama sekali terhadap aktivitas di browser. Bagi sebagian besar organisasi, jawaban jujurnya adalah tidak. Laporan DBIR Verizon 2025 menekankan kenyataan ini dengan menemukan bahwa keterlibatan manusia berperan dalam 60% insiden pelanggaran—dan dalam dunia yang berpusat pada browser, browserlah tempat interaksi manusia tersebut terjadi.

Browser adalah tempat para karyawan melakukan otentikasi, tempat data sensitif dilihat dan diolah, serta tempat alur kerja SaaS dijalankan. Browser merupakan titik akhir yang paling krusial di lingkungan perusahaan, namun tetap menjadi yang paling minim pemantauan. Setiap bulan yang berlalu tanpa memperluas kontrol keamanan ke dalam browser merupakan bulan di mana risiko yang terakumulasi dan belum terukur terus bertambah.