Cyberthreat.id – Situs web Kementerian Desa, Pembangunan Daerah Tertinggal, dan Transmigrasi (www.kemendesa.go.id) rentan mendapatkan serangan canggih yang bisa berimbas pada pengambilan basis data dari server web.

Temuan tersebut disampaikan oleh peretas (hacker) “Anonim” kepada Cyberthreat.id, Kamis (30 Desember 2021).

Peretas memberikan simulasi serangan jahat yang memungkinkan jika kerentanan tersebut dieksploitasi oleh peretas jahat.

“Dampaknya bisa mencuri kredensial non-HttpOnly cookie,” katanya. Secara mudahnya, peretas bisa saja mencuri nama pengguna (username) dan kata sandi (password) melalui cookies dari peramban web pengguna yang mengakses situs web Kemendesa.

Memang skenario serangan untuk mendapatkan kredensial tersebut, kata dia, masih ada tahapan lagi yaitu berupa social engineering yang bisa dilakukan dengan berbagai macam teknik, salah satunya email phishing.

Lantaran situs web lemah, untuk mendapatkan data login yang dinginak, peretas bisa mengarahkan sebuah tautan berbahaya yang ditaruh di situs web Kemendesa untuk diklik oleh pengguna atau karyawan Kemendesa. Dari sinilah, peretas dapat memiliki akses masuk sebagai pengguna (user) tersebut tanpa harus login ke situs web tersebut.

untuk memasukkan data login yang diinginkan peretas. Di sinilah kredensial login admin atau karyawan bisa dicuri olehperetas.

“Jadi, seolah-olah serangan tersebut berasal dari situs web Kemendesa,” katanya.

Meski butuh tahapan lain untuk mendapatkan kredensial cookies, kata Anonim, situs web Kemendesa juga punya kelemahan lain yang justru tanpa harus melakukan tahapan phishing, penyerang bisa menggaruk basis data yang ada.

“Ini sudah seperti jatuh, masih tertimpa tangga. Dobel kerentanan,” ujarnya.

“Penyerang juga bisa menanam skrip berbahaya, seperti backdoor, seperti yang diinginkannya. Jika peretas bisa mengendalikan situs web dan basis data, insiden kebocoran data bisa terjadi,” katanya.

Peretas juga mengingatkan agar pemilik segera melakukan penambalan pada kerentanan. “Disarankan untuk tidak menggunakan fungsi penyimpanan cookies di situs web, sebab peretas bisa mencuri kredensial online yang tersimpan di dalamnya,” ujarnya.

Sekitar Agustus lalu, seorang bug hunter bernama Afif Hidayatullah juga mengontak Cyberthreat.id untuk meminta bantuan melaporkan temuan kerentanan (bug) ke Kemendesa. Cyberthreat.id telah membantu melaporkan hal itu ke bagian Humas Kemendesa.

Ketika dihubungi kembali tentang kerentanan itu, Afif mengatakan, tidak ada respons sama sekali dari Kemendesa atas laporan temuan kerentanan. Ia sama sekali tidak dikontak oleh kementerian.

Apakah kerentanan itu serupa dengan temuan hacker “Anonim”, Afif menjawab, "Benar serupa dan hal ini menurut saya harus cepat ditindak lanjuti karena berakibat fatal menurut saya karena ada celah yang kritis,” ujarnya.[]