Perlindungan akun digital kini tidak lagi cukup hanya mengandalkan kata sandi dan Otentikasi Dua Faktor atau 2FA. Pencurian cookie sesi membuat akun tetap bisa diambil alih meski verifikasi tambahan sudah dipakai, sehingga layanan seperti m-banking ikut berada dalam risiko.
Tekanan ancaman ini makin terasa setelah State of Cybercrime 2026 dari KELA mencatat 2,86 miliar kredensial sudah bocor dan diperdagangkan di pasar gelap. Data yang terekspos itu tidak hanya berisi password, tetapi juga cookie, sementara lebih dari 30% di antaranya berasal dari layanan cloud bisnis dan sistem otentikasi.
Kredensial bocor jadi pintu masuk utama
Skala kebocoran tersebut menunjukkan bahwa peretas tidak lagi membidik akun biasa semata. Jalur masuk ke data sensitif kini ikut jadi sasaran, termasuk akses yang dipakai di banyak layanan digital.
Bagi pengguna m-banking, kondisi ini penting karena satu kredensial yang bocor dapat membuka pintu ke beberapa akun sekaligus. Saat data login sudah beredar di pasar gelap, risiko pengambilalihan akun menjadi jauh lebih besar.
Malware infostealer ikut memperparah keadaan
Ancaman tidak berhenti di kebocoran data. KELA juga mencatat infeksi malware infostealer di perangkat macOS melonjak dari di bawah 1.000 kasus pada 2024 menjadi lebih dari 70.000 kasus pada 2025.
Lonjakan itu setara dengan kenaikan hingga 7.000%. Malware jenis ini memang dirancang untuk mengekstraksi kredensial login, token autentikasi, dan data akun penting dari perangkat yang sudah terinfeksi.
Skalanya juga besar, dengan sekitar 3,9 juta perangkat di seluruh dunia telah terinfeksi infostealer. Dari perangkat itu, lebih dari 347 juta kredensial atau data pribadi pengguna berhasil dicuri.
Cara serangan juga semakin licin
Pola serangan kini tidak lagi bertumpu pada e-mail palsu. Peretas mulai memanfaatkan kecerdasan buatan, model phishing-as-a-service, serta celah pada iklan digital dan hasil pencarian palsu untuk menyebarkan perangkat lunak jahat.
Ada pula teknik yang membuat korban tanpa sadar menjalankan skrip berbahaya. Dengan manipulasi psikologis, pengguna seolah-olah meretas perangkatnya sendiri, padahal justru membuka jalan bagi pencurian data.
Perubahan taktik ini membuat ancaman terasa lebih dekat dengan aktivitas harian. Akses ke m-banking, e-commerce, dan layanan cloud bisa ikut terdampak ketika kredensial bocor atau perangkat sudah disusupi malware.
Ekosistem kejahatan digital makin mudah dijangkau
Meski FBI terus menggelar operasi penegakan hukum besar-besaran, laju ancaman ini belum menunjukkan tanda mereda. Salah satu sebabnya adalah model bisnis Malware-as-a-Service yang membuat pelaku tidak perlu kemampuan teknis tinggi untuk mulai beraksi.
Melalui MaaS, infrastruktur kejahatan siber bisa disewa di dark web. Kondisi ini membuat ekosistem kejahatan digital semakin mudah diakses dan berkembang lebih cepat.
Akibatnya, serangan tidak lagi sepenuhnya dikerjakan oleh kelompok yang sangat ahli. Alat dan layanan sudah tersedia untuk disewa, sehingga risiko bagi pengguna umum ikut naik.
Lapisan perlindungan perlu diperkuat
Para pakar keamanan siber menilai perlindungan berlapis sudah menjadi kebutuhan dasar. Pembaruan sistem operasi, menghindari tautan mencurigakan, dan memakai password manager termasuk langkah yang kini dianggap wajib.
Di sisi lain, 2FA juga tidak lagi dipandang kebal dari serangan. Teknik pembobolan 2FA melalui pencurian cookie sesi membuat akun tetap bisa diambil alih meski kode verifikasi sudah digunakan.
Karena itu, Passkey mulai disorot sebagai opsi yang lebih kuat daripada kata sandi konvensional. Teknologi ini tidak dapat dicuri lewat phishing atau disadap saat transmisi data, karena kunci privat disimpan secara lokal di perangkat pengguna.
Bagi pengguna m-banking dan layanan digital lain, perubahan cara login menjadi salah satu langkah paling relevan untuk menutup celah pencurian akun. Di tengah kebocoran kredensial yang masif dan serangan malware yang terus berkembang, lapisan keamanan yang lebih kuat kini semakin sulit ditunda.