Session Hijacking: Apa Itu? Bagaimana Cara Mencegahnya?

 

Dilansir dari Kompas.com youtuber sekaligus travel blogger Rijal Fahmi Mohamadi atau yang lebih dikenal dengan Fahmi Catperku mengatakan modus penipuan yang hampir ia alami ini bermula dari sebuah tawaran kerjasama yang diterima melalui email. Si pengirim memintanya untuk mereview sebuah aplikasi tertentu dengan cara ia harus mendownload aplikasi tersebut terlebih dahulu.

Terkait apa yang dialami Fahmi, Ahli IT yang juga dosen Ilmu Komputer Universitas Sebelas Maret (UNS) Surakarta Rosihan Ari Yuana menilai secara umum, bisa saja akun yang terhubung dengan internet dibajak oleh seseorang.

“Ada beberapa cara membajak akun, tapi biasanya menggunakan session hijacking,” ungkapnya saat dihubungi Kompas.com Senin (15/6/2020). Rosihan menjelaskan, session hijacking sendiri menyebabkan orang lain dapat mencuri cookie yang tersimpan di perangkat komputer. Sebagaimana diketahui, setiap seseorang login di aplikasi website, maka saat itu data login akan tersimpan di cookie komputer. “Para pembajak itu memanfaatkan data cookie akun-akun kita untuk dicuri, sehingga mereka bisa login dengan cookie tersebut,” terangnya. Hal semacam ini menurutnya bukan hanya bisa terjadi pada kasus pencurian akun Youtube, namun dapat juga terjadi pada akun-akun yang lain seperti akun media sosial Facebook, Instagram dan sebagainya.

Demikianlah ringkasan dari berita tentang session hijacking, untuk selengkapnya mengenai penjelasan lebih lanjut mengenai session hijacking akan dibahas dibawah ini.

Apa itu session hijacking?

Mula-mula kita perlu mengerti dulu apa itu Session. Aplikasi menggunakan session untuk menyimpan berbagai parameter yang relevan terhadap user. Session akan terus ada pada server selama user masih aktif / terkoneksi dan session akan otomatis dihapus jika user melakukan logout atau telah melampaui batas waktu koneksi yang telah diatur. Karena sifatnya ini, session dapat dimanfaatkan oleh seorang hacker untuk melakukan session hijacking. Sekarang kita berlanjut ke apa itu cookies dan session hijacking.

Cookies

Sebelum kita beralih ke apa itu session hijacking, kita perlu mengerti dulu apa itu “Cookie”. Cookies merupakan file data yang ditulis ke dalam hard disk komputer user / klien yang biasanya dilakukan oleh web server guna kepentingan mengidentifikasikan user pada situs tersebut sehingga sewaktu user kembali mengunjugi situs tersebut, situs itu dapat segera mengenalinya. Jadi dapat dikatakan bahwa cookies merupakan semacam ID card user saat koneksi pada situs-situs aktif melalui internet. Saat user mengunjungi situs yang ada cookiesnya, server akan mencari informasi yang dibuat sebelumnya dan browser kemudian membaca informasi di cookies dan menampilkannya. Cara penggunaan cookies yang tidak baik juga dapat mengakibatkan terjadinya SQL injection yang tidak perlu. Hal ini biasanya terjadi jika user menggunakan cookies untuk mengakses web page tertentu, dimana cookies tersebut dikirim sebagai parameter pada URL tanpa melalui proses enksipsi terlebih dahulu.

 

Session Hijacking

Session hijacking merupakan aksi pengambilan kendali session milik user lain setelah sebelumnya “pembajak” berhasil memperoleh autentifikasi ID session yang biasanya tersimpan dalam cookies. Session hijacking menggunakan metode captured, brute forced atau reverse engineer guna memperoleh ID session, yang untuk selanjutnya pembajak memegang kendali atas session yang dimiliki oleh user tersebut selama session berlangsung.

Mengapa serangan itu bisa terjadi?

Apabila korban mendownload aplikasi yang dikirim oleh pelaku, maka besar kemungkinan pelaku dapat melacak cookie dalam komputer korban. Mengapa? karena aplikasi yang dikirim pelaku adalah sebuah dalih untuk memasuki komputer korban. Setelah cookie berhasil didapatkan, pelaku dapat mengetahui data-data login yang tersimpan dalam browser korban. Kemudian, pelaku bisa mencuri akun Youtube korban dengan cara mengganti email dan password akun tersebut.

Bagaimana cara mengatasi / bertahan terhadap serangan ?

Untuk mengatasi serangan tersebut, sebenarnya banyak cara diantaranya menghapus cookie dalam browser dan tidak terkecoh dengan email-email sembarangan yang berasal dari orang yang tidak jelas. Menghapus cookie dapat menghilangkan jejak login, sehingga data-data yang diperlukan dalam login tidak dapat diambil ataupun diketahui penyerang. Namun pengguna harus menginput data-data untuk login kembali karena sudah tidak ada didalam browsernya, dikarenakan cookie nya telah dihapus.