Cloud Legal Dipakai Cyber Crime

Cloud computing adalah model penggunaan sumber daya komputasi seperti server, penyimpanan, database, dan aplikasi melalui jaringan. Pengguna tidak selalu perlu memiliki perangkat fisik sendiri karena sebagian besar infrastruktur dapat disediakan oleh penyedia cloud. Model ini membuat layanan digital lebih fleksibel dan mudah dikembangkan.

Namun, fleksibilitas tersebut juga menjadi perhatian keamanan. Microsoft, Google Cloud, CISA, dan Unit 42 sama-sama mencatat bahwa pelaku ancaman semakin menargetkan identitas, kredensial, storage, virtual machine, container, dan layanan cloud lainnya.

Mengapa Cloud Menarik bagi Pelaku Cybercrime?

Cloud memiliki kemampuan komputasi yang besar dan dapat digunakan dari berbagai lokasi. Bagi organisasi legal, hal tersebut merupakan keuntungan. Bagi pelaku cybercrime, sumber daya tersebut dapat menjadi menarik jika berhasil diperoleh atau disalahgunakan.

Salah satu masalah yang sering ditemukan adalah kredensial yang bocor. Kredensial dapat berupa username, password, API key, token, atau informasi autentikasi lain. Jika kredensial memiliki hak akses yang terlalu luas, kompromi terhadap satu akun dapat berdampak pada banyak sumber daya.

CISA menyebut bahwa ancaman terhadap infrastruktur cloud semakin banyak berkaitan dengan sistem identitas dan autentikasi. Kredensial yang dicuri dapat digunakan untuk memperoleh akses ke lingkungan organisasi tanpa harus menyerang seluruh infrastruktur secara langsung.

Bentuk Penyalahgunaan Cloud

Penyalahgunaan cloud memiliki banyak bentuk. Pelaku dapat memanfaatkan akun yang berhasil dikompromikan, menjalankan malware, menyimpan data hasil pencurian, melakukan aktivitas komputasi tanpa izin, atau menggunakan layanan cloud sebagai bagian dari infrastruktur komunikasi.

Google Cloud menyebut beberapa bentuk abuse yang dipantau, termasuk kredensial service account yang bocor, API key yang berpotensi dikompromikan, aktivitas cryptomining, malware, dan phishing.

Cryptomining adalah penggunaan sumber daya komputasi untuk proses penambangan cryptocurrency. Jika dilakukan tanpa izin menggunakan server milik pihak lain, biaya komputasi ditanggung korban sementara manfaatnya diterima pelaku.

Phishing merupakan penipuan yang berusaha membuat korban memberikan informasi sensitif. Dalam konteks cloud, targetnya dapat berupa kredensial akun yang kemudian digunakan untuk mengakses layanan organisasi.

Bagaimana Alurnya?

Alur tersebut tidak selalu sama pada setiap kasus. Ada serangan yang dimulai dari akun pengguna, ada yang berkaitan dengan aplikasi, dan ada pula yang berawal dari sistem pihak ketiga. Karena itu, keamanan cloud tidak cukup hanya dengan melindungi server.

Cloud dalam Ekonomi Underground

Dunia cybercrime modern memiliki pembagian pekerjaan yang semakin jelas. Microsoft menggambarkan ekonomi cybercrime sebagai ekosistem yang melibatkan access broker, operator ransomware, kelompok pencurian data, dan berbagai penyedia layanan.

Access broker adalah pihak yang memperoleh atau menyediakan akses awal ke sistem yang telah dikompromikan. Dalam konteks cloud, akses semacam ini dapat memiliki nilai karena satu akun mungkin terhubung dengan banyak sumber daya organisasi.

Model tersebut dikenal sebagai Cybercrime-as-a-Service atau CaaS. Konsepnya mirip layanan digital legal dalam hal pembagian pekerjaan: satu pihak menyediakan kemampuan tertentu, sementara pihak lain menggunakannya untuk menjalankan operasi kriminal.

Dalam ekosistem seperti ini, cloud dapat menjadi bagian dari infrastruktur tanpa harus menjadi target utama. Layanan cloud dapat disalahgunakan untuk hosting, penyimpanan, komunikasi, distribusi malware, atau aktivitas lain yang mendukung operasi kriminal.

Pihak yang Terlibat

Contoh Nyata: Cloud Dipakai dalam Serangan

Microsoft pada 2025 melaporkan aktivitas kelompok yang disebut Storm-0501. Kelompok tersebut sebelumnya dikenal menargetkan lingkungan hybrid cloud, kemudian semakin mengarahkan operasi ransomware ke lingkungan cloud.

Kasus tersebut memperlihatkan perubahan penting: serangan tidak lagi selalu berhenti pada komputer atau server lokal. Jika identitas cloud dan sumber daya yang terhubung berhasil dikompromikan, dampaknya dapat meluas ke berbagai layanan yang berada dalam lingkungan organisasi.

Microsoft juga melaporkan aktivitas Void Blizzard yang menyalahgunakan akun cloud dan API cloud setelah memperoleh akses. Dalam beberapa kasus, kelompok tersebut menggunakan layanan cloud yang sah untuk mengakses email, file, dan informasi organisasi.

Malware dan Infrastruktur Cloud

Malware adalah perangkat lunak berbahaya yang dapat digunakan untuk mencuri data, mengganggu sistem, atau menjalankan aktivitas tanpa izin. Ketika infrastruktur cloud terlibat, malware dapat berkomunikasi dengan server atau memanfaatkan sumber daya cloud sebagai bagian dari operasinya.

Botnet adalah jaringan perangkat yang terinfeksi dan dapat dikendalikan secara terkoordinasi. Dalam beberapa operasi, infrastruktur cloud dapat menjadi salah satu komponen yang membantu mengelola atau mendukung jaringan tersebut.

DDoS atau Distributed Denial of Service merupakan serangan yang berusaha membuat layanan sulit diakses dengan trafik dalam jumlah besar. Infrastruktur cloud memiliki mekanisme pertahanan terhadap serangan semacam ini, tetapi tetap menjadi bagian penting dalam menjaga ketersediaan layanan internet.

Penyalahgunaan Layanan yang Terlihat Normal

Salah satu tantangan terbesar adalah aktivitas berbahaya dapat terlihat seperti aktivitas biasa. Cloud digunakan oleh jutaan organisasi untuk menjalankan aplikasi, menyimpan file, dan berkomunikasi. Karena itu, penggunaan layanan cloud sendiri bukan tanda bahwa sebuah aktivitas merupakan serangan.

Google Threat Intelligence pernah menemukan malware yang memanfaatkan layanan Google Calendar sebagai bagian dari komunikasi command-and-control. Command-and-control (C2) adalah mekanisme komunikasi yang digunakan malware untuk menerima instruksi atau mengirim informasi kepada pengendalinya.

Pola tersebut menunjukkan mengapa penyalahgunaan layanan legal menjadi tantangan bagi tim keamanan. Memblokir seluruh layanan cloud bukan solusi karena layanan tersebut dibutuhkan untuk aktivitas normal.

Ancaman terhadap Data dan Identitas

Cloud sering menyimpan data yang sangat berharga, mulai dari dokumen perusahaan, database pelanggan, backup, email, hingga informasi pengembangan produk. Jika akses terhadap cloud berhasil dikompromikan, penyerang dapat mencoba mencari data yang memiliki nilai tinggi.

Unit 42 melaporkan peningkatan tajam alert keamanan cloud dan menyebut IAM, storage, virtual machine, serta container sebagai sumber daya penting yang sering menjadi perhatian. IAM atau Identity and Access Management adalah sistem untuk mengatur siapa yang boleh mengakses sumber daya tertentu.

Risiko bagi Perusahaan

Penyalahgunaan cloud dapat menyebabkan beberapa dampak sekaligus. Data dapat dicuri, layanan dapat terganggu, biaya cloud dapat meningkat akibat penggunaan tanpa izin, dan organisasi dapat menghadapi masalah hukum atau reputasi.

Dalam kasus tertentu, pelaku bahkan dapat menggunakan sumber daya cloud korban untuk aktivitas lain. Hal ini membuat korban tidak hanya kehilangan data atau akses, tetapi juga berpotensi menghadapi biaya operasional yang tidak biasa.

Cara Mengurangi Risiko

• Gunakan autentikasi multifaktor untuk akun penting.
• Batasi hak akses sesuai kebutuhan pengguna dan aplikasi.
• Pantau aktivitas login, API, storage, dan sumber daya cloud.
• Jaga API key, token, dan kredensial agar tidak tersebar.
• Pisahkan lingkungan produksi, pengembangan, dan pengujian.
• Gunakan logging agar aktivitas mencurigakan dapat ditelusuri.
• Siapkan backup dan rencana pemulihan untuk data penting.

CISA merekomendasikan penggunaan MFA yang tahan terhadap phishing untuk layanan penting serta penerapan IAM dan prinsip zero trust. Tujuannya adalah membatasi dampak ketika sebuah kredensial berhasil dikompromikan.

Kesimpulan