Pendahuluan
Sebuah organisasi bisa saja lolos dari ratusan percobaan phishing dalam sebulan, menambal setiap kerentanan yang muncul di scanner, dan tetap tidak menyadari bahwa attacker sudah berada di dalam jaringannya selama berhari-hari. Masalahnya bukan pada satu pintu yang lupa dikunci, melainkan pada cara attacker modern berpindah dari fase mengintai ke fase menguasai akses pertama tanpa memicu satu pun alarm.
MITRE ATT&CK memisahkan dua tahap ini menjadi dua taktik yang berbeda. Reconnaissance (TA0043) mencakup segala aktivitas mengumpulkan informasi tentang target, baik secara pasif maupun aktif, untuk mendukung penargetan.[1] Initial Access (TA0001) adalah taktik berikutnya: kumpulan teknik yang dipakai untuk mendapatkan pijakan pertama di dalam jaringan.[2] Jarak antara keduanya, dari mengetahui sesuatu tentang target menjadi benar-benar masuk, adalah tempat sebagian besar keputusan kritis attacker terjadi.
Artikel ini membahas bagaimana perpindahan itu terjadi dalam praktik, vektor mana yang paling sering dipakai menurut data insiden terbaru, dan mengapa "tanpa terdeteksi" telah bergeser dari keunggulan menjadi standar operasi attacker. Sudut pandang yang diambil adalah sudut pandang penetration tester: memahami rute ini bukan untuk menirunya di luar batas, melainkan untuk menutupnya.
Dua Fase, Satu Tujuan
Reconnaissance dan Initial Access sering diperlakukan sebagai satu gerakan mulus, padahal keduanya menuntut pola pikir yang berbeda. Fase recon menghasilkan peta: subdomain yang terekspos, aplikasi yang menghadap internet, nama karyawan, tumpukan teknologi yang dipakai, kredensial yang pernah bocor. Fase initial access mengubah salah satu titik pada peta itu menjadi jalan masuk.
Model tujuh tahap Cyber Kill Chain dari Lockheed Martin menempatkan reconnaissance sebagai langkah pertama dari rangkaian intrusi, dan menyusun tahap-tahap berikutnya sebagai upaya memperkaya pemahaman analis terhadap taktik lawan.[24] Kerangka ini berguna sebagai gambaran linear, tetapi realitas engagement jarang serapi itu. Attacker yang cakap akan kembali ke recon berkali-kali, memperdalam informasi setiap kali menemukan pijakan baru. Sebagian jalan masuk bahkan tidak menuntut interaksi aktif dari korban selain membuka halaman web dalam aktivitas peramban biasa, sebagaimana didokumentasikan pada Drive-by Compromise (T1189).[8]
Yang membuat perpindahan ke initial access berbahaya adalah keheningannya. Pengumpulan informasi dari sumber publik tidak meninggalkan jejak di sistem target, dan sebagian besar teknik akses awal yang efektif justru dirancang agar menyerupai aktivitas sah. Di sinilah pertahanan berbasis daftar tanda tangan mulai kehilangan pijakan.
Mengapa "Tanpa Terdeteksi" Menjadi Standar Baru
Selama bertahun-tahun, deteksi bertumpu pada asumsi bahwa serangan meninggalkan artefak: file berbahaya di disk, proses asing, koneksi ke domain yang buruk. Asumsi itu semakin rapuh. Laporan CrowdStrike 2026 mencatat bahwa 82 persen deteksi bersifat malware-free, dengan attacker memanfaatkan kredensial sah, alur identitas tepercaya, dan integrasi SaaS yang disetujui.[16] Ketika tidak ada malware yang ditanam, tidak ada tanda tangan yang bisa dicocokkan.
Pergeseran ini mengubah arti kata "masuk". Attacker yang login memakai kredensial valid tidak mendobrak apa pun; ia berjalan melalui pintu depan dengan kunci yang benar. MITRE ATT&CK mendokumentasikan Valid Accounts (T1078) justru karena kredensial sah yang dicuri bisa dipakai lintas taktik, mulai dari akses awal, persistence, hingga penghindaran deteksi, sehingga aktivitas attacker menyerupai perilaku pengguna normal.[5] Bagi tim SOC, membedakan login jahat dari login rutin menjadi persoalan analitik, bukan lagi pencocokan pola.
Vektor Masuk yang Paling Sering Dipakai
Perlu ditegaskan bahwa recon dan initial access bekerja berpasangan. Informasi yang dikumpulkan pada fase pengintaian, seperti aplikasi publik yang usang, alamat email karyawan, atau gateway VPN yang terekspos, adalah bahan yang menentukan vektor mana yang paling murah dan paling senyap untuk dipakai. Attacker jarang memilih teknik lebih dulu lalu mencari target; ia memetakan target lebih dulu, lalu memilih teknik yang paling cocok dengan apa yang ditemukannya.
Data insiden beberapa tahun terakhir menunjukkan pergeseran nyata pada cara attacker memperoleh akses awal. Salah satu temuan paling menonjol datang dari Data Breach Investigations Report (DBIR) 2026 Verizon, yang menganalisis data insiden sepanjang 2025: hampir sepertiga (31 persen) breach kini dimulai dari eksploitasi kerentanan, dan untuk pertama kalinya dalam 19 tahun laporan ini, eksploitasi kerentanan melampaui kredensial curian sebagai titik masuk terbesar.[10][11]
Temuan itu tidak berdiri sendiri. M-Trends 2026 dari Mandiant mencatat exploit sebagai vektor infeksi awal paling umum (32 persen) untuk tahun keenam berturut-turut.[12] IBM X-Force menempatkan angkanya lebih tinggi lagi: eksploitasi kerentanan menjadi penyebab utama serangan, mencakup 40 persen insiden yang diamati sepanjang 2025, dengan kenaikan 44 persen pada serangan yang berawal dari eksploitasi aplikasi yang menghadap publik, sebagian besar karena kontrol autentikasi yang hilang.[14] Tiga sumber independen yang mengarah ke kesimpulan serupa layak diperhatikan, meski metodologi dan populasi datanya berbeda.
Eksploitasi Aplikasi yang Menghadap Internet
Exploit Public-Facing Application (T1190) menargetkan kelemahan pada host yang terekspos ke internet untuk masuk ke jaringan.[4] Yang membuatnya dominan bukan sekadar jumlah kerentanan, melainkan kombinasi dua hal: aplikasi publik yang mudah ditemukan lewat recon, dan jendela tambal yang terus menyempit. IBM X-Force mencatat bahwa banyak kerentanan yang dieksploitasi bahkan tidak memerlukan autentikasi, dan pengujian X-Force Red menemukan kontrol akses yang salah konfigurasi sebagai titik masuk paling umum.[15]
Bagi penetration tester, implikasinya jelas. Attack surface yang menghadap internet adalah prioritas pertama, dan aset yang paling berbahaya sering kali adalah yang tidak diketahui pemiliknya: subdomain lama, panel admin yang lupa dimatikan, API yang tidak terdaftar dalam inventaris. Aset yang tidak masuk daftar inventaris juga tidak masuk siklus tambal, sehingga justru menjadi kandidat termudah untuk dieksploitasi. Menemukan aset semacam ini sebelum attacker melakukannya adalah salah satu nilai paling nyata dari sebuah engagement.
Kredensial Sah dan Password Spraying
Kredensial tetap menjadi mata uang utama akses awal, meski peringkatnya turun satu tingkat menurut DBIR. Salah satu teknik yang paling sulit dideteksi adalah password spraying, sub-teknik Brute Force (T1110.003), yang mencoba satu kata sandi umum ke banyak akun sekaligus untuk menghindari ambang penguncian akun.[9] Karena setiap akun hanya menerima satu atau dua percobaan, pola ini tenggelam dalam derau login harian.
Password spraying jarang berdiri sendiri. Penasihat gabungan CISA, FBI, dan mitra pada Oktober 2024 mendokumentasikan bahwa sejak Oktober 2023, aktor Iran memakai brute force seperti password spraying dan MFA push bombing untuk mengompromikan akun pengguna dan memperoleh akses ke organisasi.[21] Kombinasi tebakan kata sandi dan pelemahan MFA inilah yang mengubah kredensial lemah menjadi akses penuh.
Layanan Remote Eksternal dan Edge Device
External Remote Services (T1133) memanfaatkan layanan remote seperti VPN dan Citrix, yang bisa menjadi jalan masuk sekaligus mekanisme persistence.[6] Perangkat tepi seperti gateway VPN, router, dan firewall menempati posisi khusus dalam kalkulasi attacker karena satu alasan praktis: sebagian besar tidak menjalankan agen EDR, sehingga aktivitas di dalamnya nyaris tidak terpantau.
CrowdStrike mencatat bahwa 40 persen kerentanan yang dieksploitasi aktor yang berafiliasi dengan Tiongkok menyasar edge device yang umumnya tidak memiliki pemantauan menyeluruh.[16] Mandiant menggambarkan pola yang sama, dengan klaster ancaman yang menyasar VPN dan router tanpa telemetri EDR, dan pada satu kasus backdoor bertahan hampir 400 hari sebelum ditemukan.[13] Penasihat CISA AA24-060B mengenai gateway Ivanti Connect Secure memperlihatkan konsekuensi terburuknya: rantai eksploitasi pada SSL VPN yang menghadap internet, dan attacker bahkan dapat mengelabui Integrity Checker Tool bawaan Ivanti sehingga kompromi tidak terdeteksi.[20]
Phishing dan Kelelahan MFA
Phishing (T1566) tetap menjadi vektor klasik, mencakup spearphishing lewat lampiran, tautan, layanan, hingga suara.[3] Yang berubah adalah salurannya. Mandiant mencatat lonjakan voice phishing menjadi 11 persen sehingga menjadi vektor kedua terbanyak yang teramati, sementara email phishing justru menurun dari 14 persen pada 2024 menjadi 6 persen pada 2025.[12] Verizon menambahkan bahwa social engineering di perangkat mobile memiliki tingkat keberhasilan 40 persen lebih tinggi dibanding email phishing tradisional.[11]
Ketika multi-factor authentication sudah terpasang, attacker beralih ke kelelahan penggunanya. CISA mendefinisikan push bombing, atau push fatigue, sebagai membanjiri pengguna dengan notifikasi push hingga ia menekan tombol "Accept" dan tanpa sadar memberi attacker akses ke jaringan.[22] Teknik ini menyerang titik terlemah MFA berbasis push: kesabaran manusia, bukan kriptografinya.
Hubungan Tepercaya dan Rantai Pasok
Trusted Relationship (T1199) menyalahgunakan koneksi dari pihak ketiga tepercaya, seperti penyedia layanan terkelola atau kontraktor, yang biasanya mendapat pengawasan lebih longgar.[7] Vektor ini tumbuh cepat. DBIR 2026 mencatat breach yang melibatkan pihak ketiga naik hampir dua kali lipat, dari sekitar seperempat menjadi 48 persen dari seluruh breach.[11] Ketika satu vendor dikompromikan, kepercayaan yang sudah dibangun antara vendor dan kliennya berubah menjadi jalur serangan.
Wajah Baru: Otomasi dan Rekayasa Umpan
Vektor-vektor di atas bukan hal baru, tetapi cara menjalankannya berubah cepat. CrowdStrike mencatat kenaikan 89 persen serangan oleh adversary yang memanfaatkan AI, sebuah pergeseran yang mempercepat pembuatan umpan phishing, penulisan skrip, dan penyesuaian teknik.[17] Pada saluran yang lebih spesifik, laporan yang sama mencatat lonjakan 563 persen insiden yang memakai umpan CAPTCHA palsu dan kenaikan 141 persen pada spam email, dua teknik yang keduanya menyasar titik keputusan pengguna, bukan celah teknis.[16]
Sisi rantai pasok dan pemerasan juga memanas. IBM X-Force mencatat jumlah kelompok ransomware aktif naik 49 persen dari tahun ke tahun, dan kompromi rantai pasok besar meningkat hampir empat kali lipat sejak 2020.[14] Bagi penetration tester, tren ini memperluas cakupan yang harus dipertimbangkan: akses awal tidak lagi cukup dinilai dari perimeter organisasi sendiri, tetapi juga dari mitra dan pemasok yang koneksinya dipercaya.
Kecepatan yang Mengubah Perhitungan
Jika ada satu angka yang meringkas mengapa pertahanan reaktif kesulitan, angka itu adalah kecepatan. Mandiant melaporkan bahwa pada 2022, jeda median antara peristiwa akses awal dan penyerahan ke kelompok ancaman sekunder masih lebih dari 8 jam; pada 2025, jendela itu menyusut menjadi hanya 22 detik.[13] Dalam rentang waktu sesingkat itu, respons manual manusia praktis mustahil.
Gambaran yang sama muncul pada sisi eksploitasi. CrowdStrike mencatat rata-rata breakout time eCrime turun menjadi 29 menit, dengan waktu tercepat yang teramati 27 detik.[16] Mandiant memperkirakan mean time to exploit kerentanan turun hingga sekitar minus tujuh hari, yang berarti eksploitasi rutin terjadi bahkan sebelum tambalan dirilis.[13] CrowdStrike menambahkan gambaran serupa dengan mencatat kenaikan 42 persen kerentanan zero-day yang dieksploitasi sebelum diungkap ke publik.[17] Ketika eksploitasi mendahului patch, strategi "tambal secepat mungkin" tidak lagi cukup sebagai garis pertahanan tunggal.
Bagaimana Attacker Tetap Tak Terlihat
Keheningan bukan kebetulan, melainkan pilihan desain. Setelah memperoleh akses awal, attacker yang cakap menghindari alat yang menarik perhatian dan sebisa mungkin memakai yang sudah ada di sistem. Proyek LOLBAS mengatalogkan binary Windows bertanda tangan yang dapat disalahgunakan untuk eksekusi, unduhan, dan bypass, lengkap dengan pemetaan ke teknik ATT&CK.[23] Karena binary ini sah dan ditandatangani Microsoft, aktivitasnya sulit dibedakan dari operasi sistem biasa.
Prinsip yang sama berlaku untuk kredensial. Alih-alih menanam pintu belakang, attacker memakai akun sah dan berpindah lewat jalur yang memang disediakan untuk pengguna. Ditambah pilihan bersarang di edge device tanpa EDR, hasilnya adalah kehadiran yang secara teknis ada tetapi secara telemetri nyaris tidak terlihat. Inilah alasan mengapa mayoritas deteksi CrowdStrike yang bersifat malware-free bukan anomali statistik, melainkan cerminan strategi yang berhasil.[16]
Menutup Jendela: Sisi Bertahan
Memahami rute attacker hanya berguna bila diterjemahkan menjadi pertahanan. Beberapa langkah menonjol karena menyerang asumsi yang diandalkan attacker.
Prioritaskan kerentanan yang benar-benar dieksploitasi. CISA memelihara Known Exploited Vulnerabilities Catalog, yang hanya memuat CVE dengan bukti andal eksploitasi aktif di alam liar, bukan sekadar keberadaan proof of concept atau aktivitas pemindaian.[19] Katalog ini memberi tim tambalan sebuah daftar prioritas yang berbasis realitas serangan, bukan skor teoretis. Per 8 September 2026, katalog memuat lebih dari 1.690 kerentanan, dan jumlahnya bergerak hampir setiap pekan.[18]
Ganti MFA yang rentan phishing dengan yang tahan phishing. CISA menyatakan autentikasi berbasis FIDO/WebAuthn sebagai satu-satunya autentikasi tahan phishing yang tersedia luas saat ini.[22] Faktor yang terikat pada perangkat dan asal domain mematikan sekaligus push bombing dan pencurian token, dua teknik yang mengandalkan interaksi manusia.
Bawa telemetri ke tempat yang selama ini gelap. Karena edge device sering menjadi titik buta, memperluas pemantauan ke VPN, router, dan firewall menutup ruang yang justru paling disukai attacker. Memetakan cakupan deteksi terhadap daftar teknik Initial Access di MITRE ATT&CK membantu memastikan setiap jalan masuk memiliki penanggulangan yang dipertimbangkan, bukan sekadar diasumsikan ada.[2]
Batasan Etis dan Legal
Menelusuri rute recon ke initial access dalam engagement resmi tetap harus berada dalam ruang lingkup yang disepakati. Pengumpulan informasi dari sumber publik memang legal, tetapi pemanfaatannya, terutama yang menyangkut data pribadi karyawan, tunduk pada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang mengatur batasan tujuan pemrosesan serta kewajiban keamanan atas data yang dikumpulkan.[25]
Prinsip operasionalnya sederhana: setiap teknik yang dibahas di sini hanya sah dijalankan atas otorisasi tertulis dan dalam batas yang jelas. Nilai seorang penetration tester bukan pada kemampuannya masuk, melainkan pada kejelasan laporan yang membantu klien menutup jalan masuk itu sebelum pihak yang tidak berwenang menemukannya.
Kesimpulan
Perpindahan dari reconnaissance ke initial access adalah momen ketika informasi berubah menjadi akses, dan data insiden terbaru menunjukkan momen itu semakin cepat, semakin senyap, dan semakin sering bertumpu pada hal-hal yang tampak sah. Eksploitasi kerentanan yang kini melampaui kredensial curian, breakout time yang menyusut ke hitungan detik, dan mayoritas deteksi yang bersifat malware-free bukanlah tren yang terpisah; ketiganya bagian dari satu pergeseran menuju serangan yang dirancang agar tidak terdeteksi sejak langkah pertama.
Bagi organisasi, konsekuensinya adalah pergeseran pola pikir. Bertahan bukan lagi soal menunggu alarm, melainkan memburu asumsi yang bisa disalahgunakan attacker: aset yang tidak diketahui, MFA yang bisa dilelahkan, edge device yang tidak terpantau. Penetration test yang baik memetakan asumsi-asumsi itu sebelum attacker melakukannya lebih dulu.
Jika Anda ingin mengetahui rute mana yang bisa membawa attacker dari recon ke akses awal di lingkungan Anda, tim Security Squad LOGIQUE siap membantu.
Daftar Referensi
[1] MITRE. "Reconnaissance, Tactic TA0043 - Enterprise." https://attack.mitre.org/tactics/TA0043/
[2] MITRE. "Initial Access, Tactic TA0001 - Enterprise." https://attack.mitre.org/tactics/TA0001/
[3] MITRE. "Phishing, Technique T1566 - Enterprise." https://attack.mitre.org/techniques/T1566/
[4] MITRE. "Exploit Public-Facing Application, Technique T1190 - Enterprise." https://attack.mitre.org/techniques/T1190/
[5] MITRE. "Valid Accounts, Technique T1078 - Enterprise." https://attack.mitre.org/techniques/T1078/
[6] MITRE. "External Remote Services, Technique T1133 - Enterprise." https://attack.mitre.org/techniques/T1133/
[7] MITRE. "Trusted Relationship, Technique T1199 - Enterprise." https://attack.mitre.org/techniques/T1199/
[8] MITRE. "Drive-by Compromise, Technique T1189 - Enterprise." https://attack.mitre.org/techniques/T1189/
[9] MITRE. "Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise." https://attack.mitre.org/techniques/T1110/003/
[10] Verizon Business. "2026 Data Breach Investigations Report (DBIR)." https://www.verizon.com/business/resources/reports/dbir/
[11] Verizon. "Vulnerability exploitation top breach entry point, 2026 industry-wide DBIR finds." https://www.verizon.com/about/news/breach-industry-wide-dbir-finds
[12] Mandiant / Google Cloud. "M-Trends 2026 Executive Edition." https://services.google.com/fh/files/misc/m-trends-2026-executive-edition-en.pdf
[13] Kutscher, Jurgen. "M-Trends 2026: Data, Insights, and Strategies From the Frontlines." Google Cloud Threat Intelligence Blog. https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026
[14] IBM. "IBM 2026 X-Force Threat Index." IBM Newsroom, 25 Februari 2026. https://newsroom.ibm.com/2026-02-25-ibm-2026-x-force-threat-index-ai-driven-attacks-are-escalating-as-basic-security-gaps-leave-enterprises-exposed
[15] Kessem, Limor. "2026 X-Force Threat Intelligence Index." IBM Think / X-Force. https://www.ibm.com/think/x-force/threat-intelligence-index-2026-securing-identities-ai-detection-risk-management
[16] Meyers, Adam. "CrowdStrike 2026 Global Threat Report: The Evasive Adversary Wields AI." CrowdStrike Blog. https://www.crowdstrike.com/en-us/blog/crowdstrike-2026-global-threat-report-findings/
[17] CrowdStrike. "CrowdStrike 2026 Global Threat Report." https://www.crowdstrike.com/en-us/global-threat-report/
[18] CISA. "Known Exploited Vulnerabilities Catalog." https://www.cisa.gov/known-exploited-vulnerabilities-catalog
[19] CISA. "Reducing the Significant Risk of Known Exploited Vulnerabilities." https://www.cisa.gov/known-exploited-vulnerabilities
[20] CISA, FBI, dan MS-ISAC. "Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways (AA24-060B)." https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-060b
[21] CISA, FBI, dan NSA. "Iranian Cyber Actors' Brute Force and Credential Access Activity (AA24-290A)." https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-290a
[22] CISA. "Implementing Phishing-Resistant MFA." https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf
[23] Lockheed Martin. "Cyber Kill Chain." https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html
[24] LOLBAS Project. "Living Off The Land Binaries, Scripts and Libraries." https://lolbas-project.github.io/
[25] Republik Indonesia. "Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi." https://peraturan.bpk.go.id/Details/229798/uu-no-27-tahun-2022
