24 Miliar Kredensial Terekspos di Elasticsearch Publik: Database Infostealer Terbesar yang Pernah Ditemukan Terbuka untuk Siapa Saja

Database Tanpa Autentikasi yang Menampung 8,3 Terabyte Data Curian

Pada 12 Juni 2026, peneliti Cybernews menemukan sesuatu yang seharusnya tidak pernah ada di internet terbuka: instance Elasticsearch yang sepenuhnya terbuka, tanpa autentikasi, tanpa kata sandi, berisi 24 miliar catatan kredensial curian. Siapa pun yang menemukan alamat IP server tersebut bisa melakukan pencarian terhadap seluruh database menggunakan browser web biasa — tanpa login, tanpa pembatasan akses, tanpa hambatan apa pun.

Database ini menampung lebih dari 8,3 terabyte data: alamat email, nama pengguna, kata sandi dalam format plaintext, dan URL login yang menunjukkan tepat di mana setiap pasangan kredensial tersebut bisa digunakan. Peneliti memverifikasi angka tersebut beberapa kali sebelum menerbitkan temuan mereka pada 17 Juni 2026. Server menghilang dari publik pada 15 Juni, tiga hari setelah ditemukan — tetapi tiga hari itu tidak mengubah fakta bahwa data di dalamnya sudah beredar di saluran kriminal selama berbulan-bulan sebelumnya.

Asal-Usul Data: 36 Sumber yang Disatukan

Database ini bukan berasal dari satu kebocoran data tunggal. Ia adalah kumpulan dari 36 sumber berbeda yang disatukan menjadi satu indeks yang bisa dicari. Lebih dari 30 dari 36 sumber tersebut ditelusuri ke saluran Telegram, platform yang telah menjadi pasar utama untuk data curian sejak booming cybercrime berbasis aplikasi pesan di awal 2020-an.

Rincian sumber data:

Kategori	Jumlah Record	Keterangan
Koleksi umum (unlabeled collections)	22,6 miliar	Agregasi tanpa asal-usul spesifik dari infostealer
Saluran Telegram (hacking & credential trading)	1,7 miliar	Termasuk cluster “Darkside” dengan 260 juta record
Database dump lokal	150 juta	Dump dari database lokal perangkat terinfeksi
Breach compilation combo	146 juta	Daftar kredensial daur ulang dari kebocoran lama
CVE-linked records	17.000	Record yang merujuk ke ID CVE beserta tautan GitHub
Breach-news logs	5.200	Log dari artikel berita keamanan siber
Social media posts	2.900	Postingan media sosial tentang serangan siber

Setiap record berisi field inti yang sama: nama pengguna atau alamat email, kata sandi plaintext, URL login tujuan, dan metadata yang menunjuk ke sumber asalnya. Kombinasi ini menjadikan database ini jauh lebih berbahaya dibandingkan sekadar daftar email dan password — setiap entri menyertakan instruksi eksplisit tentang di mana kredensial tersebut bisa digunakan untuk masuk.

Yang Membuat Database Ini Berbeda dari Kebocoran Sebelumnya

Perbandingan dengan “Mother of All Breaches” (MOAB) yang ditemukan pada Januari 2024 relevan di sini. MOAB berisi sekitar 26 miliar record, hampir seluruhnya merupakan kompilasi arsip — data tua dari kebocoran lama yang dikumpulkan ulang. Database yang ditemukan Cybernews ini memiliki komposisi yang berbeda secara fundamental.

Sebagian besar volume (22,6 miliar record) memang berasal dari koleksi arsip yang sulit ditelusuri asal-usulnya. Namun, 1,7 miliar record yang terhubung ke saluran Telegram aktif mewakili sesuatu yang lebih mengkhawatirkan: umpan data kriminal yang masih berjalan. Record yang berasal dari saluran Telegram yang dinamai dan masih aktif menunjukkan infrastruktur kriminal yang sedang beroperasi, bukan sekadar arsip statis.

Perbedaan ini penting bagi tim keamanan yang harus memutuskan ke mana mengalokasikan sumber daya terbatas. Data arsip memerlukan respons yang lebih luas — reset password massal dan pemantauan breach. Data dari saluran aktif memerlukan pendekatan threat intelligence yang lebih terarah: memantau saluran mana yang memposting data baru, domain mana yang paling sering muncul, dan kampanye mana yang sedang berlangsung.

Perangkat Lunak di Balik Pencurian: Lumma, Vidar, RedLine, dan Raccoon

Setiap record dalam database ini dimulai dengan cara yang sama: sebuah malware infostealer yang diam-diam berjalan di komputer seseorang, mengumpulkan apa pun yang tersimpan di peramban.

Keluarga malware yang paling sering dikaitkan dengan log seperti ini adalah Lumma Stealer, Vidar, RedLine, dan Raccoon, ditambah berbagai varian yang dijual sebagai malware-as-a-service di saluran Telegram yang sama yang kemudian mendistribusikan log curian. Vidar mencatat peningkatan aktivitas yang signifikan pada awal 2026, menguasai lebih dari 73% host terinfeksi yang dipantau selama dua bulan pertama tahun ini menurut telemetri industri yang dikutip SecurityWeek.

Cara kerja infostealer modern:

Fase Pengumpulan — Malware yang berhasil menginfeksi perangkat mengakses penyimpanan kredensial peramban, mengekstrak cookie aktif dan token session (termasuk yang melewati autentikasi multi-faktor), data autofill, sidik jari perangkat, dan terkadang dompet kripto atau akun pesan. Bundle lengkap inilah yang berakhir dalam log seperti yang ditemukan oleh peneliti Cybernews.

Fase Distribusi — Log curian dari satu perangkat terinfeksi dijual atau dibagikan melalui saluran Telegram. Harga bervariasi tergantung kualitas kredensial — akun korporat atau perbankan dijual lebih mahal dibandingkan akun media sosial.

Fase Agregasi — Seseorang mengumpulkan puluhan sumber log ini ke dalam database Elasticsearch yang bisa dicari, menciptakan “toko serba ada” bagi penyerang yang ingin mencari kredensial spesifik.

Tautan antara malware infostealer dan database Elasticsearch ini mencerminkan evolusi ekosistem kejahatan siber. Pada masa lalu, pencurian kredensial melalui malware merupakan operasi skala kecil. Kini, pipeline otomatis mengumpulkan, mengagregasi, dan mengindeks kredensial curian dari jutaan perangkat terinfeksi ke dalam database yang bisa ditelusuri dengan mudah.

Infrastruktur yang Tidak Aman: Elasticsearch Tanpa Autentikasi

Bagian paling ironis dari insiden ini adalah infrastruktur yang digunakan untuk menyimpan data curian itu sendiri tidak lebih aman daripada infrastruktur para korbannya.

Elasticsearch dan alat NoSQL serupa dikirimkan tanpa autentikasi yang diaktifkan secara default. Untuk pengembang yang menguji sesuatu secara lokal, pengaturan ini wajar. Tetapi menjadi masalah besar ketika instance yang sama di-deploy ke server cloud publik dan tidak ada yang mengingat untuk mengamankannya.

Elasticsearch mendengarkan di port 9200 secara default, dan bagian dari port inilah mengapa paparan seperti ini terus terjadi. Peneliti keamanan — dan juga kelompok kriminal — secara rutin memindai seluruh ruang alamat IPv4 publik untuk mencari port tersebut menggunakan alat seperti Shodan dan Censys, persis karena begitu banyak instance yang di-deploy ke server cloud dengan autentikasi yang tidak diaktifkan.

Menemukan satu database sebesar ini yang terbuka tidak memerlukan intrusi yang canggih. Yang diperlukan hanyalah mengetahui port mana yang harus diperiksa dan cukup kesabaran untuk menelusuri hasil pemindaian. Cybernews, dan juga kelompok kriminal, menggunakan teknik yang sama. Perbedaannya terletak pada tujuan: peneliti keamanan melaporkan temuan untuk perbaikan, sementara kelompok kriminal mengeksploitasi akses yang ditemukan.

Ini bukan kegagalan mode baru. Peneliti telah menemukan instance Elasticsearch, MongoDB, dan Kibana yang berisi data curian selama bertahun-tahun. Mother of All Breaches pada 2024 juga ditemukan dengan cara yang sama — melalui server yang tidak terkunci dan bisa diakses tanpa login. Yang berubah adalah skala dan kecanggihan data yang dimasukkan ke dalam database ini. Kelompok kini memperlakukan pengumpulan kredensial curian sebagai lini produk tersendiri, membangun alat berbasis indeks dari perangkat lunak sumber terbuka yang sama yang digunakan perusahaan besar untuk menggerakkan sistem pencarian internal.

Siapa yang Paling Berisiko?

Database ini bukan hanya masalah bagi individu yang kredensialnya bocor. Dampaknya meluas ke berbagai level:

Individu — Setiap orang yang kata sandinya tersimpan di peramban dan pernah mengunduh perangkat lunak dari sumber tidak tepercaya berisiko memiliki kredensialnya di database ini. Password plaintext yang dikombinasikan dengan URL login memberikan peta serangan yang siap digunakan.

Organisasi — Karyawan yang menggunakan kata sandi yang sama untuk akun pribadi dan akun kantor menempatkan seluruh organisasi dalam risiko. Credential stuffing attack — mencoba kredensial yang bocor di berbagai layanan — menjadi sangat efektif ketika database yang tersedia begitu besar dan terstruktur.

Peneliti Keamanan — Temuan bahwa database ini berisi 17.000 record yang merujuk ke ID CVE beserta tautan GitHub menunjukkan bahwa bahkan profesional keamanan sendiri tidak kebal. Malware infostealer tidak membedakan antara login perbankan dan token GitHub milik peneliti keamanan.

Pengembang — Token akses ke repository kode sumber, kunci API layanan cloud, dan kredensial CI/CD yang tersimpan di peramban atau file konfigurasi di perangkat pengembang menjadi target berharga dalam database semacam ini.

Apa yang Harus Dilakukan Sekarang

Untuk Individu

Periksa apakah data Anda terekspos — Gunakan layanan seperti Have I Been Pwned (HIBP) atau Digital Footprint Portal untuk mengecek apakah alamat email Anda muncul dalam kebocoran
Ganti kata sandi segera — Jika Anda menemukan kata sandi yang terekspos, ubah segera dan pastikan tidak menggunakan kata sandi yang sama di beberapa akun. Prioritaskan akun penting: email, perbankan, belanja, dan media sosial
Aktifkan autentikasi multi-faktor — MFA membantu melindungi akun meskipun kata sandi telah terekspos. Gunakan authenticator app atau hardware key, bukan SMS
Gunakan password manager — Manajer kata sandi memastikan setiap akun memiliki kata sandi unik yang kuat tanpa perlu menghafal

Untuk Organisasi

Audit kebijakan kata sandi — Pastikan tidak ada karyawan yang menggunakan kata sandi yang sama untuk akun kantor dan pribadi. Terapkan kebijakan password yang ketat dengan panjang minimum 16 karakter
MFA wajib untuk semua akun — Aktifkan MFA berbasis FIDO2 atau authenticator app untuk seluruh akun karyawan, terutama akses ke sistem kritis
Monitor credential stuffing — Pantau upaya login yang mencurigakan menggunakanSIEM dan alerting otomatis
Edukasi pengguna — Latih karyawan tentang bahaya infostealer dan cara menghindari infeksi: hindari unduhan dari sumber tidak tepercaya, waspadai ClickFix, jangan menjalankan skrip yang tidak dipahami
Implementasikan SSO — Single Sign-On mengurangi jumlah kredensial yang perlu dikelola oleh pengguna dan memungkinkan pengelolaan terpusat

Pencegahan Infostealer

Infostealer menyebar melalui iklan jahat, pembaruan browser palsu, unduhan sekali klik, dan teknik social engineering seperti ClickFix. Beberapa langkah pencegahan yang efektif:

Hindari mengklik iklan bersponsor; kunjungi situs web resmi secara langsung
Unduh perangkat lunak hanya dari sumber tepercaya: situs vendor resmi atau toko aplikasi
Jangan pernah menjalankan perintah atau skrip yang disalin dari situs web, email, atau pesan kecuali Anda mempercayai sumbernya dan memahami apa yang dilakukannya
Perangkat lunak bajakan, cheat game, tool cracked, dan ekstensi peramban mencurigakan tetap menjadi sumber infeksi infostealer yang umum
Waspada terhadap email phishing yang meminta tautan mendesak atau lampiran tak dikenal

Konteks: Pipeline Kriminal yang Lebih Besar

Insiden database Elasticsearch ini bukan sekadar satu kejadian terisolasi. Ia adalah satu node dalam rantai pasok kejahatan siber yang lebih besar dan lebih terstruktur.

Pipeline tersebut berjalan dalam beberapa tahap:

Pengumpulan — Malware infostealer (Lumma, Vidar, RedLine, Raccoon) menginfeksi jutaan perangkat di seluruh dunia dan mengekstrak kredensial dari peramban korban.

Distribusi — Log curian dijual atau dibagikan melalui saluran Telegram dan pasar gelap, dengan harga bervariasi berdasarkan kualitas dan kelangkaan kredensial.

Agregasi — Seseorang mengumpulkan puluhan sumber log ke dalam satu database yang bisa dicari, menciptakan satu titik akses bagi penyerang yang ingin menelusuri kredensial.

Eksploitasi — Kredensial dari database digunakan untuk credential stuffing, account takeover, dan serangan lanjutan terhadap organisasi.

Mengambil satu database dari publik — seperti yang terjadi pada 15 Juni — tidak menyentuh tahap mana pun dalam pipeline ini. Data yang beredar di saluran Telegram tetap beredar. Malware yang menginfeksi perangkat baru tetap beroperasi. Satu-satunya yang berubah adalah satu titik akses yang bisa dicari peneliti keamanan menjadi tidak tersedia.

Tantangan sebenarnya adalah memutus pipeline ini di hulu: membatasi distribusi malware infostealer, menutup saluran Telegram yang memperdagangkan data curian, dan membangun pertahanan perangkat yang mencegah infeksi di tempat pertama.

Kesimpulan

24 miliar record kredensial curian yang terekspos tanpa autentikasi di internet publik bukan sekadar angka yang mencengangkan — ia adalah cerminan dari ekosistem kejahatan siber yang telah mencapai skala industri. Database ini menunjukkan bahwa pencurian kredensial melalui infostealer telah berevolusi dari operasi sporadis menjadi pipeline terstruktur yang mengumpulkan, mengagregasi, dan mendistribusikan data dari jutaan perangkat terinfeksi ke dalam database yang bisa dicari oleh siapa saja.

Fakta bahwa database ini sendiri tidak terlindungi — menggunakan infrastruktur yang sama persis dengan yang sering gagal diamankan oleh organisasi sah — adalah ironi yang tidak boleh dilewatkan. Jika kelompok kriminal saja bisa mengumpulkan 24 miliar record tanpa menambal port 9200 mereka sendiri, organisasi yang gagal mengamankan Elasticsearch, MongoDB, atau database publik lainnya sedang duduk di atas bom waktu yang sama.

Respons terhadap insiden ini harus berlapis: reset kata sandi massal bagi yang terdampak, MFA wajib di seluruh organisasi, pemantauan aktif terhadap upaya credential stuffing, dan edukasi berkelanjutan tentang pencegahan infostealer. Tetapi yang paling penting adalah perubahan pola pikir — dari “kebocoran data menimpa orang lain” menjadi “setiap perangkat yang tidak diamankan adalah potensi sumber data berikutnya bagi database seperti ini.”

Artikel ini disusun berdasarkan laporan riset Cybernews yang diterbitkan 17 Juni 2026, analisis Malwarebytes, pelaporan Security Affairs dan TechRepublic, serta data telemetri infostealer dari SecurityWeek dan industri keamanan siber global.