Awas Internet Banking Bisa Dibobol Lewat Situs Palsu Gegara Kebocoran eMudhra

Pakar keamanan siber dari Vaksincom, Alfons Tanujaya, mengimbau pengguna internet banking dan mobile banking segera memperbarui perangkat. Sebab, delapan kunci privat milik eMudhra, perusahaan penerbit sertifikat keamanan (Certificate Authority/CA) asal India, dinyatakan terkompromi alias bocor. Kuncinya bisa dipakai untuk membuat situs palsu yang tampil lengkap dengan gembok HTTPS.

Gembok HTTPS adalah ikon gembok di samping alamat situs pada browser, yang menandakan koneksi Anda ke situs itu terenkripsi. Dengan enkripsi, data seperti username, password, dan kode OTP diacak saat dikirim, sehingga tidak bisa dibaca pihak lain yang menyadap jaringan.

Gembok tersebut juga menandakan bahwa browser sudah memeriksa sertifikat situs, semacam “KTP” digital yang diterbitkan lembaga tepercaya (Certificate Authority), dan menganggapnya sah.

Sertifikat eMudhra dipercaya oleh Mozilla, Microsoft, Apple, dan Google. Mereka kemudian menolak sertifikat eMudhra pada 17-20 Oktober 2026. Jika Anda login internet banking dari browser yang terupdate, sertifikat palsu dari eMudhra akan ditolak dan browser menampilkan peringatan.

Kuncinya Lemah Sejak Dibuat

Kunci tersebut tidak dicuri dari server eMudhra. Kunci itu lemah sejak awal, sehingga siapa pun bisa menghitung ulang nilainya dari kunci publik yang tercantum di sertifikat dan memang terbuka untuk umum.

Kunci jenis P-384 seharusnya berupa angka acak sepanjang 384 bit, dengan jumlah kemungkinan sekitar 2 pangkat 384. Jumlah itu jauh melebihi seluruh atom di alam semesta. Namun salah satu kunci eMudhra, untuk sertifikat EM OV TLS CA - G3C, hanya bernilai 4. Tujuh kunci lainnya bernilai 56, 66, 115, 155, 156, 230, dan 237. Seluruhnya di bawah 256.

“Kunci yang seharusnya sangat rumit ternyata lebih mudah ditebak daripada PIN ATM 3 digit,” tulis pakar keamanan siber dari Vaksincom, Alfons Tanujaya dalam analisisnya. Peneliti Scott Helme memulihkan seluruh kunci itu dalam waktu kurang dari satu detik.

Menurut eMudhra, penyebabnya adalah cacat pada script pembuatan kunci pada 30 April 2025. Pasangan kunci lemah ikut terbuat, lalu terpakai karena labelnya mirip dengan kunci yang benar.

Risiko Bagi Pengguna Bank

Pemegang kunci itu bisa membuat sertifikat palsu untuk situs apa pun, termasuk situs bank. Di perangkat yang masih mempercayai sertifikat eMudhra, situs palsu akan terlihat seperti aslinya, lengkap dengan gembok. Username, password, dan kode OTP yang dimasukkan pengguna bisa langsung jatuh ke tangan penyerang.

Serangan ini punya satu syarat, yaitu penyerang harus berada di tengah koneksi antara pengguna dan server bank (man-in-the-middle). Contohnya WiFi palsu dengan nama mirip WiFi resmi, router yang sudah dibobol, DNS yang dibajak, dan halaman login WiFi palsu yang meminta OTP.

"Halaman login WiFi yang sah tidak pernah meminta OTP atau data bank," kata Alfons.

Sejauh ini belum ada bukti celah ini dieksploitasi. Google menyatakan tidak ada sertifikat TLS dari intermediate tersebut yang tercatat di log Certificate Transparency sebelum diblokir. Cloudflare juga belum menemukan serangan aktif di layanannya. Namun celah ini sudah ada sekitar 18 bulan. Banyak aplikasi di luar browser tidak memeriksa log tersebut, dan belum diketahui apakah ada yang memanfaatkannya selama itu.

Sudah Diblokir, Tapi Tak Semua Terlindungi

• Browser: Chrome, Edge, Safari, dan Firefox versi terbaru sudah menolak sertifikat ini sejak 17 sampai 20 Oktober.

• Android: Google mengirim perlindungan lewat Google Play Services pada 19 Oktober (20 Oktober dini hari WIB). Pengguna perlu me-restart HP agar pembaruan aktif.

• iPhone: Apple memblokir sertifikat ini sejak 19 Oktober, dan perlindungan berlaku setelah perangkat menerima pembaruan.

Kelompok yang masih berisiko adalah pengguna yang mematikan Windows Update atau memakai browser lama, pemilik HP lama yang tidak lagi menerima pembaruan software, dan pengguna aplikasi yang jarang diperbarui atau membawa daftar sertifikat sendiri. Alfons juga mencatat bahwa curl, Python, dan Node.js dengan pengaturan bawaan di Linux dan macOS masih menerima rantai sertifikat eMudhra dalam pengujian Scott Helme.

Perangkat Sudah Di-update, Bukan Berarti Bebas Risiko

Pembaruan hanya menutup celah eMudhra, bukan bahaya WiFi yang disusupi secara umum. Pengguna masih bisa tertipu jika mengklik “lanjutkan” pada peringatan sertifikat. Pengguna juga bisa diarahkan ke situs tiruan dengan alamat mirip nama bank. Gembok tetap muncul di situs semacam itu karena domainnya memang milik penyerang, sehingga alamat situs perlu diperiksa dengan teliti.

Tips Cegah Internet Banking Dibobol dari Kebocoran eMudhra

Ada lima tips yang Alfons sarankan supaya terhindar dari ancaman serangan siber akibat dari kebocoran kunci privat CA eMudhra:

1. Perbarui dan restart HP, laptop, dan browser. Jangan matikan Windows Update.

2. Perbarui aplikasi mobile banking hanya dari Play Store atau App Store resmi.

3. Lakukan transaksi bank lewat data seluler, bukan WiFi publik di kafe, bandara, atau hotel.

4. Jika muncul peringatan sertifikat di situs bank, tutup halamannya dan jangan klik “lanjutkan”.

5. Ketik alamat bank dengan https:// atau buka lewat bookmark, lalu periksa alamatnya.

“Gembok HTTPS bukan jaminan mutlak. Gembok hanya sekuat pihak yang menerbitkannya,” tulis Alfons.