Tangkal Malware Pencuri Akun: Google Resmi Gulirkan Fitur Proteksi Cookie “DBSC” untuk Semua Pengguna Chrome

Raksasa teknologi Google secara resmi mengumumkan bahwa fitur keamanan Chrome Device Bound Session Credentials (DBSC) kini telah berstatus tersedia secara umum (generally available). Fitur ini mulai digulirkan secara massal ke seluruh pengguna global untuk memotong jalur utama aksi pengambilalihan akun (account takeovers) oleh peretas.

Telah diuji coba dalam versi beta sejak April lalu, DBSC pertama kali diperkenalkan pada tahun 2024 sebagai solusi mutakhir untuk mengikat session cookie (file kecil penampung status log masuk pengguna pada situs web) secara kriptografis ke satu perangkat fisik spesifik. Langkah ini dirancang untuk mencegah peretas menyalahgunakan cookie hasil curian malware guna menjebol perlindungan otentikasi dua faktor (MFA/2FA) dan membajak akun korban.

Cara Kerja DBSC: Memanfaatkan Chip Keamanan TPM dan Secure Enclave

Metode tradisional perlindungan web umumnya bersifat reaktif, seperti mendeteksi lokasi login yang mencurigakan setelah cookie bocor. DBSC merombak total paradigma tersebut menjadi pencegahan proaktif (proactive prevention) dengan mengandalkan integrasi perangkat keras komputer:

[Aktivitas Login Web] 
       │
       ▼
[Protokol Chrome DBSC] ──► [Mengunci Session Cookie secara Kriptografis]
                                      │
                                      ▼
                      [Diikat ke Chip Keamanan Fisik Perangkat]
                      ├── Windows: Trusted Platform Module (TPM)
                      └── macOS: Secure Enclave
                                      │
                                      ▼
                      [Kunci Privat Tidak Bisa Dieksfiltrasi Malware]

• Ikatan Kriptografi Perangkat Keras: DBSC bekerja dengan menghubungkan sesi log masuk pengguna langsung ke chip keamanan fisik yang tertanam di dalam komputer. Fitur ini memanfaatkan chip Trusted Platform Module (TPM) pada sistem operasi Windows atau Secure Enclave pada ekosistem macOS.
• Kunci yang Tidak Bisa Dicuri: Chip keamanan fisik tersebut bertugas memproduksi sepasang kunci digital unik (public/private keys) untuk mengenkripsi dan mendekripsi data sesi sensitif. Karena kunci privat tersimpan di dalam sasis silikon chip dan tidak pernah meninggalkan perangkat, program jahat (malware) tidak akan bisa mengeksfiltrasi kunci tersebut.
• Hasil Akhir: Meskipun malware tipe infostealer berhasil menyedot file session cookie dari browser Chrome korban dan mengirimkannya ke server peretas, cookie tersebut akan langsung menjadi sampah digital yang tidak berguna (meaningfully more difficult to exploit) karena peretas tidak memegang kunci kriptografi fisik yang cocok untuk mengaktifkannya di perangkat lain.

Diaktifkan Secara Otomatis Tanpa Opsi Menonaktifkan

Gelombang implementasi fitur DBSC ini menyasar ekosistem pengguna Google secara menyeluruh, yang meliputi:

• Seluruh pelanggan korporasi Google Workspace.
• Pelanggan Workspace Individual.
• Seluruh pengguna dengan akun Google pribadi (personal Google accounts).

Catatan Penting bagi Admin IT: Google menegaskan bahwa fitur DBSC ini akan langsung aktif secara bawaan (enabled by default) begitu pembaruan browser Chrome mendarat di perangkat. Pihak Google juga mengambil kebijakan tegas di mana para administrator IT perusahaan tidak diberikan opsi untuk menonaktifkan (cannot disable) fitur keamanan ini demi menjamin standar proteksi siber yang seragam.

Memutus Rantai Eksploitasi Malware Lumma dan Rhadamanthys

Kehadiran DBSC menjadi pukulan telak bagi industri gelap pembuatan malware pencuri informasi (information-stealing malware) yang kian agresif dalam beberapa tahun terakhir.

Sebelum fitur ini digulirkan, sindikat operator malware seperti Lumma dan Rhadamanthys kerap menyalahgunakan celah pada endpoint dokumentasi internal API bernama Google OAuth “MultiLogin”. Melalui celah tersebut, peretas mampu membangkitkan (regenerate) token cookie otentikasi baru yang segar secara terus-menerus meskipun cookie asli yang mereka curi dari komputer korban telah kedaluwarsa.

Pada masa lalu, Google hanya bisa memberikan respons reaktif dengan mengimbau pengguna melakukan pembersihan malware secara manual menggunakan antivirus serta menyarankan pengaktifan mode Enhanced Safe Browsing di Chrome guna meminimalisir serangan phising. Kini, dengan implementasi penuh teknologi DBSC, Google secara fundamental mengubah infrastruktur keamanan web global dengan memastikan bahwa data enkripsi yang dieksfiltrasi secara ilegal otomatis kehilangan daya fungsinya di luar perangkat asli korban.

Sumber: Google Security Blog