Serangan phishing terus mengalami perkembangan seiring meningkatnya kesadaran pengguna terhadap keamanan siber. Jika dahulu pelaku hanya membuat halaman login yang terlihat sederhana dan mudah dikenali sebagai palsu, kini teknik yang digunakan jauh lebih canggih. Salah satu teknik yang kembali menjadi perhatian komunitas keamanan siber adalah Browser-in-the-Browser (BitB) yang dipadukan dengan phishing kit modern serta berbagai metode untuk mencuri kode autentikasi dua faktor (2FA).
Kombinasi teknik tersebut membuat halaman login Google, Microsoft, Facebook, GitHub, hingga layanan perbankan tampak hampir identik dengan tampilan asli. Bahkan pengguna yang terbiasa menggunakan internet pun dapat terkecoh apabila tidak memahami karakteristik serangan tersebut.
Artikel ini membahas berdasarkan hasil penelitian dan publikasi dari komunitas keamanan siber mengenai bagaimana teknik tersebut bekerja, bagaimana mengenalinya, serta langkah-langkah pencegahan yang dapat dilakukan oleh individu maupun organisasi.
Apa Itu Browser-in-the-Browser (BitB)?
Browser-in-the-Browser (BitB) merupakan teknik antarmuka (UI deception) yang pertama kali dipopulerkan oleh peneliti keamanan mr.d0x pada tahun 2022.
Berbeda dengan phishing konvensional yang mengarahkan korban menuju halaman login palsu, teknik BitB membuat sebuah jendela browser palsu yang ditampilkan di dalam halaman web menggunakan HTML, CSS, dan JavaScript.
Sekilas, jendela tersebut terlihat seperti jendela login resmi Google yang muncul ketika pengguna memilih opsi "Sign in with Google".
Elemen yang ditiru meliputi:
- Bilah alamat browser.
- Ikon gembok HTTPS.
- Tombol minimize, maximize, dan close.
- Desain popup autentikasi Google.
- Efek bayangan dan animasi.
- Font serta tata letak yang sangat menyerupai browser asli.
Karena yang ditampilkan hanyalah elemen visual, pengguna tidak benar-benar membuka jendela browser baru, melainkan tetap berada pada halaman phishing yang sama.
Mengapa Teknik Ini Sulit Dikenali?
Penelitian menunjukkan bahwa sebagian besar pengguna hanya melakukan verifikasi secara visual.
Mereka cenderung memperhatikan:
- Logo Google.
- Warna halaman.
- Ikon gembok.
- Tampilan popup.
Namun tidak memeriksa apakah popup tersebut benar-benar merupakan jendela browser asli.
Fenomena ini dikenal sebagai visual trust, yaitu kecenderungan mempercayai tampilan visual tanpa melakukan validasi teknis.
Akibatnya, halaman phishing modern memiliki peluang keberhasilan yang jauh lebih tinggi dibandingkan metode lama.
Peran Phishing Kit Modern
Phishing kit merupakan paket perangkat lunak yang memudahkan pelaku membuat halaman phishing tanpa harus mengembangkan semuanya dari awal.
Kit modern umumnya menyediakan:
- Template login Google.
- Template Microsoft 365.
- Template Facebook.
- Template Instagram.
- Template Apple ID.
- Template Dropbox.
- Template GitHub.
Sebagian bahkan menyediakan panel administrasi yang memungkinkan pelaku memantau kredensial yang berhasil dicuri secara real-time.
Dalam beberapa tahun terakhir, banyak phishing kit yang mengadopsi tampilan BitB sehingga korban semakin sulit membedakan mana halaman resmi dan mana halaman palsu.
Evolusi Menuju Pencurian 2FA
Ketika autentikasi dua faktor mulai diterapkan secara luas, pelaku tidak lagi cukup hanya mencuri username dan password.
Mereka kemudian mengembangkan teknik untuk memperoleh kode autentikasi sementara (OTP) atau token sesi yang masih aktif.
Serangan ini sering disebut sebagai real-time phishing atau Adversary-in-the-Middle (AiTM).
Alih-alih mencoba "membobol" autentikasi dua faktor secara langsung, pelaku bertindak sebagai perantara antara korban dan layanan yang sah. Dengan cara ini, mereka dapat menangkap informasi autentikasi yang dikirimkan selama proses login jika mekanisme 2FA yang digunakan memungkinkan.
Apa yang Dimaksud dengan "Sneaky 2FA"?
Istilah Sneaky 2FA bukanlah standar resmi dalam dunia keamanan siber, melainkan istilah yang sering digunakan di media sosial atau komunitas untuk menggambarkan teknik phishing yang secara licik mencoba memperoleh atau memanfaatkan proses autentikasi dua faktor.
Praktik yang sering dikaitkan dengan istilah tersebut meliputi:
- Menampilkan halaman yang meminta kode OTP seolah-olah berasal dari layanan resmi.
- Mengelabui pengguna agar menyetujui notifikasi autentikasi (push approval) tanpa menyadari konteksnya.
- Mencoba memperoleh token sesi melalui serangan perantara (AiTM) pada sistem yang rentan terhadap metode tersebut.
Perlu dipahami bahwa 2FA berbasis passkey atau kunci keamanan FIDO2/WebAuthn memiliki ketahanan yang jauh lebih baik terhadap phishing, karena autentikasi terikat pada domain asli dan tidak dapat begitu saja digunakan oleh situs palsu.
Mengapa Login Google Menjadi Sasaran?
Google digunakan sebagai penyedia identitas (Identity Provider) untuk ribuan layanan.
Apabila akun Google berhasil diakses secara tidak sah, dampaknya dapat meluas ke berbagai layanan lain yang menggunakan fitur "Login with Google", seperti penyimpanan cloud, email, aplikasi produktivitas, hingga platform pengembang.
Oleh karena itu, penyerang sering berusaha meniru tampilan login Google agar memperoleh tingkat keberhasilan yang lebih tinggi.
Cara Mengenali Browser-in-the-Browser
Beberapa indikator yang dapat membantu mengenali teknik BitB antara lain:
- Popup tidak benar-benar keluar dari browser utama. Cobalah menggeser jendela browser utama. Jika popup ikut bergerak persis sebagai bagian dari halaman, kemungkinan itu hanyalah elemen HTML.
- Popup tidak muncul sebagai jendela sistem operasi. Jendela autentikasi resmi biasanya merupakan jendela browser yang sesungguhnya.
- Alamat situs utama tidak berubah. Periksa domain pada browser utama. Jika Anda masih berada pada domain yang tidak berkaitan dengan Google namun muncul popup login Google, tingkatkan kewaspadaan.
- Tidak dapat dipindahkan secara alami. Sebagian popup palsu hanya mensimulasikan kemampuan drag dan terasa berbeda dibandingkan jendela browser asli.
- Perhatikan domain sebelum memasukkan kredensial. Jangan hanya melihat logo atau ikon gembok.
Cara Mencegah Menjadi Korban
Berikut beberapa langkah yang direkomendasikan oleh praktisi keamanan siber:
1. Periksa nama domain
Pastikan domain benar-benar milik penyedia layanan resmi.
2. Hindari login dari tautan yang dikirim melalui pesan
Apabila menerima email atau pesan yang meminta login, lebih aman membuka situs resmi secara manual melalui browser.
3. Gunakan Password Manager
Password manager modern hanya akan mengisi otomatis kredensial pada domain yang sesuai. Jika kolom login tidak terisi otomatis padahal biasanya terisi, hal tersebut dapat menjadi tanda bahwa domain berbeda dari yang seharusnya.
4. Gunakan Passkey atau Security Key
Passkey berbasis FIDO2/WebAuthn memberikan perlindungan yang jauh lebih kuat terhadap phishing dibandingkan OTP melalui SMS.
5. Aktifkan Safe Browsing
Browser modern seperti Chrome, Edge, dan Firefox memiliki fitur yang dapat memperingatkan pengguna saat mengunjungi situs phishing yang telah teridentifikasi.
6. Selalu Perbarui Browser
Pembaruan rutin membantu memastikan perlindungan terbaru terhadap berbagai teknik eksploitasi maupun penyalahgunaan antarmuka.
7. Edukasi Pengguna
Pelatihan keamanan siber secara berkala terbukti menjadi salah satu langkah paling efektif dalam menurunkan tingkat keberhasilan serangan phishing.
Peran Organisasi dalam Mengurangi Risiko
Bagi organisasi, mitigasi tidak cukup hanya mengandalkan pengguna. Beberapa langkah yang disarankan meliputi:
- Menerapkan autentikasi berbasis phishing-resistant seperti FIDO2/WebAuthn.
- Menggunakan kebijakan Conditional Access.
- Mengaktifkan pemantauan aktivitas login yang tidak biasa.
- Melakukan simulasi phishing secara berkala untuk meningkatkan kewaspadaan pegawai.
- Menerapkan prinsip least privilege agar dampak kompromi akun dapat diminimalkan.
Kesimpulan
Browser-in-the-Browser menunjukkan bahwa serangan phishing modern tidak lagi mengandalkan tampilan yang kasar atau mudah dikenali. Dengan memanfaatkan antarmuka yang sangat menyerupai jendela login resmi serta dukungan phishing kit modern, pelaku mampu meningkatkan peluang keberhasilan serangan melalui manipulasi visual.
Meski demikian, teknik ini tetap memiliki keterbatasan. Pengguna yang terbiasa memeriksa domain, menggunakan password manager, dan beralih ke autentikasi berbasis passkey memiliki peluang jauh lebih kecil untuk menjadi korban.
Pada akhirnya, keamanan tidak hanya bergantung pada teknologi, tetapi juga pada kombinasi antara edukasi pengguna, penerapan autentikasi yang tahan terhadap phishing, serta kebijakan keamanan yang diterapkan secara konsisten oleh setiap organisasi. Memahami bagaimana teknik seperti Browser-in-the-Browser bekerja merupakan langkah penting agar masyarakat tidak mudah tertipu oleh tampilan login yang tampak meyakinkan namun sebenarnya merupakan bagian dari upaya pencurian kredensial.
Untuk artikel ilmiah maupun blog yang ingin terlihat kredibel, saya menyarankan menggunakan 4 referensi internasional dan 2 referensi nasional. Kombinasi berikut sudah cukup kuat dan relevan.
Daftar Pustaka
- Cybersecurity and Infrastructure Security Agency (CISA). (2024). More Than a Password: Phishing-Resistant MFA. U.S. Department of Homeland Security. https://www.cisa.gov/more-password
- OWASP Foundation. (2025). Man-in-the-Browser Attack. OWASP Foundation. https://owasp.org/www-community/attacks/Man-in-the-browser_attack
- FIDO Alliance. (2025). White Paper: DBSC/DPOP as Complementary Technologies to FIDO Authentication. https://fidoalliance.org/white-paper-dbsc-dpop-as-complementary-technologies-to-fido-authentication
- Akram, M. W., Sood, K., Hassan, M. U., & Subba, B. (2025). Exemplifying Emerging Phishing: QR-based Browser-in-The-Browser (BiTB) Attack. arXiv. https://arxiv.org/abs/2505.18944
- Badan Siber dan Sandi Negara (BSSN). (2024). Literasi Keamanan Siber. https://bssn.go.id
- Kementerian Komunikasi dan Digital Republik Indonesia (Komdigi). (2024). Modul Literasi Digital: Keamanan Digital. https://komdigi.go.id