300+ Pintu Keluar Tor Dibajak buat Curi Password — Kok Bisa?

Kabar mengejutkan datang dari Tor Project di awal Oktober 2026. Lebih dari 300 'pintu keluar' jaringan Tor ternyata dibajak penjahat siber dan dipakai buat mencuri password orang — diam-diam, selama kurang lebih lima hari, tanpa ada yang sadar.

Buat yang belum kenal: Tor adalah jaringan internet yang bikin penggunanya anonim. Data kita tidak langsung menuju tujuan, tapi mampir dulu ke tiga komputer relawan yang disebut relay. Relay terakhir — sebelum data keluar menuju tujuannya — namanya exit relay alias pintu keluar. Nah, pintu-pintu keluar inilah yang dibajak.

Para relawan penjaga pintu itu sebenarnya orang biasa dari seluruh dunia yang merelakan komputernya jadi bagian dari jaringan Tor. Penjahat membobol komputer mereka lebih dulu, sebagian besar lewat program jahat bernama Ebury — semacam 'penyusup' yang bersembunyi di dalam program login server dan bisa mencuri password siapa pun yang masuk. Menurut firma keamanan ESET, Ebury sudah beredar sejak 2009 dan pernah menginfeksi sekitar 400 ribu server.

Setelah komputer penjaga pintu dikuasai, penjahat mengubah aturan mainnya diam-diam. Koneksi SSH — cara orang masuk ke server dari jauh, mirip memegang remot komputer — yang tadinya tidak boleh lewat, sekarang DIBOLEHKAN. Tapi diam-diam dialihkan: bukan ke server tujuan, melainkan ke server palsu milik penjahat.

Di server palsu itulah password dicuri. Korban yang menekan 'terima' saat muncul peringatan bahwa kunci server berubah, lalu tetap login memakai password, pada dasarnya menyerahkan password-nya ke penjahat. Supaya korban tidak curiga, sesi diteruskan ke server asli dan semua tampak normal — padahal setiap ketikan sudah dicatat.

Untungnya, yang bisa kena jebakan ini sangat spesifik: hanya orang yang masuk ke server (SSH) LEWAT Tor pada 1–5 Oktober 2026, melewati pintu yang dibajak, menerima kunci server yang baru, dan login memakai password. Pengguna Tor Browser buat browsing biasa TIDAK termasuk sasaran serangan ini.

Ada lagi kabar baiknya: login memakai 'kunci digital' (SSH key) tidak bisa dicegat dengan cara ini. Kunci digital itu bekerja seperti sidik jari — bukti kepemilikannya tidak bisa diserahkan ke orang di tengah jalan seperti password. Itulah kenapa para ahli selalu menyarankan login server memakai kunci, bukan password.

Serangan ini ketahuan berkat peneliti keamanan bernama kaba, yang curiga saat koneksi SSH-nya sendiri memunculkan peringatan kunci berubah. Ia memeriksa satu per satu sekitar 3.000 pintu keluar Tor dan menemukan 333 di antaranya mengalihkan koneksi SSH ke 12 server pencegat yang sama. Temuan itu dilaporkan ke tim Tor Project, yang pada 4–5 Oktober mengeluarkan semua relay jahat dari jaringan. Di puncak kejadian (4 Oktober), relay-relay jahat itu menguasai sekitar 7,46% dari total kapasitas pintu keluar Tor.

Kenapa para penjaga pintu bisa kecolongan? Pengakuan operator relay terbesarnya jujur dan jadi pelajaran: ia memakai SATU password yang sama untuk banyak keperluan, menyimpannya secara polos, dan membiarkan login password di servernya terbuka ke internet. Penjahat cukup menebak satu password itu — lima menit kemudian, seluruh servernya dikuasai.

Pelajaran buat kita yang bukan pengelola server pun sebenarnya sama. Pertama: jangan memakai password yang sama di banyak tempat — satu bocor, semua ikut jebol; pakai aplikasi pengelola password (password manager) supaya tidak perlu menghafal semuanya. Kedua: peringatan 'kunci/identitas berubah' di layar itu bukan gangguan — itu alarm. Jangan asal klik terima kalau tidak yakin.

Buat yang punya server atau VPS sendiri, tambahkan satu langkah: aktifkan login memakai kunci digital (SSH key) dan matikan login password. Memang butuh sedikit usaha di awal, tapi setelah itu pintu servermu cuma bisa dibuka oleh kunci yang kamu pegang — bukan oleh tebakan siapa pun.

Kejadian ini menunjukkan satu hal: teknologi anonim secanggih Tor pun tetap bergantung pada kebiasaan manusia yang menjaganya. Yang jebol kemarin bukan sistem Tor-nya, melainkan satu password yang dipakai berulang-ulang.