Majalengka — Dua peneliti keamanan berhasil membuka pintu dan menyalakan mesin mobil melalui aplikasi resmi dua merek otomotif. Titik masuknya bukan teknologi canggih, melainkan sebuah halaman administrasi di server identitas yang masih memakai kata sandi bawaan: admin untuk nama pengguna dan admin untuk kata sandi. Kasus ini dipublikasikan awal November 2026 dan jadi pengingat keras bahwa kredensial default masih menjadi pintu belakang paling sering terlewat — termasuk di server instansi, sekolah, dan usaha kecil.

Kronologi singkat: dari aplikasi mobil ke akses penuh server

Peneliti Shubham Shah dan Sam Curry menemukan bahwa aplikasi kedua merek memakai platform identitas ForgeRock (kini bagian dari Ping Identity). Platform itu terdiri dari dua bagian: satu untuk login, satu lagi bernama OpenIDM yang menyimpan data pelanggan. OpenIDM membawa konsol administrator bawaan berbasis Apache Felix. Panduan pengamanan ForgeRock sendiri sudah mengingatkan agar konsol tersebut dihapus atau dilindungi sebelum sistem dipakai produksi, karena kata sandinya disimpan terpisah dari sistem utama.

Di server kedua merek, konsol itu masih ada dan masih memakai kredensial contoh yang terdokumentasi: admin/admin. Konsol memang diblokir dari internet, tetapi lapisan edge di depannya membaca alamat web yang sama secara berbeda dari server Java di belakangnya. Dengan menambahkan garis miring terenkode dan karakter tambahan, peneliti membuat edge menganggap permintaan itu sebagai file statis biasa, sementara server membacanya sebagai jalur menuju konsol. Kata sandi default menyelesaikan sisanya.

Dari dalam konsol, peneliti memakai penjadwal bawaan untuk menjalankan skrip dan mendapat akses baris perintah di server yang menyimpan data pelanggan. Mereka mengubah email dan kata sandi satu akun uji, masuk lewat aplikasi normal, lalu memperoleh token akses yang sama seperti pengguna asli. Token itulah kunci mobil: pintu terbuka dan mesin menyala, lalu dimatikan dan dikunci lagi. Uji coba penuh hanya dilakukan pada mobil milik sendiri atau pemilik yang memberi izin, di Amerika Serikat, Februari 2026. Kedua sistem diperbaiki sekitar dua jam setelah dilaporkan.

Mengapa kasus ini relevan untuk instansi dan UMKM

Pola serangannya tidak khas otomotif. Pola yang sama ada di banyak tempat: panel admin router, IP camera, NAS, mesin absensi, Webmin, phpMyAdmin, Tomcat Manager, hingga halaman admin aplikasi internal. Perangkat sering dipasang dengan kredensial pabrik, lalu dilupakan karena dianggap aman sebagai jaringan internal. Padahal begitu satu port terbuka ke internet — atau satu laptop di jaringan kantor terkena malware — kredensial default berubah menjadi tiket masuk.

Pelajaran kedua sama pentingnya: jangan mengandalkan aturan path di WAF atau firewall untuk menyembunyikan halaman admin. Jika edge dan server membaca URL secara berbeda, aturan itu bisa dilewati. Yang menentukan adalah apakah halaman admin itu sendiri sudah dikunci.

Audit 30 menit yang bisa dilakukan tim TI Anda

1. Buat daftar aset yang punya halaman login. Catat alamat IP, port, dan nama layanan: router, switch manageable, CCTV/NVR, NAS, server web, panel hosting, dan aplikasi internal.
2. Cari konsol bawaan yang sering terlupa. Contoh jalur yang perlu dicek: /system/console (Apache Felix, seperti kasus di atas), /manager/html (Tomcat), phpMyAdmin, Webmin pada port 10000, serta halaman setup perangkat jaringan.
3. Uji kredensial default hanya pada aset milik sendiri. Kombinasi yang paling sering dipakai: admin/admin, admin/password, admin/1234, root/root, dan user/user.
4. Ganti atau nonaktifkan akun default. Buat akun admin baru dengan nama unik, kata sandi panjang dari pengelola kata sandi, lalu hapus akun contoh. Jangan sekadar menambah angka di belakang admin.
5. Tutup konsol yang tidak dipakai. Hapus modul konsol, matikan port manajemen, atau batasi akses hanya dari IP kantor/VPN. Untuk layanan internal, akses lewat SSH tunnel lebih aman daripada membuka port ke publik.
6. Aktifkan autentikasi dua faktor bila tersedia, khususnya pada panel hosting, email admin, dan akun domain.
7. Nyalakan log dan periksa berkala. Pantau percobaan login gagal berulang, akun baru yang tidak dikenal, tugas terjadwal (cron/scheduler) yang tidak dibuat tim, dan perubahan aturan firewall.

Jika curiga kredensial default sudah bocor

• Putus akses publik ke panel tersebut lebih dulu, baru selidiki. Jangan menunggu jadwal maintenance.
• Ganti kata sandi semua akun admin dan API key/token yang tersimpan di server, lalu cabut sesi aktif.
• Periksa apakah penyerang meninggalkan akun baru, skrip terjadwal, atau kunci SSH tambahan.
• Bandingkan data dengan backup terakhir untuk melihat perubahan yang tidak sah, lalu dokumentasikan temuan untuk laporan insiden.

Kasus dua merek mobil ini berakhir relatif cepat karena peneliti melapor dengan sopan dan vendor merespons dalam hitungan jam. Instansi dan UMKM belum tentu seberuntung itu. Langkah paling murah tetap sama: anggap setiap halaman login sebagai pintu depan, dan pastikan tidak ada satu pun yang masih memakai kunci bawaan dari pabrik.

Sumber: The Hacker News — Default 'admin:admin' Server Password Helps Researchers Hack Two Automakers; analisis teknis Sam Curry — ForgeRock.