Serangan Supply Chain 2026: Dari npm ke FortiGate, Rantai Pasok Software dalam Bahaya

Rantai pasok software adalah ekosistem yang selama ini dianggap stabil. Namun sepanjang 2026, serangan terhadap registry seperti npm dan PyPI meningkat drastis. Bukan developer yang lalai, melainkan paket resmi yang mereka percaya telah disusupi dari sumbernya. Ini bukan film fiksi ilmiah, melainkan realita serangan supply chain yang mengancam enterprise dan individu di seluruh dunia.

Dalam enam bulan pertama tahun ini saja, dunia mencatat setidaknya tiga gelombang serangan rantai pasok software besar-besaran. Semua menargetkan ekosistem pengembangan aplikasi modern. Mulai dari npm registry yang digunakan jutaan developer JavaScript, hingga firewall FortiGate yang melindungi ribuan perusahaan global. Pelajaran dari artikel kami sebelumnya tentang Playbook SOC menunjukkan bahwa serangan supply chain memerlukan respons yang cepat dan terstruktur.

Infografik: Tiga gelombang serangan supply chain besar di 2026 : Miasma (npm/GitHub Actions), Laravel-Lang (PHP/Packagist), dan FortiBleed (Fortinet firewall).

Miasma dan Mini Shai-Hulud, Worm yang Menyebar Lewat npm

Pada awal Juni 2026, tim peneliti dari Wiz, Socket, dan perusahaan keamanan lainnya secara bersamaan melaporkan temuan mengejutkan. Setidaknya 32 paket npm di bawah namespace @redhat-cloud-services telah dikompromikan. Paket-paket ini diperkirakan mencapai sekitar 80.000 unduhan mingguan. Red Hat kemudian mengonfirmasi insiden ini sebagai RHSB-2026-006.

Malware yang diberi nama Miasma ini merupakan bagian dari keluarga yang lebih besar yang mencakup Mini Shai-Hulud dan Hades. Cloud Security Alliance dalam risetnya mencatat bahwa Miasma menggunakan teknik yang disebut “Phantom Gyp”. Teknik ini menyisipkan file binding.gyp berbahaya yang memicu eksekusi payload saat npm install dijalankan. Teknik ini berhasil melewati banyak scanner keamanan statis karena tidak menggunakan skrip postinstall yang biasa dicurigai.

Yang membuat Miasma berbeda dari serangan supply chain sebelumnya adalah kemampuannya untuk menyebar secara otomatis. Begitu satu akun developer berhasil dibajak, malware ini menggunakan token npm yang dicuri untuk mempublikasikan versi jahat dari paket lain. Cloud Security Alliance mencatat bahwa pada akhir Juni 2026, kampanye Miasma telah meluas hingga lebih dari 110 paket npm dalam tiga gelombang serangan, termasuk ke ekosistem Go dan proyek Verana Blockchain. Pelaku juga menyalahgunakan GitHub Actions workflow dari aksi komunitas codfish/semantic-release-action.

Dampaknya menjalar ke ribuan proyek hilir secara global, termasuk tool AI populer seperti AI coding assistants dan SDK terkait yang menggunakan pustaka npm.

Laravel-Lang, 700 Versi Palsu dalam Hitungan Jam

Bulan sebelumnya, pada 23 Mei 2026, ekosistem PHP mendapatkan pukulan telak. Empat paket populer milik organisasi Laravel-Lang, yaitu laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes, dan laravel-lang/actions, berhasil dikompromikan melalui metode yang tidak biasa.

Alih-alih mengubah kode sumber, pelaku justru menulis ulang setiap git tag yang sudah ada di setiap repositori untuk menunjuk ke komit berbahaya baru. Hasilnya, lebih dari 700 versi paket palsu diterbitkan dalam waktu kurang dari 48 jam. Menurut firma keamanan Socket, kecepatan publikasi ini menunjukkan bahwa pelaku kemungkinan besar memiliki akses ke kredensial organisasi di level administrator. Atau infrastruktur automasi rilis yang sepenuhnya dikompromikan.

File jahat bernama src/helpers.php disisipkan ke dalam peta autoload composer. Artinya, aplikasi Laravel mana pun yang menjalankan proses bootstrap akan langsung mengeksekusi payload tanpa perlu dipanggil secara eksplisit. Tim peneliti dari Aikido Security mendokumentasikan bahwa payload tersebut adalah PHP credential stealer sepanjang sekitar 5.900 baris. Terdiri dari 15 modul kolektor spesialis. Modul-modul ini mampu:

• Mencuri kredensial browser, termasuk password tersimpan, cookie, dan session dari berbagai browser populer
• Mengumpulkan konfigurasi VPN, seperti file OpenVPN, WireGuard, NetworkManager, NordVPN, ExpressVPN, CyberGhost, dan Mullvad
• Mengakses dompet kripto, termasuk informasi wallet lokal dan ekstensi browser
• Mencuri SSH key, termasuk akses ke file .ssh dan token cloud

Semua data yang terkumpul dienkripsi dengan AES-256 dan dikirim ke server C2 di flipboxstudio[.]info. Setelah berhasil, malware menghapus dirinya sendiri dari disk untuk menghilangkan bukti forensik.

FortiBleed, 110 Juta Kredensial dari 73.932 Firewall

Dua minggu kemudian, dunia dikejutkan dengan temuan yang jauh lebih besar. Sebuah database berisi kredensial VPN dari 73.932 perangkat Fortinet di 194 negara ditemukan terekspos di bucket cloud storage yang tidak diamankan. Data ini mencakup nama pengguna VPN, hash password, nomor seri perangkat, alamat IP publik, dan versi firmware.

Peneliti keamanan Volodymyr “Bob” Diachenko dan firma intelijen Hudson Rock mengungkap bahwa kampanye yang dijuluki FortiBleed ini adalah operasi kredensial berskala industri yang dijalankan oleh grup kriminal berbahasa Rusia. Modus operandinya sangat sistematis:

• 1,16 miliar percobaan kredensial terhadap lebih dari 320.000 target FortiGate
• 2,1 miliar percobaan brute-force paralel terhadap 160.000 server MSSQL
• Cluster 45 GPU digunakan untuk cracking hash password secara offline via Hashtopolis
• Golang sniffer dipasang di sekitar 12.000 perangkat Fortinet untuk menyadap lalu lintas jaringan

Menurut SOCRadar, operasi ini berhasil menyimpulkan akses admin level pada 409 target. Rantai serangan penuh berhasil diselesaikan pada 354 perangkat. Sebanyak 12 kali penyebaran ransomware telah dikonfirmasi sebagai hasil dari akses ini. Ratusan endpoint terenkripsi di berbagai organisasi menjadi korban. THN melaporkan bahwa kampanye ini menargetkan sekitar 430.000 firewall FortiGate secara global dan mengumpulkan lebih dari 110 juta kredensial.

Yang lebih mengkhawatirkan, analis dari SOCRadar menemukan bahwa operator yang terhubung ke infrastruktur FortiBleed juga aktif di panel negosiasi grup ransomware INC dan Lynx. Ini adalah pertama kalinya pencurian kredensial FortiGate massal secara langsung terhubung dengan penyebaran ransomware.

Mengapa Supply Chain Attack Menjadi Ancaman Nomor Satu di 2026

Ketiga insiden di atas memiliki satu kesamaan. Pelaku tidak menyerang korban secara langsung. Mereka menyerang infrastruktur pengembangan yang ada di hulu, seperti registry paket, token developer, sistem CI/CD, dan perangkat jaringan. Tujuannya satu, mencapai ribuan target sekaligus dalam satu gerakan.

Laporan dari Cloud Security Alliance AI Safety Initiative menekankan bahwa serangan supply chain tidak lagi hanya soal paket npm yang mencurigakan. Teknik-teknik baru seperti Phantom Gyp, git tag rewriting, dan token harvesting via GitHub Actions menunjukkan bahwa pelaku terus berinovasi. Ekosistem open source, yang selama ini menjadi tulang punggung pengembangan software modern, kini menjadi vektor serangan yang paling sulit diamankan.

Untuk Indonesia, pelajaran dari tiga insiden ini sangat relevan. Banyak perusahaan dan instansi pemerintah yang masih mengandalkan software open source tanpa proses vetting yang memadai. Seperti yang kami tulis sebelumnya tentang kebocoran data CISA di GitHub, secret management dan dependency hygiene adalah area yang masih lemah di banyak organisasi. FortiBleed secara spesifik mengingatkan bahwa perangkat jaringan sekelas enterprise pun bisa menjadi titik lemah jika tidak dikonfigurasi dan dipatch dengan benar.

Langkah Mitigasi yang Bisa Diambil

Beberapa langkah yang direkomendasikan oleh para peneliti untuk mengurangi risiko supply chain attack:

• Aktifkan MFA di semua akun developer, terutama untuk akun dengan akses publikasi paket dan token CI/CD
• Audit dependency secara rutin, gunakan alat seperti Socket, Aikido, atau Snyk untuk mendeteksi anomali di pohon dependensi
• Batasi token npm dan GitHub, jangan gunakan token dengan akses penuh. Terapkan prinsip least privilege untuk semua token automasi
• Patch perangkat jaringan, FortiBleed terjadi karena kombinasi konfigurasi logging yang salah dan kerentanan yang tidak dipatch. Perbarui FortiOS ke versi terbaru secara berkala
• Verifikasi integritas paket, gunakan checksum dan signature verification untuk semua dependency kritis

Serangan SmartLoader-StealC yang kami liput sebelumnya juga mengingatkan bahwa developer adalah target utama dalam rantai pasok software. Dari 109 repositori GitHub palsu yang menargetkan developer, hingga 73.932 firewall yang dikompromikan, semuanya menunjukkan satu pola yang sama. Rantai pasok software adalah medan perang baru di dunia siber.

Serangan supply chain di 2026 menunjukkan bahwa keamanan software bukan lagi urusan individu. Ketika satu akun developer dibajak, dampaknya bisa menjalar ke ribuan organisasi dalam hitungan jam. Di era di mana rantai pasok software menjadi semakin kompleks dan saling terhubung, pertahanan terbaik adalah kesadaran bahwa tidak ada paket yang benar-benar aman. Hanya yang tidak terdeteksi.

siber.web.id, Cyber Resilience & Security Intelligence.