# Ghost Credentials: Ancaman Tersembunyi di Cloud

> Proliferasi identitas non-manusia yang tidak terkelola menciptakan jalur serangan baru di lingkungan cloud — kredensial terlupakan menjadi pintu masuk paling sunyi.

**URL:** https://www.ciptadusa.com/blog/ghost-credentials-cloud-attack-path-20260729  
**Type:** blog  
**Author:** PT Cipta Dua Saudara  
**Category:** Keamanan Aplikasi  
**Published:** 2026-07-29  
**Cover:** https://cdn-uagents.enitip.com/uploads/blog/2026-07/daily-appsec-20260729-014727.jpg  

## Article

Setiap kali sebuah tim engineering men-deploy microservice baru, sebuah identitas non-manusia lahir bersamanya — service account, API key, OAuth token, atau machine credential. Kebanyakan tidak pernah dirotasi, tidak pernah diaudit, dan tidak pernah dihapus.

## Ringkasan

Proliferasi identitas non-manusia yang tidak terkelola menciptakan jalur serangan baru di lingkungan cloud — kredensial yang terlupakan menjadi pintu masuk paling sunyi bagi penyerang.

## Tantangan

Di lingkungan cloud enterprise modern, jumlah identitas non-manusia (non-human identities/NHI) bisa mencapai **45 kali lipat** jumlah identitas manusia. Setiap container, pipeline CI/CD, dan integrasi SaaS membutuhkan kredensialnya sendiri.

Yang membuat masalah ini unik:

**Ghost credentials** — kredensial yang masih aktif tetapi tidak lagi terhubung ke workload yang berjalan. Service account dari proyek yang sudah dihentikan. API key dari integrasi vendor yang kontraknya sudah berakhir. Token OAuth dari karyawan yang sudah resign tetapi machine-to-machine token-nya masih hidup.

Berbeda dengan user account yang memiliki proses offboarding, identitas non-manusia jarang memiliki lifecycle management yang jelas. Tidak ada HR yang memicu deprovisioning saat sebuah microservice didekomisasi.

## Pendekatan

Organisasi yang mulai mengatasi masalah ini mengadopsi tiga strategi:

**Inventory-first visibility** — mapping semua NHI aktif di setiap cloud account dan SaaS tenant. Tanpa inventaris lengkap, tidak ada yang tahu berapa banyak ghost credential yang mengintai.

**Just-in-time provisioning** — menggantikan long-lived credentials dengan short-lived token yang expire otomatis. AWS IAM Roles Anywhere dan Azure Managed Identities menjadi standar baru, tetapi adopsinya masih lambat di legacy systems.

**Behavioral baselining** — menggunakan pattern access normal sebagai baseline, kemudian mendeteksi anomali. Sebuah service account yang biasanya hanya mengakses S3 bucket tertentu tiba-tiba melakukan `ListUsers` di IAM — itu sinyal.

Tantangan terbesar bukan teknologi, melainkan ownership. Siapa yang bertanggung jawab atas service account yang dibuat tiga tim dan dua reorganisasi lalu?

## Referensi

- [Ghost Credentials Expose Cloud Systems to Hidden Identity Risks — Dark Reading](https://www.darkreading.com/cloud-security/non-human-identity-sprawl-creates-a-new-cloud-attack-path)
- [Non-Human Identity Security — CSA Cloud Security Alliance](https://cloudsecurityalliance.org/research/topics/identity-management)
- [OWASP Non-Human Identity Top 10](https://owasp.org/www-project-non-human-identity-top-10/)

---

*Markdown version of https://www.ciptadusa.com/blog/ghost-credentials-cloud-attack-path-20260729 — generated for AI agents and LLM crawlers.*