Pengantar

File CSV (Comma-Separated Values) sering dianggap aman karena hanya berisi data teks sederhana yang dipisahkan oleh tanda koma. Format ini banyak digunakan untuk laporan penjualan, ekspor database, hingga pengolahan data di Microsoft Excel atau Google Sheets. Namun, di balik kesederhanaannya, file CSV ternyata bisa menjadi media serangan siber yang berbahaya melalui teknik yang dikenal sebagai CSV Injection.

CSV Injection adalah jenis serangan yang memanfaatkan formula spreadsheet untuk menjalankan perintah berbahaya ketika file dibuka oleh korban. Serangan ini sering kali tidak disadari karena file terlihat seperti laporan biasa.

Apa Itu CSV Injection?

CSV Injection (juga dikenal sebagai Formula Injection) adalah teknik serangan di mana penyerang menyisipkan formula berbahaya ke dalam file CSV. Ketika file tersebut dibuka menggunakan aplikasi spreadsheet seperti Excel, formula tersebut akan dieksekusi secara otomatis.

Menurut OWASP (Open Web Application Security Project), CSV Injection terjadi ketika aplikasi tidak memvalidasi input pengguna sebelum memasukkannya ke dalam file CSV, sehingga memungkinkan penyisipan formula berbahaya (dikutip dari OWASP).

baca juga : Tabnabbing: Bahaya Tersembunyi Saat Tab Browser yang Anda Diamkan Tiba-tiba Berubah Menjadi Situs Palsu

Bagaimana Cara Kerja CSV Injection?

1. Penyisipan Formula Berbahaya

Penyerang memasukkan karakter khusus seperti:

  • =

  • +

  • -

  • @

Sebagai awalan input, misalnya:

=CMD|' /C calc'!A0

Ketika data ini diekspor ke CSV dan dibuka di Excel, sistem akan mengenalinya sebagai formula.

2. Eksekusi Otomatis oleh Spreadsheet

Aplikasi spreadsheet mengeksekusi formula tersebut, yang dapat:

  • Mengirim data ke server eksternal

  • Membuka link berbahaya

  • Menjalankan perintah sistem (dalam kondisi tertentu)

3. Pencurian atau Manipulasi Data

Penyerang dapat memanfaatkan fungsi seperti HYPERLINK() atau WEBSERVICE() untuk mengekstrak data sensitif.

Mengapa CSV Injection Berbahaya?

Serangan Tersembunyi dalam File Biasa

File terlihat seperti laporan normal, sehingga korban jarang mencurigainya.

Risiko Pencurian Data

Formula dapat mengirim isi sel tertentu ke server milik penyerang.

Ancaman bagi Sistem Internal

Jika file dibuka oleh administrator atau staf keuangan, dampaknya bisa lebih besar.

baca juga : Living off the Land (LotL): Teknik Serangan Siber yang Sulit Terdeteksi

Contoh Skenario Serangan

Sistem Ekspor Data Tanpa Validasi

Sebuah aplikasi web memungkinkan pengguna memasukkan nama. Jika sistem tidak melakukan sanitasi input, penyerang dapat memasukkan:

=HYPERLINK("http://malicious-site.com","Klik di sini")

Saat admin mengekspor data pengguna ke CSV dan membukanya, tautan tersebut dapat aktif dan berpotensi berbahaya.

Cara Mencegah CSV Injection

Validasi dan Sanitasi Input

Pastikan semua input pengguna divalidasi sebelum disimpan atau diekspor.

Escape Karakter Berbahaya

Tambahkan tanda petik tunggal (') sebelum karakter yang berpotensi memicu formula agar dianggap sebagai teks biasa.

Contoh:

'=SUM(A1:A2)

Edukasi Pengguna

Ingatkan staf untuk berhati-hati saat membuka file CSV dari sumber yang tidak dikenal.

Gunakan Format Alternatif

Dalam beberapa kasus, penggunaan format yang lebih aman seperti XLSX dengan kontrol keamanan tambahan dapat dipertimbangkan.

Siapa yang Berisiko Terkena CSV Injection?

Serangan ini umum terjadi pada:

  • Sistem CRM yang mengekspor data pelanggan

  • Aplikasi e-commerce

  • Platform registrasi online

  • Sistem laporan keuangan

  • Aplikasi berbasis web dengan fitur export CSV

Karena CSV sering digunakan dalam proses bisnis sehari-hari, risiko serangan ini sering kali diremehkan.

baca juga : BGP Blackholing: Strategi Efektif Mitigasi Serangan DDoS di Level Jaringan

Kesimpulan

CSV Injection adalah ancaman keamanan yang tersembunyi di balik file data sederhana. Dengan memanfaatkan formula spreadsheet, penyerang dapat menjalankan perintah berbahaya atau mencuri informasi sensitif ketika file dibuka oleh korban.

Organisasi perlu menerapkan validasi input yang ketat, melakukan sanitasi data sebelum ekspor, serta meningkatkan kesadaran keamanan pengguna. Meskipun terlihat sederhana, file CSV dapat menjadi pintu masuk serangan serius jika tidak dikelola dengan benar.

Related Posts: