Claude Max Murah, Tampermonkey & Cookie: Risiko Teknis

Akun Claude Max 20x Murah, Tampermonkey, dan Cookie: Ini Nama Teknik serta Risiko Datanya

Penawaran "Claude Max 20x murah" sering terlihat seperti diskon software biasa. Masalahnya berubah total ketika aktivasi meminta pembeli memasang Tampermonkey, menjalankan userscript, mengimpor cookie, mengganti session, atau menempel token ke browser.

Pada titik itu, pembeli tidak lagi sekadar membeli langganan. Pembeli sedang memberi kode dari pihak yang tidak dikenal akses untuk berjalan di dalam browser, atau sedang memakai identitas sesi yang asal-usulnya tidak jelas.

Verdict operasionalnya sederhana: anggap high-risk sampai script, permission, domain tujuan, dan asal akun selesai diaudit. Jangan jalankan metode seperti ini di browser kerja, browser yang login ke email, GitHub, cloud, dashboard bisnis, atau akun keuangan.

Artikel ini membedakan nama teknik yang benar, apa yang bisa terjadi di browser, mana yang merupakan fakta teknis, mana yang masih dugaan, dan langkah pemulihan jika metode tersebut telanjur dipakai.

Ringkasan cepat

Pola "install Tampermonkey lalu import cookie" dapat berkaitan dengan beberapa teknik:

Session hijacking: mengambil alih akun dengan session token yang masih valid.
Pass-the-cookie atau cookie replay: menyalin cookie autentikasi ke browser lain agar sesi dapat dipakai tanpa password.
Session injection: menyuntikkan cookie atau token sesi ke browser pembeli.
Session fixation: membuat korban menggunakan session ID yang sudah diketahui pihak lain sebelum atau saat autentikasi.
Malicious userscript atau browser script injection: menjalankan JavaScript pihak ketiga pada halaman target.
Man-in-the-browser: kode di browser mengamati atau mengubah data sebelum dikirim dan setelah respons diterima.
Credential dan token exfiltration: mengirim cookie, token, isi halaman, prompt, atau data lain ke server pihak ketiga.
Account sharing dan unauthorized resale: satu akun atau credential dijual ulang ke banyak pengguna.
Supply-chain attack: script awal terlihat aman, lalu berubah melalui update atau memuat kode dari server lain.
Obfuscation dan remote-code loading: kode disamarkan atau mengambil instruksi tambahan saat dijalankan.
Phishing dan social engineering: pembeli diarahkan melakukan tindakan berbahaya dengan alasan "aktivasi", "bug", atau "unlock".
Infostealer-like browser theft: perilakunya menyerupai pencuri informasi jika script mengambil session, storage, clipboard, atau data halaman.

Tidak semua penjual pasti melakukan seluruh teknik di atas. Namun permintaan untuk mengatur cookie dan menjalankan script asing sudah cukup menjadi red flag karena mekanismenya memang membuka jalur penyalahgunaan.

Setelah login berhasil, situs biasanya memberikan session ID melalui cookie. Browser mengirim cookie itu pada request berikutnya agar server mengenali bahwa pengguna masih login. MDN menjelaskan cookie memang umum dipakai untuk session management dan status sign-in.

Konsekuensinya penting: password dipakai untuk membentuk sesi, tetapi banyak request setelahnya bergantung pada session token. Jika token valid dipindahkan ke browser lain dan server tidak menolak anomali tersebut, pemegang token dapat terlihat seperti pengguna yang sudah login.

Inilah alasan cookie autentikasi bukan "setting browser biasa". Dalam konteks akun, cookie dapat berfungsi seperti kunci sementara.

MDN juga menjelaskan bahwa pencurian session ID dapat membuat penyerang terlihat seolah sudah login sebagai pemilik akun. Perlindungan seperti Secure, HttpOnly, dan SameSite membantu, tetapi bukan alasan untuk sengaja mengimpor session dari sumber tidak dikenal.

1. Session hijacking

Session hijacking adalah pengambilalihan sesi pengguna dengan mencuri, memprediksi, atau memperoleh session token yang valid. OWASP mendefinisikannya sebagai eksploitasi mekanisme kontrol sesi untuk mendapat akses tanpa otorisasi.

Dalam skema akun murah, bentuknya bisa dua arah:

pembeli menerima cookie milik akun lain dan ikut memakai sesi tersebut;
script yang dipasang pembeli mengambil sesi milik pembeli lalu mengirimkannya ke pihak lain.

Arah pertama membuat pembeli bergantung pada akun yang tidak dikuasainya. Arah kedua membuat akun pembeli berpotensi diambil alih. Keduanya berbahaya.

Tanda teknis yang perlu dicari: akses ke cookie, local storage, session storage, header autentikasi, endpoint sesi, atau request ke domain seller.

Istilah pass-the-cookie atau cookie replay dipakai ketika cookie autentikasi yang sah disalin dan digunakan kembali di perangkat atau browser lain. Penyerang tidak harus mengetahui password jika cookie masih diterima oleh server.

Ini paling dekat dengan instruksi seperti:

"import cookie ini";
"ganti session key";
"paste token ke developer tools";
"jalankan script agar akun Max terbuka."

Bisa saja script hanya mengotomatisasi pemasangan cookie shared. Tetap saja asal akun tidak jelas, akses dapat hilang kapan pun, dan percakapan pada akun tersebut berpotensi terlihat oleh pengguna lain yang memegang sesi sama.

Untuk pekerjaan coding atau bisnis, risikonya bukan hanya akun putus. Prompt, file, source code, dan riwayat chat dapat bercampur di akun bersama.

3. Session injection

Session injection adalah istilah deskriptif untuk tindakan memasukkan session token ke browser. Ini bukan selalu nama kategori formal tunggal seperti session hijacking, tetapi tepat untuk menjelaskan mekanisme aktivasi yang memodifikasi cookie atau storage agar browser masuk sebagai akun tertentu.

Teknik ini sering dibungkus sebagai kemudahan: pengguna tidak perlu menerima email dan password, cukup klik script. Justru itulah masalahnya. Pengguna tidak bisa memastikan:

token berasal dari pemilik yang sah;
token hanya dipasang dan tidak sekaligus dikirim keluar;
script tidak memodifikasi data lain;
seller tidak dapat mengganti perilaku script kemudian.

4. Session fixation

Session fixation berbeda dari pencurian sesi setelah login. OWASP menjelaskan bahwa pada session fixation, korban dibuat memakai session ID yang sudah diketahui penyerang, lalu sesi itu menjadi terautentikasi.

Tidak semua skema cookie akun murah adalah session fixation. Jika pembeli hanya menerima cookie dari akun yang sudah login, istilah yang lebih tepat biasanya cookie replay atau session hijacking. Session fixation relevan jika script menetapkan session tertentu sebelum proses autentikasi dan sesi tersebut tidak diregenerasi oleh aplikasi.

Pembedaan ini penting agar artikel keamanan tidak asal memakai istilah teknis.

5. Malicious userscript dan browser script injection

Tampermonkey adalah userscript manager. Tool-nya sendiri tidak otomatis jahat. Risiko muncul dari script yang dipasang dan permission yang diberikan.

Dokumentasi Chrome menjelaskan content script dapat berjalan dalam konteks halaman, membaca detail melalui DOM, mengubah halaman, dan mengirim informasi ke bagian lain dari extension. Dengan host permission yang sesuai, extension juga dapat menyuntik script, membuat request lintas host, memantau network, mengakses cookie melalui API terkait, atau mengubah request dan response header.

Userscript yang meminta cakupan seperti seluruh situs harus diperlakukan jauh lebih serius daripada script yang dibatasi ke satu domain. Red flag meliputi:

pola akses ke semua situs;
koneksi ke domain atau IP milik seller;
request keluar yang tidak dijelaskan;
akses clipboard atau storage;
event listener untuk input, tombol submit, editor, atau upload;
kode yang memuat script tambahan dari URL remote.

Browser profile kerja menyimpan jauh lebih banyak daripada satu akun Claude. Karena itu, userscript yang salah scope dapat mengubah risiko satu akun menjadi risiko seluruh aktivitas browser.

6. Man-in-the-browser

Man-in-the-browser terjadi ketika kode berbahaya di endpoint atau browser mengamati dan memanipulasi interaksi pengguna dengan aplikasi web. OWASP menjelaskan serangan ini dapat bekerja melalui extension atau JavaScript, membaca field melalui DOM, mengubah data sebelum dikirim, dan bahkan menampilkan kembali data yang membuat pengguna merasa tidak ada perubahan.

Dalam konteks layanan AI, bentuk yang realistis antara lain:

membaca prompt sebelum dikirim;
menyalin output setelah diterima;
memantau file yang dipilih untuk upload;
mengganti endpoint atau payload request;
menyisipkan instruksi tambahan;
mengubah link, tombol, atau informasi paket di halaman.

TLS atau ikon gembok tidak menyelesaikan masalah ini karena kode sudah berjalan di dalam browser setelah koneksi aman terbentuk.

7. Credential dan token exfiltration

Exfiltration berarti mengeluarkan data dari lingkungan pengguna ke sistem pihak lain. Targetnya tidak harus password. Data bernilai tinggi dapat berupa:

cookie sesi;
bearer token;
API key;
local storage dan session storage;
isi prompt dan percakapan;
source code;
nama repo dan struktur proyek;
file upload;
alamat email dan metadata akun;
clipboard;
URL internal atau dashboard yang sedang dibuka.

Red flag di kode biasanya berupa fetch, XMLHttpRequest, WebSocket, beacon, atau API userscript untuk request lintas domain menuju host yang tidak berkaitan dengan layanan resmi.

Perlu disiplin dalam menyimpulkan. Adanya fetch saja tidak otomatis membuktikan pencurian. Auditor harus melihat data apa yang dikirim, ke domain mana, kapan dijalankan, dan apakah tujuan itu memang diperlukan.

Sebagian penawaran mungkin bukan malware, tetapi tetap menggunakan account sharing atau unauthorized resale. Satu akun dibeli atau diperoleh seller, lalu aksesnya dibagikan ke banyak pembeli memakai cookie.

Anthropic menyatakan dalam Consumer Terms bahwa pengguna tidak boleh membagikan informasi login, API key, credential akun, atau membuat akun tersedia untuk orang lain. Anthropic juga melarang resale layanan dalam ketentuan penggunaan konsumennya.

Dokumentasi resmi Max menyebut Max tersedia dalam tier 5x dan 20x. Anthropic juga menyatakan tidak menawarkan diskon standar untuk paket berbayar, termasuk Max 5x dan 20x; promo terbatas diumumkan melalui channel resmi.

Artinya, harga sangat murah bukan bukti scam dengan sendirinya, tetapi penjual harus mampu menjelaskan jalur lisensi yang sah tanpa meminta cookie injection atau userscript. Jika tidak, risiko terminasi dan asal akun bermasalah sangat tinggi.

9. Supply-chain attack melalui update script

Script dapat terlihat bersih saat pertama diperiksa, lalu berubah. Ini disebut risiko software supply chain atau update-chain compromise ketika kepercayaan pada satu komponen dipakai untuk memasukkan perilaku baru di kemudian hari.

Pola yang perlu diperiksa:

update URL milik seller;
script memuat JavaScript remote setiap startup;
dependency dari CDN yang versinya tidak dikunci;
domain update yang baru dibuat atau tidak jelas pemiliknya;
perubahan otomatis tanpa review pengguna.

Audit sekali tidak cukup jika script memiliki jalur update remote. Yang perlu diaudit bukan hanya file saat ini, tetapi juga mekanisme bagaimana file itu bisa berubah.

10. Obfuscation, packed script, dan remote-code loading

Obfuscation menyamarkan kode agar sulit dibaca. Contohnya string panjang yang dipecah, nama variabel acak, array encoded, Base64 berlapis, atau fungsi yang membangun kode saat runtime.

Remote-code loading terjadi ketika file awal mengambil dan menjalankan kode tambahan dari server. Kombinasi keduanya berbahaya karena reviewer melihat bootstrap kecil, sedangkan perilaku sebenarnya datang setelah script berjalan.

Red flag kuat:

eval atau Function untuk mengeksekusi string;
decode lalu execute;
script remote dari domain seller;
payload terenkripsi tanpa alasan fungsional;
kondisi yang hanya aktif pada waktu, akun, atau domain tertentu.

Obfuscation tidak otomatis berarti malware. Produk komersial kadang melakukan minification atau proteksi source. Namun script aktivasi akun yang meminta akses sensitif tidak punya alasan bagus untuk menyembunyikan perilakunya dari pembeli.

Social engineering adalah manipulasi pengguna agar melakukan tindakan yang menguntungkan penyerang. Dalam kasus ini, kata-kata seperti "bug Claude", "private method", "lifetime", "anti logout", atau "unlock 20x" dapat dipakai untuk menurunkan kewaspadaan.

Tekniknya efektif karena korban sendiri yang:

memasang extension;
memberi permission;
menempel cookie;
membuka developer tools;
menonaktifkan proteksi;
menjalankan JavaScript.

Tidak ada exploit canggih yang dibutuhkan jika pengguna berhasil diyakinkan untuk menjalankan kode penyerang.

12. Infostealer-like behavior

Infostealer biasanya merujuk pada malware yang mencuri credential, cookie, wallet, dan data browser. Userscript tidak otomatis sama dengan infostealer penuh. Namun jika perilakunya mengumpulkan session, storage, clipboard, prompt, atau credential lalu mengirimnya keluar, secara fungsi ia memiliki infostealer-like behavior.

Istilah ini sebaiknya dipakai setelah ada bukti kode atau traffic network. Sebelum bukti tersedia, gunakan frasa "berpotensi melakukan exfiltration" agar tidak membuat tuduhan yang belum terverifikasi.

Matriks istilah: kapan nama tekniknya tepat?

Gejala	Istilah paling dekat	Risiko utama
Diberi cookie akun lain lalu diminta import	Pass-the-cookie, cookie replay, session injection	Akses akun tidak sah, chat shared, terminasi
Session milik pengguna dicuri	Session hijacking	Pengambilalihan akun
Session tertentu dipasang sebelum login dan tetap dipakai	Session fixation	Penyerang mengetahui sesi korban
JavaScript berjalan di halaman Claude	Userscript injection, content-script injection	Membaca atau mengubah DOM dan request
Script memantau atau memodifikasi transaksi di browser	Man-in-the-browser	Data dan tindakan dimanipulasi
Token atau prompt dikirim ke server lain	Credential or data exfiltration	Kebocoran akun dan data kerja
Satu akun dijual ke banyak pembeli	Account sharing, unauthorized resale	Privasi rendah, limit berebut, akun ditutup
Script berubah lewat update remote	Supply-chain risk	Perilaku aman berubah menjadi berbahaya
Kode disamarkan dan menjalankan payload remote	Obfuscation, packed loader	Audit dipersulit, fungsi tersembunyi
Korban dibujuk menjalankan kode "aktivasi"	Social engineering	Pengguna memberi akses sendiri

Apa yang dapat dicuri dari pengguna Claude untuk coding?

Dampaknya lebih besar daripada kehilangan akun AI. Pengguna coding sering memasukkan konteks yang sensitif:

source code proprietary;
konfigurasi deployment;
stack trace dan log internal;
skema database;
URL staging;
nama client;
potongan .env yang seharusnya tidak dibagikan;
token GitHub, cloud, database, atau API yang tidak sengaja ikut terpaste.

Jika script dapat membaca halaman Claude, percakapan dan output dapat diambil. Jika permission-nya lebih luas, script dapat berinteraksi dengan situs lain sesuai cakupan izin. Inilah alasan browser kerja tidak boleh menjadi tempat eksperimen akun "bug".

Cara audit userscript tanpa menjalankannya

Audit harus dilakukan secara statis lebih dulu, di perangkat atau environment terisolasi.

1. Periksa metadata block

Cari:

domain yang cocok dengan @match atau @include;
domain pada @connect;
@require dari host pihak ketiga;
@updateURL dan @downloadURL;
permission atau @grant yang diminta.

Cakupan seluruh web jauh lebih berisiko daripada satu host yang spesifik.

2. Daftar semua tujuan network

Ekstrak setiap URL, hostname, IP, webhook, WebSocket, dan endpoint telemetry. Cocokkan dengan fungsi script. Domain seller yang menerima data autentikasi adalah red flag kritis.

3. Cari sumber data sensitif

Periksa penggunaan:

cookie API;
document.cookie;
local storage;
session storage;
IndexedDB;
clipboard;
DOM editor dan textarea;
file input;
request header dan bearer token.

4. Cari sink atau jalur pengiriman

Periksa fetch, XHR, beacon, form submit, WebSocket, image ping, dan API request milik userscript. Risiko terbentuk ketika sumber sensitif bertemu jalur pengiriman keluar.

5. Bongkar obfuscation

Jangan menjalankan hasil decode. Decode string sebagai data, format kode, lalu review ulang. Jika script mengunduh payload baru, ambil sebagai file teks di sandbox tanpa mengeksekusinya.

6. Periksa persistence

Cari timer, event listener, mutation observer, service worker, storage flag, atau mekanisme yang membuat script terus aktif setelah "aktivasi" selesai.

7. Uji hanya di sandbox

Jika analisis dinamis benar-benar dibutuhkan, gunakan VM atau browser profile kosong tanpa login, tanpa password manager, tanpa clipboard sensitif, dan tanpa akun utama. Pantau DNS, HTTP request, WebSocket, storage changes, serta perubahan DOM.

Checklist red flag sebelum membeli

Batalkan pembelian jika ada satu atau lebih kondisi berikut:

aktivasi mensyaratkan cookie atau session token;
seller mengirim script dari chat, Pastebin, Gist anonim, atau file yang tidak dapat diaudit;
diminta memasang Tampermonkey dengan akses luas;
diminta menonaktifkan antivirus, browser protection, CORS, atau update keamanan;
login dilakukan di domain selain claude.ai atau claude.com;
harga jauh di bawah resmi tanpa invoice dan jalur promo resmi;
seller menjanjikan "replace akun" jika logout;
akun dipakai bersama tetapi disebut private;
tidak ada kontrol email, recovery, billing, dan session dari pembeli;
script memiliki obfuscation atau koneksi ke domain seller.

Jika sudah terlanjur memasang

Anggap insiden sebagai kemungkinan compromise, bukan sekadar uninstall aplikasi.

Hapus userscript dan extension yang tidak dipercaya.
Tutup semua session Claude dan logout dari perangkat lain bila fitur tersedia.
Bersihkan cookie serta site data Claude.
Ganti password akun terkait dan akun email yang menjadi jalur recovery.
Aktifkan atau periksa ulang multi-factor authentication.
Rotasi API key, token, dan secret yang pernah ditempel ke percakapan atau terlihat saat script aktif.
Periksa extension lain, permission browser, startup page, proxy, DNS, dan sertifikat lokal yang mencurigakan.
Cek aktivitas GitHub, cloud, email, dan dashboard penting.
Untuk browser kerja, pindahkan data penting lalu buat profile baru yang bersih.
Jika script memiliki akses luas atau ditemukan exfiltration, lakukan incident response pada endpoint, bukan hanya browser cleanup.

Keputusan operasional

Tampermonkey bukan bukti scam. Cookie juga bagian normal dari web. Yang membuat skema ini berbahaya adalah kombinasi berikut:

akses premium dijual jauh di bawah jalur resmi;
pembeli tidak menguasai identitas dan recovery akun;
aktivasi memakai session milik pihak lain;
kode seller harus berjalan di browser;
permission atau tujuan network tidak transparan.

Tanpa audit, pengguna tidak bisa membedakan script yang sekadar memasang cookie shared dari script yang sekaligus mengambil data. Karena dampaknya mencakup source code, file bisnis, prompt, dan credential, keputusan aman adalah jangan jalankan.

Gunakan langganan langsung dari Anthropic, paket organisasi yang memang memberi seat resmi, atau API resmi dengan credential milik sendiri. Selisih harga tidak sebanding dengan biaya incident response ketika browser kerja, repo, cloud, atau data client ikut terbuka.

Referensi primer

Tags: #Claude Max #keamanan browser #Tampermonkey #session hijacking #cookie #keamanan siber

Rama Aditya

Founder Rama Digital. Menulis tentang digital marketing, web development, AI, dan sistem operasional untuk bisnis Indonesia.

Tentang Rama Digital