Memahami Trik Rekayasa Sosus dan Cara Mencegahnya

Di era digital, rekayasa sosial dan phishing mewakili ancaman signifikan terhadap keamanan dan privasi, berdampak pada berbagai platform digital—dari media sosial dan aplikasi perpesanan hingga perdagangan digital, perusahaan pembayaran, dan perbankan online. Statistik terbaru menunjukkan tren peningkatan dalam kasus-kasus rekayasa sosial, dengan kerugian finansial yang besar terjadi setiap tahun. Memahami ancaman ini sangat penting untuk melindungi ekosistem dan memastikan keamanan semua pemangku kepentingan yang terlibat.

Apa itu Phishing dan Social Engineering?

Phishing dan rekayasa sosial adalah bentuk canggih dari serangan cyber yang memanipulasi individu daripada mengeksploitasi kerentanan perangkat lunak. Setiap tahun, 58% pengguna sistem perusahaan yang mengambil tindakan berisiko terlibat dalam perilaku yang akan membuat mereka rentan terhadap taktik rekayasa sosial umum. Taktik ini telah berkembang dari waktu ke waktu menjadi lebih kompleks, beradaptasi dengan kemajuan dalam langkah-langkah keamanan siber.

Definisi dan Jenis

Rekayasa sosial melibatkan manipulasi psikologis untuk mengelabui pengguna agar membuat kesalahan keamanan atau memberikan informasi sensitif. Phishing adalah taktik rekayasa sosial di mana penyerang menyamar sebagai entitas tepercaya untuk mengekstrak data sensitif seperti nama, alamat, detail bank, dan detail kartu kredit. Ini termasuk berbagai metode seperti phishing email, vishing (phishing suara), smishing (SMS phishing), spear phishing, dan whaling—jenis khusus ini menargetkan manajemen senior untuk mendapatkan kontrol sistem internal dan mengakses data istimewa. Mari kita lihat beberapa contoh kehidupan nyata:

• Promosi Merek PalsuPenyerang membuat iklan palsu yang menawarkan diskon yang tidak realistis pada produk populer untuk memikat konsumen agar memberikan detail pribadi.

Polisi Singapura telah mengeluarkan peringatan tentang tren penipuan yang meningkat di mana penjahat menyamar sebagai bank melalui SMS, menawarkan skema setoran tetap berbunga tinggi untuk memikat korban ke dalam transaksi penipuan, yang menyebabkan setidaknya 12 korban kehilangan total S$650,000 sejak Januari, 2024 (CNA).

• Penipuan Penipu Pemerintah: penipu berpura-pura berasal dari pemerintah dan membuat situs web untuk mengumpulkan informasi pribadi. Metode ini mengeksploitasi kepercayaan yang dimiliki orang dalam komunikasi resmi untuk menipu mereka agar memberikan data sensitif.

Polisi Singapura telah mengeluarkan peringatan tentang penipuan phishing baru yang melibatkan infografis Budget 2024 palsu yang beredar melalui Telegram. Infografis ini secara keliru mengklaim berasal dari Kementerian Keuangan dan menipu korban untuk mengklik tautan yang mengarah ke situs web palsu, konon untuk memverifikasi kelayakan untuk pencairan uang tunai pemerintah. Korban diminta detail pribadi, yang kemudian mengarah ke upaya login yang tidak sah di akun Telegram mereka (CNA).

• Peniruan sebagai Layanan PelangganPhisher meniru dukungan pelanggan yang sah untuk menyesatkan pelanggan dan mengarahkan mereka ke situs jahat dengan kedok menyelesaikan masalah.
• Penipuan CEOJuga dikenal sebagai Business Email Compromise (BEC). Ini adalah penipuan di mana penjahat dunia maya menyamar sebagai eksekutif perusahaan untuk menipu karyawan agar mengirim uang atau informasi rahasia. Jenis penipuan ini bergantung pada otoritas eksekutif yang dirasakan dan sering melibatkan permintaan mendesak dan menipu.

Jaime Ondarza, CEO Fremantle untuk Eropa Selatan, telah mengundurkan diri setelah secara keliru mengirim hampir €940.000 kepada penjahat dunia maya dalam penipuan CEO. Para penipu, menyamar sebagai eksekutif senior, meyakinkan Ondarza untuk mentransfer dana untuk akuisisi perusahaan fiktif di Asia. (Visi TBI)

• Serangan Pengambilalihan AkunPenyerang mendapatkan akses ke akun media sosial asli dan menggunakannya untuk mengirim tautan phishing atau permintaan data ke kontak tepercaya, mengeksploitasi kepercayaan dan kredibilitas yang sudah mapan.

Mengapa karyawan mengambil tindakan berisiko?

Untuk memahami alasan di balik tindakan yang menyebabkan individu menjadi korban phishing, pertama-tama kita harus mengenali emosi yang memandu keputusan ini. Adu-Manu dkk. (2022) mengidentifikasi emosi seperti keserakahan, ketakutan, rasa ingin tahu, terpesona, dan empati sebagai pendorong emosional utama yang berkontribusi terhadap serangan phishing. Penipu sering memanipulasi perasaan ini untuk memikat pengguna agar mengambil tindakan berisiko, seperti mengklik email phishing atau menerima penawaran menipu yang tampaknya tidak berbahaya. Selain itu, faktor-faktor yang disengaja seperti kenyamanan menghemat waktu, memenuhi tenggat waktu atau target, dan menghemat uang juga memainkan peran penting dalam membuat keputusan berisiko ini lebih menarik.

Taktik Umum dan Muncul dalam Phishing dan Rekayasa Sosia

Taktik phishing dan rekayasa sosial terus berkembang karena penjahat dunia maya menggunakan metode yang semakin canggih untuk melewati langkah-langkah keamanan dan mengeksploitasi kerentanan manusia. Di bawah ini adalah beberapa teknik yang paling umum digunakan dalam serangan ini:

• Intervensi Manusia: Inti dari rekayasa sosial terletak manipulasi emosi dan perilaku manusia. Penjahat dunia maya menggunakan taktik menipu yang memerlukan tindakan pencegahan yang kuat seperti pendidikan berkelanjutan dan penegakan kebijakan yang ketat untuk melindungi individu.
• Daftar Hitam/Daftar Putih/Daftar Block/PhishtankPenyerang mahir menavigasi atau meniru tampilan situs pada daftar keamanan, menghadirkan tantangan signifikan terhadap pertahanan tradisional yang mengandalkan repositori ini untuk mengidentifikasi ancaman.
• Struktur Web/Pencocokan KontenStrategi umum melibatkan kloning struktur dan konten situs web yang sah. Taktik ini menipu korban agar percaya bahwa mereka berinteraksi dengan situs otentik, sehingga meningkatkan kemungkinan membocorkan informasi sensitif.
• Kesamaan URLPenipu membuat URL yang sangat mirip dengan situs yang sah, metode yang dirancang untuk menipu pengguna dengan mengeksploitasi keakraban dan kepercayaan mereka pada alamat web yang dikenal.
• Pencocokan Log Akses WebDengan mengakses dan menganalisis log lalu lintas web, penyerang dapat membuat situs phishing yang meyakinkan yang meniru aktivitas pengguna yang sah, membuat situs-situs ini tampak lebih kredibel dan dengan demikian membodohi bahkan pengguna yang waspada.
• Teknik Multi-layerUntuk meningkatkan tingkat keberhasilan mereka, penyerang sering menggabungkan beberapa teknik menipu. Pendekatan berlapis-lapis ini meningkatkan kompleksitas serangan, sehingga lebih sulit bagi langkah-langkah keamanan standar untuk mendeteksi dan memblokirnya.

Menjaga Platform Digital Anda

Baik itu media sosial, aplikasi perpesanan, perdagangan digital, perusahaan pembayaran atau perbankan online - memiliki kemampuan untuk mengidentifikasi dan mencegah aktivitas phishing harus menjadi tolok ukur baru dari semua platform digital untuk memastikan inklusi digital bagi pengguna akhir.

Intervensi Tingkat Pengguna

• Pendidikan dan Pelatihan: Program pendidikan dan pelatihan berkelanjutan sangat penting. Mereka membantu individu mengenali dan menanggapi upaya phishing, terutama yang menggunakan taktik rekayasa sosial canggih. Sesi pelatihan reguler dapat secara signifikan meningkatkan kesadaran dan kesiapan pengguna terhadap ancaman ini.
• Kebijakan Keamanan Siber: Kebijakan keamanan siber yang kuat adalah tulang punggung dari setiap organisasi yang aman. Kebijakan ini memandu perilaku pengguna dan memastikan kepatuhan, secara signifikan mengurangi kerentanan terhadap phishing dan serangan cyber lainnya. Sangat penting bagi organisasi untuk mengembangkan pedoman yang jelas yang diperbarui secara berkala untuk mencerminkan ancaman keamanan siber baru.
• Perlindungan Privasi Pribadi: Mendidik staf dan pengguna tentang pentingnya melindungi informasi pribadi sangat penting. Pendidikan ini dapat mencegah penyerang mengumpulkan data penting melalui interaksi yang tampaknya tidak berbahaya atau permintaan yang menipu.
• Solusi Hukum: Menerapkan langkah-langkah hukum dapat memperkuat kerangka keamanan keseluruhan platform, mencegah penjahat dunia maya dengan meningkatkan konsekuensi potensial dari tindakan mereka.

Intervensi Tingkat Perangkat

• Daftar Hitam Domain: Memanfaatkan daftar hitam untuk memblokir domain berbahaya yang diketahui adalah cara mudah namun efektif untuk mencegah akses ke situs web berbahaya. Strategi ini mengurangi risiko serangan phishing dengan mencegah pengguna mengakses situs berbahaya secara tidak sengaja.
• Pembelajaran Mesin: Algoritma pembelajaran mesin dapat memainkan peran penting dalam meningkatkan langkah-langkah keamanan. Teknologi ini mendeteksi perilaku situs yang tidak biasa atau pola data anomali, yang menunjukkan upaya phishing yang canggih dan sebelumnya tidak diketahui.
• Kesamaan URL: Alat yang membandingkan URL yang dikunjungi pengguna dengan daftar situs phishing yang diketahui dapat memblokir upaya penipuan yang meniru situs web yang sah. Ini sangat penting dalam mencegah pengguna menjadi korban situs yang terlihat mirip dengan yang mereka percayai.
• Struktur Web/Kesamaan Konten: Menganalisis struktur dan konten situs web untuk mengidentifikasi salinan atau hampir duplikat situs yang sah adalah metode yang efektif untuk mendeteksi dan mencegah upaya phishing. Analisis ini membantu mengidentifikasi situs yang dirancang untuk menipu pengguna dengan meniru tampilan situs tepercaya.
• Log Akses Web: Pemantauan log akses web memberikan wawasan tentang pola yang tidak biasa yang mungkin mengindikasikan aktivitas phishing. Tanggapan cepat terhadap indikator ini dapat mengurangi potensi ancaman sebelum menyebabkan kerusakan.
• Integrasi PhishTank: Menggabungkan data dari sumber seperti PhishTank ke dalam protokol keamanan memastikan bahwa organisasi terus diperbarui tentang ancaman phishing baru dan yang muncul. Integrasi ini meningkatkan pertahanan proaktif, menjaga langkah-langkah keamanan selangkah lebih maju dari penjahat dunia maya.

Singkatnya

Evolusi rekayasa sosial dan phishing tanpa henti memerlukan pendekatan yang waspada dan berlapis-lapis untuk keamanan siber di semua platform digital. Karena ancaman ini berkembang menjadi lebih canggih, pentingnya menerapkan intervensi tingkat pengguna dan tingkat perangkat yang kuat tidak dapat dilebih-lebihkan. Dengan mendidik pengguna, menegakkan kebijakan keamanan siber yang kuat, dan memanfaatkan langkah-langkah teknologi canggih, organisasi dapat secara signifikan meningkatkan pertahanan mereka terhadap taktik menipu ini. Pada akhirnya, menjaga lingkungan digital yang aman bukan hanya tentang melindungi data — ini tentang menjaga kepercayaan dan kesejahteraan setiap pengguna dalam ekosistem digital.

Referensi

Sarpong Adu-Manu, K., Kwasi Ahiable, R., Kwame Appati, J., & Essel Mensah, E. (2022). Serangan phishing di Social Engineering: Sebuah Ulasan. Jurnal Keamanan Cyber, 4(4), 239—267. https://doi.org/10.32604/jcs.2023.041095

‍