Anda membuka kotak masuk Anda. Baris subjeknya mendesak. Ini mengaku berasal dari bank Anda. Mereka mengatakan akun Anda terkunci. Jika Anda tidak mengeklik tautan dan masuk sekarang, Anda kehilangan segalanya.
Jantungmu berdetak kencang. Kepanikan itu? Itulah masalahnya.
Ini adalah phishing, penipuan digital yang dirancang untuk mencuri hidup Anda. Ini bukan hanya tentang kehilangan beberapa ratus dolar. Ini tentang pencurian identitas. Ini tentang membiarkan orang asing menguras rekening Anda, melakukan pembelian atas nama Anda, atau bahkan menggunakan komputer Anda untuk pencucian uang tanpa Anda sadari.
Kebanyakan orang menganggap phishing sebagai email jahat yang berpura-pura menjadi Amazon atau perusahaan kartu kredit. Dan tentu saja, itulah wajah binatang yang paling umum. Namun email tersebut hanyalah iming-iming saja. Jebakannya jauh lebih dalam.
Anatomi Penipu Digital
Phishing bukanlah sihir. Itu sebuah proses. Sebuah siklus yang dingin dan penuh perhitungan yang telah berkembang sejak kata tersebut pertama kali muncul pada tahun 1996. Istilah ini sendiri merupakan plesetan dari “memancing”, yang menyiratkan bahwa para penjahat menebarkan jaring untuk mengetahui informasi apa yang dapat mereka tangkap.
Inilah cara kerja mesin sebenarnya.
Perencanaan. Penyerang memutuskan siapa yang akan dijadikan target. Mereka tidak hanya menebak-nebak. Mereka menggunakan teknik pengumpulan data yang sama seperti pelaku spam. Mereka mengikis alamat. Mereka membeli daftar. Mereka mengidentifikasi basis pelanggan bank atau pengecer tertentu.
Penyiapan. Setelah target dipilih, infrastruktur akan ditingkatkan. Mereka membuat alamat email palsu yang terlihat sah. Mereka membangun situs web palsu. Situs ini mencerminkan situs asli dengan sangat sempurna sehingga bahkan mata yang terlatih pun mungkin ragu.
Serangan. Pesan masuk ke kotak masuk Anda. Ini menggunakan tekanan psikologis. Hal ini menciptakan urgensi. Ini mengancam kerugian segera. Hal ini menuntut tindakan segera.
Koleksi. Anda mengklik. Anda mengetikkan kata sandi Anda. Anda memasukkan nomor Jaminan Sosial Anda. Data mengalir ke database penyerang.
Akibatnya. Di sinilah kerusakan sesungguhnya terjadi. Pencuri menggunakan kredensial Anda untuk melakukan pembelian ilegal. Mereka melakukan penipuan. Dan inilah bagian yang menakutkan: penelitian menunjukkan bahwa hingga 25% korban tidak pernah pulih sepenuhnya dari dampak finansial dan emosional.
Mengapa Perangkat Lunak Keamanan Anda Tidak Dapat Menyelamatkan Anda
Kami mengandalkan firewall dan perangkat lunak antivirus untuk menjaga keamanan kami. Namun phishing tidak hanya meretas komputer Anda. Itu meretas kamu.
Ini mengeksploitasi kelemahan dalam perangkat lunak sisi klien dan keamanan sisi server. Namun pada intinya, ini adalah usaha kuno. Itu bergantung pada kepercayaan. Hal ini bergantung pada asumsi bahwa email dari “[email protected]” sebenarnya berasal dari bank Anda.
Para penjahat tahu bahwa kebanyakan orang diburu. Mereka tahu kamu lelah. Mereka tahu Anda akan mengeklik tautan tersebut karena ancamannya terasa nyata.
Menemukan Bendera Merah
Jadi, bagaimana Anda melindungi diri sendiri? Anda harus skeptis.
Berhati-hatilah dengan salam yang umum. “Pelanggan yang Terhormat” adalah hadiah mati. Bank sungguhan biasanya mengetahui nama Anda.
Waspadai ancaman. Institusi yang sah akan memberi tahu Anda bahwa ada masalah. Mereka akan meminta Anda untuk masuk ke portal aman untuk mengatasinya. Mereka tidak akan menuntut tindakan segera melalui email.
Jika ada email yang meminta Anda memverifikasi kata sandi, hapuslah. Jangan pernah memberikan informasi pribadi melalui tautan di email.
Laporkan. Jika Anda mencurigai adanya upaya, laporkan ke pihak yang berwenang. Departemen penipuan bank Anda biasanya merupakan awal yang baik.
Siklus Berlanjut
Phisher tidak statis. Setelah serangan, mereka mengevaluasi apa yang berhasil. Mereka mengubah pesan mereka. Mereka memperbaiki situs palsu mereka. Mereka memulai siklusnya lagi.
Penggunaan “phishing” pertama kali didokumentasikan hampir tiga dekade lalu. Taktiknya telah berubah, namun tujuannya tetap sama: mencari informasi Anda.
Apakah Anda masih memeriksa email dengan perasaan mendesak yang sama?
Anda tidak akan memberikan rincian bank Anda kepada orang asing. Kebanyakan orang lebih tahu. Namun phisher tidak bertanya. Mereka mencuri. Untuk mendapatkan kredensial tersebut, mereka harus memanfaatkan psikologi manusia. Ini adalah rekayasa sosial. Ini bukan tentang meretas kode. Ini tentang meretas kepercayaan.
Penipu meniru merek yang sudah dikenal. Mereka menyalin email yang sah dengan tepat. Kemudian mereka menukar tautannya. Korban mengklik tombol yang terlihat resmi. Ini mengarah ke halaman penipuan. Alamat email di bidang “Dari:” dipalsukan. Itu terlihat nyata. Alamat “Balas ke” palsu. Tautannya dikaburkan. Mereka menyembunyikan tujuan sebenarnya. Namun meniru tampilan hanyalah setengah dari perjuangan.
Trik sebenarnya adalah urgensi. Pesan phishing memerlukan tindakan segera. Mereka ingin Anda bereaksi sebelum berpikir.
“Bertindak sekarang atau kehilangan segalanya.”
Itulah pesannya. Beberapa ancaman menjanjikan pembatalan akun. Yang lain mengklaim Anda tidak melakukan pembelian. Anda panik. Anda tidak ingin kehilangan uang untuk transaksi yang tidak pernah Anda selesaikan. Jadi Anda mengklik. Anda mengikuti tautannya. Anda memberikan informasi yang Anda takuti mereka miliki.
Kepercayaan pada otomatisasi memainkan peran besar di sini. Orang-orang percaya komputer itu objektif. Mereka menganggap algoritma tidak membuat kesalahan. Phisher mengeksploitasi titik buta ini.
Pesan sering mengklaim “audit terkomputerisasi” menemukan anomali. Mereka mengatakan proses otomatis mendeteksi aktivitas mencurigakan. Korban yakin ada yang meretas akunnya. Mereka tidak percaya sistem melakukan kesalahan. Lebih mudah membayangkan seorang pencuri daripada sebuah kesalahan.
Phishing bukan lagi sekadar email. Penipu menebarkan jaring yang lebih luas.
- Pesan instan
- SMS telepon seluler (SMS)
- Ruang obrolan
- Iklan spanduk palsu
- Papan pesan dan milis
- Situs pencarian kerja palsu
- Toolbar browser palsu
Medianya berubah. Tujuannya tetap sama.
Mengapa Perangkat Lunak Kompleks Membuat Phishing Lebih Mudah
Ada korelasi langsung antara kompleksitas perangkat lunak dan kerentanan keamanan. Semakin banyak fitur yang dimiliki browser web atau klien email, semakin besar pula peluang bagi penyerang untuk lolos. Seiring dengan peningkatan filter keamanan, taktik phishing berkembang untuk melewatinya. Ini adalah perlombaan senjata, dan alat yang diandalkan pengguna setiap hari sering kali memberikan celah.
Metode yang paling umum adalah spoofing alamat. Sebagian besar klien email membiarkan pengguna mengetik apa pun yang mereka inginkan ke dalam kolom “Dari” dan “Balas ke”. Kemudahan ini berguna bagi orang yang mengelola banyak identitas, namun merupakan tambang emas bagi penipu. Mereka dapat menyusun pesan yang tampaknya berasal dari sumber terpercaya. Beberapa server email memperparah risiko ini dengan mengizinkan koneksi ke port Simple Mail Transfer Protocol (SMTP) tanpa autentikasi. Hal ini memungkinkan penyerang mengabaikan kata sandi pribadi sepenuhnya, dan memerintahkan server untuk mengirim pesan berbahaya secara langsung.
Selain pengirim palsu, penyerang menggunakan beberapa trik teknis untuk menipu pengguna dan menghindari deteksi.
Tautan Penipuan dan Kode Tersembunyi
URL yang dikaburkan adalah vektor utama. Tautan ini terlihat sah tetapi mengarahkan pengguna ke situs berbahaya. Penyerang menggunakan beberapa teknik untuk mencapai hal ini:
- Kesalahan ketik dan IDN: Mereka mungkin salah mengeja URL perusahaan atau menggunakan registrasi Nama Domain Internasional (IDN). Hal ini memungkinkan mereka untuk menggunakan karakter dari alfabet lain yang terlihat identik dengan karakter Latin, sehingga menipu mata.
- Format Heksadesimal: URL dapat dikodekan dalam heksadesimal untuk membingungkan pemindai dasar.
- Petunjuk Pengalihan: URL yang tampak sah dapat berisi instruksi tersembunyi yang mengalihkan lalu lintas ke tempat lain.
- HTML yang Menipu: Teks yang ditampilkan mungkin berbeda sepenuhnya dari tujuan sebenarnya. Misalnya, sebuah tautan mungkin tampak mengarah ke panduan tentang “mesin zombie” di situs yang memiliki reputasi baik, namun HTML yang mendasarinya mengarahkan browser ke artikel berbahaya yang sama sekali tidak terkait.
Penipuan Visual dan Struktural
Penyerang juga memanipulasi apa yang Anda lihat di layar Anda. Dengan mendeteksi browser dan klien email mana yang Anda gunakan, phisher dapat menampilkan grafik palsu. Mereka dapat menempatkan gambar bilah alamat dan gembok keamanan di atas bilah status sebenarnya. Hal ini menciptakan rasa aman yang palsu.
Jendela dan bingkai popup adalah taktik umum lainnya. Kode berbahaya dapat berjalan dalam bingkai tak terlihat yang mengelilingi situs, atau popup dapat menutupi seluruh konten yang sah. Bahkan email teks biasa pun bisa menipu. Banyak yang berisi markup HTML tersembunyi dengan kata-kata tak kasat mata yang dirancang untuk melewati filter anti-spam.
Risiko Pharming
Keracunan cache DNS, sering disebut pharming, sangat berbahaya. Dalam serangan ini, penyerang mengubah informasi server DNS. Hal ini mungkin terjadi melalui rekayasa sosial, seperti mengelabui perwakilan layanan pelanggan agar melakukan perubahan.
Setelah data DNS diubah, siapa pun yang mencoba mengunjungi situs web perusahaan palsu akan dialihkan ke situs lain. Hal ini mempengaruhi semua orang di jaringan, tidak hanya pengguna individu. Sulit untuk dideteksi karena browser pengguna menunjukkan alamat yang tampak sah, namun kontennya sepenuhnya disusupi.
Lanskap rekayasa sosial telah bergeser. Anda tidak lagi memerlukan URL palsu dan mencolok untuk mencuri data. Serangan paling berbahaya kini terjadi di dalam browser yang sah.
Pertimbangkan komputer proxy. Perangkat ini berada di antara Anda dan situs web target. Ini mencatat setiap transaksi yang Anda lakukan. Situs tersebut terlihat nyata. Bilah alamat menunjukkan domain yang benar. Tapi lalu lintas sedang dicerminkan.
Phisher yang menggunakan metode ini tidak perlu menyamarkan link mereka karena korban berada di situs Web yang sah ketika informasi mereka dicuri.
Inilah jebakannya. Anda memercayai URL-nya. Anda mengetikkan kata sandi Anda. Proksi mencurinya.
Malware: Kaki tangan Tersembunyi
Phishing bukan hanya tentang email. Ini tentang apa yang berjalan di mesin Anda. Penyerang menyebarkan program jahat untuk melakukan pekerjaan berat.
- Pencatat kunci menangkap setiap penekanan tombol. Kata sandi Anda? Hilang.
- Trojan tangkapan layar mengambil cuplikan aktivitas Anda. Mereka melaporkannya kembali ke penyerang.
- Trojan akses jarak jauh (RAT) mengubah PC Anda menjadi zombie. Komputer Anda menjadi simpul di botnet. Ini mengirimkan email phishing atau menghosting halaman palsu.
- Bot mengobrol dengan Anda. Mereka meniru perilaku manusia di forum. Mereka mengoordinasikan jaringan zombie.
- Spyware melacak kebiasaan browsing Anda. Ia mempelajari pola Anda. Ini membantu penyerang merencanakan serangan berikutnya.
Mesin Anda disusupi. Phisher tidak perlu menipu Anda agar mengklik link. Mereka hanya membutuhkan Anda untuk mengunjungi suatu halaman.
Dapatkah Anda melihat perbedaannya?
Seberapa baik Anda mengetahui apa yang Anda lihat?
MailFrontier menawarkan tes IQ phishing. Ia memeriksa apakah Anda dapat menemukan yang palsu. Perangkat Lunak Keamanan Generasi Berikutnya menerbitkan panduan tentang teknik lainnya. Antiphishing.org menghancurkan satu serangan selangkah demi selangkah.
Banyak hal yang harus dilacak.
Anti-Phishing
Mengapa keamanan dasar menghentikan sebagian besar penipuan
Anda sudah tahu latihannya. Firewall aktif. Anti virus aktif. Ini bukan sekadar kata kunci; mereka adalah garis pertahanan pertama Anda melawan phishing. Namun jika Anda menginginkan keamanan yang sesungguhnya, Anda harus melihat lebih dekat. Periksa sertifikat SSL di situs mana pun sebelum Anda masuk. Periksa laporan bank Anda baris demi baris.
Phisher ceroboh. Mereka meninggalkan sidik jari di email dan situs web mereka. Saat Anda membuka kotak masuk, carilah tanda bahaya.
Salam umum adalah sebuah pertanda pasti. “Pelanggan yang Terhormat” berteriak penipuan. Bank yang sah biasanya meluangkan waktu untuk mengetikkan nama asli Anda. (Catatan: Spear phishing adalah pengecualian. Penyerang ini mengerjakan pekerjaan rumahnya dan menggunakan nama Anda, jadi jangan lengah hanya karena itu terasa pribadi.)
Waspadai ancaman. Jika ada email yang mengatakan, “Balas dalam lima hari atau kami membatalkan akun Anda”, hapus email tersebut. Bisnis nyata menginginkan bisnis Anda. Mereka tidak panik selama beberapa hari hening.
Tidak ada perusahaan sah yang meminta kata sandi atau SSN melalui email. Hal ini terjadi sebelum phishing ada. Itu masih benar sampai sekarang.
Tautan adalah tempat jebakan dipasang. URL yang panjang? Karakter aneh seperti simbol @ di tengah? Salah ketik? Jangan klik. Ketikkan alamat secara manual. Dibutuhkan dua detik lebih lama. Ini menyelamatkan Anda dari kehilangan segalanya.
Salah mengeja adalah trik tertua dalam buku ini. Tata bahasa yang buruk tidak terlihat profesional, dan tidak dapat dipercaya dalam pesan keuangan.
Bagaimana pemerintah dan ISP melakukan perlawanan
Perang tidak hanya terjadi pada Anda. Dunia usaha dan pemerintah melakukan perlawanan. Pemerintah AS mengamanatkan agar bank menggunakan otentikasi dua faktor pada akhir tahun 2006. Ini berarti lebih dari sekedar kata sandi. Anda memerlukan token fisik atau pemindaian biometrik. Ini adalah rintangan kecil yang memutus rantai serangan bagi sebagian besar penjahat.
Penyedia layanan internet dan pengembang perangkat lunak menawarkan perlindungan toolbar. Alat-alat ini memverifikasi sertifikat keamanan secara instan. Mereka memberi tahu Anda di mana sebuah situs didaftarkan. Mereka menganalisis tautan sebelum Anda mengeklik. Beberapa bahkan memberikan isyarat visual—bilah hijau atau logo tertentu—yang mengonfirmasi bahwa Anda berada di situs sebenarnya.
Gunakan mereka.
Apa yang harus dilakukan jika Anda mengalami luka bakar
Jika menurut Anda email tersebut palsu, jangan dibalas. Jangan klik. Jangan berikan apa pun.
Laporkan ke perusahaan yang ditiru. Gunakan situs web resmi mereka atau hubungi mereka secara langsung. Jangan gunakan info kontak di email yang dicurigai. Anda juga dapat melaporkan upaya tersebut ke Pusat Informasi Penipuan Nasional dan Kelompok Kerja Anti-Phishing.
Jika Anda sudah memberikan data Anda kepada mereka, kerusakan sudah terjadi. Tapi Anda bisa membatasinya.
- Segera hubungi perusahaan palsu tersebut.
- Hubungi bank, pemberi pinjaman, atau penerbit kartu kredit Anda.
- Laporkan penipuan ke setidaknya satu biro kredit besar: Equifax, Experian, atau TransUnion.
- Ajukan laporan ke polisi setempat.
- Beritahu Komisi Perdagangan Federal.
- Laporkan kejahatan dunia maya ke FBI melalui Pusat Pengaduan Kejahatan Internet.
Ubah kata sandi Anda. Mulailah dengan situs yang disusupi. Kemudian ubah di tempat lain. Jika Anda menggunakan kembali kata sandi, Anda hanya menunggu proses lainnya selesai.
Skala ancaman
Angka tidak berbohong. Pada bulan Agustus 2005 saja, terdapat 13.776 serangan phishing yang terhubung ke 5.259 situs berbeda.
Mereka menargetkan 84 bisnis. Namun ada tiga perusahaan yang mengambil 80 persen dari hasil tersebut.
85 persen dari serangan ini terjadi pada bank dan lembaga keuangan. Uangnya ada dalam transaksi.
Phisher berhasil sekitar lima persen dari keseluruhan waktu. Itu bukan tingkat konversi yang tinggi, tetapi dari segi volume, sangat besar.
57 juta pengguna internet AS menerima setidaknya satu email phishing. Hingga 1,7 juta orang benar-benar memberikan informasi pribadi mereka.
Sumber: Perangkat Lunak NGS dan AntiPhishing.org
Melindungi data Anda dari serangan phishing
Dunia usaha juga mempunyai peran. Mereka memerlukan otentikasi multifaktor. Mereka memerlukan protokol otentikasi email. Dan mereka perlu mengedukasi penggunanya. Anda adalah mata rantai terlemah. Jadikan dirimu lebih kuat.
Jika Anda mencurigai adanya email phishing, hentikan. Jangan klik. Jangan berikan informasi. Laporkan ke organisasi. Hapus pesannya.
Sederhana saja. Itu membosankan. Tapi itu berhasil.
