MENGHINDARI REKAYASA SOSIAL DAN SERANGAN PHISHING

APA ITU SERANGAN REKAYASA SOSIAL?

Dalam serangan rekayasa sosial, penyerang menggunakan interaksi manusia (keterampilan sosial) untuk mendapatkan informasi tentang organisasi atau sistem komputernya. Seorang penyerang mungkin tampak sederhana dan terhormat, mungkin mengaku sebagai karyawan baru, petugas perbaikan, atau peneliti dan bahkan menawarkan kredensial untuk mendukung identitas itu. Namun, dengan mengajukan pertanyaan, dia dapat mengumpulkan informasi yang cukup untuk menyusup ke jaringan komputer organisasi. Jika penyerang tidak dapat mengumpulkan informasi yang cukup dari satu sumber, dia dapat menghubungi sumber lain dalam organisasi yang sama dan mengandalkan informasi dari sumber pertama untuk menambah kredibilitasnya

APA ITU SERANGAN PHISING?

Phishing adalah salah satu bentuk rekayasa sosial. Serangan phishing menggunakan email atau situs web berbahaya untuk mengumpulkan informasi pribadi dengan menyamar sebagai pihak organisasi yang dapat dipercaya. Misalnya, penyerang dapat mengirim email yang tampaknya berasal dari perusahaan kartu kredit atau lembaga keuangan terkemuka yang meminta informasi akun, sering kali menunjukkan bahwa ada masalah. Saat pengguna merespons dengan informasi yang diminta, penyerang dapat menggunakannya untuk mendapatkan akses ke akun. Serangan phishing juga tampaknya berasal dari jenis organisasi lain, seperti badan amal.

Penyerang juga sering memanfaatkan peristiwa terkini maupun waktu-waktu tertentu dalam setahun, seperti

1. Bencana alam (misalnya, Badai Katrina, tsunami Indonesia)
2. Epidemi dan ketakutan kesehatan (misalnya, H1N1, COVID-19)
3. Masalah ekonomi (misalnya, penipuan IRS)
4. Aktivitas Politik (misalnnya, Pemilu, Serah Terima Jabatan)
5. Liburan

APA INDIKATOR UMUM DARI UPAYA PHISHING?

1. Alamat pengirim yang mencurigakan. Penjahat dunia maya sering menggunakan alamat email yang sangat mirip dengan alamat email dari perusahaan terkemuka dengan mengubah atau menghilangkan beberapa karakter.
2. Salam umum dan tanda tangan. Baik sapaan umum—seperti “Pelanggan yang Terhormat” atau “Tuan/Bu”—dan kurangnya informasi kontak di blok tanda tangan merupakan indikator kuat dari email phishing. Organisasi tepercaya biasanya akan memanggil Anda dengan nama dan memberikan informasi kontak mereka.
3. Hyperlink dan situs web palsu. Jika Anda mengarahkan kursor ke tautan mana pun di badan email, dan tautan tidak cocok dengan teks yang muncul saat mengarahkan kursor ke tautan tersebut, tautan tersebut mungkin dipalsukan. Situs web berbahaya mungkin terlihat identik dengan situs yang sah, tetapi URL mungkin menggunakan variasi ejaan atau domain yang berbeda (mis. .com vs. .net). Selain itu, penjahat dunia maya dapat menggunakan layanan pemendekan URL untuk menyembunyikan tujuan sebenarnya dari tautan tersebut.
4. Ejaan dan tata letak. Tata bahasa dan struktur kalimat yang buruk, salah eja, dan format yang tidak konsisten adalah indikator lain dari kemungkinan upaya phishing. Institusi yang bereputasi baik memiliki personel khusus yang menghasilkan, memverifikasi, dan mengoreksi korespondensi pelanggan.
5. Lampiran yang mencurigakan. Email yang tidak diminta yang meminta pengguna mengunduh dan membuka lampiran adalah mekanisme pengiriman umum untuk malware. Penjahat dunia maya dapat menggunakan rasa urgensi atau kepentingan palsu untuk membantu membujuk pengguna mengunduh atau membuka lampiran tanpa memeriksanya terlebih dahulu.

BAGAIMANA CARANYA AGAR TIDAK MENJADI KORBAN?

1. Curiga terhadap panggilan telepon, kunjungan, atau pesan email yang tidak diminta dari individu yang menanyakan tentang karyawan atau informasi internal lainnya. Jika seseorang yang tidak dikenal mengaku berasal dari organisasi yang sah, cobalah untuk memverifikasi identitasnya secara langsung dengan perusahaan.
2. Jangan memberikan informasi atau informasi pribadi tentang organisasi, termasuk struktur atau jaringannya, kecuali anda yakin dengan wewenang seseorang untuk memiliki informasi tersebut.
3. Jangan mengungkapkan informasi pribadi atau keuangan dalam email, dan jangan menanggapi permintaan email untuk informasi ini.
4. Jangan memberikan informasi sensitif melalui internet sebelum memeriksa keamanan situs web.
5. Perhatikan Uniform Resource Locator (URL) dari sebuah situs web. Cari URL yang dimulai dengan “https” sebagai indikasi bahwa situs tersebut aman—bukan “http”.
6. Cari ikon gembok tertutup—tanda bahwa informasi anda akan dienkripsi.
7. Jika Anda tidak yakin apakah permintaan email itu sah, coba verifikasi dengan menghubungi perusahaan secara langsung. Jangan menggunakan informasi kontak yang disediakan di situs web yang terhubung dengan permintaan; sebagai gantinya, periksa pernyataan sebelumnya untuk informasi kontak. Informasi tentang serangan phishing yang diketahui juga tersedia secara online dari kelompok-kelompok seperti Kelompok Kerja Anti-Phishing .
8. Instal perangkat lunak anti-virus, firewall, dan filter email.
9. Manfaatkan fitur anti-phishing yang ditawarkan oleh klien email dan browser web Anda.
10. Terapkan otentikasi multi-faktor (MFA).

Sumber: https://www.cisa.gov/uscert/ncas/tips/ST04-014