Vishing, Smishing, dan Pretexting

Walaupun phishing sering mendominasi pemberitaan, penyerang menggunakan berbagai saluran komunikasi untuk memanipulasi korban. Phishing suara menggunakan panggilan suara, phishing SMS menggunakan pesan teks SMS, sedangkan rekayasa dengan dalih adalah praktik membangun skenario palsu yang dapat dipercaya (dalih) untuk menjelaskan alasan korban harus memenuhi suatu permintaan. Serangan ini berhasil bukan karena korban tidak tahu apa-apa, melainkan karena serangan tersebut mengeksploitasi naluri dasar manusia: kepercayaan kepada pihak berwenang, keinginan untuk membantu, dan kecenderungan mengikuti instruksi saat berada di bawah tekanan.

Phishing suara (phishing melalui panggilan) menggunakan panggilan telepon untuk memanipulasi korban. Dalih yang umum mencakup penyamaran sebagai agen IRS yang mengancam penangkapan karena pajak yang belum dibayar, departemen penipuan bank yang memperingatkan adanya transaksi Suspicious, Support teknis yang mengaku mendeteksi virus, atau kantor tunjangan pemerintah yang mewajibkan verifikasi. Penyerang menggunakan pemalsuan Caller ID untuk menampilkan nomor telepon organisasi Legitimate. Kampanye phishing suara melalui panggilan otomatis beroperasi dalam skala besar, kemudian menghubungkan korban yang tertarik dengan operator langsung. Sifat panggilan suara yang berlangsung secara waktu nyata menciptakan tekanan sehingga pemikiran kritis menjadi sulit.

Phishing SMS (phishing melalui SMS) mengirimkan umpan phishing melalui pesan teks. Pesan phishing SMS yang umum menyamar sebagai layanan pengiriman paket (FedEx, UPS, USPS) dengan pemberitahuan pelacakan palsu yang berisi tautan berbahaya, bank yang memperingatkan adanya tagihan Suspicious, atau pemberitahuan operator seluler tentang masalah akun. URL phishing SMS sering menggunakan pemendek URL atau domain yang menyerupai domain asli. Pengguna perangkat Mobile bisa dibilang lebih rentan daripada pengguna desktop karena layar yang lebih kecil menyulitkan pemeriksaan URL, dan peramban Mobile sering menyembunyikan alamat lengkap. SMS juga memiliki kepercayaan bawaan—pengguna cenderung bertindak lebih cepat terhadap pesan teks daripada Email.

Rekayasa dengan dalih adalah pembuatan skenario palsu yang dapat dipercaya untuk menyediakan konteks bagi permintaan rekayasa sosial. Tanpa dalih yang meyakinkan, permintaan informasi sensitif atau tindakan yang tidak biasa akan segera menimbulkan kecurigaan. Penyerang mungkin menyamar sebagai kontraktor IT baru yang memerlukan bantuan untuk mengakses System, auditor yang memerlukan akses ke catatan keuangan, atau petugas pengiriman Vendor yang perlu “dibukakan pintu.” Dalih tersebut tidak harus rumit—cukup masuk akal sehingga target tidak berhenti untuk melakukan verifikasi sebelum memenuhinya.

Prinsip-prinsip pengaruh Robert Cialdini menjelaskan alasan rekayasa sosial berhasil. Wewenang—orang mematuhi pihak yang dianggap memiliki wewenang (CEO, IRS, polisi). Urgensi/Kelangkaan—tekanan waktu menghalangi evaluasi yang cermat (“Bertindaklah dalam 10 menit berikutnya”). Bukti sosial—orang melakukan hal yang dilakukan orang lain. Kesukaan—orang mematuhi pihak yang mereka percayai atau anggap menyenangkan. Timbal balik—orang merasa berkewajiban membalas bantuan. Komitmen—setelah membuat komitmen kecil, orang cenderung melanjutkannya ke komitmen yang lebih besar. Memahami prinsip-prinsip ini membantu pelatih kesadaran Security menyusun pesan tandingan yang lebih efektif.

Teknologi VoIP modern membuat pemalsuan Caller ID menjadi sangat mudah. Layanan seperti SpoofCard, Twilio, dan berbagai API VoIP memungkinkan siapa pun mengatur Caller ID yang ditampilkan menjadi nomor apa pun sebelum melakukan panggilan. Penyerang sering memalsukan nomor layanan pelanggan bank, nomor lembaga pemerintah, atau bahkan nomor milik korban sendiri (pemalsuan nomor tetangga). Kerangka kerja STIR/SHAKEN (Secure Telephony Identity Revisited / Signature-based Handling of Asserted information using toKENs) diwajibkan di US untuk mengautentikasi Caller ID secara kriptografis, tetapi penerapannya belum lengkap. NEVER mempercayai Caller ID saja untuk memverifikasi identitas.

Staf Help Desk merupakan target utama phishing suara karena pekerjaan mereka adalah membantu User—sehingga secara alami muncul ketegangan dengan prosedur Security. Serangan yang umum terjadi: penyerang menelepon dengan menyamar sebagai Employee senior yang segera memerlukan pengaturan ulang akunnya karena terkunci sebelum rapat penting. Tekanan dari wewenang dan urgensi dapat menyebabkan agen Help Desk yang berniat baik melewati langkah-langkah verifikasi. Peretasan Twitter yang terkenal pada 2020 bermula dari serangan phishing suara terhadap Employee Twitter yang memperoleh akses ke alat internal. Help Desk memerlukan prosedur verifikasi identitas yang ketat dan prosedur tersebut tidak boleh dikesampingkan karena alasan urgensi apa pun.

Serangan penggantian SIM menggabungkan phishing suara dan rekayasa sosial terhadap Support pelanggan operator Mobile. Penyerang menelepon operator dengan berpura-pura sebagai korban, memberikan jawaban atas pertanyaan verifikasi identitas (yang diperoleh dari kebocoran data atau media sosial), lalu meyakinkan agen untuk memindahkan nomor telepon korban ke kartu SIM yang dikendalikan penyerang. Setelah nomor tersebut dibajak, semua kode MFA berbasis SMS dikirim kepada penyerang sehingga memungkinkan pengambilalihan akun Email, perbankan, dan mata uang kripto. Penggantian SIM telah digunakan untuk mencuri mata uang kripto senilai jutaan.

Mendeteksi serangan rekayasa sosial memerlukan penggabungan pelaporan Employee dengan pencatatan teknis. Setiap Employee harus mengetahui cara melaporkan panggilan atau pesan Suspicious—idealnya melalui tombol sekali klik di Email atau alias Email khusus (phishing@company.com). Indikator teknis mencakup Log panggilan yang menunjukkan panggilan masuk dari nomor spoofed, Alert SIEM mengenai pengaturan ulang kata sandi Help Desk yang didahului panggilan masuk, serta perubahan akses akun di luar jam kerja. Setelah insiden, catatan telepon dan Log SMS merupakan artefak forensik penting, selain Log Email dan peristiwa autentikasi.

Pertahanan terhadap rekayasa dengan dalih memerlukan penetapan prosedur verifikasi yang diikuti Employee secara konsisten, terlepas dari tekanan yang mereka rasakan. Policy utama mencakup: selalu memverifikasi identitas melalui saluran terpisah yang telah ditetapkan sebelum memenuhi permintaan yang tidak biasa; menetapkan System kata sandi lisan untuk komunikasi eksekutif; melatih Employee bahwa pihak berwenang dalam organisasi tidak akan tersinggung oleh permintaan verifikasi; serta menciptakan budaya yang mendukung Security, dengan memberikan penghargaan atas kepatuhan terhadap prosedur meskipun menimbulkan sedikit ketidaknyamanan. Pengujian rekayasa sosial tanpa pemberitahuan mengukur apakah pelatihan efektif dalam praktik.

Untuk ujian Security+, bedakan saluran phishing dengan jelas. Phishing dilakukan melalui Email. Phishing suara dilakukan melalui suara/telepon. Phishing SMS dilakukan melalui teks SMS. Pharming mengalihkan DNS tanpa memerlukan klik. Semuanya memiliki tujuan yang sama—memanipulasi korban agar mengungkapkan kredensial, mentransfer uang, atau memasang malware—tetapi mekanisme pengiriman dan penanggulangannya berbeda. Email memiliki pertahanan teknis (SPF/DKIM/DMARC/Sandbox); suara dan SMS memiliki jauh lebih sedikit kontrol teknis, sehingga pelatihan kesadaran User menjadi semakin penting untuk kedua saluran tersebut.

Dalam lesson ini Anda mempelajari bahwa: phishing suara menggunakan panggilan telepon dengan pemalsuan Caller ID untuk menyamar sebagai pihak berwenang dan memperoleh kredensial atau tindakan, phishing SMS mengirimkan umpan phishing melalui SMS yang membuat visibilitas URL pengguna Mobile menjadi terbatas, dan rekayasa dengan dalih menciptakan skenario palsu yang dapat dipercaya untuk membenarkan permintaan yang tidak biasa—dan dilawan dengan prosedur verifikasi identitas yang ketat, konfirmasi melalui saluran terpisah, serta pelatihan Employee. Selanjutnya kita akan membahas rekayasa sosial fisik melalui tailgating dan pemberian umpan.