Rekayasa Sosial dan Phishing

Serangan rekayasa sosial menargetkan manusia, bukan teknologi. Alih-alih menerobos firewall, penyerang menipu seseorang agar memberikan informasi, akses, atau uang dengan mengeksploitasi kepercayaan, rasa takut, rasa ingin tahu, atau sikap suka menolong.

Serangan ini sering menjadi cara termudah untuk masuk: mengapa memecahkan kata sandi jika Anda dapat meyakinkan seseorang untuk menyerahkannya begitu saja? Manusia sering kali menjadi mata rantai terlemah dalam keamanan.

Phishing adalah serangan rekayasa sosial yang paling umum: email atau pesan penipuan yang tampak berasal dari sumber tepercaya dan memancing korban untuk mengeklik tautan berbahaya, membuka lampiran terinfeksi, atau memasukkan kredensial di situs palsu.

Email phishing mungkin meniru bank atau departemen TI Anda dan menciptakan rasa mendesak agar Anda bertindak sebelum berpikir. Serangan ini menebar jaring luas dan dikirim kepada banyak orang sekaligus.

Varian yang tertarget lebih berbahaya. Spear phishing menyesuaikan pesan untuk orang tertentu dengan menggunakan detail tentang orang tersebut sehingga jauh lebih meyakinkan. Whaling menargetkan eksekutif penting seperti CEO.

Karena pesan-pesan ini dipersonalisasi dan disusun berdasarkan riset yang mendalam, pesan tersebut jauh lebih sulit dikenali daripada phishing umum dan sering berhasil ketika kampanye massal gagal.

Phishing tidak hanya dilakukan melalui email. Vishing (phishing suara) menggunakan panggilan telepon, misalnya agen dukungan palsu yang berusaha mendapatkan kata sandi. Smishing (phishing melalui SMS) menggunakan pesan teks dengan tautan berbahaya.

Penyerang menyebar melalui berbagai saluran karena orang mungkin tidak mempercayai email yang mencurigakan, tetapi langsung menjawab panggilan telepon atau mengetuk tautan dalam pesan teks, terutama jika tautan itu tampak mendesak.

Rekayasa dalih menciptakan skenario yang meyakinkan untuk memperoleh informasi, misalnya penyerang menyamar sebagai dukungan TI yang perlu memverifikasi login Anda untuk memperbaiki masalah. Penyamaran identitas berarti berpura-pura menjadi seseorang yang dipercaya, secara langsung maupun dari jarak jauh.

Konteks yang dibuat-buat menurunkan kewaspadaan korban sehingga mereka memenuhi permintaan yang biasanya akan mereka pertanyakan.

Sebagian rekayasa sosial dilakukan secara fisik. Membuntuti adalah mengikuti orang yang berwenang melewati pintu aman tanpa melakukan pemindaian kartu. Pengintaian dari balik bahu adalah mengamati seseorang saat mengetik kata sandi atau PIN.

Menyelam ke tempat sampah berarti mendapatkan kembali informasi sensitif dari kertas dan perangkat yang dibuang. Hal ini mengingatkan kita bahwa keamanan mencakup kewaspadaan fisik, bukan hanya komputer.

Umpan menawarkan sesuatu yang menggoda, misalnya USB berlabel Penggajian yang ditinggalkan di tempat parkir, dengan harapan orang yang penasaran akan memasangnya lalu menginfeksi perangkatnya.

Timbal balik menawarkan manfaat sebagai imbalan atas informasi atau akses, seperti dukungan teknis palsu yang menjanjikan bantuan jika Anda memberi mereka akses jarak jauh. Keduanya mengeksploitasi keinginan manusia untuk mendapatkan keuntungan atau bantuan.

Rekayasa sosial berhasil dengan mengeksploitasi psikologi: wewenang (kita mematuhi orang yang tampak berkuasa), rasa mendesak (kita bertindak cepat di bawah tekanan), ketakutan, kepercayaan, dan sikap suka membantu.

Mengenali pemicu ini adalah pertahanan pertama. Ketika pesan mendesak Anda untuk segera bertindak atau melewati prosedur normal, tekanan itu sendiri merupakan tanda peringatan yang patut membuat Anda berhenti sejenak.

Pertahanan terbaik bersifat manusiawi dan prosedural:

• Pelatihan kesadaran keamanan agar pengguna dapat mengenali serangan.
• Prosedur verifikasi, seperti menelepon kembali nomor yang sudah diketahui sebelum menindaklanjuti permintaan.
• Autentikasi multifaktor, sehingga kata sandi yang dicuri saja tidak cukup.
• Budaya yang mendorong, bukan menghukum, tindakan mempertanyakan permintaan yang mencurigakan.

Tanda peringatan mencakup rasa mendesak yang tidak terduga, sapaan umum, kesalahan ejaan dan tata bahasa, alamat pengirim yang tidak cocok atau aneh, tautan yang tujuan sebenarnya berbeda dari teksnya, serta permintaan kredensial atau pembayaran.

Mengarahkan kursor ke tautan untuk memeriksa URL sebenarnya sebelum mengekliknya, serta memverifikasi permintaan yang tidak biasa melalui saluran terpisah, dapat menghentikan sebagian besar upaya pengelabuan secara efektif.

Rekayasa sosial menyerang manusia, bukan mesin, dengan menggunakan pengelabuan (termasuk pengelabuan tertarget, pengelabuan eksekutif, pengelabuan suara, dan pengelabuan melalui SMS), rekayasa dalih, umpan, membuntuti, dan banyak cara lainnya. Rekayasa ini mengeksploitasi wewenang, rasa mendesak, ketakutan, dan kepercayaan. Pertahanannya terutama bersifat manusiawi: pelatihan kesadaran, prosedur verifikasi, dan autentikasi multifaktor.

Uji pengetahuan Anda tentang rekayasa sosial.

Rekayasa sosial memanipulasi manusia, bukan teknologi. Pengelabuan dan variannya (pengelabuan tertarget, pengelabuan eksekutif, pengelabuan suara, pengelabuan melalui SMS), serta rekayasa dalih, umpan, dan membuntuti, mengeksploitasi wewenang, rasa mendesak, dan kepercayaan. Pertahanannya bersifat manusiawi: pelatihan kesadaran, prosedur verifikasi, dan autentikasi multifaktor.