Apa itu Phising?
Phising adalah bentuk penipuan lewat media komunikasi online (seperti e-mail, telepon, pesan teks) di mana penyerang menyamar sebagai individu atau organisasi yang memiliki reputasi baik.
Phising berupaya mencuri informasi sensitif, mulai dari password, nomor kartu kredit, rekening bank, maupun data penting lainnya untuk dimanfaatkan atau bahkan dijual.
Penyerang biasanya memikat korban dengan menyamar sebagai perusahaan yang memiliki reputasi baik lalu memancing rasa urgensi yang mendorong korban bertindak gegabah, seperti peringatan kartu kredit akan segera terblokir, harus melakukan pembayaran dengan segera, anggota keluarga sedang dalam bahaya, dan lainnya.
Mereka memanipulasi psikologi manusia dengan serangkaian kebohongan yang diciptakan.
Phising menjadi salah satu teknik penipuan yang populer di dunia maya karena jauh lebih mudah mengelabui seseorang agar mengeklik link berbahaya yang tampak resmi dibandingkan membobol komputer atau jaringan.
Jika berhasil, phising akan menyebabkan kerugian besar bagi korbannya, mulai dari pencurian identitas, penipuan kartu kredit, sampai serangan ransomware.
Ciri-ciri Phising
Power DMARC memberikan beberapa ciri-ciri phising, yaitu:
Memberikan ancaman dan menuntut tindakan segera
Penyerang (phisher) biasanya akan menggunakan ancaman atau konsekuensi negatif yang membuat target bertindak tanpa berpikir panjang. Misalnya, penyerang mengaku dari kepolisian dan memberitahukan bahwa anak calon korban sedang menghadapi masalah kriminal, keluarganya harus segera mengirim sejumlah uang.
Phisher berharap dengan menelepon secara tergesa-gesa, korban tidak akan berpikir panjang dan jernih untuk menemukan jalan keluar.
Kesalahan tata bahasa dan ejaan
Indikator paling umum upaya phising adalah kesalahan tata bahasa dan ejaan dalam konten (terutama e-mail). Kesalahan ini sering terjadi karena sebagian besar e-mail phising tidak ditulis oleh para profesional.
Tidak ada fitur pemeriksa ejaan di server mereka dan tidak ada proses pengoreksian atau pengeditan yang tepat, berbeda dengan bisnis profesional yang lebih berhati-hati dalam mengeja penulisan sebelum mereka mengirimkan e-mail ke audiens.
Beberapa kesalahan tata bahasa dan ejaan umum dalam e-mail phising adalah:
- Tidak ada atau salah penempatan tanda petik ('), titik (.), koma (,) dan titik dua (:).
- Kesalahan dalam kapitalisasi kata atau frasa (misalnya, saya john dari divisi hr).
- Terlalu sering menggunakan kata non-formal atau bukan kata baku.
Permintaan tidak realistis
Phising biasanya mengirim e-mail atau pesan teks yang meminta calon korban mengambil tindakan. Beberapa permintaan mungkin terdengar masih masuk akal, seperti meminta untuk mengonfirmasi atau memperbarui informasi pribadi.
Namun, tak jarang juga ada beberapa upaya phising yang dirancang agar korban melakukan tindakan yang tidak realistis, seperti membayar tagihan melalui metode pembayaran baru atau memberikan kode OTP kepada pihak ketiga untuk verifikasi.
Link dan alamat e-mail tidak konsisten
Cara lain yang mudah dikenali adalah alamat e-mail, link, dan nama domain yang tidak cocok dengan pengirim atau website yang dikunjungi sebelumnya.
Penerima harus selalu mengecek apakah alamat e-mail pengirim memiliki domain resmi atau tidak. Contohnya, jika e-mail tersebut tertulis dikirim oleh Bank Indonesia tetapi domain alamat e-mail tidak mengandung "bi.go.id", itu adalah tanda e-mail phising.
Melampirkan dokumen mencurigakan
Indikator umum phising adalah lampiran yang mencurigakan. Phisher biasanya mengirim lampiran melalui e-mail dan pesan teks karena mereka tahu banyak orang cukup penasaran membukanya untuk melihat isi lampiran.
Lampiran mungkin berupa dokumen word, file zip, atau file dalam format apk. Jika user membuka lampiran itu, akan ada malware yang menyerang perangkat dan mencuri kredensial login ke akun pribadi.
Meminta data pribadi, informasi pembayaran, dan data sensitif lainnya
Dikarenakan salah satu tujuan phising adalah mencuri data sensitif korbannya, penyerang bisa saja membuat halaman login palsu yang tampak resmi. Halaman login palsu biasanya meminta password atau informasi akun keuangan.
Pencurian data ini bisa juga dilakukan melalui telepon. Misal, phisher menyamar sebagai pihak bank yang ingin mengonfirmasi data diri nasabah, kemudian nasabah diminta menyebutkan data dirinya sendiri satu per satu. Tipuan ini bisa berhasil karena mungkin saja nasabah tidak sempat mengecek apakah nomor penelepon merupakan customer service resmi dari bank.
Jenis-jenis Phising
Dirangkum dari Checkpoint, berikut beberapa jenis phising yang paling umum terjadi:
E-mail phishing
Banyak serangan phising dikirim melalui e-mail. Penyerang biasanya mendaftarkan nama domain palsu yang meniru organisasi besar dan mengirimkan permintaan tertentu kepada korban.
Domain palsu terlihat sangat mirip dengan yang asli. Phisher hanya menambahkan atau mengganti beberapa karakter, contohnya:
- Asli: [email protected]
- Palsu: [email protected]
Banyak e-mail phising menggunakan rasa urgensi atau ancaman agar penerima mematuhi dengan cepat perintah yang dikirimkan tanpa memeriksa sumber atau keaslian e-mail tersebut.
Spear phising
Spear phising mencakup e-mail yang dikirim ke orang tertentu di mana penyerang biasanya sudah memiliki beberapa atau semua informasi tentang korban, mencakup nama, tempat kerja, posisi pekerjaan, alamat e-mail, nama anggota keluarga, dan data diri lain yang lebih meyakinkan.
Mencantumkan beberapa informasi pribadi ke e-mail phising dapat memanipulasi korban untuk melakukan tugas dan aktivitas tertentu.
Jika e-mail phising biasanya dikirim ke siapa pun dengan penerima sebanyak mungkin, spear phising lebih mengutamakan kualitas. Misalnya, phisher mengirim e-mail dengan mengatasnamakan CEO salah satu start-up.
Penyerang lalu mengirim e-mail ke seluruh karyawan CEO tersebut untuk segera mentransfer sejumlah uang. Karyawan yang mendapatkan e-mail tentu akan lebih mudah melaksanakannya karena menganggap itu adalah perintah langsung dari CEO mereka.
Whaling
Whaling biasanya menargetkan manager atau posisi pekerjaan di level senior.
Phisher menyerang tingkat manajerial ke atas karena mereka memiliki banyak informasi perusahaan, sehingga penyerang menggunakan informasi tersebut untuk membuat serangan lain.
Tekniknya lebih halus dibandingkan jenis phising lainnya. Mereka memanfaatkan pesan yang sangat dipersonalisasi menggunakan informasi hasil penelitian tentang calon korban.
Smishing dan vishing
Smishing merupakan pengiriman SMS penipuan, sedangkan vishing bekerja melalui percakapan telepon.
Penyerang biasanya berpura-pura menjadi call center perusahaan kartu kredit atau bank, memberi tahu korban bahwa akun mereka telah melanggar ketentuan kartu kredit. Phisher kemudian meminta korban memberikan informasi kartu pembayaran untuk memverifikasi identitas mereka atau mentransfer sejumlah uang ke akun yang lebih aman.
Angler phising
Angler phising menggunakan nama akun media sosial palsu yang mirip dengan milik organisasi terkenal. Mereka membuat akun dengan nama, username, dan foto profil sama persis dengan perusahaan asli.
Teknik ini dilakukan dengan memanfaatkan kecenderungan pelanggan mengajukan keluhan dan meminta bantuan lewat customer care.
Saat ada user yang mengirimkan keluhan ke akun phisher, mereka akan meminta pelanggan untuk memberikan informasi pribadi sehingga dapat mengidentifikasi masalah dan merespons dengan tepat.
Contoh Phising
Di atas adalah berbagai akun yang mengatasnamakan BNI Customer Care. Namun, username akun-akun tersebut tidaklah resmi. Mereka berupaya menjawab tweet keluhan customer seperti berikut.
Customer akan diarahkan untuk menghubungi lebih lanjut melalui WhatsApp. Setelah itu biasanya customer akan diminta untuk memberikan berbagai informasi rekening pribadi mereka, termasuk jika ada kode OTP yang masuk.
FAQ (Frequently Asked Question)
Bagaimana cara mengatasi phising?
Berikut beberapa cara mencegah phising:
- Mengetahui dan mempelajari ciri-ciri phising: memberikan rasa urgensi, banyak kesalahan penulisan, dan permintaan data pribadi merupakan tanda yang harus diwaspadai. User harus berhati-hati jika ada pesan mencurigakan yang masuk dalam ciri-ciri phising.
- Hindari mengklik link: saat menerima e-mail atau pesan teks, hindari untuk langsung mengeklik link. Cari alamat web-nya secara manual dengan mengetikkan domain resmi melalui browser dan autentikasi langsung dari situs tersebut.
- Gunakan keamanan anti-phising e-mail: saat ini, AI sudah bisa dimanfaatkan untuk memindai pesan masuk yang ada di e-mail, mendeteksi pesan mencurigakan, dan tidak mengizinkan pesan mencurigakan untuk masuk ke inbox penerima.
- Ubah password secara teratur: meski terkesan tidak praktis, namun salah satu cara paling aman menghindari phising adalah rutin mengubah password setiap 30-45 hari. Password yang sama sekali tidak pernah diganti berpeluang memberi penyerang akses untuk membobol akun.
- Selalu perbarui software dan firmware: developer software dan firmware sering melakukan pembaharuan untuk memulihkan bug dan masalah keamanan. Jika ada update software baru yang sudah dirilis, segera instal pembaruan tersebut agar meningkatkan keamanan.
- Hindari mengklik pop-up dari situs mencurigakan: jika ada pop-up yang muncul di website mencurigakan, biasanya akan ada tanda silang (X) di pojok kotak tersebut untuk menutupnya. Namun, penyerang sering kali mengubah tombol X untuk mengelabui pengguna agar membuka situs berbahaya atau mengunduh malware.
- Berhati-hati dalam memberikan data kartu kredit: jika situs tersebut tidak resmi, jangan pernah memberikan data kartu kredit di sana.
