Rekayasa sosial hingga kini masih menjadi sorotan: dari trik klasik hingga tren baru. Tak heran bila beberapa trik rekayasa sosial yang biasa digunakan oleh penjahat siber untuk menyerang perusahaan menjadi topik bahasan. Di antara beberapa adalah varian penipuan yang melibatkan panggilan dan email dari dukungan teknis palsu; serangan kompromi email bisnis; hingga permintaan data dari lembaga penegak hukum palsu. Pada kesempata ini Kaspersky akan membeberkan jabaran mengenai trik rekayasa social berikut ini.
Mengaku dari dukungan teknis
Skema rekayasa sosial klasik adalah panggilan ke karyawan perusahaan dari “dukungan teknis (technical support)”. Misalnya, peretas mungkin menelepon pada akhir pekan dan mengaku bahwa mereka berasal dari layanan dukungan teknis Perusahaan dan telah mendeteksi aktivitas aneh di komputer kerja, kemudian meminta Anda untuk segera datang ke kantor.
Tentu saja, tidak banyak orang yang ingin pergi ke kantor pada akhir pekan, oleh karena itupetugas dukungan teknis palsu ini akan menawarkan untuk menyelesaikan masalah dari jarak jauh. Tetapi untuk melakukan ini, mereka memerlukan kredensial login karyawan. Di saat inilah Anda harus meningkatkan kewaspadaan.
Ada variasi dalam skema tersebut yang tersebar luas selama migrasi massal ke kerja jarak jauh selama pandemi. Dukungan teknis palsu “memperhatikan” aktivitas mencurigakan di laptop korban yang digunakan untuk bekerja dari rumah, dan menyarankan penyelesaian masalah menggunakan koneksi jarak jauh, melalui RAT.
Hanya melalui konfirmasi sederhana
Sebuah teknik menarik terlihat selama serangan terhadap salah satu layanan online transportasi pada musim gugur 2022, ketika seorang peretas berusia 18 tahun berhasil menyusupi sejumlah sistem perusahaan.
Serangan itu dimulai dengan penjahat siber mendapatkan detail login pribadi kontraktor perusahaan dari web gelap. Namun, untuk mendapatkan akses ke sistem internal perusahaan, masih ada masalah kecil untuk melewati autentikasi multifactor.
Dan di sinilah rekayasa sosial mengambil peran. Melalui berbagai upaya login, peretas mengirim spam kepada kontraktor yang malang dengan permintaan otentikasi, kemudian mengirim pesan kepada kontraktor di WhatsApp dengan kedok dukungan teknis dengan solusi yang diusulkan untuk masalah tersebut adalah “Demi menghentikan aliran spam, hanya dibutuhkan beberapa konfirmasi saja.” Singkatnya, penjahat siber dengan mudah mendapatkan seluruh informasi sensitif Perusahaan tersebut.
Panggilan dari CEO yang membutuhkan dana mendesak
Kembali ke skema klasik berikutnya, ialah jenis serangan yang disebut serangan kompromi email bisnis (BEC). Gagasan di baliknya adalah untuk memulai korespondensi dengan karyawan perusahaan, biasanya menyamar sebagai manajer atau mitra bisnis penting. Biasanya, tujuan korespondensi adalah agar korban mentransfer uang ke rekening yang ditentukan oleh penipu. Sementara itu, skenario serangan dapat bervariasi: jika penjahat siber lebih tertarik untuk menyusup ke jaringan internal perusahaan, mereka mungkin mengirimkan lampiran berbahaya kepada korban dengan kedok bahwa pesan bersifat darurat.
Dengan satu atau lain cara, semua serangan BEC berputar di sekitar kompromi email; namun itu hanyalah aspek teknisnya. Peran yang jauh lebih besar dimainkan oleh elemen rekayasa sosial. Sementara sebagian besar email penipuan yang menargetkan pengguna biasa hanya memancing kegembiraan, operasi BEC melibatkan orang-orang berpengalaman di perusahaan besar yang mampu menulis email bisnis dan membujuk penerima untuk melakukan apa yang diinginkan penjahat siber.
Pembajakan percakapan
Perlu dicatat secara terpisah teknik serangan BEC tertentu yang telah menjadi sangat populer di kalangan penjahat dunia maya dalam beberapa tahun terakhir. Dikenal sebagai pembajakan percakapan, skema ini memungkinkan penyerang memasukkan diri mereka ke dalam korespondensi bisnis yang ada dengan menyamar sebagai salah satu peserta. Umumnya, baik peretasan akun maupun trik teknis tidak digunakan untuk menyamarkan pengirim — yang dibutuhkan penyerang hanyalah mendapatkan email asli dan membuat domain yang mirip. Dengan cara ini penjahat siber secara otomatis mendapatkan kepercayaan dari semua peserta lain, memungkinkan mereka untuk mengarahkan percakapan dengan masuk akal ke tujuan yang diinginkan. Untuk melakukan jenis serangan ini, penjahat siber sering kali membeli basis data korespondensi email yang dicuri atau bocor di web gelap.
Skenario serangan dapat bervariasi. Penggunaan phishing atau malware tidak terkecuali. Tetapi sesuai skema klasik, peretas biasanya mencoba membajak percakapan yang berhubungan langsung dengan uang, lebih disukai dalam jumlah besar, memasukkan detail bank mereka pada saat yang tepat, dan kemudian menikmati hasilnya.
Contoh utama pembajakan percakapan adalah apa yang terjadi selama transfer pemain sepak bola Leandro Paredes. Penjahat siber masuk ke pertukaran email dengan menyamar sebagai perwakilan klub debut Paredes, Boca Juniors, yang berhak atas sebagian kecil dari biaya transfer — sebesar € 520.000, yang dikantongi oleh para penipu untuk diri mereka sendiri.
Permintaan data dari yang mengaku sebagai pihak berwajib
Tren baru-baru ini, yang tampaknya muncul pada tahun 2022, adalah peretas membuat permintaan data “resmi” saat mengumpulkan informasi sebagai persiapan untuk serangan terhadap pengguna layanan online. Permintaan semacam itu telah diterima oleh ISP, jejaring sosial, dan perusahaan teknologi yang berbasis di AS dari akun email yang diretas milik lembaga penegak hukum.
Sedikit konteks, dalam keadaan normal, untuk mendapatkan data dari penyedia layanan di Amerika Serikat diperlukan surat perintah yang ditandatangani oleh hakim. Namun, dalam situasi di mana nyawa atau kesehatan manusia terancam, Permintaan Data Darurat (EDR) dapat dikeluarkan.
Namun jika dalam kasus permintaan data normal terdapat prosedur verifikasi yang sederhana dan mudah dipahami, untuk EDR saat ini tidak ada yang seperti itu. Oleh karena itu, kemungkinan besar permintaan resmi akan dikabulkan jika terlihat masuk akal dan tampaknya berasal dari lembaga penegak hukum. Dengan cara ini, peretas dapat memperoleh informasi tentang korban dari sumber yang dapat dipercaya dan menggunakannya untuk serangan lebih lanjut.
Cara menjaga dari serangan rekayasa sosial
Sasaran dari semua metode serangan di atas bukanlah sekumpulan perangkat keras yang tidak berjiwa, melainkan manusia. Jadi, untuk memperketat pertahanan perusahaan terhadap serangan rekayasa sosial, fokus berada pada sisi “manusia”. Ini berarti termasuk mengedukasi karyawan dasar-dasar keamanan siber untuk meningkatkan kesadaran keamanan mereka, dan menjelaskan cara menangkal berbagai jenis serangan.
