Teknik Phising Baru yang Muncul

Teknik phising baru yang muncul merupakan pengembangan dan penelitian dari berbagai kelompok penjahat siber yang memanfaatkan celah keamanan. simak pemaparannya.

Email palsu dari bank, pesan yang muncul dari teman dekat, seseorang yang menyamar sebagai eksekutif senior melalui panggilan telepon, serangan phising telah berkembang pesat, dengan para penipu yang berinovasi dalam berbagai cara baru untuk menipu orang.

Berikut ini adalah beberapa teknik phising baru yang muncul dalam beberapa bulan terakhir:

1. Email Pemutusan Hubungan Kerja Palsu

Dalam lingkungan yang penuh dengan PHK dan perlambatan ekonomi, bayangkan menerima email yang memberi tahu Anda bahwa Anda telah kehilangan pekerjaan.

Di Inggris, para korban dilaporkan menerima pemberitahuan pemutusan hubungan kerja yang memuat lambang negara dan nomor kasus Pengadilan Ketenagakerjaan yang berisi baris subjek, “Tindakan yang Diperlukan: Proses Pengadilan terhadap Anda.” Pesan tersebut memberi tahu korban bahwa mereka harus segera mengunduh lampiran dan mematuhi petunjuk atau menghadapi konsekuensi hukum.

Mengklik tombol unduh akan mengarahkan korban ke situs web Microsoft palsu yang dipenuhi malware. Kemudian, file berbahaya diunduh ke komputer korban, yang bukan berupa file PDF atau Word, melainkan arsip RAR terkompresi (jenis file kompresi yang mirip dengan ZIP) yang berisi skrip Visual Basic. Setelah file terkompresi ini diekstraksi, file terenkripsi lain diunduh, disimpan di sistem, dan menjalankan malware.

2. Kampanye Peniruan Identitas

Para pelaku phising dikenal suka meniru nama-nama merek terkenal seperti Google, Amazon, dan Microsoft. Tidak mengherankan jika mereka mulai menargetkan OpenAI, pembuat chatbot AI generatif populer ChatGPT.

Menurut laporan, pelaku ancaman mengirim email phising kepada orang-orang yang memberi tahu mereka bahwa langganan OpenAI mereka telah berakhir dan mereka harus memperbarui detail pembayaran untuk memperbarui langganan.

Karena OpenAI membanggakan basis pengguna yang sangat besar, yakni 300 juta pengguna aktif per minggu, dengan sekitar 11 juta pengguna berbayar, kemungkinan besar banyak orang menjadi korban taktik ini, kehilangan uang dan data kartu kredit akibat penipu.

3. Penipuan Pembajakan Gaji

Analis ancaman dari Silent Push baru-baru ini mengungkap kampanye phising berbahaya di mana pelaku ancaman mengubah informasi gaji atau perbankan karyawan.

Berikut cara mereka melakukannya: Pelaku ancaman membeli iklan yang disponsori Google untuk kata kunci tertentu dan memasang situs web phising sebagai hasil pencarian teratas. Korban melihat iklan ini di bagian atas hasil pencarian mereka dan masuk ke situs phising, bukan portal SDM perusahaan yang sebenarnya.

Selanjutnya, pelaku ancaman mencuri kredensial ini dan menggunakannya untuk masuk ke portal karyawan yang sebenarnya. Mereka mengubah informasi perbankan karyawan sehingga saat penggajian berikutnya berjalan, dana ditransfer ke akun pelaku ancaman. Beberapa organisasi terkenal telah terpengaruh oleh penipuan ini, termasuk Kaiser Permanente, Macy’s, New York Life, dan Roche.

4. Serangan Phising Dua Langkah

Berikutnya adalah serangan dua langkah dimana pelaku ancaman mengambil alih akun email yang disusupi dan mulai melakukan phising pada kontak.

Korban menerima email yang berisi tautan ke URL Microsoft SharePoint yang menyimpan file Microsoft Visio yang tampak tidak berbahaya (alat yang digunakan orang untuk mendesain diagram alir).

Saat korban mencoba membuka file Visio, mereka melihat tombol “Lihat Dokumen” dan instruksi untuk menekan tombol Ctrl dan mengklik, sebuah langkah yang dirancang untuk menghindari deteksi dari sistem keamanan siber.

Saat pengguna mengikuti langkah-langkah ini, mereka diarahkan ke halaman login Microsoft palsu, di halaman jebakan ini, kredensial mereka diambil.

Dengan menggunakan kredensial ini, pelaku ancaman dapat melakukan serangkaian serangan lain, seperti ransomware, man-in-the-middle, dan business email compromise (BEC).

5. Phising Berbagi File

Penyerang semakin memanfaatkan layanan berbagi file seperti Dropbox, ShareFile, dan Docusign untuk mengirimkan email phising ke target mereka.

Banyak dari layanan ini menikmati kepercayaan implisit, dan oleh karena itu pemberitahuan email mereka jarang masuk daftar hitam, diperiksa, atau difilter oleh sistem keamanan email.

Ditambah lagi, banyak dari alat ini memungkinkan pendaftaran gratis dan mengizinkan siapa pun untuk mengirim email melalui platform mereka tanpa biaya.

Beginilah salah satu serangan phising berlangsung: Target menerima email dari alamat email resmi Dropbox. Email tersebut tampaknya berasal dari bagian sumber daya manusia mengenai kenaikan gaji dan pendaftaran investasi terbuka.

Penerima tidak melihat lampiran apa pun, tetapi hanya tombol “Lihat di Dropbox” yang mengarahkan mereka ke URL Dropbox. Di sini, mereka harus memasukkan kredensial resmi Dropbox mereka.

Saat login, korban menemukan dokumen dengan merek Microsoft, tetapi tidak dapat mengaksesnya hingga mereka mengklik tombol unduh atau tinjau. Setelah mengklik, mereka dibawa ke halaman login Microsoft OneDrive palsu, tempat pelaku ancaman mengambil kredensial pengguna mereka.

Cara Perusahaan Melindungi Diri dari Serangan Phising

phising adalah metode utama yang digunakan penyerang untuk menyusup dan membahayakan organisasi. Berikut adalah beberapa praktik terbaik yang dapat membantu mengurangi risiko phising:

Amankan elemen manusia: Keberhasilan serangan phising sebagian besar bergantung pada kemampuan penyerang untuk menipu pengguna. Untuk menggagalkan serangan phising, elemen manusia perlu diperkuat.
Latih tenaga kerja: Ajari karyawan untuk mengenali dan melaporkan tanda-tanda phising, tidak bereaksi secara impulsif, memverifikasi URL yang mencurigakan sebelum mengklik, dan selalu berpikir kritis.
Manfaatkan alat keamanan: Alat keamanan siber seperti keamanan email dan gateway keamanan web dapat membantu mengurangi risiko email dan situs web phising. Autentikasi multifaktor yang tahan phising dapat membantu mencegah pengambilalihan akun bahkan dalam situasi di mana penyerang memiliki akses ke kredensial pengguna.

Evolusi dan adaptasi yang terus-menerus oleh para penipu ini menjadikan phising sebagai ancaman yang semakin berbahaya. Organisasi harus fokus pada pendidikan dan penguatan penggunanya untuk mengurangi peluang keberhasilan serangan phising.

Baca lainnya: