Penjahat dunia maya semakin memanfaatkan keluguan manusia daripada kelemahan keamanan arsitektur perangkat lunak. Tidak mengherankan bahwa phising, vektor dominan serangan social engineering yang menargetkan individu dan bisnis terus meningkat. Berikut adalah trik-trik phising terbaru 2024.
Dalam banyak skenario, email yang tampak sah dengan tautan berbahaya sudah cukup untuk mengelabui penerima agar menyerahkan kredensial mereka di halaman login palsu.
Seiring meningkatnya kesadaran keamanan, banyak pengguna yang cukup waspada untuk menjauhi tipu daya dunia maya klasik ini. Selain itu, penyedia email dan vendor anti malware telah menyempurnakan perangkat perlindungan mereka untuk mengimbangi ancaman yang berkembang pesat ini. Keamanan email yang lebih baik juga merupakan salah satu manfaat layanan TI terkelola yang semakin diminati perusahaan saat ini. Namun, ada peringatan.
Meskipun white hat telah cukup berhasil dalam mendeteksi dan menggagalkan tipuan ini melalui fitur-fitur seperti gateway email, para phisher tampaknya masih selangkah lebih maju dengan taktik mereka. Beberapa operasi yang tidak biasa telah menunjukkan betapa sulitnya serangan phising saat ini.
Berikut adalah trik-trik phising terbaru 2024 yang merupakan cara baru yang digunakan penjahat dunia maya untuk mengelabui korbannya.
Kode QR Dijadikan Sarana
Popularitas kode respons cepat (QR) telah menjadikannya sorotan kejahatan dunia maya. Dalam beberapa tahun terakhir, instrumen untuk memudahkan akses ke informasi ini telah disalahgunakan dalam skala yang semakin besar untuk menipu orang dan mengatur kampanye malware.
Dalam serangan phising QR yang umum, pelaku kejahatan membuat kode batang matriks dua dimensi yang menyembunyikan URL berbahaya. Objek yang tampak tidak berbahaya ini sering kali ditempatkan dalam email phising, pesan teks, atau kiriman media sosial, yang menggoda pengguna untuk memindainya.
Konten di balik kode QR yang mencurigakan ini dapat mengarah ke situs web palsu yang meniru layanan tepercaya dan meminta calon korban untuk memasukkan kredensial login, informasi keuangan, atau data sensitif lainnya.
Dikenal juga sebagai quishing, taktik ini pertama kali ditemukan pada akhir tahun 2021 dalam gelombang email phising yang berpura-pura berasal dari FedEx atau DHL.
Penerima diperintahkan untuk memindai kode QR palsu untuk memperbarui detail pengiriman atau membayar biaya bea cukai. Sebaliknya, mereka akan berakhir di halaman phising kredensial yang tampak sah.
Quishing merupakan daya tarik bagi pelaku ancaman karena beberapa filter email tidak dapat menginterpretasikan kode QR dan karenanya tidak menandai pesan tersebut sebagai pesan yang berpotensi berbahaya.
Meskipun demikian, tanggung jawab sebagian besar berada pada pengguna akhir untuk menghindari penipuan tersebut. Sangat disarankan untuk memeriksa setiap URL yang dituju kode tersebut. Lapisan pertahanan lainnya adalah autentikasi multifaktor, terutama di lingkungan perusahaan tempat satu akun yang disusupi dapat menjadi titik masuk untuk pelanggaran jaringan.
Pesan Catatan Audio Palsu Pada Peta Ancaman
Strategi phising yang sangat rumit awalnya menyalahgunakan layanan Microsoft OneNote untuk menipu pengguna agar mengunjungi halaman autentikasi palsu. Gelombang pencucian otak yang persuasif ini bergantung pada email yang bertuliskan “Catatan Audio Baru Diterima” di bidang subjeknya. Pesan tersebut mencoba meyakinkan pengguna bahwa mereka memiliki catatan audio baru dari kontak di buku alamat mereka.
Agar tampak dapat dipercaya, badan email juga berisi detail tentang durasi panggilan dan tanggal pesan tersebut diduga diterima. Elemen lain yang meyakinkan adalah bahwa bagian bawah halaman menyertakan frasa tentang email yang telah dipindai oleh “Layanan Pemindaian Antivirus Terbaik McAfee untuk Microsoft”.
Sedikit penelitian mengungkapkan bahwa solusi keamanan seperti itu tampaknya tidak ada, namun ungkapan tersebut mungkin menghilangkan keraguan beberapa penerima mengenai keaslian pesan tersebut.
Jika korban kebetulan tertipu oleh penipuan ini, mereka mungkin mengeklik tautan yang bertuliskan “Dengarkan pesan lengkapnya di sini”, tetapi akhirnya berakhir di halaman web OneNote Online palsu.
Menariknya, domain phising tersebut dihosting di platform Sharepoint.com milik Microsoft. Artinya, situs yang meragukan tersebut menggunakan sertifikat digital yang valid; oleh karena itu, situs tersebut tampak kredibel bagi pengunjung yang bijaksana dan tidak mungkin masuk daftar hitam oleh peramban web atau perangkat keamanan internet.
Halaman arahan tersebut menginstruksikan korban untuk mengeklik satu tautan lagi sehingga pesan audio yang dimaksud akhirnya tersedia. Namun, tautan tersebut mengarahkan ke situs login palsu (yang juga dihosting di layanan Sharepoint.com) yang meminta pengguna untuk mengautentikasi dengan alamat email dan kata sandi akun Microsoft mereka. Setelah kredensial ini dimasukkan, kredensial tersebut dikirim ke operator penipuan phising yang kemudian dapat melakukan pengambilalihan akun.
Pesan suara Microsoft Dipalsukan sebagai Umpan
Dalam operasi phising lainnya, pelaku kejahatan memalsukan pemberitahuan pesan suara Microsoft 365 untuk menarik perhatian korban. Dengan menyatakan bahwa penerima memiliki pesan suara yang terlewat, email palsu tersebut mencoba mengelabui mereka agar membuka berkas HTML terlampir yang meneruskan peramban web ke laman login palsu sambil menggunakan teknik pengaburan URL yang tidak biasa.
Menurut para peneliti yang mengungkap taktik ini, lampiran email yang disebutkan di atas berisi string JavaScript yang disandikan yang memicu perintah pengalihan lalu lintas web segera setelah objek HTML dibuka.
Akibatnya, pengguna pertama-tama akan masuk ke laman perantara yang tidak berbahaya yang kemudian secara otomatis menyelesaikan URL lain yang mengharuskan pengguna memecahkan Captcha. Dengan teknik ini, laman yang mencurigakan tersebut lebih mungkin luput dari radar alat analisis URL.
Begitu pengguna yang tidak sadar melewati uji Captcha, peramban mereka dialihkan ke halaman phising kredensial akhir yang desainnya meniru login Microsoft 365. Dalam cikal bakal tipuan ini yang awalnya ditemukan pada tahun 2019, korban malah akan mengunjungi halaman yang disebut “Sistem Manajemen Pesan Suara” yang meminta info autentikasi yang sama. Setelah dimasukkan, detail ini diteruskan ke server backend milik penjahat.
Menurut temuan analis, penipuan phising berdasarkan lampiran HTML berbahaya terutama menyasar organisasi yang berbasis di AS yang mewakili vertikal seperti militer, perawatan kesehatan, rantai pasokan manufaktur, dan perangkat lunak keamanan.
Kredensial yang dicuri dari karyawan tetap dapat menjadi batu loncatan untuk memperluas permukaan serangan dan melakukan spionase industri.
Mengingat tren yang berkembang, admin jaringan TI bisnis disarankan untuk mengonfigurasi sistem email agar secara otomatis memblokir entitas HTML yang masuk ke kotak masuk pengguna. Ternyata entitas HTML dapat sama berbahayanya dengan program yang dapat dieksekusi malware.
Pencegahan Trik-trik Phising Terbaru 2024
Mekanisme penyaringan canggih modern dapat menghentikan sebagian besar penipuan phising, tetapi tidak semuanya. Oleh karena itu, mengandalkan sepenuhnya pada teknologi ini merupakan jalan yang licin yang mungkin tidak cukup untuk tetap aman.
Tindakan pencegahan tambahan berikut akan meningkatkan upaya Anda untuk menghindari menjadi korban serangan phising.
- Jangan klik tautan yang disematkan dalam email.
- Jangan pernah membuka lampiran yang diterima dari pengirim yang tidak dikenal.
- Saat memasukkan kredensial dalam formulir login, pastikan itu adalah HTTPS dan bukan HTTP.
- Periksa keaslian URL yang ditautkan (perhatikan kesalahan ketik dan ketidakakuratan lainnya).
- Periksa email untuk kesalahan tata bahasa, ejaan, dan tanda baca. Banyak pelaku phising tidak mengoreksi teks mereka.
- Abaikan pesan yang menentukan tenggat waktu untuk melakukan sesuatu atau menyiratkan urgensi.
- Penipu sering kali mengumpulkan data yang tersedia untuk umum tentang individu dan menggunakannya untuk membuat email spear-phising yang menarik perhatian. Pertimbangkan untuk menghapus informasi pribadi dari internet guna menggagalkan upaya intelijen sumber terbuka (OSINT) semacam itu.
- Kenali bisnis Anda untuk mengidentifikasi pesan yang tidak sesuai dengan pola korespondensi email normal Anda.
- Jika Anda menerima permintaan transfer kawat (yang tampaknya dari atasan Anda), konfirmasikan secara langsung. Panggilan telepon biasanya cukup untuk memeriksa ulang keabsahannya.
- Jangan terlalu banyak membagikan informasi pribadi di jejaring sosial.
- Gunakan perangkat keamanan internet yang andal dan firewall.
- Jika Anda seorang pemilik bisnis, buatlah program pelatihan kewaspadaan phising jika Anda belum melakukannya.
Tren yang berkembang dan bisa dibilang hal besar berikutnya dalam bidang menggagalkan serangan ini adalah memanfaatkan teknik berdasarkan pembelajaran mesin dan kecerdasan buatan (AI). Campuran pendekatan ini dan metode tradisional yang sudah lama ada dapat mendeteksi upaya phising dengan jauh lebih efektif.
Intisari
Para pelaku phising menambahkan teknik canggih baru ke dalam repertoar mereka. Untuk melewati mekanisme keamanan konvensional, skema mereka mungkin melibatkan situs web yang tampak sah dengan sertifikat digital yang dikeluarkan oleh entitas tepercaya.
Dalam beberapa kasus, lalu lintas internet korban melewati serangkaian halaman yang tidak berbahaya sebelum mencapai formulir phising. Penyalahgunaan kode QR membantu penipu menyembunyikan URL jahat mereka. Semua keanehan ini membuat serangan lebih sulit dideteksi.
Yang terpenting, tema pesan yang semakin menarik perhatian ini mendorong penerima untuk terus mengeklik. Pada akhirnya, taktik pencegahan yang paling dapat diandalkan adalah menggabungkan pertahanan otomatis dengan kewaspadaan yang berasal dari kesadaran keamanan yang tepat.
Baca lainnya:
- Memahami Keamanan Siber
- Serangan Phising Kredensial
- Hacker Buru Pengguna Zimbra
- Perusahaan Indonesia Host RaaS Paling Berbahaya di Dunia
- Lawas Salah Satu Dasar Kerentanan
- Subyek Umum dalam Phising
- Remote Access Phising
- Investigasi Serangan Phising
- Layanan Phising Crypto Tipu Ribuan Korban
- Ajang Pengelabuan Saat Berlibur
- Pengelabuan Eksploitasi TLD
Sumber berita:
Prosperita IT News