Digitalmania – Sampai saat ini serangan melalui email masih menjadi favorit penjahat dunia maya, selain sederhana dan murah, serangan menggunakan email mudah dilakukan dan dapat dikerjakan oleh siapa saja, memiliki efektifitas dan efisiensi lebih baik dari lainnya. Tentu saja semua serangan tersebut dilandasi oleh social engineering, dalam hal ini dengan menggunakan phising.

Pada pembahasan kali ini redaksi Digitalmania telah mengumpulkan daftar jenis serangan phising yang paling umum. Tujuannya di sini adalah untuk membantu Anda membiasakan diri dengan berbagai jenis serangan phising yang ada dan memberikan gambaran umum tentang cara kerjanya atau apa yang membedakannya dari penipuan phising lainnya. Berikut pemaparannya lebih lanjut:

1. Penipuan CEO/BEC

Jenis phising pertama yang akan kita bahas dikenal sebagai penipuan CEO. Singkatnya, penipuan CEO terjadi ketika penjahat dunia maya mengirim email ke karyawan tingkat bawah, biasanya seseorang yang bekerja di departemen akuntansi atau keuangan, sambil berpura-pura menjadi CEO perusahaan atau eksekutif lain, manajer, dll.

Email semacam ini sering membuat korbannya mentransfer dana ke akun palsu. Jenis penipuan ini juga sering disebut sebagai Business Email Compromise (BEC), yang menurut laporan FBI merugikan bisnis hingga miliaran dolar.

2. Klon phising

Ide di balik serangan clone phishing adalah untuk memanfaatkan pesan sah yang mungkin telah diterima korban dan membuat versi jahatnya. Serangan tersebut menciptakan replika virtual dari pesan yang sah, dan mengirim pesan dari alamat email yang terlihat sah. Tautan atau lampiran apa pun di email asli diganti dengan yang berbahaya.

Penjahat dunia maya sering menggunakan alasan bahwa mereka mengirim ulang pesan asli karena masalah dengan tautan atau lampiran email sebelumnya untuk memikat pengguna akhir agar mengkliknya. Dan sayangnya, hal ini sering terjadi dan memakan korban karena membuat pengguna tidak sadar.

3. Spoofing Domain/pemalsuan domain

Jenis phising berikutnya dikenal sebagai spoofing domain. Metode serangan ini menggunakan email atau situs web palsu. Spoofing domain terjadi ketika penjahat dunia maya ‘memalsukan’ domain organisasi atau perusahaan untuk:

• Membuat email mereka terlihat seperti berasal dari domain resmi, atau

• Membuat situs web palsu terlihat seperti aslinya dengan mengadopsi desain situs asli dan menggunakan URL serupa atau karakter Unicode yang terlihat seperti karakter ASCII.

Bagaimana itu mungkin? Dalam kasus serangan berbasis email, penjahat dunia maya memalsukan header email baru yang membuatnya tampak seperti email yang berasal dari alamat email sah perusahaan. Dalam spoof domain situs web, penjahat dunia maya membuat situs web palsu dan dengan domain yang terlihat sah atau mirip dengan aslinya eset.com vs eset.co, misalnya.

4. Evil Twin

Meskipun kedengarannya seperti serangan phising klon, evil twin atau kembar jahat sebenarnya adalah mahluk yang sangat berbeda. Tidak seperti metode phising lain yang telah disebutkan di atas, serangan kembar jahat adalah bentuk phising yang memanfaatkan Wi-Fi.

Dapat digambarkan kembar jahat sebagai titik akses nirkabel jahat yang menyamar sebagai titik akses Wi-Fi yang sah sehingga pelaku dapat mengumpulkan informasi pribadi atau perusahaan tanpa sepengetahuan pengguna akhir. Jenis serangan ini juga disebut sebagai penipuan Starbucks karena sering terjadi di kedai kopi.

Evil twin phishing melibatkan penjahat dunia maya yang membuat hotspot Wi-Fi yang terlihat seperti yang asli, mereka bahkan akan menggunakan set service identifier (SSID) yang sama dengan jaringan sebenarnya. Saat pengguna akhir terhubung, pelaku kemudian dapat menyadap lalu lintas jaringan mereka dan mencuri nama akun, kata sandi, dan melihat lampiran apa pun yang diakses pengguna saat terhubung ke hotspot yang disusupi.

5. Phising HTTPSS

58% dari semua situs web phishing sekarang dilayani melalui HTTPS. Pendekatan yang digunakan penjahat dunia maya dalam serangan ini adalah mengirim email hanya dengan tautan yang terlihat sah di badan email. Seringkali tidak ada konten lain kecuali tautan itu sendiri, yang mungkin dapat diklik atau tautan tidak aktif yang mengharuskan penerima menyalin dan menempelkan URL ke bilah alamat web mereka.

Jadi mengapa ada orang yang sengaja mengklik email seperti itu? Jawaban singkatnya adalah karena pelaku menggunakan berbagai taktik social engineering untuk mengelabui penerima email agar mengklik tautan atau menyalin dan menempelkan URL ke browser web mereka, yang membuat jenis email phising ini sulit dideteksi oleh filter. Ini termasuk mengirim pesan dari alamat email yang tampak sah, seperti dari bos penerima, rekan kerja, atau CEO.

6. Smishing

SMS phising atau smishing, adalah bentuk phising yang memanfaatkan kecanduan dunia terhadap pesan teks dan komunikasi instan seperti Messenger dan WhatsApp misalnya.

Smishing adalah cara bagi penjahat dunia maya untuk memikat pengguna agar mengunduh muatan berbahaya dengan mengirimkan pesan teks yang tampaknya berasal dari sumber yang sah dan berisi URL jahat untuk mereka klik.

Hal itu bisa berupa sesuatu yang disamarkan sebagai kode kupon diskon untuk pembelian berikutnya atau bisa juga berupa tawaran untuk memenangkan tiket gratis ke pertunjukan yang akan datang.

Salah satu cara untuk menghindari menjadi korban serangan smishing adalah melihat apakah pesan dikirim dari sumber yang sah. Namun, cara terbaik untuk menghindarinya adalah dengan tidak terlibat dengan pesan teks yang tidak diminta.

Jika Anda tidak mendaftar untuk pemberitahuan teks, jangan klik pada URL saat Anda menerima teks semacam itu. Jika ragu tentang keaslian pesan, cukup abaikan saja.

7. Spear phishing

Serangan spear phishing adalah bentuk phising yang ditargetkan. Tidak seperti email phising umum, yang menggunakan taktik seperti spam untuk meraup ribuan orang dalam operasi email besar-besaran, email spear phishing menargetkan individu tertentu dalam suatu organisasi.

Mereka menggunakan taktik social engineering untuk membantu menyesuaikan dan mempersonalisasi email kepada korban yang mereka tuju. Mereka mungkin menggunakan baris subjek email yang akan menjadi topik yang menarik bagi penerima email untuk mengelabui mereka agar membuka pesan dan mengklik tautan atau lampiran.

Mengapa spear phishing begitu penting? Karena sebagian besar serangan siber dimulai dengan email spear phishing. Tujuannya sering kali untuk mencuri data atau memasang malware ke komputer penerima untuk mendapatkan akses ke jaringan dan akun mereka. Sayangnya, metode keamanan tradisional mungkin tidak menghentikan jenis serangan ini karena sangat disesuaikan sehingga banyak filter spam tradisional mungkin melewatkannya.

8. Vishing

Anda sudah membaca tentang smishing dan memahami bahwa itu adalah phising untuk pesan SMS. Jadi, jika Anda menebak bahwa vishing adalah phising suara (phising melalui telepon), maka Anda benar.

Serangan vishing terjadi ketika seorang penjahat menelepon telepon Anda untuk mencoba membuat Anda memberikan informasi pribadi atau keuangan. Mereka sering menggunakan panggilan otomatis yang mengarahkan kembali individu yang tertipu karena taktik mereka dan akhirnya berbicara dengan penjahat itu sendiri. Mereka juga menggunakan aplikasi seluler dan teknik lain untuk menipu nomor telepon mereka atau menyembunyikan nomor telepon mereka sepenuhnya.

Pelaku serangan ini sering menggunakan berbagai taktik social engineering untuk mengelabui korban agar memberikan informasi ini. Mereka juga dikenal berpura-pura menjadi orang lain, aparat, bank Anda, atau eksekutif di perusahaan Anda yang mengaku bekerja di cabang lain.

Mereka akan mengklaim bahwa Anda berhutang pajak, atau bahwa kartu kredit Anda memiliki aktivitas yang mencurigakan dan harus segera ditutup, mereka hanya perlu ‘memverifikasi’ informasi pribadi Anda terlebih dahulu sebelum mereka dapat menutup kartu dan menerbitkan kembali yang baru.

9. Phising Watering Hole

Jenis serangan phishing yang kurang dikenal ini dapat dianalogikan seperti sekelompok zebra, kijang, dan makhluk lain di Serengeti di lubang berair. Untuk mendinginkan diri, mereka beringsut lebih dekat ke air dan bersandar untuk minum. Seekor zebra memutuskan untuk sedikit lebih dingin dan mengembara agak terlalu jauh dari kawanan ke dalam air. Tiba-tiba, seekor buaya menyembur dari bawah permukaan air dan menangkap mereka, menyeret mereka ke bawah.

Serangan watering hole phising menargetkan bisnis dengan:

• Mengidentifikasi situs web tertentu yang paling sering dikunjungi perusahaan atau karyawan Anda, dan

• Menginfeksi salah satu situs dengan malware.

• Situs yang dipilih untuk menginfeksi mungkin merupakan vendor yang layanannya digunakan oleh perusahaan Anda. Tujuannya adalah untuk menginfeksi situs web sehingga ketika Anda atau karyawan Anda berkunjung, komputer Anda akan secara otomatis disusupi dengan malware. Ini akan memberi pelaku akses ke jaringan, server, dan informasi sensitif seperti data pribadi dan keuangan.

10. Whaling

Whaling adalah suatu bentuk spear phishing, sangat mirip namun versi kebalikan dari penipuan CEO. Alih-alih menargetkan individu tingkat rendah dalam suatu organisasi, penjahat dunia maya malah menargetkan eksekutif tingkat tinggi seperti CEO, CFO, dan COO.

Tujuannya adalah untuk mengelabui eksekutif agar mengungkapkan informasi sensitif dan data perusahaan. Target ini dipilih dengan hati-hati karena akses dan otoritas mereka dalam suatu organisasi. Serangan ini sering menggunakan email dan situs web spoofing.

Tidak seperti email phising umum, pesan ini mengandalkan taktik social engineering menggunakan informasi yang mereka dapatkan dari internet dan berbagai platform media sosial. Serangan ini sangat disesuaikan dengan audiens mereka dan sering kali menyertakan:

• Nama korban,

• Jenis pekerjaan, dan

• Detail dasar yang membuat komunikasi terlihat sah.