Bismillahirrahmannirrahim.
Alhamdulillah pada minggu ini saya mendapatkan kesempatan untuk mengikuti bimbingan teknis (bimtek) kesiapsiagaan prosedur insiden keamanan siber dan juga sekaligus untuk pembentukan Computer Security Insiden Response Team (CSIRT) atau Tim Tanggal Insiden Siber (TTIS) Provinsi Kalimantan Timur.
Pada hari pertama saya mendapatkan pelatihan tentang penanganan insiden phising.
Pemateri menjelaskan tren serangan phising yang terjadi di dunia dengan sektor finansial menjadi target tertinggi.
Phising bertujuan untuk mencuri informasi dan data pribadi dari surat elektronik, telepon, pesan, atau link palsu yang mengaku sebagai instansi atau pihak tertentu.
Social Enginering
Social engineering adalah tindakan memanipulasi seseorang dengan memanfaatkan kesalahan mereka untuk memberikan data atau informasi yang bersifat rahasia. Dalam menjalankan aksinya, pelaku kejahatan human hacking biasanya menyamar sebagai pihak yang berwenang, sehingga korban mau memberikan data berharganya kepada pelaku.
Phising merupakan salah satu jenis dari Social Enginering, ada berberapa jenis dari Social Enginering, yaitu :
- Baiting Baiting merupakan jenis serangan social engineering yang sering ditemukan. Sesuai namanya, serangan ini menggunakan umpan untuk memancing para korban. Baiting kebanyakan menawarkan korbannya musik gratis atau unduhan film, termasuk film porno, dengan kecepatan yang lebih cepat. Setelah mengklik situs tersebut, korban harus memasukkan surat elektronik dan password mereka.
- Pretexting Merupakan bentuk rekayasa sosial yang digunakan untuk memanipulasi orang agar memberikan apa yang mereka inginkan dengan mengarang cerita (atau dalih) untuk mendapatkan kepercayaan.
- Scareware Merupakan salah satu perangkat lunak yang biasa digunakan oleh para scammer ketika menakuti para korbannya untuk segera membeli maupun menginstall suatu perangkat lunak tertentu. Biasanya scareware berupa suatu pengumuman bahwa laptop maupun komputer kalian sedang terserang virus dan untuk menghilangkan virus tersebut harus segera menginstall suatu aplikasi tertentu.
Phising
Merupakan upaya untuk mendapatkan informasi data seseorang dengan teknik pengelabuan. Data yang menjadi sasaran phising adalah data pribadi (nama, usia, alamat), data akun (username dan password), dan data finansial (informasi kartu kredit, rekening).
Beberapa motivasi Pelaku adalah :
- Mendapatkan Informasi Rahasia
- Mendapatkan Keuntungan keuangan
- Mendapatkan akses ke sistem dan jaringan
- Melakukan pengintaian
Target Phising :
- Pengguna Email
- Pengguna Media Sosial
- Pengguna App Chat & SMS
- Pengguna App E-Commerce
- Pengguna Online Banking
Jenis Jenis Phising :
-
Email Phising
Jenis phising yang paling populer adalah e-mail phising atau peretasan berbasis surel palsu untuk menggaet informasi dari korban. Phising jenis ini amat berbahaya karena korban dapat tidak sengaja membuka tautan dokumen atau link yang tertera pada attachment surel dan bukan tidak mungkin bahwa tautan tersebut mengandung malware.
-
_Spear Phising _
Spear phising adalah jenis dari email phising. Bedanya, alih-alih menggunakan pengiriman email secara masif dengan calon korban yang acak, spear phising menarget calon korban tertentu. Biasanya, teknik ini dilakukan setelah beberapa informasi dasar calon korban dimiliki, seperti nama dan alamat.
-
Whaling Phising
Whaling adalah langkah phising yang tidak hanya menarget individu secara spesifik, tapi juga individu yang memiliki kewenangan tinggi di suatu organisasi, misalnya pemilik bisnis, direktur perusahaan, manajer personalia, dan lainnya.
-
Web Phising
Web phising adalah upaya memanfaatkan website palsu untuk mengelabui calon korban. Website untuk phising akan terlihat mirip dengan website resmi dan menggunakan nama domain yang mirip. Hal ini disebut domain spoofing.
Antisipasi Phising
- Jangan Percaya Nama Display, seperti di surat elektronik, whatsapp dan media lainnya.
- Hati hati dalam situasi darurat.
- Jangan sembarang klik link.
- Perhatikan ejaan pada alamat surat elektronik, nama display, pada URL website.
- Jangan buka file lampiran mencurigakan di surat elektronik, atau aplikasi yang dikirim via whatsapp.
- Jangan mudah memberikan informasi pribadi anda.
Sekian catatan saya yang diambil dari bimtek kesiapsiagaan prosedur insiden keamanan siber.
Terima Kasih.