Pelaku kejahatan siber belakangan ini memiliki segudang cara untuk melancarkan aksinya. Mulai dari memanfaatkan aplikasi pesan singkat Whatsapp hingga layanan surat elektronik, contohnya Gmail.
Perusahaan keamanan siber global, Kaspersky setidaknya merilis beberapa daftar rekayasa sosial yang digunakan pelaku kejahatan siber untuk menyerang perusahaan. Salah satunya dengan menggunakan pesan dan email dari dukungan teknis palsu, serangan email bisnis, dan permintaan data pada lembaga penegak hukum palsu.
Berikut modus yang digunakan para penipu online tersebut:
- Mengaku dari Dukungan Teknis
Cara pertama, mengaku sebagai dukungan teknis (technical support) dan melakukan panggilan kepada karyawan perusahaan. Panggilan tersebut biasanya akan dilakukan pada akhir pekan.
Para pelaku akan mengatakan mendeteksi aktivitas aneh pada komputer kerja dan meminta pegawai segera datang ke kantor. Petugas palsu akan menawarkan menyelesaikan masalah dari jarak jauh, namun butuh informasi kredensial login karyawan.
- Panggilan Palsu dari CEO
Modus berikutnya adalah serangan kompromi email bisnis (BEC). Penipu akan menyamar sebagai manajer, CEO atau mitra bisnis penting dengan tujuan mengeruk uang korbannya.
Serangan bisa bervariasi, misalnya mengirimkan lampiran berbahaya pada korban dengan kedok pesan bersifat darurat.
- Pembajakan Percakapan
Skema memungkinkan penyerang masuk dalam korespondensi bisnis dengan menyamar sebagai karyawan atau orang di perusahaan. Penyerang akan membutuhkan email asli dan membuat domain yang mirip untuk mendapatkan kepercayaan dari korbannya.
Mereka biasanya akan membeli basis data korespondensi email yang dicuri atau bocor di web gelap terlebih dahulu. Skenarionya bisa bervariasi, dari phising hingga malware, dan biasanya berhubungan dengan memasukkan detail bank untuk mengambil uang dari korbannya.
- Permintaan Data dari Pihak Berwajib
Tren yang marak muncul pada 2022 silam adalah meminta data resmi saat mengumpulkan informasi. Permintaan diterima oleh ISP, jejaring sosial, dan perusahaan teknologi yang berbasis di AS dari akun email yang diretas milik lembaga penegak hukum.
Dalam situasi yang normal, mendapatkan data dari penyedia layanan di AS butuh surat perintah dengan tandatangani hakim. Namun situasi seperti nyawa dan kesehatan yang terancam, permintaan data darurat (EDR) bisa dikeluarkan.
Jika permintaan kemungkinan akan dikabulkan jika menggunakan kasus yang masuk akal danz berasal dari lembaga penegak hukum. Peretas akan mendapatkan informasi mengenai korban dari sumber terpercaya dan menggunakannya untuk serangan lebih lanjut. (AA)