Contoh Serangan Social Engineering

img source: medium.com

Social engineering adalah teknik manipulasi psikologis yang digunakan oleh penyerang untuk mendapatkan informasi atau akses yang tidak sah dengan mengeksploitasi kelemahan manusia. Alih-alih menyerang sistem atau perangkat lunak secara langsung, social engineering menargetkan aspek psikologis manusia untuk mendapatkan akses ke data sensitif, kredensial, atau sistem.

Contoh Serangan Social Engineering

1. Phishing

   Phishing adalah salah satu bentuk social engineering yang paling umum. Dalam serangan ini, penyerang mengirimkan email atau pesan yang tampaknya berasal dari sumber terpercaya, seperti bank atau perusahaan teknologi, untuk menipu korban agar mengungkapkan informasi pribadi atau login mereka. Contoh phishing yang terkenal adalah phishing bank, di mana penyerang mengirim email yang mengklaim bahwa akun bank korban perlu diverifikasi dan meminta mereka untuk mengklik tautan dan memasukkan informasi akun mereka.

2. Pretexting

   Pretexting adalah teknik di mana penyerang menciptakan skenario atau pretext (alasan palsu) untuk meminta informasi dari korban. Misalnya, penyerang mungkin berpura-pura sebagai pegawai TI yang memerlukan verifikasi identitas untuk menyelesaikan masalah teknis. Mereka kemudian meminta informasi sensitif seperti password atau nomor identitas karyawan. Contoh pretexting ini sering terjadi dalam konteks dukungan teknis dan layanan pelanggan.

3. Baiting

   Baiting melibatkan penawaran atau tawaran yang tampaknya menarik untuk menipu korban agar mengambil tindakan tertentu. Misalnya, penyerang mungkin meninggalkan USB drive yang terinfeksi malware di tempat umum, seperti di parkiran kantor. Ketika korban mengambil dan menghubungkan USB drive ke komputer mereka, malware akan diinstal dan memberi penyerang akses ke sistem. Contoh lain adalah tawaran unduhan perangkat lunak gratis yang sebenarnya berisi malware.

4. Tailgating

   Tailgating adalah teknik di mana penyerang mengikuti seseorang yang memiliki akses fisik ke area terbatas untuk mendapatkan akses yang tidak sah. Misalnya, penyerang mungkin mengikuti karyawan yang memasuki gedung dengan menggunakan kartu identitas mereka dan memasuki area yang seharusnya tidak mereka akses. Teknik ini sering digunakan di kantor dan fasilitas dengan kontrol akses fisik.

5. Spear Phishing

   Spear phishing adalah varian phishing yang sangat ditargetkan, di mana penyerang menyesuaikan pesan mereka untuk menargetkan individu atau organisasi tertentu. Misalnya, penyerang mungkin mengirim email yang tampaknya berasal dari seorang eksekutif perusahaan dan meminta karyawan untuk mentransfer dana atau memberikan akses ke informasi sensitif. Pesan ini sering kali disesuaikan dengan informasi pribadi korban untuk meningkatkan kredibilitas dan keberhasilan serangan.

Cara Menghindari Serangan Social Engineering

1. Pendidikan dan Pelatihan Karyawan

   Melatih karyawan untuk mengenali tanda-tanda serangan social engineering sangat penting. Pendidikan tentang teknik umum yang digunakan oleh penyerang, seperti phishing dan pretexting, dapat membantu karyawan menghindari menjadi korban. Program pelatihan reguler dan simulasi serangan dapat meningkatkan kesadaran keamanan.

2. Verifikasi Permintaan Informasi

   Selalu verifikasi permintaan informasi atau akses melalui saluran yang berbeda dari yang digunakan oleh penyerang. Jika Anda menerima permintaan untuk informasi sensitif melalui email atau telepon, hubungi pihak yang mengklaim mengirimkan permintaan tersebut melalui metode kontak yang terverifikasi.

3. Gunakan Autentikasi Multi-Faktor (MFA)

   Autentikasi multi-faktor menambahkan lapisan perlindungan tambahan dengan meminta lebih dari satu bentuk verifikasi. Bahkan jika kredensial login korban jatuh ke tangan penyerang, MFA dapat membantu mencegah akses tidak sah.

4. Hati-hati dengan Informasi Pribadi

   Hindari membagikan informasi pribadi yang tidak perlu secara publik, terutama di media sosial. Informasi yang diposting secara publik dapat digunakan oleh penyerang untuk menyesuaikan serangan mereka dan membuat skenario pretexting lebih kredibel.

5. Terapkan Kontrol Akses Fisik

   Pastikan area yang memerlukan akses terbatas dilindungi dengan baik dan implementasikan kebijakan kontrol akses fisik. Gunakan sistem kartu identitas dan verifikasi yang ketat untuk mencegah tailgating dan akses tidak sah.

Referensi

1. OWASP Foundation. (2023). Social Engineering. OWASP Social Engineering
2. Symantec. (2023). Understanding Social Engineering Attacks. Symantec Social Engineering
3. Kaspersky. (2023). What is Social Engineering? Kaspersky Social Engineering
4. Cybersecurity & Infrastructure Security Agency (CISA). (2023). Social Engineering. CISA Social Engineering