Modus Penipuan Online dengan Social Engineering
Apa itu Social Engineering ?
Social engineering adalah teknik manipulasi psikologis yang digunakan
oleh penyerang untuk mengelabui individu agar memberikan informasi rahasia atau
melakukan tindakan tertentu yang dapat mengakibatkan kebocoran data atau data breach.
Kategori Serangan
- Hunting : Pendekatan ini berusaha untuk melakukan serangan social engineering melalui interaksi seminimal mungkin dengan target. Setelah tujuan yang ditentukan tercapai.
- Farming : Farming tidak sering dipraktikkan, namun teknik ini dapat digunakan untuk tujuan yang situasional. Penyerang bertujuan untuk membangun hubungan dengan korban untuk mengekstraksi informasi pada periode waktu yang lebih lama. Sepanjang proses, interaksi dapat berubah, target dapat mempelajari kebenaran dan social engineering dapat berusaha untuk memeras target
Tahapan Serangan
- Research (Pengumpulan informasi) : Website perusahaan dapat menjadi salah satu sumber informasi utama untuk menjalankan serangan social engineering. Informasi seperti nomor kontak perusahaan, lokasi dan alamat cabang, alamat e-mail, bagan struktur organisasi, laporan keuangan dan lain-lain, tidak hanya bersangkut-paut dengan calon pelanggan, namun juga memberi kesempatan pada penyerang social engineering untuk merencanakan serangan. Seseorang dapat dengan mudah mengumpulkan informasi seperti faktur, korespondensi, manual, e-mail, dan lain-lain, yang dapat membantu si penyerang memperoleh informasi penting. Tujuan si penyerang dalam tahap ini adalah untuk mempelajari sebanyak mungkin informasi agar ia dapat menyamar sebagai pegawai, kontraktor, atau vendor.
- Hook (Pemilihan sasaran) : Dalam tahap ini, si penyerang mengidentifikasi mata rantai terlemah untuk ditembus. Target yang paling umum adalah help desk dan resepsionis, karena mereka dilatih untuk memberikan bantuan. Organisasi yang yang mempekerjakan pihak luar sebagai help desk bahkan lebih rentan lagi. Korban paling umum berikutnya adalah asisten administrasi karena ia mengetahui banyak informasi penting yang beredar di antara anggota tim manajemen. Mereka juga menangani mail account dan jadwal supervisor mereka.
- Play (Serangan) : Tahap serangan ini dapat dilakukan dengan berbagai cara dan metode. Serangan ini bertujuan untuk mencapai tujuan social engineering, yang dapat mengekstraksi informasi atau memanipulasi target untuk mengkompromikan sistem.
- Exit : Terakhir, social engineering menyelesaikan interaksi dengan korban, dengan tanpa menimbulkan kecurigaan. Setelah tahap terakhir ini, penyerang biasanya sangat sulit dilacak
Contoh Serangan
- Modus penipuan Online saat ini sudah berkembang, saat ini penipuan online menyasar masyarakat yang mengaktifkan pinjaman online (Pinjol). Penipuan ini dilakukan dengan cara pelaku menghubungi pemilik akun pinjaman online dengan menyamar sebagai pihak dari penyedia pinjaman online.
- Pelaku melakukan tipu daya dengan mencari nomor korban dengan memasukan nomer hp secara acak ke aplikasi penyedia pinjaman online seperti Shopee, Tokopedia, Gojek dan aplikasi lainnya.
- Setelah mendapatkan nomor, pelaku akan menghubungi korban dengan berpura-pura menjadi admin pinjaman online, dan melakukan pengiriman OTP kepada korban.
- Setelah korban berhasil diyakinkan, korban akan diminta untuk menyebutkan nomor OTP tersebut kepada pelaku.
- Setelah pelaku berhasil masuk ke aplikasi, pelaku akan melakukan pinjaman onlie dengan akun korban dan di transfer ke rekening pelaku.
- Setelah uang berhasil masuk, biasanya pelaku melakukan pemblokiran dan penghapusan Nomor telepon dan media komunikasi seperti Whats app atau lainnya untuk menghilangkan jejak.