Phising adalah salah satu bentuk kejahatan siber yang semakin marak dan menjadi ancaman serius di dunia digital. Oleh karena itu, penting untuk kami membahas tentang apa itu phising, cara kerjanya hingga bagaimana mengatasinya. Simak informasi berikut ini.
Apa itu Phising?
Phising adalah salah satu bentuk serangan dunia maya (cyber attack) yang bertujuan untuk membujuk atau mengelabui seseorang agar memberikan informasi penting yang sifatnya sensitif.
Informasi yang dimaksud bisa berupa data apa saja, misalnya data pribadi, akses login seperti username dan password, atau data finansial seperti rekening, kartu kredit, dan lain-lain.
Meskipun kebanyakan pelaku memanfaatkan email untuk melakukan tindak kriminal, Anda juga harus berhati-hati karena pelaku mulai menyasar melalui website, sosial media hingga SMS.
Mengenal Website Phising
Website phising adalah situs web palsu yang dibuat untuk meniru tampilan dan fungsi situs web asli dengan tujuan menipu penggunanya.
Biasanya, pelaku menggunakan nama domain atau subdomain yang mirip dengan nama domain target untuk mengelabuhi pengunjung. Setelah itu, mereka membuat halaman yang juga mirip, biasanya berupa halaman login atau form tertentu yang membuat pengunjung menginputkan data-data pribadi.
Data yang Anda input kemudian akan tersimpan di database mereka, dan mereka bisa melakukan login di situs asli dengan informasi yang Anda inputkan di web phising.
URL Phising yang disebabkan Malware
Pada perkembangannya, halaman phising tidak hanya disebabkan karena faktor kesengajaan pemilik website. Website legitimate yang terkena Malware juga bisa memunculkan halaman phising di URL tertentu.
Penggunaan script website yang rentan dengan masalah keamanan bisa dimanfaatkan oleh attacker untuk disusupi malware, sehingga tercipta alamat URL yang menampilkan halaman phising. Pada kasus ini, umumnya pemilik website tidak menyadari webnya terinfeksi Malware.
Pengelola website yang kurang memperhatikan masalah keamanan, rentan menggunakan script bajakan/nulled untuk diupload di situs web mereka, daripada menggunakan script dari situs resmi yang lebih aman. Script website yang tidak di kelola dengan baik oleh Developer juga berpotensi dengan masalah keamanan ini.
Jenis phising dan cara kerjanya
Dengan menggunakan alamat URL website dan tampilan yang mirip, web phising akan mengelabui pengunjung agar menginput informasi yang sensitif. Data yang terinput akan dikumpulkan dalam suatu basis data yang sewaktu-waktu dapat dimanfaatkan oleh pelaku phishing.
Berikut ini beberapa jenis serangan phising yang paling umum terjadi:
1. Email phising
Sebagian besar phising dikirimkan melalui email. Alamat email dan nama pengirim disamarkan untuk mengelabui penerima. Biasanya pelaku akan meminta penerima email agar klik link tertentu dan menginputkan data yang sensitif seperti update password, dan lain-lain.
2. Spear phising
Merupakan bentuk phising yang menyasar target tertentu, mengaku sebagai pengirim terpercaya. Pelaku mengirim email yang seolah-olah dari pengirim yang dikenal atau terpercaya untuk membujuk individu yang ditargetkan agar mengungkapkan informasi yang bersifat rahasia.
3. Whaling
Whaling attack adalah metode yang digunakan oleh penjahat dunia maya yang secara langsung menargetkan pejabat senior atau individu penting lainnya di suatu organisasi. Tujuan utamanya ingin mencuri informasi sensitif atau mendapatkan akses ke sistem komputer mereka untuk tujuan kriminal.
Ciri umum yang sering dipakai dalam serangan ini adalah pelaku membuat skenario bahwa ada sesuatu sangat berpotensi menimbulkan masalah, seperti tindakan hukum atau terkait dengan reputasi perusahaan sehingga penerima merasa harus bertindak cepat untuk menghindari masalah tersebut terjadi.
4. Smishing
Merupakan salah satu bentuk phising dimana seseorang mencoba menipu Anda agar memberikan informasi pribadi Anda melalui pesan Teks atau SMS.
Dalam perkembangannya, smishing seringkali menggunakan elemen manipulasi psikologis agar Anda dapat membagikan informasi pribadi. Informasi yang dicari oleh pelaku bisa apa saja mulai dari kata sandi hingga informasi kartu kredit Anda.
5. Vishing
Kata vishing merupakan gabungan antara voice (suara) dan phising. Salah satu bentuk phising yang memanfaatkan media suara/telepon. Menggunakan kombinasi taktik menakut-nakuti dan manipulasi emosional, mereka mencoba mengelabui orang agar memberikan informasi mereka.
6. Angler phising
Seiring dengan meningkatnya popularitas media sosial dan banyaknya perusahaan yang menggunakan akun social media, maka hal ini juga menjadi celah bagi pelaku phising untuk beraksi di social media.
Pelaku membuat akun palsu perusahaan tertentu. Ketika calon korban menghubungi akun palsu pelaku, mereka (pelaku) akan meminta informasi pribadi Anda.
Cara Mencegah Phising
Setelah mengetahui apa itu Phishing, selanjutnya Anda perlu mengetahui dua cara untuk mencegahnya.
Memberikan penyuluhan pada karyawan dan pelanggan
Berdasarkan PhisMe, perusahaan yang memberikan informasi mengenai phishing pada staf dan pelanggannya, cenderung memiliki tingkat kerentanan yang rendah terhadap praktik Phishing.
Berikut beberapa tanda yang paling sering ditemui pada pesan Phishing
1. Penulisan yang Buruk
Kebanyakan pelaku tidak memiliki waktu dan keterampilan untuk merangkai kalimat email yang layak dan meyakinan. Pelaku dari luar negeri pun biasanya hanya menggunakan Google Translate untuk mengalihbahasakan isi email . Apabila Anda cermat, hanya dengan sekilas membaca saja sebenarnya praktik Phishing ini sudah bisa dengan mudah diidentifikasi.
2. URL mencurigakan
Hampir semua email Phishing akan menggiring penerimanya untuk membuka URL tertentu. Biasanya, pelaku akan membuat website mereka semirip mungkin dengan website asli perusahaan, atau memendekkan URL mereka agar tidak terlihat mencurigakan.
Ketika Anda melihat URL yang aneh atau disingkat, pastikan untuk mengecek ulang alamatnya.
3. Alamat Email Pengirim
Pelaku mungkin dapat meniru tampilan perusahaan, namun ada satu hal yang tidak dapat ditiru, yaitu alamat email pengirim.
Pelaku biasanya akan menggunakan alamat email yang dimiripkan dengan email perusahaan, atau menggunakan beberapa karakter yang berbeda dengan harapan Anda tidak memperhatikannya.
Pastikan untuk selalu mengecek alamat email pengirim sebelum mempercayai isi pesan. Apalagi ketika isi pesan mengharuskan Anda mengakses link tertentu atau mengunduh suatu file.
Menggunakan email security software
Berinvestasi pada software keamanan merupakan opsi yang paling aman untuk menghindari karyawan perusahaan Anda dari ancaman Phishing. Karena bisa saja karyawan Anda masih tetap tertipu meskipun sudah mengecek detail email.
software keamanan dapat mengidentifikasi traffic aneh dari pengirim email dan memonitor URL mencurigakan, bahkan melakukan deteksi, blokir, dan merespon ancaman tersebut sebelum masuk ke inbox karyawan.
Selain software keamanan, Anda juga bisa menggunakan filter spam dari layanan email seperti Titan Mail atau Google Suite yang dapat dipesan dari Rumahweb Indonesia.
Agar Anda tidak menjadi korban phising
Dari semua jenis serangan diatas, pada dasarnya pelaku memanfaatkan kelengahan Anda. Bila Anda adalah diminta menginputkan informasi yang sensitif, pastikan berasal dari sumber yang terpercaya.
Hindari menginputkan informasi yang sentitif apabila berasal dari sumber yang tidak dikenal. Namun demikian, beberapa point berikut ini juga perlu diperhatikan:
- Berhati-hati dengan semua komunikasi yang Anda terima. Bila itu nampak seperti aktifitas phising, jangan ditanggapi atau hapus.
- Selalu cek alamat pengirim email. Apalagi untuk email-email yang meminta informasi sensitif seperti update password, data pribadi, dan lain-lain.
- Jangan klik link apapun yang tercantum dalam email yang mencurigakan, dan jangan buka lampiran apapun yang dikirimkan.
- Selalu update browser ke versi terbaru.
- Perhatikan keamanan website yang Anda akses. Untuk website-website yang penting seperti website perbankan atau institusi keuangan, pada umumnya dilengkapi dengan SSL yang terpercaya.
- Lakukan scan Malware secara berkala di komputer Anda, dan pastikan komputer/device yg digunakan memakai Antivirus yang terupdate.
Cara Mengatasi Phising pada Website
Seperti yang telah dijelaskan diatas bahwa halaman phising tidak hanya disebabkan karena faktor kesengajaan pemilik website, namun bisa juga terjadi karena website yang terkena hack atau tersusupi malware.
Website legitimate yang rentan dengan masalah keamanan dan terkena malware, kemudian dimanfaatkan oleh attacker untuk menampilkan halaman phising di URL tertentu pada situs web tersebut.
Berikut ini beberapa tips untuk menanganinya:
- Scan website menggunakan antivirus yang disediakan oleh provider hosting atau yang terinstall di Server Anda, misalnya Imunify atau jenis antivirus yang lain.
- Untuk pengguna Content Management System (CMS) seperti WordPress, Joomla, dan lain-lain, pastikan untuk menggunakan script (theme/plugin) dari sumber Resmi.
- Hindari menggunakan script (plugin/theme) nulled atau bajakan karena rentan dengan masalah keamanan. Script nulled/bajakan rentan disusupi malware atau terdapat bug yang berbahaya dan sewaktu-waktu bisa dimanfaatkan oleh pihak-pihak yang tidak bertanggungjawab untuk menyisipkan malware/virus.
- Selalu update script website Anda ke versi yang terbaru.
Demikian artikel kami tentang apa itu phising, cara kerja dan cara mengatasinya, semoga bermanfaat!
