Apa itu Serangan Rekayasa Sosial?

Serangan rekayasa sosial mengacu pada berbagai taktik yang mengandalkan kesalahan manusia daripada kerentanan dalam sistem. Peretas menggunakan rekayasa sosial untuk mengelabui pengguna agar mendapatkan uang, mengumpulkan informasi sensitif, atau memasang malware di sistem komputer mereka.

Dalam artikel ini, kami akan mengeksplorasi jenis serangan rekayasa sosial yang kritis dan bagaimana Anda dapat mencegahnya. Mari selami:

Serangan Rekayasa Sosial – Gambaran Umum

Manusia adalah mata rantai terlemah dalam keamanan siber. Seringkali membutuhkan waktu, bakat, dan sumber daya berteknologi tinggi untuk menemukan kerentanan dalam sistem dan mengeksploitasinya. Tetapi peretasan manusia jauh lebih mudah dari itu.

Tidak mengherankan bahwa 95% masalah keamanan siber dilacak ke kesalahan manusia. Peretas atau pelaku ancaman memanfaatkan perilaku dan kecenderungan alami manusia untuk mengelabui mereka agar mengumpulkan informasi sensitif, mendapatkan uang, atau memasang perangkat lunak berbahaya.

Ada empat fase yang dapat diprediksi dari sebagian besar serangan rekayasa sosial:

• Peretas mengumpulkan informasi yang diperlukan tentang target mereka. Semakin banyak informasi yang dimiliki peretas, semakin siap mereka untuk mengelabui pengguna
• Pada fase kedua, peretas mencoba membangun hubungan dan hubungan dengan target mereka melalui berbagai taktik
• Pada fase ketiga, peretas atau aktor ancaman akan menyusup ke target menggunakan informasi dan hubungan baik
• Fase keempat adalah fase penutupan – setelah peretas mendapatkan uang atau data sensitif seperti kredensial masuk atau informasi rekening bank, mereka mengakhiri interaksi dengan cara menghindari kecurigaan

Serangan rekayasa sosial menghabiskan banyak uang bagi perusahaan. Insinyur sosial, Evaldas Rimasauskas, mencuri lebih dari $100 juta dari Facebook dan Google melalui rekayasa sosial. Dalam serangan rekayasa sosial lainnya, perusahaan energi Inggris kehilangan $243.000 karena penipu.

Dengan usaha kecil yang memiliki kesadaran keamanan lebih, peretas cenderung menggunakan skema rekayasa sosial lebih untuk mengeksploitasi perilaku manusia.

Faktanya, rekayasa sosial, menurut State of Cybersecurity Report ISACA, adalah metode utama serangan cyber.

Teknik Rekayasa Sosial yang Harus Diwaspadai

Berikut adalah taktik rekayasa sosial yang sering digunakan pelaku ancaman untuk mengelabui pengguna agar mendapatkan uang atau membocorkan informasi sensitif:

Serangan Umpan

Serangan umpan mengeksploitasi keserakahan, rasa ingin tahu, dan ketakutan manusia. Dalam serangan seperti itu, peretas membuat umpan yang menarik bagi target untuk mengambilnya. Sebagai korban pergi untuk umpan, sistem komputer mereka akan terinfeksi.

Pelaku ancaman melakukan serangan umpan baik melalui media fisik maupun bentuk digital.

Dalam serangan pukulan fisik, seorang peretas akan meninggalkan media fisik (seperti pen drive atau CD yang terinfeksi) di tempat perusahaan untuk ditemukan oleh karyawannya. Media akan memiliki nama seperti Skema Bonus Karyawan atau semacamnya. Setelah setiap karyawan memainkan media yang terinfeksi ini di sistem mereka, itu akan menginfeksi sistem. Dan melalui jaringan internal, dapat menginfeksi sistem lain juga.

Penjahat dunia maya dapat membuat situs web palsu yang memiliki tautan jahat untuk mengunduh serial TV atau film populer secara gratis. Ketika seseorang mengklik tautan seperti itu, itu dapat menginstal malware di sistem mereka.

Kompensasi

Peretas menyalahgunakan kepercayaan dan memanipulasi perilaku manusia dalam serangan quid pro quo. Seorang peretas akan menjangkau orang-orang secara acak dan menyampaikan bahwa mereka menawarkan solusi untuk masalah teknologi. Jika seseorang yang memiliki masalah teknologi yang sama merespons, peretas akan memberi tahu beberapa langkah untuk menyelesaikan masalah tersebut. Dan dalam langkah-langkah itu, peretas dapat menginfeksi sistem.

Serangan Phising

Serangan phishing adalah email palsu, pesan teks, atau jenis komunikasi lainnya, yang tampaknya berasal dari perusahaan yang sah. Pesan sering kali memiliki kesepakatan atau penawaran yang terlalu bagus untuk menjadi kenyataan untuk memikat pengguna.

Peretas membuat halaman arahan palsu yang menyerupai situs yang sah. Kemudian, mereka mengirim pesan yang menawarkan penawaran hebat kepada pengguna.

Ketika pengguna atau karyawan yang ditargetkan mengambil tindakan yang disarankan atau mengunduh lampiran, peretas mengumpulkan data sensitif, atau kode berbahaya dipasang di komputer korban, yang memengaruhi sistem.

Menurut laporan CISCO, 86% perusahaan melaporkan memiliki karyawan yang mencoba terhubung ke situs web phishing. Laporan itu juga menyatakan bahwa serangan phishing menyumbang 90% dari pelanggaran data.

Mendidik karyawan Anda tentang cara mengenali situs web phishing dan memasang alat anti-phishing untuk memfilter email phishing dapat mencegah serangan phishing secara efektif.

Serangan Phishing Tombak

Spear phishing adalah serangan phishing yang menargetkan orang tertentu, pengguna tertentu, atau perusahaan. Serangan spear-phishing sering kali menyertakan informasi yang dapat membangkitkan minat target.

Ancaman Scareware

Scareware mengeksploitasi ketakutan manusia. Dalam serangan scareware, pengguna sering melihat pop-up yang meminta mereka untuk mengambil langkah-langkah spesifik agar tetap aman. Dan mengikuti langkah-langkah tersebut menghasilkan pembelian perangkat lunak palsu, menginstal malware, atau mengunjungi situs web berbahaya yang secara otomatis akan menginstal malware di perangkat mereka.

Menjaga browser Anda diperbarui dan menggunakan program antivirus terkenal dapat membantu melawan ancaman scareware.

Berpura-pura Penipuan

Dalam penipuan dalih, pelaku ancaman membuat dalih atau skenario untuk mengelabui orang agar mendapatkan informasi pengenal pribadi, informasi kartu kredit, atau informasi lain apa pun yang dapat digunakan untuk tindakan penipuan seperti pelanggaran data atau pencurian identitas. Penjahat sering menyamar sebagai otoritas, penyelidik asuransi, bank, atau lembaga untuk melakukan penipuan dalih.

Cara efektif untuk mencegah penipuan dalih adalah dengan memverifikasi permintaan informasi rahasia dengan menghubungi sumbernya melalui cara alternatif.

Tailgating

Dalam serangan tailgating, orang yang tidak berwenang tanpa akses yang sah mengikuti individu yang berwenang ke area terbatas seperti tempat kerja karyawan, ruang server, dll.

Misalnya, seorang aktor ancaman yang memegang sebuah kotak besar di kedua tangan mencapai gerbang masuk perusahaan Anda. Seorang karyawan membuka pintu menggunakan kartu akses mereka tanpa menyadari bahwa hati mereka yang baik menyebabkan entri yang tidak sah.

Menegakkan kebijakan autentikasi digital dan fisik yang ketat dapat membantu Anda melawan bak truk.

Apa Cara Paling Umum Insinyur Sosial Mendapatkan Akses?

Phishing adalah cara paling umum yang digunakan insinyur sosial untuk mengelabui pengguna agar mengklik tautan berbahaya atau mengunjungi situs web jahat untuk menyebarkan malware.

Insinyur sosial sering melakukan upaya phishing melalui email, situs media sosial, panggilan telepon, atau pesan teks untuk mengeksploitasi kesalahan manusia.

Bagaimana Anda Dapat Melindungi Diri Anda dari Rekayasa Sosial?

Berikut ini adalah beberapa taktik yang terbukti untuk mencegah serangan rekayasa sosial:

1. Latih Karyawan Anda

Serangan rekayasa sosial mengeksploitasi perilaku manusia dan kecenderungan alami. Oleh karena itu, melatih anggota tim Anda sangat membantu dalam membangun budaya keamanan yang positif.

Pastikan Anda melatih karyawan Anda untuk:

• Hindari membuka email dan lampiran dari sumber yang tidak dikenal
• Hindari berbagi informasi pribadi atau keuangan melalui telepon
• Hati-hati dengan tawaran yang menggiurkan
• Pelajari tentang perangkat lunak berbahaya seperti perangkat lunak pemindai jahat
• Hindari berbagi informasi identitas pribadi di situs jejaring sosial

Anda juga dapat menyewa konsultan keamanan dari luar untuk mengadakan lokakarya tentang keamanan siber

2. Terapkan Otentikasi Multi-Faktor

Keamanan siber dalam bisnis Anda sangat bergantung pada metode autentikasi yang digunakan karyawan dan vendor Anda.

Untuk memperkuat keamanan, Anda harus menerapkan otentikasi multi-faktor. Ini adalah cara yang efektif untuk memungkinkan akses ke pengguna yang sah dan menjauhkan penjahat cyber.

3. Instal Perangkat Lunak Anti-Virus

Perangkat lunak antivirus dan antimalware terkemuka dapat membantu mencegah malware masuk melalui email. Juga, alat yang baik dapat memperingatkan karyawan Anda ketika mereka menemukan situs berbahaya.

4. Evaluasi Kesiapan Anda

Anda harus secara teratur menguji pertahanan Anda terhadap serangan rekayasa sosial. Berlatih dan menjalankan latihan dari waktu ke waktu dapat membantu anggota tim Anda lebih siap menghadapi serangan manipulasi psikologis.

Gambar: Elemen Envato