Apa itu spear phishing?
Spear phishing adalah jenis penipuan phishing yang menggunakan teknik rekayasa sosial untuk menargetkan individu atau organisasi tertentu melalui email. Alih-alih mengirimkan ribuan email penipuan umum (phishing), pelaku kejahatan membuat pesan yang dipersonalisasi untuk mengelabui korban agar membocorkan data sensitif, mengunduh malware, atau mentransfer uang kepada mereka.
Pelaku spear phishing sering kali mengumpulkan informasi pribadi tentang target korban (nama, alamat email, informasi pekerjaan, dan minat) untuk membuat pesan yang dipersonalisasi dan dapat dipercaya. Itulah sebabnya email spear phishing mungkin terlihat berasal dari kolega, teman, atau institusi tepercaya, yang mendesak korban untuk mengklik sebuah tautan atau memberikan informasi pribadi. Jika korban tidak menyadari adanya kecurangan dan mengikuti permintaan penipu, mereka akan jatuh ke dalam perangkap penipu, mengekspos informasi pribadi atau (dalam beberapa kasus) bahkan data perusahaan.
Bagaimana cara kerja spear phishing?
Dalam hal memahami cara kerja spear phishing, prosesnya dapat disederhanakan menjadi beberapa langkah sederhana.
- 1.Menetapkan tujuan. Sebelum menyerang, pelaku spear phishing menentukan tujuan mereka, seperti melakukan pencurian data, mencuri uang, atau menginfeksi sistem dengan malware.
- 2.Memilih target. Berdasarkan tujuan mereka, pelaku spear phishing menentukan target yang berbeda. Targetnya bisa beragam, mulai dari karyawan rendahan hingga pejabat pemerintah.
- 3.Meneliti target. Biasanya, sebelum melancarkan serangan, penipu mengumpulkan informasi sebanyak mungkin tentang target. Hal ini dapat mencakup informasi pribadi target (seperti nama lengkap, alamat email, atau tempat kerja), minat, dan bahkan catatan keuangan.
- 4.Membuat dan mengirim pesan phishing. Setelah menyelesaikan pengintaian, pelaku penipuan akan membuat pesan phising yang akan menarik perhatian target dan memulai serangan mereka.
Cara mengenali email spear phishing
Peretas tidak menggunakan hanya satu template khusus pesan spear phishing untuk mengelabui korban agar memberikan data pribadi mereka atau mengklik tautan berbahaya. Jadi, mengetahui berbagai metode yang digunakan oleh para pelaku kejahatan untuk memastikan serangan siber spear phishing berhasil sangatlah penting. Tangani email yang Anda terima dengan hati-hati jika mengandung salah satu dari tanda bahaya berikut ini:
- Perasaan terdesak. Para pelaku phishing biasanya mencoba menciptakan rasa terdesak, rasa bersalah, atau rasa takut untuk mengelabui Anda agar Anda mengambil tindakan tanpa berpikir panjang. Mereka mungkin memprovokasi Anda dengan frasa seperti "tindakan segera diperlukan" atau "akun akan ditutup."
- Alamat email yang mencurigakan. Email phishing meniru alamat email yang sah dengan sedikit perubahan untuk menciptakan kesan legitimasi dan mengurangi kecurigaan. Namun, setelah diperiksa lebih dekat, Anda mungkin akan menemukan beberapa perbedaan kecil (seperti simbol yang hilang atau tambahan atau ejaan yang berbeda dari yang biasa Anda gunakan) yang dapat membantu Anda membedakan antara pengirim yang sah dan penipu.
- Kesalahan ejaan dan tata bahasa. Kesalahan dalam pengejaan dan tata bahasa dapat memberi tahu Anda tentang email berbahaya. Namun, penyerang biasanya membuat penipuan spear phishing dengan sangat teliti agar terlihat semeyakinkan mungkin.
- Permintaan yang meragukan. Meskipun email tersebut terlihat sah, namun bisa saja berisi permintaan yang aneh, khususnya untuk informasi sensitif atau uang. Jika sebuah layanan meminta Anda untuk memberikan informasi sensitif atau dana melalui email, anggap saja sebagai tanda bahaya serangan phishing.
- URL yang mencurigakan. Terkadang pesan spear phishing berisi URL, jadi periksalah dengan cermat sebelum mengklik (misalnya, dengan menggunakan alat pemeriksa tautan). Dan berhati-hatilah dengan tautan yang dipendekkan karena dapat mengarah ke situs berbahaya.
Cara melaporkan upaya spear phishing
Melaporkan upaya spear phishing sangat penting untuk melindungi diri Anda atau organisasi Anda dari kerusakan lebih lanjut. Lakukan langkah-langkah berikut ini jika Anda mencurigai adanya upaya spear phishing:
- Hubungi tim TI atau tim keamanan jika Anda menerima email spear phishing di akun email kantor Anda. Tim ini akan mengambil tindakan untuk melindungi jaringan dan karyawan lainnya.
- Laporkan pengirim ke penyedia layanan email. Yang paling populer (Gmail, Yahoo, dan Outlook) memiliki mekanisme pelaporan yang meningkatkan filter spam internal dan mencegah pesan serupa menjangkau pengguna lain.
- Banyak negara memiliki lembaga pemerintah khusus yang bertanggung jawab atas kejahatan dunia maya. Misalnya, jika Anda berasal dari Amerika Serikat, hubungi Komisi Perdagangan Federal (FTC) jika terjadi serangan spear phishing.
- Jika penipu menyamar sebagai perusahaan tertentu, beritahukanlah kepada perusahaan tersebut. Perusahaan tersebut harus melaporkan insiden tersebut dan menginformasikan kepada pelanggannya.
Spear phishing vs. phishing vs. whaling: Pahami perbedaannya
Istilah whaling dan spear phishing menunjukkan bahwa keduanya terkait dengan phishing. Dan memang demikianlah adanya karena keduanya merupakan jenis serangan phishing yang berbeda yang memiliki karakteristik umum yang sama (seperti tautan berbahaya, pesan dengan kesan urgensi yang palsu, atau alamat email yang diubah).
Untuk lebih jelasnya, mari kita bandingkan ancaman-ancaman dunia maya ini:
| Kriteria | Phishing | Spear Phishing | Whaling |
|---|---|---|---|
| Target | Audiens yang luas dan tidak spesifik. Sering kali menargetkan sejumlah besar individu. | Individu atau organisasi tertentu dengan pesan yang dibuat dengan cermat. | Individu berprofil tinggi seperti eksekutif atau manajemen senior. |
| Nilai | Nilai individu yang rendah per target, bergantung pada volume untuk sukses. | Nilai tinggi per target karena personalisasi dan penargetan spesifik. | Nilai yang sangat tinggi, berfokus pada individu yang memiliki pengaruh atau akses yang signifikan dalam suatu organisasi. |
| Metode | Mengandalkan kampanye email massal, situs web berbahaya atau palsu, dan pesan media sosial yang luas. | Penyerang melakukan penelitian terperinci dan menggunakan rekayasa sosial untuk membuat pesan yang meyakinkan yang disesuaikan dengan target. | Mirip dengan spear phishing dalam hal email atau komunikasi yang dipersonalisasi, tetapi sering kali melibatkan taktik yang lebih canggih. |
| Contoh | Penyerang mengirimkan email umum yang meminta detail bank ke ribuan alamat email secara acak. | Penyerang mengirim email yang tampaknya berasal dari kontak atau organisasi yang dikenal, meminta kredensial login. | Penyerang mengirimkan email yang menyamar sebagai lembaga pemerintah kepada CEO perusahaan, meminta informasi keuangan yang sensitif. |
Contoh serangan spear phishing
Jika Anda ingin mempelajari lebih lanjut tentang taktik spear phishing yang berbahaya, lihatlah contoh-contoh berikut ini:
- Serangan siber terhadap lembaga pemerintah AS (2024). Pada bulan Oktober 2024, Departemen Kehakiman AS menyita 41 domain internet yang digunakan oleh agen intelijen Rusia untuk kampanye spear-phishing. Kampanye ini menargetkan lembaga-lembaga pemerintah AS, termasuk Pentagon dan Departemen Luar Negeri. Para pejabat pemerintah AS percaya bahwa upaya tersebut merupakan bagian dari strategi yang lebih luas untuk menyusup dan mengambil informasi sensitif dari jaringan pemerintah.
- Serangan spear phishing terhadap karyawan Twilio (2022). Pada bulan Agustus 2022, sebuah perusahaan komunikasi berbasis cloud mengalami serangan spear phishing yang ditargetkan pada karyawannya. Para pelaku phising menggunakan pesan teks SMS palsu yang meniru departemen TI perusahaan. Pesan-pesan tersebut mengklaim bahwa kata sandi karyawan telah kedaluwarsa atau jadwal mereka telah berubah. Untuk "menyelesaikan masalah", pelaku spear phishing mengarahkan korban ke situs web palsu yang mengharuskan mereka memasukkan kembali kredensial login mereka. Para penipu mempersiapkan dengan baik aksinya, mereka menggunakan istilah "Twilio", "Okta”, dan "SSO" (single sign-on/sistem masuk tunggal) di URL situs web palsu untuk lebih meyakinkan karyawan agar mengikuti tautan berbahaya tersebut. Serangan ini mengganggu jaringan Twilio, berdampak pada lebih dari 163 organisasi pelanggan perusahaan, yang menyebabkan kerugian finansial.
Contoh-contoh ini menunjukkan taktik spear phishing khusus yang digunakan penjahat siber untuk mencapai tujuan mereka. Para penipu menargetkan karyawan tingkat menengah atau rendah dan anggota lembaga pemerintah, meluangkan waktu untuk membuat pesan khusus yang bisa dipercaya, dan berusaha keras untuk terdengar dan terlihat seabsah mungkin.
Cara melindungi diri Anda dari serangan spear phishing
Ikuti tips di bawah ini untuk melindungi diri Anda dan aset perusahaan Anda dari serangan spear phishing:
- Jika Anda tidak sengaja membuka email phishing, berhati-hatilah dengan lampiran atau tautan yang tidak diharapkan. Jangan mengklik file atau URL apa pun dan jangan memberikan informasi apa pun kepada orang atau organisasi yang tidak Anda kenal atau yang Anda anggap mencurigakan. Selalu lakukan penelitian tentang lampiran terlebih dahulu.
- Jika Anda mendapatkan pesan yang mencurigakan dari seseorang yang Anda kenal atau seseorang yang terlihat dapat dipercaya, selalu periksa kembali dengan orang atau organisasi tersebut melalui saluran resmi mereka.
- Jangan tampilkan alamat email perusahaan Anda di depan umum. Sebagai gantinya, gunakan formulir kontak online untuk berkomunikasi dengan pelanggan Anda.
- Pelajari tentang berbagai metode spear phishing dan edukasi karyawan Anda.
- Gunakan perangkat lunak keamanan terbaru. Kami juga merekomendasikan penggunaan fitur anti-phishing Threat Protection Pro™ dari NordVPN. Fitur ini membantu Anda mengidentifikasi file yang mengandung malware, mencegah Anda masuk ke situs web berbahaya, dan memblokir pelacak dan iklan yang mengganggu saat itu juga.
- Selalu periksa alamat email pengirim untuk memastikan email tersebut tidak berbahaya. Bahkan perbedaan terkecil dari email yang sah (misalnya, kesalahan ketik) merupakan tanda bahaya.
- Batasi jumlah info yang Anda posting di media sosial. Jangan membagikan data internal yang mengekspos aktivitas, kebiasaan komunikasi, atau data karyawan perusahaan Anda. Bagikan hanya info yang paling mendasar dan netral.
- Perhatikan kesalahan tata bahasa, yang juga merupakan tanda bahaya dalam email.
- Gunakan otentikasi dua faktor (2FA) dan kata sandi yang kuat.
- Gunakan alat pemeriksa tautan untuk memeriksa URL yang mencurigakan dan lindungi diri Anda dari tautan berbahaya.
- Belajarlah untuk mengenali dan mencegah serangan spear phishing - hafalkan tanda-tanda paling umum dari penipuan, pelajari metode SLAM, dan waspadalah saat membuka email dari entitas yang tidak dikenal.
Keamanan online dimulai dengan satu klik.
Tetap aman dengan VPN terkemuka di dunia
