Serangan Phishing Bisa Tembus Otentikasi Dua Faktor, Ini Cara Mencegahnya!
Perusahaan keamanan siber Kaspersky, baru-baru ini mengekspos evolusi terbaru kejahatan siber menggunakan teknik phising yang digunakan oleh penjahat siber untuk melewati otentikasi dua faktor (2FA). Penyerang mengembangkan metode canggih yang menggbungkan phising dengan bot OTP otomatis untuk menyerang korbannya.
Otentikasi dua faktor adalah sebuah langkah keamanan penting yang dirancang untuk melindungi akun online. Sistem keamanan ini telah diadopsi secara luas oleh banyak situs web, dan penerapannya telah diwajibkan oleh banyak organisasi. Teknik kejahatan phising terbaru ini bisa menembus 2FA untuk mendapatkan akses ke akun secara ilegal.
Sistem kerja otentikasi dua faktor adalah dengan mengharuskan pengguna untuk memverifikasi identitas mereka menggunakan bentuk otentikasi kedua, biasanya kata sandi satu kali (OTP) yang dikirim melalui pesan teks, email, atau aplikasi otentikasi.
Lapisan keamanan ekstra ini dimaksudkan untuk melindungi akun pengguna meskipun kata sandi mereka disusupi. Namun, penipu telah mengembangkan cara untuk mengelabui pengguna agar mengungkap OTP ini, sehingga memungkinkan mereka melewati perlindungan 2FA.
Bot OTP adalah alat yang digunakan oleh penipu untuk mencegat OTP melalui teknik rekayasa sosial. Penyerang biasanya berusaha mendapatkan kredensial login pengguna melalui phishing atau kebocoran data, kemudian login ke akun tersebut, sehingga memicu OTP untuk dikirimkan ke ponsel pengguna.
Setelah itu, bot OTP akan menelepon pengguna, berpura-pura menjadi perwakilan dari organisasi tepercaya, dan menggunakan dialog yang telah ditentukan sebelumnya untuk membujuk korban agar membagikan OTP tersebut. Terakhir, penyerang menerima OTP melalui bot dan menggunakannya untuk mendapatkan akses ke akun korban.
Panggilan telepon dipilih oleh pelaku kejahatan siber phising karena meningkatkan kemungkinan korban untuk merespon secara cepat. Bot OTP dapat meniru nada dan urgensi panggilan yang sah untuk meniru organisasi tertentu, dengan menggunakan berbagai bahasa.
Sebelum menggunakan bot OTP, pelaku kejahatan harus mencuri kredensial korban. Mereka sering menggunakan situs web phishing yang terlihat seperti halaman login resmi bank, layanan email, atau akun online lainnya. Saat korban memasukkan nama pengguna dan kata sandinya, penipu menangkap informasi ini secara real-time.
Penelitian Kaspersky menunjukkan dampak signifikan dari serangan bot phishing dan OTP ini. Dari tanggal 1 Maret hingga 31 Mei 2024, terdapat 653.088 pencegahan upaya untuk mengunjungi situs yang dihasilkan oleh perangkat phishing yang menargetkan sektor perbankan, yang datanya sering digunakan dalam serangan dengan bot OTP.
Pada periode yang sama, teknologi Kaspersky mendeteksi 4.721 halaman phishing yang dihasilkan oleh kit yang bertujuan untuk melewati otentikasi dua faktor secara real-time.
Meskipun 2FA merupakan langkah keamanan yang penting, namun hal ini tidak selalu mudah. Untuk melindungi diri Anda dari penipuan canggih ini. Guna mencegahnya, berikut langkah-langkah yang bisa dilakukan:
- Hindari membuka tautan yang Anda terima dalam pesan email mencurigakan. Jika perlu masuk ke akun Anda, ketikkan alamat secara manual atau gunakan bookmark.
- Pastikan alamat situs web benar dan tidak ada kesalahan ketik sebelum Anda memasukkan kredensial di sana. Gunakan Whois untuk memeriksa situs webnya: jika baru saja didaftarkan, kemungkinan besar ini adalah situs penipuan.
- Jangan mengucapkan atau memasukkan kode satu kali saat Anda sedang menelepon, tidak peduli seberapa meyakinkannya suara penelepon. Bank sungguhan dan perusahaan lain tidak pernah menggunakan metode ini untuk memverifikasi identitas klien mereka.
- Gunakan solusi dari lini produk Kaspersky Next yang memberikan perlindungan real-time, visibilitas ancaman, investigasi dan kemampuan respons EDR dan XDR untuk organisasi dengan ukuran dan industri apa pun.
- Berinvestasi dalam pelatihan keamanan siber tambahan agar staf Anda selalu mendapatkan informasi terkini. Dengan pelatihan Kaspersky Expert yang berorientasi praktis, para profesional InfoSec dapat meningkatkan keterampilan teknis dan mampu mempertahankan perusahaan mereka dari serangan canggih.
Olga Svistunova, pakar keamanan di Kaspersky, mengatakan bahwa rekayasa sosial bisa menjadi sangat rumit, terutama dengan penggunaan bot OTP yang dapat meniru panggilan nyata dari layanan atau organisasi sah, sehingga menjadi sangat penting untuk tetap waspada dan mengikuti praktik keamanan terbaik.