Phishing adalah upaya mencuri informasi sensitif, seperti nama pengguna, kata sandi, nomor kartu kredit, atau informasi rekening bank. Serangan ini dilakukan dengan menyamar sebagai sumber yang terpercaya dan memancing korban agar memberikan informasi penting tersebut, mirip seperti memancing ikan dengan umpan. Phishing digunakan untuk mendukung berbagai serangan siber lainnya, seperti serangan cross-site scripting atau on-path attack.

Bagaimana Phishing Dilakukan?

Phishing biasanya terjadi melalui email atau pesan instan, dan serangan ini dibagi ke dalam beberapa kategori. Memahami berbagai jenis phishing dapat membantu pengguna mendeteksi ancaman di dunia nyata.

Jenis-Jenis Serangan Phishing

1. Advanced-Fee Scam (Penipuan Biaya di Muka)
   • Contoh: Penipuan “pangeran Nigeria” adalah contoh terkenal dari scam ini. Dalam serangan ini, korban dijanjikan sejumlah uang besar jika mereka membayar biaya di muka. Namun, setelah korban membayar, uang yang dijanjikan tidak pernah datang.
   • Asal usul: Versi awal penipuan ini dikenal sebagai Spanish Prisoner Scam pada akhir 1800-an, di mana pelaku mengaku butuh uang untuk menyelamatkan tawanan kaya yang akan memberikan hadiah besar.
   • Cara Menghindari: Jangan merespons permintaan dari orang tak dikenal yang menjanjikan sesuatu yang terlalu bagus untuk menjadi kenyataan. Pencarian Google sederhana tentang topik tersebut sering kali mengungkap penipuan.
2. Account Deactivation Scam (Penipuan Penonaktifan Akun)
   • Cara kerja: Penyerang membuat korban panik dengan mengatakan bahwa akun penting, seperti akun bank, akan dinonaktifkan jika mereka tidak segera mengambil tindakan. Korban kemudian diarahkan untuk memberikan nama pengguna dan kata sandi agar akun tidak dinonaktifkan.
   • Taktik lebih canggih: Setelah korban memasukkan informasi, mereka diarahkan ke situs bank asli sehingga terlihat normal.
   • Cara Menghindari: Periksa langsung ke situs resmi layanan terkait dan pastikan URL benar dan aman (menggunakan HTTPS).
3. Website Forgery Scam (Penipuan Pemalsuan Situs Web)
   • Cara kerja: Penyerang membuat situs web palsu yang menyerupai situs asli, seperti bank atau layanan terkenal lainnya. Jika korban mengunjungi situs ini melalui tautan phishing, mereka mungkin tidak menyadari bahwa situs tersebut palsu dan memasukkan informasi sensitif yang langsung dicuri.
   • Cara Menghindari: Selalu periksa URL di browser dengan cermat. Jika URL tampak mencurigakan atau tidak aman (tanpa HTTPS), hindari memasukkan informasi apa pun.
4. Spear Phishing
   • Definisi: Jenis phishing ini menargetkan individu atau perusahaan tertentu. Dengan mengumpulkan informasi pribadi atau membeli data target, penyerang membuat pesan yang sangat personal dan meyakinkan.
   • Efektivitas: Spear phishing adalah bentuk phishing yang paling efektif dan menyumbang lebih dari 90% serangan phishing.
5. Clone Phishing
   • Cara kerja: Penyerang menduplikasi email asli dan memodifikasi tautan atau lampiran di dalamnya. Email tersebut kemudian dikirim ulang menggunakan alamat pengirim palsu yang tampak sama dengan pengirim aslinya.
   • Tujuan: Ini mengeksploitasi kepercayaan korban pada komunikasi sebelumnya agar mereka membuka situs atau file berbahaya.
6. Whaling
   • Definisi: Whaling adalah serangan phishing yang menargetkan eksekutif senior atau pengguna dengan hak istimewa tinggi di perusahaan.
   • Contoh: Penyerang mengirim email palsu yang tampaknya berasal dari CEO perusahaan, meminta departemen keuangan untuk segera mentransfer uang. Karena permintaan terlihat mendesak dan berasal dari otoritas tinggi, karyawan mungkin tidak memverifikasi keasliannya dan akhirnya mentransfer uang kepada penyerang.

Cara Mencegah Serangan Phishing

1. Latihan Keamanan Pengguna:
   • Pelatihan karyawan untuk mengenali email dan pesan mencurigakan dapat mengurangi risiko serangan phishing. Pengguna harus berhati-hati dengan email tak terduga dan lampiran mencurigakan.
2. Periksa Keamanan Email:
   • Gunakan filter keamanan email yang dapat mendeteksi serangan phishing dan memblokir email berbahaya. Selain itu, pemindai lampiran otomatis dapat membantu memblokir file berbahaya.
3. Periksa URL dan HTTPS:
   • Periksa URL dengan cermat setiap kali mengunjungi situs dari email atau pesan instan. Jika situs tidak memiliki HTTPS atau URL tampak mencurigakan, hindari memasukkan informasi apa pun.
4. Gunakan Autentikasi Dua Faktor (2FA):
   • Dengan 2FA, meskipun penyerang mencuri kata sandi, mereka tidak akan dapat mengakses akun tanpa faktor kedua, seperti kode SMS atau aplikasi autentikasi.
5. Batasi Akses Informasi Sensitif:
   • Terapkan prinsip akses minimal untuk karyawan agar hanya pengguna tertentu yang memiliki akses ke informasi penting. Ini mengurangi risiko jika terjadi serangan phishing pada karyawan dengan hak akses rendah.

Phishing terus menjadi salah satu ancaman siber paling umum dan berbahaya. Keberhasilan phishing sering kali bergantung pada kesalahan manusia dan kurangnya kewaspadaan, sehingga pendidikan dan pelatihan adalah langkah paling penting dalam mencegahnya.

Serangan phishing telah berkembang menjadi lebih canggih, terutama dengan munculnya spear phishing dan whaling. Oleh karena itu, filter keamanan email yang kuat dan 2FA menjadi komponen vital dalam strategi pertahanan. Selain itu, Zero Trust dan verifikasi berkelanjutan sangat direkomendasikan untuk mengurangi potensi kerusakan jika serangan berhasil menembus sistem.

Pada akhirnya, kombinasi antara kewaspadaan pengguna, teknologi keamanan yang memadai, dan regulasi ketat sangat penting untuk melindungi organisasi dari serangan phishing.