A hook is cast at laptop email with fishing lures amid abstract data.

Apa itu phising? Contoh, jenis, dan teknik

Definisi phising

Phishing adalah jenis serangan siber yang menggunakan e-mail tersamar sebagai senjata. Serangan ini menggunakan rekayasa sosial teknik untuk mengelabui penerima e-mail agar percaya bahwa pesan tersebut adalah sesuatu yang mereka inginkan atau butuhkan—permintaan dari financial institution mereka, misalnya, atau catatan dari seseorang di perusahaan mereka—dan untuk mengeklik tautan atau mengunduh lampiran.

“Phish” diucapkan persis seperti ejaannya, yaitu seperti kata “ikan”—analoginya adalah seorang pemancing melemparkan kail berumpan ke sana (e-mail phishing) dan berharap Anda menggigitnya.

E-mail phishing dapat ditargetkan dengan beberapa cara yang berbeda, dengan beberapa tidak ditargetkan sama sekali, beberapa menjadi “goal lunak” pada seseorang yang memainkan peran tertentu dalam suatu organisasi, dan beberapa ditargetkan pada orang-orang tertentu yang bernilai tinggi.

Sejarah phising

Salah satu jenis serangan siber tertua, phishing tanggal kembali ke tahun 1990-andan itu masih salah satu yang paling luas dan merusak, dengan pesan dan teknik phishing menjadi semakin canggih.

Istilah ini muncul di kalangan peretas yang bertujuan untuk mengelabui pengguna AOL agar menyerahkan informasi login mereka. The “ph” adalah bagian dari tradisi ejaan hacker aneh, dan mungkin dipengaruhi oleh istilah “phreaking,” kependekan dari “phreaking telepon,” bentuk awal hacking yang melibatkan memainkan nada suara ke handset telepon untuk mendapatkan panggilan telepon free of charge .

Beberapa penipuan phishing telah berhasil cukup baik untuk membuat gelombang:

Apa yang bisa dilakukan e-mail phishing

Ada beberapa cara berbeda untuk membagi serangan ke dalam kategori. Salah satunya oleh tujuan dari upaya phishing—apa yang dimaksudkan untuk dilakukan. Umumnya, kampanye phishing mencoba membuat korban melakukan salah satu dari dua hal berikut:

Serahkan informasi sensitif. Pesan-pesan ini bertujuan untuk mengelabui pengguna agar mengungkapkan knowledge penting—seringkali nama pengguna dan kata sandi yang dapat digunakan penyerang untuk melanggar sistem atau akun. Versi klasik dari penipuan ini melibatkan pengiriman e-mail yang dirancang agar terlihat seperti pesan dari financial institution besar; dengan mengirim pesan spam ke jutaan orang, penyerang memastikan bahwa setidaknya beberapa penerima akan menjadi pelanggan financial institution itu. Korban mengklik tautan dalam pesan dan dibawa ke situs jahat yang dirancang menyerupai halaman internet financial institution, dan kemudian diharapkan memasukkan nama pengguna dan kata sandi mereka. Penyerang sekarang dapat mengakses akun korban.

Unduh perangkat lunak perusak. Seperti kebanyakan spam, e-mail phishing jenis ini bertujuan untuk membuat korban menginfeksi komputer mereka sendiri dengan malware. Seringkali pesan “bertarget lunak”—pesan itu mungkin dikirim ke staf SDM dengan lampiran yang dimaksudkan sebagai resume pencari kerja, misalnya. Lampiran ini sering berupa file .zip, atau dokumen Microsoft Workplace dengan kode tertanam yang berbahaya. Salah satu bentuk kode berbahaya yang paling umum adalah ransomware—pada tahun 2017 diperkirakan bahwa 93% e-mail phishing berisi lampiran ransomware.

Jenis-jenis phishing

Cara lain untuk mengkategorikan serangan ini adalah dengan siapa mereka menargetkan dan bagaimana pesan dikirim. Jika ada kesamaan di antara serangan phishing, itu adalah penyamarannya. Penyerang memalsukan alamat e-mail mereka sehingga terlihat seperti berasal dari orang lain, membuat situs internet palsu yang terlihat seperti yang dipercaya oleh korban, dan menggunakan set karakter asing untuk menyamarkan URL.

Konon, ada berbagai teknik yang berada di bawah payung phishing. Masing-masing jenis phising adalah variasi pada tema, dengan penyerang menyamar sebagai entitas tepercaya dari beberapa jenis, sering kali orang yang nyata atau masuk akal, atau perusahaan yang mungkin berbisnis dengan korban.

E-mail phising: Dengan serangan phishing pasar massal umum, e-mail dikirim ke jutaan calon korban untuk mencoba mengelabui mereka agar masuk ke versi palsu dari situs internet yang sangat populer.

Ironscales telah menghitung merek paling populer yang digunakan peretas dalam upaya phishing mereka. Dari 50.000 lebih halaman login palsu yang dipantau perusahaanini adalah merek teratas yang digunakan penyerang:

  • PayPal: 22%
  • Microsoft: 19%
  • Fb: 15%
  • eBay: 6%
  • Amazon: 3%

Phising tombak: Saat penyerang membuat pesan ke menargetkan individu tertentu. Misalnya, spear phisher mungkin menargetkan seseorang di departemen keuangan dan berpura-pura menjadi manajer korban yang meminta switch financial institution besar dalam waktu singkat.

Penangkapan ikan paus: phishing ikan paus, atau penangkapan ikan pausadalah bentuk phishing tombak ditujukan untuk ikan yang sangat besar—CEO atau goal bernilai tinggi lainnya seperti anggota dewan perusahaan.

Mengumpulkan informasi yang cukup untuk mengelabui goal yang benar-benar bernilai tinggi mungkin membutuhkan waktu, tetapi hasilnya bisa sangat tinggi. Pada tahun 2008, penjahat dunia maya menargetkan CEO perusahaan dengan e-mail yang mengklaim memiliki panggilan pengadilan FBI yang dilampirkan. Bahkan, mereka mengunduh keylogger ke komputer eksekutif—dan tingkat keberhasilan scammers adalah 10%, menangkap hampir 2.000 korban.

Kompromi e-mail bisnis (BEC): Jenis serangan phishing yang ditargetkan di mana penyerang mengaku sebagai CEO perusahaan atau eksekutif puncak lainnya, biasanya untuk meminta orang lain dalam organisasi itu untuk mentransfer uang.

Vishing dan smishing: Phising melalui panggilan telepon dan pesan teksmasing-masing.

Jenis phishing lainnya termasuk clone phishing, snowshoeing, phishing media sosial, dan banyak lagi—dan daftarnya bertambah seiring penyerang terus mengembangkan taktik dan teknik mereka.

Cara kerja phishing

Semua alat yang diperlukan untuk meluncurkan kampanye phishing (dikenal sebagai package phishing), serta milis tersedia di internet gelapmemudahkan penjahat cyber, bahkan mereka yang memiliki keterampilan teknis minimal, untuk melakukan serangan phishing.

Package phishing menggabungkan sumber daya dan alat situs internet phishing yang hanya perlu diinstal di server. Setelah terinstal, penyerang hanya perlu mengirimkan e-mail ke calon korban.

Beberapa package phishing memungkinkan penyerang untuk menipu merek tepercaya, meningkatkan kemungkinan seseorang mengklik tautan palsu. Penelitian Akamai disediakan dalam Phishing–Memancing Kail laporan menemukan 62 varian package untuk Microsoft, 14 untuk PayPal, tujuh untuk DHL, dan 11 untuk Dropbox.

Laporan Duo Labs, Phish dalam Barel, termasuk analisis penggunaan kembali package phishing. Dari 3.200 package phishing yang ditemukan Duo, 900 (27%) ditemukan di lebih dari satu host. Namun, angka itu mungkin sebenarnya lebih tinggi. “Mengapa kita tidak melihat persentase penggunaan kembali package yang lebih tinggi? Mungkin karena kami mengukur berdasarkan hash SHA1 dari konten package. Satu perubahan pada hanya satu file dalam package akan muncul sebagai dua package terpisah bahkan ketika mereka identik, ”kata Jordan Wright, insinyur R&D senior di Duo dan penulis laporan.

Anatomi Kit Phishing [infographic by Duo Security] Keamanan Duo

Contoh phising

Penjahat mengandalkan penipuan dan menciptakan rasa urgensi untuk mencapai kesuksesan dengan kampanye phishing mereka. Seperti yang ditunjukkan oleh contoh-contoh berikut, para insinyur sosial ini tahu bagaimana memanfaatkan krisis.

Contoh phishing: Pembaruan Corona
Tangkapan layar berikut adalah kampanye phishing yang ditemukan oleh Mimecast yang mencoba mencuri kredensial masuk akun Microsoft OneDrive korban. Penyerang tahu bahwa dengan lebih banyak orang yang bekerja dari rumah, berbagi dokumen melalui OneDrive akan menjadi hal biasa.

kampanye phishing mimecast wfh 1 pantomim

Contoh phishing: obat Covid
Kampanye phishing ini, yang diidentifikasi oleh Proofpoint, meminta korban memuat aplikasi di perangkat mereka untuk “menjalankan simulasi penyembuhan” untuk COVID-19. Aplikasi ini, tentu saja, adalah malware.

email foldinghome palsu yang berbahaya dengan tautan ke malware titik bukti

Contoh phishing: Masalah kesehatan masyarakat
E-mail ini tampaknya berasal dari Badan Kesehatan Masyarakat Kanada dan meminta penerima mengeklik tautan untuk membaca surat penting. Tautan mengarah ke dokumen berbahaya.

agen kesehatan masyarakat palsu dari canada lure titik bukti

Bagaimana mencegah phishing

Cara terbaik untuk belajar mengenali e-mail phishing adalah dengan mempelajari contoh yang diambil di alam liar! Departemen layanan teknologi Universitas Lehigh mempertahankan a galeri e-mail phishing terbaru yang diterima oleh siswa dan staf.

Ada juga sejumlah langkah yang dapat Anda ambil dan pola pikir yang harus Anda ambil yang akan mencegah Anda menjadi statistik phishing, termasuk:

  • Selalu periksa ejaan URL di tautan e-mail sebelum Anda mengeklik atau memasukkan informasi sensitif
  • Hati-hati dengan pengalihan URL, di mana Anda secara halus diarahkan ke situs internet yang berbeda dengan desain yang identik
  • Jika Anda menerima e-mail dari sumber yang Anda kenal tetapi tampaknya mencurigakan, hubungi sumber tersebut dengan e-mail baru, daripada hanya membalas
  • Jangan memposting knowledge pribadi, seperti tanggal lahir, rencana liburan, atau alamat atau nomor telepon Anda, secara publik di media sosial

Jika Anda bekerja di departemen keamanan TI perusahaan Anda, Anda dapat menerapkan langkah-langkah proaktif untuk melindungi organisasi, termasuk:

  • E-mail masuk “Sandboxing”, memeriksa keamanan setiap tautan yang diklik pengguna
  • Memeriksa dan menganalisis lalu lintas internet
  • Melakukan tes phishing untuk menemukan titik lemah dan menggunakan hasilnya untuk mendidik karyawan

Mendorong karyawan untuk mengirimi Anda e-mail yang dicurigai sebagai phishing—dan kemudian menindaklanjutinya dengan ucapan terima kasih.

Hak Cipta © 2022 IDG Communications, Inc.

Total
0
Shares
Leave a Reply

Your email address will not be published.

Related Posts