Pendahuluan
Sebagai salah satu media komunikasi utama dan tertua di dunia digital, e-mail telah menjadi alat komunikasi yang digunakan secara resmi di dunia bisnis. Di tahun 2019, diperkirakan bahwa setiap hari ada 246 miliar email dikirimkan dan diterima di seluruh dunia[1]. Lebih dari setengah jumlah ini adalah business email, yaitu mekanisme komunikasi yang kita gunakan secara rutin di FIFGROUP. Dan diperkirakan, setiap pekerja bisnis menerima 121 email setiap harinya.
Teman-teman FIFGROUP tentu masih ingat dengan topik-topik security awareness yang kita bahas sebelumnya. Salah satu topik yang kita pernah bahas di dalam newsletter security awareness adalah phishing. Phishing adalah salah satu tipe serangan siber yang sangat erat kaitannya dengan penggunaan email, karena sebagian besar serangan siber yang sukses diawali dengan serangan phishing melalui email sebagai metode pengiriman serangan.
Dalam newsletter kali ini, kita akan melihat lebih detil tentang korelasi antara email dan phishing, sehingga teman-teman di FIFGROUP bisa memperoleh gambaran resiko yang muncul dari email phishing, serta dibekali pengetahuan tentang bagaimanan menggunakan email dengan aman untuk menghindari serangan.
Phishing dan Email
Menyadari besarnya risiko siber yang disebabkan oleh phishing, divisi IT FIFGROUP menginisiasi aktivitas phishing test terhadap karyawan FIFGROUP. Tujuan dari aktivitas ini adalah menguji seberapa rentan karyawan FIFGROUP terhadap serangan phishing. Hasil dari aktivitas phishing test digunakan sebagai bahan analisa untuk menyusun kebijakan serta mengimplementasikan teknologi perlindungan phishing bagi FIFGROUP.
Dalam aktivitas phishing test, divisi IT FIFGROUP mengirimkan email phishing ke sekitar 1300 alamat email karyawan di FIFGROUP. Email ini didesain sedemikian rupa sehingga mirip dengan email phishing yang umum ditemukan di internet dan digunakan sebagai metode serangan. Sebagai contoh, di dalam phishing email tersebut disertakan link yang jika di-klik akan mengarahkan “korban” ke satu halaman yang meminta “korban” memasukkan userid dan password FIFGROUP mereka.
Tim divisi IT kemudian melakukan tracking terhadap seluruh email yang dikirimkan. Beberapa parameter yang diukur adalah berapa banyak email yang sukses terkirim, berapa banyak email yang dibuka, berapa banyak yang membuka link di dalam email, dan berapa banyak yang memasukkan userid dan password FIFGROUP mereka.
Nah, dari hasil phishing test yang dilakukan oleh divisi IT FIFGROUP, berikut adalah hasil yang kami dapatkan:
- Dari 1300 email yang dikirim
- … ada 112 karyawan FIFGROUP yang membuka email
- … ada 111 karyawan FIFGROUP yang mengklik link
- … dan ada 33 orang yang memberikan informasi akun FIFGROUP miliknya melalui phishing test.
Dari hasil tersebut, bisa kita bayangkan, jika yang melakukan phishing tersebut adalah pihak kriminal siber atau hacker yang berniat jahat, maka mereka akan mendapatkan akses ke jaringan FIFGROUP melalui serangan phishing tersebut.
Email Security
Hasil phising test yang dilakukan di FIFGROUP merupakan validasi bahwa phishing adalah salah satu metode serangan yang sangat berbahaya. Pihak-pihak yang berniat jahat dapat menggunakan untuk melakukan serangan siber secara targeted ke karyawan FIFGROUP dengan tujuan mendapatkan akses ke jaringan FIFGROUP.
Hasil ini juga menunjukkan bahwa kita sebagai karyawan FIFGROUP harus selalu waspada terhadap serangan siber dalam bentuk phishing. FIFGROUP sebagai organisasi juga harus terus menerus memberikan awareness dan pemahaman terkait risiko serangan siber seperti phishing. Selanjutnya kita akan meninjau ulang, bagaimana cara menghindarkan diri kita sebagai karyawan FIFGROUP menjadi korban serangan siber.
Serangan siber melalui email umumnya menggunakan dua metode, yaitu:
- Menggunakan link / tautan
Serangan phishing ini umumnya menyertakan link atau tautan di dalam phishing email. Jika korban serangan membuka link tersebut, maka korban akan dibawa ke suatu halaman yang meminta korban memasukkan username dan password. Metode yang sering digunakan adalah:
- memberikan peringatan bahwa password sudah expired dan harus diganti
- memberikan peringatan bahwa password sudah dicuri oleh hacker dan harus diganti
- menggunakan alasan pemeliharaan sistem yang baru saja dilakukan
Selain meminta username dan password, metode menggunakan tautan juga digunakan untuk mengirimkan file / piranti lunak berbahaya seperti malware (malicious software). Jika korban membuka tautan di dalam email, maka korban akan diminta mengunduh berkas berbahaya yang jika dijalankan, kemungkinan akan memberikan si penyerang akses terhadap komputer korban.
- Menggunakan attachment
Dalam metode ini, penyerang akan mengirimkan email dengan attachment. Attachment yang umum digunakan adalah berkas bisnis seperti dokumen (word atau pdf) maupun spreadsheet. Perlu diingat bahwa dokumen-dokumen ini bisa disisipi malware berbahaya yang akan dijalankan ketika korban membuka attachment tersebut. Ketika korban membuka dokumen, dia akan melihat bahwa dokumen itu ada isinya. Yang tidak disadari adalah, ketika dokumen itu dibuka, maka di belakang layar, ada malicious software yang berjalan di komputer korban dan memberikan si penyerang akses ke komputer korban.
Mengenali dan Menghindari Serangan Email
Baik menggunakan link ataupun attachment, serangan phising umumnya memiliki ciri-ciri yang dapat dikenali sebagai berikut:
- Pengirim mengaku dari FIFGROUP tetapi alamatnya bukan alamat FIFGROUP.
- Menggunakan link yang seolah-olah dari FIFGROUP, tetapi URL-nya bukan milik FIFGROUP.
- Meminta kita memasukkan username dan password.
- Menggunakan kata-kata yang terkesan penting misalnya : Urgent / Segera, Action Needed
- Jika tidak berisi link, umumnya berisi attachment berbahaya.
Berdasarkan ciri-ciri tersebut, ada beberapa tips yang bisa dipakai sebagai berikut:
- Pastikan pengirim menggunakan domain FIFGROUP yaitu @fif.co.id atau @fifgroup.co.id atau @fifgroup.astra.co.id
- Jika ada URL di dalam email, pastikan URL yang dituju menggunakan domain FIFGROUP yaitu fif.co.id, fifgroup.co.id atau fifgroup.astra.co.id. Cek ulang nama domain di browser setiap kali mengunjungi suatu situs
- Jangan membuka link atau attachment dari pengirim yang tidak dikenal. Jika seolah-olah dikirimkan oleh orang yang kita kenal, mintalah konfirmasi secara langsung ke yang bersangkutan sebelum membuka link atau attachment
- Jangan pernah memasukkan informasi sensitive seperti akun username dan password FIFGROUP di website yang bukan milik FIFGROUP.
- Jika ada keraguan, mintalah petunjuk dari departemen INFOSEC FIFGROUP.
Keamanan Informasi merupakan tanggung jawab kita bersama di FIFGROUP. Informasi ini adalah satu dari sejumlah pengarahan kesadaran keamanan informasi yang disampaikan oleh IT Security & Access FIFGROUP. Kalian dapat mengikuti training keamanan informasi FIFGROUP (iSAFE) yang sudah disediakan pada Knowbe4 : https://www.knowbe4.com/. Kalian juga dapat mengakses lebih banyak informasi terkait keamanan informasi pada FEMA (Newsletter dan FIFTUBE) dan website internal kami : https://infosec.fifgroup.co.id/
[1] Email Statistics Report, Radicati Group
