Staf keuangan harus semakin waspada, karena belum lama ini perusahaan keamanan siber terkemuka, Kaspersky, telah mengungkap skema phising mutakhir yang ditargetkan langsung kepada staf keuangan. Skema penipuan yang canggih ini dimulai dengan surat elektronik (email) palsu yang tampak berasal dari sebuah perusahaan audit resmi.
Langkah pertama dalam skema ini terjadi saat korban menerima email dari alamat yang sebenarnya telah diretas oleh penyerang. Dalam email itu, penjahat menggunakan taktik rekayasa sosial untuk menurunkan kewaspadaan korban.
Ahli keamanan siber dari Kaspersky, Roman Dedenok, menyatakan, email tersebut tampak sah, baik dari sudut pandang manusia maupun perangkat lunak perlindungan.
Email tersebut juga dilengkapi dengan disclaimer mengenai kerahasiaan informasi, menambahkan kesan keabsahan. Dan yang lebih mengecoh lagi, tidak ada tautan atau lampiran dalam email tersebut, membuatnya hampir tidak terdeteksi oleh filter spam.
Namun, satu hal yang mencurigakan adalah penggunaan “Dropbox Application Secured Upload” oleh pengirim. Layanan ini sebenarnya tidak ada. Ini menunjukkan bahwa penjahat siber telah merencanakan langkah-langkah dengan cermat.
Jebakan
Setelah korban mulai percaya, tahap berikutnya dari skema ini dimulai dengan pemberitahuan palsu dari layanan Dropbox, mengandung tautan berbahaya ke arsip di mana file phising disimpan. Jika korban mengklik tautan ini, mereka akan dibawa ke sebuah dokumen palsu yang menampilkan jendela otentikasi.
Dokumen tersebut sebenarnya merupakan sebuah jebakan. Setiap bagian dari dokumen itu merupakan tautan berbahaya yang mengarah ke formulir palsu yang meminta kredensial login perusahaan. Inilah yang menjadi target utama penjahat siber dalam skema multistep ini.
Untuk melindungi diri dari ancaman semacam ini, perusahaan dan staf keuangan perlu meningkatkan kewaspadaan. Pelatihan keamanan siber secara rutin harus diberikan kepada semua staf, dengan penekanan khusus pada pengenalan phising dan praktik keamanan email.
Selain itu, penting untuk selalu menggunakan kata sandi yang kuat dan berbeda untuk setiap akun, serta memastikan penggunaan solusi keamanan siber yang andal.
Dengan meningkatkan kesadaran dan mengambil langkah-langkah proaktif dalam melindungi data sensitif, perusahaan dapat mengurangi risiko jatuh ke dalam jebakan phising yang semakin canggih.
