Ada prinsip dalam dunia keamanan jaringan yang berbunyi “kekuatan sebuah rantai
tergantung dari atau terletak pada sambungan yang terlemah” atau dalam bahasa asingnya
“the strength of a chain depends on the weakest link”. Apa atau siapakah “the weakest link”
atau “komponen terlemah” dalam sebuah sistem jaringan komputer? Ternyata jawabannya
adalah: manusia. Walaupun sebuah sistem telah dilindungi dengan piranti keras dan piranti
lunak canggih penangkal serangan seperti firewalls, anti virus, IDS/IPS, dan lain sebagainya
– tetapi jika manusia yang mengoperasikannya lalai, maka keseluruhan peralatan itu tidaklah
ada artinya. Para kriminal dunia maya paham betul akan hal ini sehingga kemudian mereka
mulai menggunakan suatu kiat tertentu yang dinamakan sebagai “social engineering” untuk
mendapatkan informasi penting dan krusial yang disimpan secara rahasia oleh manusia.
Kelemahan Manusia
Menurut definisi, “social engineering” adalah suatu teknik ‘pencurian’ atau pengambilan data
atau informasi penting/krusial/rahasia dari seseorang dengan cara menggunakan pendekatan
manusiawi melalui mekanisme interaksi sosial. Atau dengan kata lain social engineering
adalah suatu teknik memperoleh data/informasi rahasia dengan cara mengeksploitasi
kelemahan manusia. Contohnya kelemahan manusia yang dimaksud misalnya:
Rasa Takut – jika seorang pegawai atau karyawan dimintai data atau informasi dari
atasannya, polisi, atau penegak hukum yang lain, biasanya yang bersangkutan akan
langsung memberikan tanpa merasa sungkan;
Rasa Percaya – jika seorang individu dimintai data atau informasi dari teman baik,
rekan sejawat, sanak saudara, atau sekretaris, biasanya yang bersangkutan akan
langsung memberikannya tanpa harus merasa curiga; dan
Rasa Ingin Menolong – jika seseorang dimintai data atau informasi dari orang yang
sedang tertimpa musibah, dalam kesedihan yang mendalam, menjadi korban bencana,
atau berada dalam duka, biasanya yang bersangkutan akan langsung memberikan data
atau informasi yang diinginkan tanpa bertanya lebih dahulu.
Tipe Social Engineering
Pada dasarnya teknik social engineering dapat dibagi menjadi dua jenis, yaitu: berbasis
interaksi sosial dan berbasis interaksi komputer. Berikut adalah sejumlah teknik social
engineering yang biasa dipergunakan oleh kriminal, musuh, penjahat, penipu, atau mereka
yang memiliki intensi tidak baik. Dalam skenario ini yang menjadi sasaran penipuan adalah
individu yang bekerja di divisi teknologi informasi perusahaan. Modus operandinya sama,
yaitu melalui medium telepon.
Skenario 1 (Kedok sebagai User Penting)
Seorang penipu menelpon help desk bagian divisi teknologi informasi dan mengatakan hal
sebagai berikut “Halo, di sini pak Abraham, Direktur Keuangan. Saya mau log in tapi lupa
password saya. Boleh tolong beritahu sekarang agar saya dapat segera bekerja?”. Karena
takut – dan merasa sedikit tersanjung karena untuk pertama kalinya dapat berbicara dan
mendengar suara Direktur Keuangan perusahaannya – yang bersangkutan langsung
memberikan password yang dimaksud tanpa rasa curiga sedikitpun. Si penipu bisa tahu nama
Direktur Keuangannya adalah Abraham karena melihat dari situs perusahaan.
Skenario 2 (Kedok sebagai User yang Sah)
Dengan mengaku sebagai rekan kerja dari departemen yang berbeda, seorang wanita
menelepon staf junior teknologi informasi sambil berkata “Halo, ini Iwan ya? Wan, ini Septi
dari Divisi Marketing, dulu kita satu grup waktu outing kantor di Cisarua. Bisa tolong bantu
reset password-ku tidak? Dirubah saja menjadi tanggal lahirku. Aku takut ada orang yang
tahu passwordku, sementara saat ini aku di luar kantor dan tidak bisa merubahnya. Bisa
bantu ya?”. Sang junior yang tahu persis setahun yang lalu merasa berjumpa Septi dalam
acara kantor langsung melakukan yang diminta rekan sekerjanya tersebut tanpa melakukan
cek dan ricek. Sementara kriminal yang mengaku sebagai Septi mengetahui nama-nama
terkait dari majalah dinding “Aktivitas” yang dipajang di lobby perusahaan – dan nomor
telepon Iwan diketahuinya dari Satpam dan/atau receptionist.
Skenario 3 (Kedok sebagai Mitra Vendor)
Dalam hal ini penjahat yang mengaku sebagai mitra vendor menelepon bagian operasional
teknologi informasi dengan mengajak berbicara hal-hal yang bersifat teknis sebagai berikut:
“Pak Aryo, saya Ronald dari PT Teknik Alih Daya Abadi, yang membantu outsource file
CRM perusahaan Bapak. Hari ini kami ingin Bapak mencoba modul baru kami secara cumacuma.
Boleh saya tahu username dan password Bapak agar dapat saya bantu instalasi dari
tempat saya? Nanti kalau sudah terinstal, Bapak dapat mencoba fitur-fitur dan fasilitas
canggih dari program CRM versi terbaru.” Merasa mendapatkan kesempatan, kepercayaan,
dan penghargaan, yang bersangkutan langsung memberikan username dan passwordnya
kepada si penjahat tanpa merasa curiga sedikitpun. Sekali lagi sang penjahat bisa tahu namanama
yang bersangkutan melalui berita-berita di koran dan majalah mengenai produk/jasa PT
Teknik Alih Daya Abadi dan nama-nama klien utamanya.
Skenario 4 (Kedok sebagai Konsultan Audit)
Kali ini seorang penipu menelpon Manajer Teknologi Informasi dengan menggunakan
pendekatan sebagai berikut: “Selamat pagi Pak Basuki, nama saya Roni Setiadi, auditor
teknologi informasi eksternal yang ditunjuk perusahaan untuk melakukan validasi prosedur.
Sebagai seorang Manajer Teknologi Informasi, boleh saya tahu bagaimana cara Bapak
melindungi website perusahaan agar tidak terkena serangan defacement dari hacker?”.
Merasa tertantang kompetensinya, dengan panjang lebar yang bersangkutan cerita mengenai
struktur keamanan website yang diimplementasikan perusahaannya. Tentu saja sang kriminal
tertawa dan sangat senang sekali mendengarkan bocoran kelemahan ini, sehingga
mempermudah yang bersangkutan dalam melakukan serangan.
Skenario 5 (Kedok sebagai Penegak Hukum)
Contoh terakhir ini adalah peristiwa klasik yang sering terjadi dan dipergunakan sebagai
pendekatan penjahat kepada calon korbannya: “Selamat sore Pak, kami dari Kepolisian yang
bekerjasama dengan Tim Insiden Keamanan Internet Nasional. Hasil monitoring kami
memperlihatkan sedang ada serangan menuju server anda dari luar negeri. Kami bermaksud
untuk melindunginya. Bisa tolong diberikan perincian kepada kami mengenai topologi dan
spesifikasi jaringan anda secara detail?”. Tentu saja yang bersangkutan biasanya langsung
memberikan informasi penting tersebut karena merasa takut untuk menanyakan keabsahan
atau keaslian identitas penelpon.
Sementara itu untuk jenis kedua, yaitu menggunakan komputer atau piranti elektronik/digital
lain sebagai alat bantu, cukup banyak modus operandi yang sering dipergunakan seperti:
Skenario 1 (Teknik Phishing – melalui Email)
Strategi ini adalah yang paling banyak dilakukan di negara berkembang seperti Indonesia.
Biasanya si penjahat menyamar sebagai pegawai atau karyawan sah yang merepresentasikan
bank. Email yang dimaksud berbunyi misalnya sebagai berikut:
“Pelanggan Yth. Sehubungan sedang dilakukannya upgrade sistem teknologi
informasi di bank ini, maka agar anda tetap mendapatkan pelayanan perbankan yang prima,
mohon disampaikan kepada kami nomor rekening, username, dan password anda untuk kami
perbaharui. Agar aman, lakukanlah dengan cara me-reply electronic mail ini. Terima kasih
atas perhatian dan koordinasi anda sebagai pelanggan setia kami.
Wassalam,
Manajer Teknologi Informasi”
Bagaimana caranya si penjahat tahu alamat email yang bersangkutan? Banyak cara yang
dapat diambil, seperti: melakukan searching di internet, mendapatkan keterangan dari kartu
nama, melihatnya dari anggota mailing list, dan lain sebagainya.
Skenario 2 (Teknik Phishing – melalui SMS)
Pengguna telepon genggam di Indonesia naik secara pesat. Sudah lebih dari 100 juta nomor
terjual pada akhir tahun 2008. Pelaku kriminal kerap memanfaatkan fitur-fitur yang ada pada
telepon genggam atau sejenisnya untuk melakukan social engineering seperti yang terlihat
pada contoh SMS berikut ini:
“Selamat. Anda baru saja memenangkan hadiah sebesar Rp 25,000,000 dari Bank X
yang bekerjasama dengan provider telekomunikasi Y. Agar kami dapat segera mentransfer
uang tunai kemenangan ke rekening bank anda, mohon diinformasikan user name dan
passoword internet bank anda kepada kami. Sekali lagi kami atas nama Manajemen Bank X
mengucapkan selamat atas kemenangan anda…”
Skenario 3 (Teknik Phishing – melalui Pop Up Windows)
Ketika seseorang sedang berselancar di internet, tiba-tiba muncul sebuah “pop up window”
yang bertuliskan sebagai berikut:
“Komputer anda telah terjangkiti virus yang sangat berbahaya. Untuk
membersihkannya, tekanlah tombol BERSIHKAN di bawah ini.”
Tentu saja para awam tanpa pikir panjang langsung menekan tombol BERSIHKAN yang
akibatnya justru sebaliknya, dimana penjahat berhasil mengambil alih komputer terkait yang
dapat dimasukkan virus atau program mata-mata lainnya.
semoga bermanfaat
:))
tergantung dari atau terletak pada sambungan yang terlemah” atau dalam bahasa asingnya
“the strength of a chain depends on the weakest link”. Apa atau siapakah “the weakest link”
atau “komponen terlemah” dalam sebuah sistem jaringan komputer? Ternyata jawabannya
adalah: manusia. Walaupun sebuah sistem telah dilindungi dengan piranti keras dan piranti
lunak canggih penangkal serangan seperti firewalls, anti virus, IDS/IPS, dan lain sebagainya
– tetapi jika manusia yang mengoperasikannya lalai, maka keseluruhan peralatan itu tidaklah
ada artinya. Para kriminal dunia maya paham betul akan hal ini sehingga kemudian mereka
mulai menggunakan suatu kiat tertentu yang dinamakan sebagai “social engineering” untuk
mendapatkan informasi penting dan krusial yang disimpan secara rahasia oleh manusia.
Kelemahan Manusia
Menurut definisi, “social engineering” adalah suatu teknik ‘pencurian’ atau pengambilan data
atau informasi penting/krusial/rahasia dari seseorang dengan cara menggunakan pendekatan
manusiawi melalui mekanisme interaksi sosial. Atau dengan kata lain social engineering
adalah suatu teknik memperoleh data/informasi rahasia dengan cara mengeksploitasi
kelemahan manusia. Contohnya kelemahan manusia yang dimaksud misalnya:
Rasa Takut – jika seorang pegawai atau karyawan dimintai data atau informasi dari
atasannya, polisi, atau penegak hukum yang lain, biasanya yang bersangkutan akan
langsung memberikan tanpa merasa sungkan;
Rasa Percaya – jika seorang individu dimintai data atau informasi dari teman baik,
rekan sejawat, sanak saudara, atau sekretaris, biasanya yang bersangkutan akan
langsung memberikannya tanpa harus merasa curiga; dan
Rasa Ingin Menolong – jika seseorang dimintai data atau informasi dari orang yang
sedang tertimpa musibah, dalam kesedihan yang mendalam, menjadi korban bencana,
atau berada dalam duka, biasanya yang bersangkutan akan langsung memberikan data
atau informasi yang diinginkan tanpa bertanya lebih dahulu.
Tipe Social Engineering
Pada dasarnya teknik social engineering dapat dibagi menjadi dua jenis, yaitu: berbasis
interaksi sosial dan berbasis interaksi komputer. Berikut adalah sejumlah teknik social
engineering yang biasa dipergunakan oleh kriminal, musuh, penjahat, penipu, atau mereka
yang memiliki intensi tidak baik. Dalam skenario ini yang menjadi sasaran penipuan adalah
individu yang bekerja di divisi teknologi informasi perusahaan. Modus operandinya sama,
yaitu melalui medium telepon.
Skenario 1 (Kedok sebagai User Penting)
Seorang penipu menelpon help desk bagian divisi teknologi informasi dan mengatakan hal
sebagai berikut “Halo, di sini pak Abraham, Direktur Keuangan. Saya mau log in tapi lupa
password saya. Boleh tolong beritahu sekarang agar saya dapat segera bekerja?”. Karena
takut – dan merasa sedikit tersanjung karena untuk pertama kalinya dapat berbicara dan
mendengar suara Direktur Keuangan perusahaannya – yang bersangkutan langsung
memberikan password yang dimaksud tanpa rasa curiga sedikitpun. Si penipu bisa tahu nama
Direktur Keuangannya adalah Abraham karena melihat dari situs perusahaan.
Skenario 2 (Kedok sebagai User yang Sah)
Dengan mengaku sebagai rekan kerja dari departemen yang berbeda, seorang wanita
menelepon staf junior teknologi informasi sambil berkata “Halo, ini Iwan ya? Wan, ini Septi
dari Divisi Marketing, dulu kita satu grup waktu outing kantor di Cisarua. Bisa tolong bantu
reset password-ku tidak? Dirubah saja menjadi tanggal lahirku. Aku takut ada orang yang
tahu passwordku, sementara saat ini aku di luar kantor dan tidak bisa merubahnya. Bisa
bantu ya?”. Sang junior yang tahu persis setahun yang lalu merasa berjumpa Septi dalam
acara kantor langsung melakukan yang diminta rekan sekerjanya tersebut tanpa melakukan
cek dan ricek. Sementara kriminal yang mengaku sebagai Septi mengetahui nama-nama
terkait dari majalah dinding “Aktivitas” yang dipajang di lobby perusahaan – dan nomor
telepon Iwan diketahuinya dari Satpam dan/atau receptionist.
Skenario 3 (Kedok sebagai Mitra Vendor)
Dalam hal ini penjahat yang mengaku sebagai mitra vendor menelepon bagian operasional
teknologi informasi dengan mengajak berbicara hal-hal yang bersifat teknis sebagai berikut:
“Pak Aryo, saya Ronald dari PT Teknik Alih Daya Abadi, yang membantu outsource file
CRM perusahaan Bapak. Hari ini kami ingin Bapak mencoba modul baru kami secara cumacuma.
Boleh saya tahu username dan password Bapak agar dapat saya bantu instalasi dari
tempat saya? Nanti kalau sudah terinstal, Bapak dapat mencoba fitur-fitur dan fasilitas
canggih dari program CRM versi terbaru.” Merasa mendapatkan kesempatan, kepercayaan,
dan penghargaan, yang bersangkutan langsung memberikan username dan passwordnya
kepada si penjahat tanpa merasa curiga sedikitpun. Sekali lagi sang penjahat bisa tahu namanama
yang bersangkutan melalui berita-berita di koran dan majalah mengenai produk/jasa PT
Teknik Alih Daya Abadi dan nama-nama klien utamanya.
Skenario 4 (Kedok sebagai Konsultan Audit)
Kali ini seorang penipu menelpon Manajer Teknologi Informasi dengan menggunakan
pendekatan sebagai berikut: “Selamat pagi Pak Basuki, nama saya Roni Setiadi, auditor
teknologi informasi eksternal yang ditunjuk perusahaan untuk melakukan validasi prosedur.
Sebagai seorang Manajer Teknologi Informasi, boleh saya tahu bagaimana cara Bapak
melindungi website perusahaan agar tidak terkena serangan defacement dari hacker?”.
Merasa tertantang kompetensinya, dengan panjang lebar yang bersangkutan cerita mengenai
struktur keamanan website yang diimplementasikan perusahaannya. Tentu saja sang kriminal
tertawa dan sangat senang sekali mendengarkan bocoran kelemahan ini, sehingga
mempermudah yang bersangkutan dalam melakukan serangan.
Skenario 5 (Kedok sebagai Penegak Hukum)
Contoh terakhir ini adalah peristiwa klasik yang sering terjadi dan dipergunakan sebagai
pendekatan penjahat kepada calon korbannya: “Selamat sore Pak, kami dari Kepolisian yang
bekerjasama dengan Tim Insiden Keamanan Internet Nasional. Hasil monitoring kami
memperlihatkan sedang ada serangan menuju server anda dari luar negeri. Kami bermaksud
untuk melindunginya. Bisa tolong diberikan perincian kepada kami mengenai topologi dan
spesifikasi jaringan anda secara detail?”. Tentu saja yang bersangkutan biasanya langsung
memberikan informasi penting tersebut karena merasa takut untuk menanyakan keabsahan
atau keaslian identitas penelpon.
Sementara itu untuk jenis kedua, yaitu menggunakan komputer atau piranti elektronik/digital
lain sebagai alat bantu, cukup banyak modus operandi yang sering dipergunakan seperti:
Skenario 1 (Teknik Phishing – melalui Email)
Strategi ini adalah yang paling banyak dilakukan di negara berkembang seperti Indonesia.
Biasanya si penjahat menyamar sebagai pegawai atau karyawan sah yang merepresentasikan
bank. Email yang dimaksud berbunyi misalnya sebagai berikut:
“Pelanggan Yth. Sehubungan sedang dilakukannya upgrade sistem teknologi
informasi di bank ini, maka agar anda tetap mendapatkan pelayanan perbankan yang prima,
mohon disampaikan kepada kami nomor rekening, username, dan password anda untuk kami
perbaharui. Agar aman, lakukanlah dengan cara me-reply electronic mail ini. Terima kasih
atas perhatian dan koordinasi anda sebagai pelanggan setia kami.
Wassalam,
Manajer Teknologi Informasi”
Bagaimana caranya si penjahat tahu alamat email yang bersangkutan? Banyak cara yang
dapat diambil, seperti: melakukan searching di internet, mendapatkan keterangan dari kartu
nama, melihatnya dari anggota mailing list, dan lain sebagainya.
Skenario 2 (Teknik Phishing – melalui SMS)
Pengguna telepon genggam di Indonesia naik secara pesat. Sudah lebih dari 100 juta nomor
terjual pada akhir tahun 2008. Pelaku kriminal kerap memanfaatkan fitur-fitur yang ada pada
telepon genggam atau sejenisnya untuk melakukan social engineering seperti yang terlihat
pada contoh SMS berikut ini:
“Selamat. Anda baru saja memenangkan hadiah sebesar Rp 25,000,000 dari Bank X
yang bekerjasama dengan provider telekomunikasi Y. Agar kami dapat segera mentransfer
uang tunai kemenangan ke rekening bank anda, mohon diinformasikan user name dan
passoword internet bank anda kepada kami. Sekali lagi kami atas nama Manajemen Bank X
mengucapkan selamat atas kemenangan anda…”
Skenario 3 (Teknik Phishing – melalui Pop Up Windows)
Ketika seseorang sedang berselancar di internet, tiba-tiba muncul sebuah “pop up window”
yang bertuliskan sebagai berikut:
“Komputer anda telah terjangkiti virus yang sangat berbahaya. Untuk
membersihkannya, tekanlah tombol BERSIHKAN di bawah ini.”
Tentu saja para awam tanpa pikir panjang langsung menekan tombol BERSIHKAN yang
akibatnya justru sebaliknya, dimana penjahat berhasil mengambil alih komputer terkait yang
dapat dimasukkan virus atau program mata-mata lainnya.
semoga bermanfaat
:))
