Jangan Asal Klik! CAPTCHA Palsu Bisa Sebarkan Malware

Jangan Asal Klik! CAPTCHA Palsu Bisa Sebarkan Malware – CAPTCHA sudah menjadi bagian dari aktivitas sehari-hari di internet. Saat membuka situs web, pengguna mungkin diminta mencentang kotak bertuliskan “I’m not a robot”.

Bisa juga untuk memilih gambar tertentu, atau memasukkan karakter yang ditampilkan dalam gambar. Pemeriksaan ini dirancang untuk membantu situs web membedakan manusia dari bot otomatis.

Sejumlah layanan CAPTCHA yang dikenal luas, seperti Google reCAPTCHA, hCaptcha, dan Cloudflare Turnstile, digunakan untuk membantu melindungi situs web dari aktivitas otomatis yang tidak diinginkan.

Namun, kebiasaan pengguna mempercayai pemeriksaan semacam ini kini dimanfaatkan penjahat siber melalui fake CAPTCHA scam, yaitu penipuan yang meniru tampilan CAPTCHA asli untuk mengelabui korban.

Bahaya utamanya bukan sekadar tampilan CAPTCHA palsu, melainkan instruksi tambahan yang diberikan kepada pengguna. Korban mungkin diminta:

Mengunduh berkas.
Memasang ekstensi browser.
Mengaktifkan notifikasi.
Bahkan membuka aplikasi sistem.
Dan menjalankan perintah tertentu.

Tindakan tersebut tidak diperlukan untuk menyelesaikan CAPTCHA yang sah dan dapat menjadi pintu masuk serangan malware.

Modus di Balik CAPTCHA Palsu

Salah satu teknik yang sering dikaitkan dengan penipuan CAPTCHA adalah ClickFix. Teknik rekayasa sosial ini memanipulasi korban agar menjalankan perintah atau tindakan tertentu pada perangkatnya sendiri.

Alih-alih langsung mengeksploitasi kerentanan teknis, penyerang membuat korban percaya bahwa perangkat atau halaman web sedang mengalami masalah yang perlu diperbaiki.

Skenarionya dapat dimulai ketika pengguna mengunjungi halaman berbahaya melalui hasil pencarian, iklan, atau tautan dalam email phishing. Penipuan serupa juga bisa muncul pada situs web sah yang telah disusupi.

Halaman tersebut kemudian menampilkan CAPTCHA palsu yang terlihat meyakinkan. Ketika pengguna mencoba menyelesaikannya, muncul instruksi tambahan yang mengklaim diperlukan untuk memperbaiki proses verifikasi.

Dalam serangan ClickFix, korban dapat diarahkan untuk melakukan langkah-langkah seperti:

Menekan kombinasi tombol tertentu untuk membuka alat sistem, misalnya Run atau PowerShell di Windows maupun Terminal di macOS dan Linux.
Menempelkan perintah yang sebelumnya telah disalin ke clipboard.
Menjalankan perintah tersebut dengan menekan Enter atau mengikuti instruksi berikutnya.

Perintah berbahaya itu dapat mengunduh atau menjalankan kode tambahan tanpa disadari korban. Akibatnya, perangkat berpotensi terinfeksi malware, termasuk pencuri informasi (infostealer) atau trojan akses jarak jauh (remote access trojan/RAT).

Kunci keberhasilan modus ini adalah manipulasi psikologis. Korban merasa hanya perlu menyelesaikan satu langkah verifikasi agar bisa membuka situs yang dituju. Padahal, instruksi tambahan tersebut justru mengalihkan kendali kepada penyerang.

Cara Membedakan CAPTCHA Asli dan Palsu

CAPTCHA palsu dapat meniru tampilan layanan yang sah. Karena itu, pengguna sebaiknya tidak hanya menilai dari logo atau desain halaman, tetapi juga memperhatikan tindakan yang diminta.

CAPTCHA yang wajar biasanya:

Meminta pengguna mencentang kotak verifikasi atau menyelesaikan tugas sederhana, seperti memilih gambar sesuai instruksi.
Menampilkan tantangan langsung di halaman browser.
Tidak mengharuskan pengguna menjalankan perintah melalui alat sistem.
Tidak meminta pengguna memasang program atau ekstensi yang tidak relevan.
Tidak meminta pengguna mengikuti rangkaian kombinasi tombol untuk menjalankan kode.

Waspadai CAPTCHA yang:

Meminta pengguna membuka Run, PowerShell, Command Prompt, atau Terminal.
Menginstruksikan pengguna menyalin, menempelkan, lalu menjalankan perintah atau skrip.
Meminta pengunduhan berkas atau pemasangan ekstensi sebagai syarat verifikasi.
Mengarahkan pengguna mengaktifkan notifikasi browser tanpa alasan yang jelas.
Menampilkan pesan bahwa verifikasi gagal dan perangkat harus “diperbaiki” melalui langkah yang tidak biasa.

Sebagai prinsip praktis, CAPTCHA tidak seharusnya meminta pengguna menjalankan perintah sistem untuk membuktikan bahwa mereka manusia. Jika instruksi semacam itu muncul, hentikan proses dan tutup halaman tersebut.

Pengguna juga dapat melakukan pemeriksaan tambahan:

Periksa alamat situs. Perhatikan nama domain dan ejaan yang menyerupai situs tepercaya.
Periksa HTTPS, tetapi jangan langsung percaya. HTTPS melindungi koneksi, tetapi tidak menjamin situs atau CAPTCHA di dalamnya aman.
Perhatikan konteks kemunculannya. CAPTCHA yang tiba-tiba muncul sebagai pop-up atau disertai instruksi tidak lazim patut dicurigai.
Periksa tujuan tautan. Jika tersedia, arahkan kursor ke tautan untuk melihat alamat tujuannya sebelum mengeklik. Hindari tautan yang mengarah ke domain tidak dikenal.

Tampilan yang meyakinkan bukan bukti bahwa CAPTCHA tersebut asli. Situs berbahaya juga dapat menggunakan HTTPS dan meniru tampilan layanan populer.

Apa yang Terjadi Jika CAPTCHA Palsu Diikuti?

Sekadar melihat halaman mencurigakan atau mengeklik kotak CAPTCHA belum tentu menyebabkan perangkat terinfeksi. Risiko meningkat ketika korban mengikuti instruksi tambahan, terutama menjalankan perintah atau memasang sesuatu.

Jenis ancaman yang mungkin muncul meliputi:

Infostealer: mencuri kata sandi, data keuangan, riwayat penjelajahan, informasi akun mata uang kripto, dan data sensitif lainnya. Kemampuan mencuri kode autentikasi bergantung pada jenis malware dan data yang dapat diaksesnya.
Remote access trojan (RAT): memberi penyerang kemampuan mengakses atau mengendalikan perangkat dari jarak jauh, bergantung pada fungsi malware yang dipasang.
Ransomware: mengenkripsi data atau mengganggu akses ke sistem, kemudian meminta tebusan.
Cryptominer: menggunakan sumber daya perangkat untuk menambang mata uang kripto tanpa izin pemiliknya.

Selain infeksi malware, korban juga berisiko mengalami pencurian identitas, pengambilalihan akun, dan kerugian finansial. Namun, dampak aktual bergantung pada perintah yang dijalankan, jenis malware, hak akses yang dimiliki, serta perlindungan keamanan yang tersedia pada perangkat.

Terlanjur Mengikuti CAPTCHA Palsu? Lakukan Ini

Langkah penanganan perlu disesuaikan dengan tindakan yang sudah dilakukan. Jangan panik, tetapi jangan pula menganggap perangkat pasti aman hanya karena tidak langsung menunjukkan gejala.

1. Hanya membuka halaman atau mengeklik kotak

Jika Anda hanya melihat halaman atau mengeklik kotak CAPTCHA tanpa menjalankan perintah, mengunduh berkas, atau memasang sesuatu:

Tutup tab atau jendela browser dan jangan membuka kembali halaman tersebut.
Periksa daftar unduhan dan hapus berkas mencurigakan yang belum dibuka.
Periksa izin notifikasi browser. Jika izin diberikan kepada situs mencurigakan, cabut izin tersebut.
Jalankan pemindaian keamanan jika diperlukan, terutama bila halaman sempat mengunduh berkas atau menampilkan perilaku yang mencurigakan.

Untuk mencabut izin notifikasi, berikut langkah umumnya:

Google Chrome

Buka Settings → Privacy and security → Site settings → Notifications. Cari situs mencurigakan pada daftar situs yang diizinkan, lalu pilih Remove atau Block.

Microsoft Edge

Buka Settings → Cookies and site permissions atau Site permissions → Notifications. Cari situs mencurigakan, lalu pilih Remove atau Block. Nama menu dapat berbeda menurut versi browser.

2. Menyalin atau menempelkan perintah, tetapi belum menjalankannya

Jika Anda telah menyalin perintah ke clipboard atau menempelkannya ke jendela sistem, tetapi belum menjalankannya:

Jangan menekan Enter atau melakukan tindakan yang mengeksekusi perintah.
Tutup jendela Run, PowerShell, Command Prompt, atau Terminal yang terkait.
Ganti isi clipboard dengan teks biasa yang tidak berbahaya.
Periksa unduhan dan ekstensi browser.
Jalankan pemindaian keamanan sebagai langkah pencegahan.

Menyalin atau menempelkan perintah saja tidak sama dengan menjalankannya. Namun, pastikan tidak ada tindakan lain yang telah memicu eksekusi.

3. Sudah menjalankan perintah atau memasang sesuatu

Jika perintah telah dijalankan, berkas mencurigakan telah dibuka, atau program telah dipasang, perlakukan perangkat sebagai berpotensi terkompromi.

Putuskan koneksi internet untuk membatasi kemungkinan komunikasi malware dengan server penyerang.
Jalankan pemindaian keamanan menyeluruh menggunakan solusi keamanan tepercaya. Ikuti rekomendasi penanganan yang diberikan.
Gunakan perangkat lain yang diketahui aman untuk mengganti kata sandi akun penting, terutama email, perbankan, dan akun kerja.
Aktifkan autentikasi multifaktor (MFA) pada akun yang mendukungnya.
Periksa ekstensi browser, berkas unduhan, aplikasi yang baru dipasang, sesi akun aktif, dan aktivitas keuangan yang tidak dikenal.
Jika perangkat digunakan untuk pekerjaan, segera laporkan kepada tim TI atau keamanan informasi perusahaan.

Jika ada indikasi pencurian kredensial, keluarkan sesi yang tidak dikenal dan cabut token atau akses yang mencurigakan jika layanan terkait menyediakan fitur tersebut. Untuk perangkat kerja atau sistem yang menyimpan data penting, mintalah bantuan tim keamanan sebelum kembali menggunakannya.

Mengganti kata sandi saja belum tentu cukup jika perangkat masih terinfeksi. Penanganan harus mencakup pemeriksaan dan pembersihan perangkat, serta pengamanan ulang akun yang mungkin terdampak.

ClickFix Juga Bisa Menyamar sebagai Bantuan AI

CAPTCHA palsu bukan satu-satunya umpan yang digunakan dalam serangan ClickFix. Penyerang juga dapat menyamar sebagai layanan AI atau memanfaatkan halaman AI yang telah disusupi untuk menampilkan instruksi yang diklaim dapat memperbaiki masalah.

Misalnya, pengguna diberi tahu bahwa kamera, mikrofon, browser, video, dokumen, atau proses masuk akun sedang mengalami gangguan. Halaman tersebut kemudian menawarkan langkah “perbaikan” yang mengharuskan pengguna membuka alat sistem, menjalankan perintah, mengunduh berkas, memasang ekstensi, atau memberikan izin tertentu.

Polanya sama: masalah yang tampak masuk akal digunakan untuk mendorong pengguna melakukan tindakan berbahaya. Karena itu, jangan menjalankan perintah hanya karena instruksinya ditampilkan oleh halaman yang tampak profesional atau mengaku berasal dari layanan AI tepercaya.

Jika suatu halaman meminta Anda menjalankan skrip atau perintah sistem untuk menyelesaikan verifikasi atau memperbaiki masalah yang tidak jelas, hentikan proses dan verifikasi instruksi tersebut melalui kanal resmi penyedia layanan.

Langkah Pencegahan agar Tidak Menjadi Korban

Beberapa kebiasaan berikut dapat membantu mengurangi risiko serangan CAPTCHA palsu dan ClickFix:

Perbarui sistem operasi dan browser. Pembaruan membantu menutup kerentanan yang diketahui, meskipun tidak dapat menggantikan kewaspadaan terhadap rekayasa sosial.
Gunakan perangkat lunak keamanan tepercaya. Pastikan perlindungan aktif dan basis deteksinya diperbarui.
Jangan terburu-buru menyelesaikan verifikasi. Waspadai instruksi yang meminta tindakan di luar browser.
Ketik alamat situs secara langsung atau gunakan bookmark tepercaya jika ingin mengakses layanan penting.
Jangan sembarangan mengeklik Allow. Berikan izin notifikasi hanya kepada situs yang benar-benar membutuhkan dan Anda percayai.
Hindari menjalankan perintah yang tidak dipahami. Jangan menempelkan kode ke Run, PowerShell, Command Prompt, atau Terminal hanya karena sebuah halaman memintanya.
Periksa ekstensi browser. Hapus ekstensi yang tidak dikenal atau tidak lagi diperlukan, terutama jika baru dipasang setelah mengikuti instruksi dari situs mencurigakan.

Solusi keamanan juga dapat membantu mendeteksi atau memblokir situs berbahaya dan malware. Namun, perlindungan teknis tetap perlu disertai kebiasaan digital yang aman karena ClickFix secara khusus memanfaatkan tindakan pengguna yang dilakukan dengan sukarela akibat tertipu.

Konklusi

Fake CAPTCHA scam mengubah proses verifikasi yang sudah akrab menjadi alat untuk menipu pengguna. Dengan memanfaatkan kepercayaan terhadap CAPTCHA, penyerang berusaha membuat korban untuk:

Menjalankan perintah.
Mengunduh berkas.
Memasang ekstensi.
Atau memberikan izin yang tidak diperlukan.

Ingat satu prinsip penting: verifikasi CAPTCHA yang sah tidak mengharuskan Anda menjalankan perintah melalui Run, PowerShell, Command Prompt, atau Terminal. Jika sebuah halaman meminta tindakan semacam itu, jangan ikuti instruksinya.

Jika telanjur berinteraksi dengan halaman mencurigakan, tentukan langkah penanganan berdasarkan apa yang sudah dilakukan. Menutup halaman mungkin cukup untuk menghentikan interaksi awal, tetapi perangkat yang sudah menjalankan perintah atau memasang program perlu diperiksa lebih lanjut. Semakin cepat tindakan yang tepat dilakukan, semakin besar peluang untuk membatasi dampak serangan.

Baca artikel lainnya: