Trik Phising Melalui SMS

Phising memiliki banyak wajah dan bentuk yang sangat menyakinkan, untuk membuat Anda percaya lalu tertipu. Salah satu wajah tersebut adalah trik phising melalui SMS.

Pernahkah menerima SMS dari perusahaan pengiriman yang Anda kenal dan tidak pernah terbersit dipikiran untuk mempertanyakan legitimasinya? Mungkin ini menimbulkan pertanyaan baru seperti kenapa juga harus meragukan sesuatu yang sudah dikenal?

Seringkali hal semacam ini menjadi bumerang, berhati-hati dalam segala hal bukanlah sebuah kesia-siaan belaka, dengan pandemi yang berkepanjangan orang seringkali memesan begitu banyak barang secara online, begitu ada tautan disertakan di sana, Anda bahkan tanpa ragu mengekliknya untuk cari tahu lebih lanjut

ESET baru-baru ini memperhatikan bahwa ada peningkatan phising SMS (juga dikenal sebagai smishing) dari perusahaan pengiriman yang seharusnya.

Ada satu hal khusus yang ahli dalam penipu atau manipulasi. Mereka terus-menerus mereformasi keahlian mereka, mengadopsi teknik-teknik baru untuk menggoda orang untuk melakukan apa yang seharusnya mereka tidak lakukan.

Namun, pesan smishing tidak selalu mendapatkan jumlah publisitas yang sama. Pesan SMS tidak memiliki alamat pengirim yang dapat diverifikasi secara visual dengan cepat (meskipun ini saja tidak menjamin pesan apa pun menjadi asli) dan beberapa bahkan dapat dengan cerdik melampirkan sendiri ke utas obrolan sebelumnya dalam korespondensi yang sah di ponsel Anda dan mungkin, pada pandangan pertama, terlihat tulus bahkan bagi profesional keamanan.

Sebelum membahas tentang apa yang harus dilakukan jika Anda menerima salah satu pesan ini, ESET ingin berbagi beberapa penelitian dalam beberapa pesan semacam itu untuk melihat apa yang dapat ditemukan.

Yang jelas penting untuk mengetahui bagaimana pesan dikonstruksi dan memahami psikologi di baliknya. Lagi pula, kampanye ini harus berfungsi, jika tidak, kampanye tidak akan terus membanjiri kotak masuk.

ESET memutuskan untuk melihat apa yang ada di balik tautan, jadi harus menggunakan mesin terpisah pada jaringan terpisah yang dirancang untuk menahan situs berbahaya potensial yang mungkin harus dimasuki. Tautannya adalah URL singkat yang membawa saya ke sini:

Tidak ada upaya agar URL serupa dengan perusahaan pengiriman terkenal mana pun, tetapi URL berisi kata-kata yang mirip dengan yang Anda harapkan. ESET pertama kali mengira bahwa subdirektori dari tautan yang dikirim mungkin unik, tetapi ESET membuat beberapa subdirektori lain dan tidak dapat menemukan subdirektori lain yang berfungsi.

Hal ini membantu untuk mengetahui bahwa dalam hal ini, para penjahat tidak melacak nomor mana yang telah diklik dan mana yang tidak. Ini dapat terjadi dalam beberapa kasus di mana korban ditempatkan di “sucker list”.

Halaman pertama meminta untuk menjadwalkan pengiriman dengan biaya yang ditampilkan. ESET mencoba mengunjungi halaman ini menggunakan VPN, seolah-olah dari berbagai negara, tetapi ternyata hanya berfungsi dari Inggris, pertanda bahwa phish ini tidak secanggih itu.

Namun, bagian favoritnya adalah jika Anda melihat lebih dekat, penipu menggunakan nama perusahaan “IPS” daripada UPS tetapi telah meluangkan waktu untuk menyalin logo. Mengapa tidak menggunakan logo yang benar saja? Sepertinya hak cipta tidak akan menjadi masalah dalam agenda mereka.

Setelah mengklik melalui petunjuk, kita tiba di halaman yang menyarankan bahwa “paket” akan tiba dalam waktu 24-48 jam. Patut diacungi jempol karena mereka cukup pintar sehingga setiap kali mengklik tautan “jadwalkan pengiriman sekarang”, tanggal berikutnya akurat.

Namun, ketika mengklik “Masukkan Informasi Pengiriman”, mereka mengarahkan ke situs yang berbeda sama sekali, membawa penawaran khusus iPhone, yang tampak aneh, hanya dengan £1, dapat membeli ponsel!

Yang kemudian melanjutkan untuk meminta detail pribadi, termasuk detail kartu kredit dan nomor CVV. Apa yang tampak aneh adalah bahwa jika penipu mampu membujuk orang ke tahap ini, mengapa mengubah taktik dan menawarkan ponsel dengan diskon besar daripada berfokus pada “pengiriman” yang lebih masuk akal?

Trik lain

ESET baru-baru ini juga mendapat forward pesan buruk lainnya yang terlihat lebih “berkesan”. Kali ini adalah tautan ke situs Royal Mail palsu. Meskipun URL-nya tidak terlihat serupa, situs web tersebut memiliki kesan yang lebih asli dan otentik daripada situs perusahaan “IPS” sebelumnya.

Seperti yang Anda lihat, tautan halaman depan Royal Mail palsu yang saya terima adalah seperti yang diharapkan:

Setelah mengklik link “jadwalkan pengiriman baru”, mereka meminta untuk memasukkan informasi pribadi, seperti nama, alamat, DOB, detail bank, dan, tentu saja nama gadis ibu (permintaan yang aneh).

Setelah semua detail ini diisi, ada sedikit biaya (£2.95) yang ditunjukkan untuk meminta paket “dikirim”, di mana mereka meminta untuk mengisi beberapa detail kartu kredit.

ESET mencoba untuk mengisi ini dengan beberapa baris data palsu tetapi ada pemeriksaan di tempat; misalnya, nomor kartu kredit harus 16 digit angka. Namun, jika diperhatikan mereka telah membawa ke situs web lainnya, yang sebenarnya adalah situs web asli yang telah diretas dan digunakan untuk penipuan ini. ESET membuat admin situs sadar dan sekarang situs tersebut tidak aktif.

Setelah beberapa penelitian, ditemukan seorang korban yang baru-baru ini memberi tahu BBC tentang bagaimana dia menerima email seperti ini yang mengaku dari perusahaan pengiriman DPD.

Dia diminta untuk membayar £2 untuk pengiriman ulang dan, sayangnya, dia memasukkan detail banknya seperti pada permintaan yang terlihat pada tangkapan layar di atas. Ketika dia memeriksa saldo akunnya dua hari kemudian, dia menemukan pembelian baru dari Apple UK seharga £409 yang tidak dia otorisasi. Meskipun bank orang itu mengembalikan jumlah penuh yang hilang karena penipuan ini, tidak semua orang seberuntung itu.

Jangan Terlalu Gampang Mengklik

Saat pesan-pesan ini meningkat frekuensi dan kreativitasnya, ingatlah untuk berpikir dua kali tentang pesan apa pun yang meminta Anda untuk bertindak cepat, apakah itu untuk menakut-nakuti Anda atau karena itu masalah besar.

Pesan yang memengaruhi emosi dan memanipulasi Anda tanpa disadari oleh alam bawah sadar. Ini adalah psikologi pintar yang digunakan untuk membuat Anda menggunakan otak cepat Anda sebelum otak lambat Anda yang berpikir masuk dan mengambil alih, mempertanyakan komunikasi semacam itu.

Selain itu, ESET perlu memberikan saran dan kesadaran kepada mereka yang mungkin lebih rentan terhadap hal tersebut. Mereka yang terlalu sering sangat percaya dan cenderung jatuh dalam skema penipuan. Bagi mereka yang sering membaca BacaPikirShare mungkin ahli dalam mengenali pesan palsu, tetapi mereka yang kurang beruntung memiliki keterampilan ini adalah mereka yang perlu dibantu dan dukung. INGAT: Jangan terlalu gampang mengklik!