Bayangkan jika kamu sedang menerima telepon dari seseorang yang mengaku sebagai petugas bank. Suaranya meyakinkan, dan mereka bahkan tahu beberapa detail dasar tentang rekening kamu. 

Mereka memintamu untuk memverifikasi beberapa informasi tambahan karena adanya “aktivitas mencurigakan.” Tanpa disadari, kamu mungkin tergoda untuk memberikan detail yang lebih sensitif seperti nomor PIN atau password, dengan keyakinan bahwa ini adalah langkah yang perlu untuk melindungi asetmu.

Ini adalah contoh nyata dari bagaimana social engineering bekerja. Sama seperti penipu yang berpura-pura menjadi otoritas terpercaya, dalam dunia digital, hacker menggunakan teknik manipulasi psikologis untuk memanfaatkan rasa takut, urgensi, atau rasa percaya korban. 

Dengan trik yang tampak nyata, mereka dapat mencuri informasi pribadi dan meretas sistem. Meskipun kita semakin cerdas dalam menggunakan teknologi, serangan berbasis manipulasi ini tetap menjadi ancaman serius dalam keamanan siber.

Social Engineering

Social engineering dalam keamanan siber adalah teknik manipulasi psikologis yang digunakan oleh hacker untuk mengeksploitasi kelemahan manusia, dengan tujuan mendapatkan akses tidak sah ke informasi atau sistem yang dilindungi.

Alih-alih meretas sistem atau perangkat lunak secara langsung, penyerang memanfaatkan kepercayaan, ketidaktahuan, atau emosi korban untuk membuat mereka secara sukarela memberikan data sensitif, melakukan tindakan yang merugikan, atau membuka jalan bagi serangan lebih lanjut.

Menurut laporan dari Verizon’s 2023 Data Breach Investigations Report (DBIR), 74% dari pelanggaran keamanan melibatkan unsur rekayasa sosial atau social engineering menunjukkan bahwa seiring dengan semakin ketatnya sistem keamanan digital, ancaman berbasis manusia justru semakin sering digunakan.

Jenis-jenis Social Engineering

Human-Based Social Engineering

Human-based social engineering melibatkan interaksi langsung antara penyerang dan korban. Penyerang memanfaatkan psikologi manusia untuk mengelabui target secara langsung, baik melalui panggilan telepon, tatap muka, atau komunikasi lainnya.

Contoh: Seorang penyerang berpura-pura menjadi pegawai IT, meminta akses ke sistem atau data penting dengan alasan perbaikan mendesak. Atau, penyerang menggunakan taktik tailgating untuk memasuki area fisik yang aman dengan mengikuti seseorang yang memiliki akses resmi.

Cara Menghindarinya: Verifikasi identitas sebelum memberikan akses ke sistem atau area tertentu. Selalu cek ulang dengan tim keamanan sebelum mengambil tindakan berdasarkan permintaan yang mencurigakan.

Computer-Based Social Engineering

Dalam serangan berbasis komputer, penyerang menggunakan perangkat elektronik dan jaringan internet untuk mengelabui korban agar memberikan informasi atau mengunduh malware. Taktik ini biasanya menggunakan metode otomatis atau semi-otomatis, seperti email atau pesan phishing.

Contoh: Phishing adalah salah satu serangan komputer-based paling umum, di mana email palsu dikirim ke target dengan tujuan mencuri informasi sensitif. Variasi lain termasuk spear phishing, di mana penyerang secara khusus menargetkan individu tertentu dengan email yang tampak sangat meyakinkan.

Cara Menghindarinya: Hindari mengklik tautan yang tidak dikenal, selalu periksa alamat email pengirim, dan gunakan software keamanan seperti filter spam dan anti-malware yang selalu diperbarui.

Mobile-Based Social Engineering

Serangan mobile-based social engineering memanfaatkan perangkat seluler sebagai medium untuk melancarkan serangan. Dengan semakin banyaknya penggunaan smartphone dan aplikasi mobile, serangan ini semakin sering terjadi.

Contoh: Smishing (SMS Phishing) adalah contoh umum dari serangan mobile, di mana penyerang mengirimkan pesan teks yang tampak sah, meminta informasi pribadi atau mendesak korban untuk mengklik tautan berbahaya. Selain itu, aplikasi mobile palsu juga dapat digunakan untuk menginfeksi perangkat dengan malware.

Cara Menghindarinya: Jangan pernah memberikan informasi pribadi melalui pesan teks, dan hindari menginstal aplikasi dari sumber yang tidak dikenal. Selalu periksa izin aplikasi dan gunakan software keamanan mobile.

Kasus Social Engineering

Pada akhir November 2014, Sony Pictures mengalami serangan siber yang serius. Kelompok yang mengaku sebagai “Guardians of Peace” (GOP) berhasil mengakses jaringan internal Sony Pictures dan mencuri data sensitif. Data yang dicuri termasuk informasi pribadi karyawan, kontrak bisnis, detail film yang belum dirilis, email eksekutif, dan banyak lagi.

Serangan ini dimulai dengan phishing yang memanfaatkan email palsu untuk menipu karyawan agar membuka lampiran atau mengklik tautan berbahaya. Dalam kasus ini, karyawan Sony menerima email yang terlihat seperti email pada umumnya, namun sebenarnya berisi malware. Ketika mereka membuka lampiran tersebut, malware masuk ke dalam sistem perusahaan. Dari situ, hacker berhasil mendapatkan akses ke seluruh jaringan Sony.

Dengan memanfaatkan kepercayaan dan ketidaktahuan karyawan, para hacker menggunakan phishing untuk mencuri data login dan mendapatkan akses yang lebih dalam ke data sensitif perusahaan.

Serangan ini tidak hanya memengaruhi Sony dari segi finansial, tetapi juga merusak reputasinya. Banyak data sensitif, termasuk email internal yang berisi informasi pribadi dan percakapan rahasia, bocor ke publik. Serangan tersebut memicu krisis hubungan masyarakat dan menimbulkan kerugian yang signifikan dalam hal biaya penyelesaian serta kepercayaan dari karyawan dan mitra bisnis.

Selain itu, film yang belum dirilis, seperti The Interview, bocor ke internet, menyebabkan kerugian finansial yang besar bagi perusahaan. Sony Pictures harus mengeluarkan dana besar untuk memulihkan sistem mereka dan merespons krisis ini, yang menunjukkan betapa berbahayanya serangan berbasis social engineering terhadap organisasi besar.