Serangan tombak-phishing: apa yang perlu Anda ketahui

Ketika ajudan Ketua Komite Nasional Demokrat (DNC) John Podesta meneruskannya email yang mengklaim akun Gmail Podesta diretas, Podesta melakukan apa yang sebagian besar dari kita akan lakukan: Dia mengklik tautan dalam email dan diarahkan ke situs web di mana dia diminta untuk memasukkan kata sandi baru. Dia melakukannya dan kemudian menjalankan bisnisnya sehari-hari. Sayangnya untuk kampanye presiden Podesta, Partai Demokrat, dan Hillary Clinton, email yang dikirim ke Podesta bukan dari Google. Sebaliknya, itu adalah serangan tombak-phish dari kelompok peretasan Rusia yang bernama "Fancy Bear."

Bahkan jika Anda belum pernah mendengar istilah "phear-phishing, " Anda pasti pernah mendengar tentang serangan semacam ini. Anda bahkan mungkin menjadi target mereka. Serangan-serangan ini biasanya berupa email dukungan pelanggan yang meminta Anda untuk mengubah kredensial atau mereka dapat dikirim melalui alamat email palsu ke bisnis yang meminta data pelanggan atau karyawan yang sangat pribadi. Sebagai contoh, pada tahun 2015, karyawan Ubiquiti Networks mentransfer $ 46, 7 juta ke akun luar negeri atas permintaan email yang diasumsikan oleh karyawan dikirim oleh eksekutif Ubiquiti. Pada kenyataannya, peretas membuat akun email palsu yang memiliki kemiripan dengan akun eksekutif Ubiquiti yang sebenarnya dan menipu para karyawan.

Berdasarkan data dari studi terbaru yang dilakukan oleh perusahaan keamanan email IronScales, 77 persen serangan berfokus pada laser, menargetkan 10 akun atau lebih sedikit, dengan sepertiga serangan menargetkan hanya satu akun. Serangan itu singkat, dengan 47 persen berlangsung kurang dari 24 jam, dan 65 persen berlangsung kurang dari 30 hari. Filter spam tradisional dan alat perlindungan titik akhir tidak menangkap serangan. Untuk setiap lima serangan yang diidentifikasi oleh filter spam, 20 serangan berhasil masuk ke kotak masuk pengguna.

(Gambar Via: IronScales)

"Kami melihat para penyerang menghabiskan lebih banyak waktu mempelajari target mereka daripada tahun-tahun sebelumnya, menjalankan proses pengintaian yang sangat komprehensif, " kata Eyal Benishti, CEO IronScales. "Akibatnya, email phising menjadi sangat ditargetkan dan disesuaikan dengan perusahaan target, karena penyerang dapat mengumpulkan informasi melalui pengintaian yang membantu mereka membuat email agar terlihat seperti komunikasi internal yang sah. Misalnya, kami telah melihat beberapa serangan menggunakan istilah dan tanda tangan organisasi, dan kontennya sangat sesuai dengan apa yang saat ini berjalan di dalam perusahaan dan di antara pihak-pihak yang dipercaya."

Jeff Pollard, Kepala Analis di Forrester Research, menambahkan bahwa serangan ini juga semakin canggih. "Serangan semakin canggih baik dalam hal umpan yang digunakan untuk membuat orang mengklik dan dalam hal malware digunakan untuk mendapatkan akses ke sistem, " kata Pollard. "Tapi itulah yang kami harapkan mengingat bahwa cybersecurity adalah pertempuran konstan antara pembela dan penyerang."

Solusinya

Untuk memerangi serangan ini, perusahaan beralih ke perangkat lunak anti-phishing untuk mendeteksi dan menandai serangan yang masuk. Alat-alat anti-spam dan anti-malware tidak perlu dipikirkan oleh perusahaan mana pun yang berharap dapat melindungi data bisnis. Tetapi perusahaan seperti IronScales mengambil langkah lebih jauh dengan menggunakan alat machine learning (ML) untuk secara proaktif memindai dan menandai email phishing yang tidak jelas. Selain itu, karena ML memungkinkan alat mengkompilasi atau mengingat data scam, perangkat lunak belajar dan meningkat dengan setiap pemindaian.

"Teknologi ini membuat penyerang lebih sulit membodohi bek dengan sedikit perubahan yang biasanya memintas solusi berbasis tanda tangan, " kata Benishti. "Dengan ML, kami dapat dengan cepat mengelompokkan varian berbeda dari serangan yang sama dan lebih efektif melawan phishing. Bahkan, dari analisis kami, ML adalah cara terbaik untuk melatih sistem untuk mengetahui perbedaan antara email yang sah yang datang dari mitra tepercaya atau kolega versus yang tidak sah."

Teknologi bukan satu-satunya perlindungan terhadap bentuk-bentuk serangan ini. Pendidikan dan kehati-hatian mungkin merupakan pertahanan paling penting terhadap serangan tombak phishing. "Beberapa bisnis menyadari ancaman itu, meskipun yang lain secara keliru percaya bahwa solusi mereka saat ini adalah melindungi dari serangan yang ditargetkan, " kata Benishti. "Sangat penting untuk memahami bahwa menggunakan mekanisme pertahanan yang sama dan mengharapkan hasil yang berbeda dalam serangan di masa depan tidak akan berhasil. Menggunakan teknologi sendiri terhadap serangan lanjutan, yang menempatkan orang sebagai target, akan selalu gagal, karena hanya akan mengandalkan kesadaran karyawan dan pelatihan… Orang-orang dan mesin bekerja sama secara erat untuk menutup celah serangan tidak dikenal ini adalah satu-satunya cara untuk mengurangi risiko."

(Gambar Via: IronScales)

Cara Tetap Aman

Berikut adalah beberapa cara yang sangat sederhana untuk memastikan bahwa Anda dan perusahaan Anda tidak mendapatkan scammed:

• Pastikan email perusahaan diberi label "INTERNAL" atau "EKSTERNAL" di baris subjek.
• Verifikasi permintaan mencurigakan atau berisiko melalui telepon. Misalnya, jika CEO Anda mengirim email kepada Anda dan meminta Anda mengirim data kesehatan pribadi seseorang, maka hubungi dia atau kirim pesan obrolan untuk memverifikasi permintaan tersebut.
• Jika suatu perusahaan meminta Anda untuk mengubah kata sandi Anda, maka jangan gunakan tautan dalam pemberitahuan email; langsung pergi ke situs web perusahaan dan ubah kata sandi Anda dari sana.
• Dalam keadaan apa pun, jangan pernah mengirim kata sandi, nomor jaminan sosial, atau informasi kartu kredit kepada seseorang di badan surel.
• Jangan mengklik tautan dalam email yang tidak mengandung teks atau informasi lain.

"Ketika pertahanan membaik, begitu juga serangan, " kata Pollard. "Saya pikir kita akan melihat lebih banyak kampanye spear-phishing dan perburuan paus. Kita juga akan melihat peningkatan phishing dan penipuan di media sosial, yang merupakan area yang tidak terlalu matang dari sudut pandang keamanan seperti halnya keamanan email."

Sayangnya, tidak peduli seberapa hati Anda Anda, serangan akan meningkat dan menjadi lebih cerdas. Anda dapat melakukan segala daya Anda untuk mendidik diri sendiri dan karyawan Anda, Anda dapat membangun pertahanan anti-phishing yang didukung oleh teknologi baru, dan Anda dapat mengambil setiap tindakan pencegahan yang mungkin. Tetapi, seperti dicatat Pollard, "hanya butuh satu hari yang buruk, satu klik salah, atau satu pengguna yang tergesa-gesa mencoba untuk membersihkan kotak masuk, untuk menyebabkan bencana."