Serangan phishing semakin sulit dideteksi karena pelaku kini memanfaatkan teknik yang membuat aktivitas login terlihat sah. Tim Threat Research ReliaQuest mengungkap modus pencurian data yang menggabungkan rekayasa sosial (social engineering) dan proxy residensial.

Dalam salah satu insiden, pencurian data bahkan dimulai sekitar enam menit setelah pelaku memperoleh akses awal.

Bagaimana Modus Phishing Ini Bekerja?

Serangan biasanya dimulai melalui panggilan telepon, pesan teks, atau permintaan kolaborasi eksternal. Pelaku menyamar sebagai tim dukungan teknologi informasi (TI) atau pihak internal perusahaan untuk memperoleh kredensial maupun token sesi korban.

Setelah mendapatkan akses, pelaku menggunakan proxy residensial untuk menyamarkan sumber koneksi. Layanan ini merutekan lalu lintas internet melalui alamat IP jaringan residensial sehingga lokasi login terlihat sesuai dengan kebiasaan pengguna.

Teknik tersebut dapat mengurangi efektivitas sistem keamanan yang mengandalkan lokasi login dan reputasi alamat IP untuk mendeteksi aktivitas mencurigakan.

Beberapa tahapan serangan meliputi:

• Rekayasa sosial: pelaku menyamar sebagai pihak tepercaya untuk memperoleh akses korban.
• Penyamaran koneksi: proxy residensial membuat lokasi login terlihat wajar.
• Penyalahgunaan autentikasi: kredensial atau token sesi digunakan untuk mengakses akun.
• Pencurian data: pelaku mengambil informasi dari aplikasi dan layanan cloud perusahaan.

Data Perusahaan Bisa Dicuri dalam Hitungan Menit

Menurut laporan ReliaQuest, pencurian data dalam salah satu insiden dimulai sekitar enam menit setelah akses awal diperoleh. Dalam insiden lain, aktivitas tersebut dimulai sekitar 15 menit setelahnya.

Pelaku dapat mengakses aplikasi perusahaan dan mengunduh informasi sebelum tim keamanan menyelesaikan analisis log autentikasi. Laporan tersebut menyebutkan bahwa data telah keluar dari lingkungan perusahaan ketika catatan autentikasi masih diproses oleh sistem pemantauan keamanan.

Layanan yang menjadi sasaran mencakup:

• SharePoint, untuk penyimpanan dan kolaborasi dokumen.
• Microsoft 365, termasuk surat elektronik perusahaan.
• Salesforce, untuk pengelolaan hubungan pelanggan.
• Platform analitik, untuk pengolahan data bisnis.

Risiko juga dapat berlanjut setelah kata sandi diganti. Menurut ReliaQuest, perangkat atau metode autentikasi yang didaftarkan pelaku berpotensi mempertahankan akses ke akun korban.

Cara Mencegah Phishing dan Pencurian Data

ReliaQuest merekomendasikan penggunaan autentikasi multifaktor yang tahan terhadap phishing (phishing-resistant MFA), seperti kunci keamanan FIDO2 dan passkey yang terikat pada platform. Organisasi juga disarankan menghentikan metode autentikasi berbasis SMS dan persetujuan melalui notifikasi jika memungkinkan.

Selain memperkuat autentikasi, perusahaan perlu memantau aktivitas akun dan membatasi akses terhadap dokumen sesuai kebutuhan pekerjaan. Langkah pencegahan yang dapat dilakukan meliputi:

• Gunakan autentikasi tahan phishing: prioritaskan passkey atau kunci keamanan FIDO2.
• Verifikasi perangkat baru: periksa permintaan pendaftaran perangkat dan perubahan metode autentikasi.
• Batasi hak akses: berikan akses dokumen berdasarkan kebutuhan pekerjaan.
• Pantau aktivitas akun: waspadai pengunduhan data dalam jumlah besar dan akses yang tidak biasa.
• Siapkan respons insiden: cabut sesi aktif, hapus metode autentikasi yang tidak sah, dan periksa aktivitas akun yang terindikasi disusupi.

Modus ini menunjukkan bahwa keamanan perusahaan tidak cukup hanya mengandalkan kata sandi dan deteksi lokasi login. Pengamanan identitas digital, pengelolaan akses, pemantauan aktivitas, serta edukasi karyawan diperlukan untuk mengurangi risiko pencurian data.