Pengguna Apple diperingatkan mengenai skema Social Engineering di mana penjahat menyamar sebagai petugas bank dan memakai FaceTime untuk membujuk korban mengungkapkan informasi keuangan sensitif.
- Penipuan biasanya dimulai dengan peringatan fraud palsu
- Mengetahui data pribadi bukan bukti legitimasi
- Percakapan dipindahkan ke FaceTime
- Screen Sharing adalah titik paling kritis
- Kode sekali pakai dapat melewati lapisan keamanan penting
- Rasa mendesak adalah tanda peringatan utama
- Jangan menelepon nomor dalam pesan mencurigakan
- Jangan berbagi layar perbankan dengan penelepon tak dikenal
- Apple mengatakan kredensial keamanan harus tetap rahasia
- Panggilan FaceTime mencurigakan dapat dilaporkan kepada Apple
- Jika informasi sudah terbuka, bertindaklah cepat
- FaceTime adalah saluran, bukan kerentanan
Serangan tersebut tidak membutuhkan peretasan keamanan FaceTime, pemecahan Encryption Apple, atau akses jarak jauh terhadap iPhone.
Pelaku justru mengeksploitasi kepercayaan pengguna.
Mereka berusaha meyakinkan pemilik rekening bahwa rekening bank atau kartu kredit sedang berada dalam bahaya dan korban harus segera bekerja sama.
Setelah korban yakin bahwa orang di ujung panggilan adalah pegawai bank sungguhan, penipu dapat memindahkan pembicaraan ke FaceTime dan meminta berbagi layar.
Jika korban membuka Online Banking ketika layar terlihat, Password, nomor rekening, dan kode keamanan sementara dapat terekspos.
Baca selengkapnya
Skema tersebut menunjukkan bahwa Cybersecurity modern tidak hanya harus menghadapi Malware dan kerentanan Software, tetapi juga manipulasi psikologis.
Penipuan biasanya dimulai dengan peringatan fraud palsu
Tahap pertama umumnya terjadi melalui pesan teks atau telepon.
Korban dapat menerima pesan yang mengklaim bahwa aktivitas mencurigakan ditemukan pada rekening bank atau kartu kredit.
Pesan dapat menyebut transaksi yang diklaim tidak pernah disetujui pelanggan dan meminta penerima segera menelepon sebuah nomor.
Nomor itu tidak boleh otomatis dipercaya.
Jika pesan dibuat penjahat, nomor tersebut dapat terhubung langsung dengan kelompok yang menjalankan penipuan.
Dalam kasus lain, penipu menelepon lebih dulu dan mengaku bekerja di departemen Fraud atau keamanan bank.
Ia dapat mengatakan bahwa verifikasi tambahan diperlukan sebelum transaksi dapat dihentikan, rekening dilindungi, atau aktivitas ilegal dibatalkan.
Tujuannya adalah menciptakan rasa takut sebelum korban sempat memeriksa keadaan secara independen.
Mengetahui data pribadi bukan bukti legitimasi
Penipu yang canggih mungkin sudah mengetahui beberapa informasi tentang target.
Informasi tersebut dapat mencakup nama, nomor telepon, alamat, tempat kerja atau data lain yang terlihat pribadi.
Mengetahui data itu tidak membuktikan bahwa penelepon benar-benar bekerja untuk bank.
Informasi pribadi dapat berasal dari Data Breach, database publik, Social Media, penipuan sebelumnya dan sumber lain.
Pelaku menggunakan data tersebut untuk meningkatkan kredibilitas.
Jika orang yang mengaku pegawai bank sudah mengetahui nama dan beberapa detail pribadi korban, percakapan awal bisa terdengar asli.
Apple juga memperingatkan bahwa pelaku Social Engineering sering menggunakan informasi pribadi untuk membangun kepercayaan sebelum meminta kredensial sensitif atau uang.
Percakapan dipindahkan ke FaceTime
Setelah komunikasi terbentuk, pelaku dapat mengusulkan berpindah dari panggilan suara biasa ke FaceTime.
Perpindahan ini dapat membuat interaksi terasa lebih terpercaya karena FaceTime merupakan layanan yang familier bagi pemilik iPhone, iPad dan Mac untuk berkomunikasi dengan keluarga, teman dan rekan kerja.
Percakapan langsung juga memberi penipu lebih banyak kesempatan untuk merespons kekhawatiran korban.
Jika korban mulai ragu, pelaku dapat segera menenangkan, mengulang klaim bahwa rekening dalam bahaya dan terus memberikan tekanan.
Penipu dapat mengatakan FaceTime diperlukan untuk verifikasi identitas, penyelidikan Fraud atau prosedur keamanan bank lainnya.
Namun penggunaan FaceTime tidak mengautentikasi bahwa orang di ujung panggilan benar-benar bekerja untuk institusi keuangan tersebut.
Screen Sharing adalah titik paling kritis
Tahap paling berbahaya muncul ketika orang yang mengaku petugas bank meminta korban berbagi layar.
Screen Sharing merupakan fitur sah FaceTime dan berguna ketika digunakan bersama orang yang dikenal dan dipercaya.
Fitur yang sama menjadi berbahaya jika orang asing melihat layar.
Penipu dapat menyuruh korban membuka website bank atau aplikasi Mobile Banking dan login sementara Screen Sharing tetap aktif.
Pada saat itu, informasi keuangan yang ditampilkan bank dapat terlihat oleh penyerang.
Tergantung layanan, informasi itu bisa berupa nomor rekening, saldo, transaksi terbaru, data Login dan kode keamanan sementara.
CBS News melaporkan bahwa penipu yang menggunakan teknik ini dapat menyaksikan secara Real-Time ketika korban menampilkan Password, nomor rekening dan bahkan One-Time Security Code.
Kode sekali pakai dapat melewati lapisan keamanan penting
Banyak institusi keuangan menggunakan Multi-Factor Authentication untuk melindungi rekening online.
Karena itu Password saja mungkin tidak cukup bagi penjahat untuk login.
Pelaku juga dapat membutuhkan One-Time Verification Code yang dikirim ke perangkat terpercaya pelanggan.
Itulah sebabnya kode sementara sangat bernilai bagi penipu.
Sistem keamanan mengasumsikan hanya pemilik rekening yang sah yang bisa melihat dan menggunakan kode.
Jika kode muncul ketika layar dibagikan atau korban dibujuk untuk membacakannya, penyerang dapat memperoleh informasi tambahan untuk melakukan Login atau transaksi ilegal.
Kode verifikasi sekali pakai harus dijaga seketat Password.
Orang yang mengaku petugas bank tidak seharusnya membutuhkan korban menampilkan kredensial Authentication melalui FaceTime.
Rasa mendesak adalah tanda peringatan utama
Salah satu karakteristik paling konsisten dalam penipuan Social Engineering adalah tekanan.
Penelepon dapat mengklaim uang sedang dicuri saat itu juga, kartu telah dibobol, rekening akan dikunci atau transfer harus dihentikan dalam hitungan menit.
Urgensi tersebut sengaja diciptakan.
Pelaku tidak ingin korban menutup telepon, menghubungi bank secara independen atau meminta saran orang lain.
Apple memperingatkan bahwa penipu sering menciptakan rasa mendesak yang kuat agar pengguna tidak memiliki waktu untuk berpikir.
Institusi keuangan resmi tidak seharusnya keberatan jika pelanggan menutup panggilan yang tidak diharapkan lalu menghubungi bank kembali melalui nomor resmi.
Jika penelepon bersikeras korban harus tetap berada di sambungan, perilaku tersebut sendiri patut dianggap mencurigakan.
Jangan menelepon nomor dalam pesan mencurigakan
Jika pesan tidak terduga mengaku berasal dari bank dan menyediakan nomor telepon, pelanggan tidak boleh otomatis menggunakannya.
Pilihan yang lebih aman adalah mencari informasi kontak bank secara independen.
Nomor yang tercetak di belakang Debit Card atau Credit Card dapat digunakan.
Aplikasi resmi atau website resmi institusi keuangan juga bisa menjadi sumber.
Prinsip pentingnya adalah membuat saluran komunikasi baru yang tidak diberikan oleh penelepon atau pesan mencurigakan.
Dengan begitu, penjahat yang sama tidak dapat mengendalikan baik “peringatan” maupun “solusi” palsu.
Jangan berbagi layar perbankan dengan penelepon tak dikenal
Permintaan tidak diundang untuk berbagi layar iPhone, iPad, Mac atau komputer ketika membahas rekening bank merupakan Red Flag besar.
Bank resmi tidak perlu melihat pelanggan mengetik Password Online Banking.
Pengguna juga harus waspada jika seseorang meminta membuka Payment App, akun investasi, Cryptocurrency Wallet atau layanan keuangan lain selama Screen Sharing.
Menolak berbagi layar dapat menghentikan bagian utama dari serangan.
Jika orang yang mengaku pegawai bank mengatakan rekening tidak bisa diamankan tanpa Screen Sharing, korban sebaiknya mengakhiri panggilan dan menghubungi bank sendiri.
Apple mengatakan kredensial keamanan harus tetap rahasia
Panduan resmi Apple memperingatkan pengguna untuk tidak pernah berbagi Password, Security Code atau informasi Account Security lainnya.
Apple mengatakan perusahaan tidak akan meminta Apple Account Password atau Verification Code untuk memberikan Support.
Apple juga menyarankan pengguna tidak memasukkan kredensial ke website hanya karena seseorang di telepon menyuruhnya.
Prinsip yang sama berlaku bagi rekening bank.
Password, One-Time Code dan Recovery Information dibuat untuk membuktikan bahwa pemilik sah mengizinkan akses.
Memberikan data itu kepada orang lain dapat melemahkan perlindungan yang seharusnya menjaga rekening.
Panggilan FaceTime mencurigakan dapat dilaporkan kepada Apple
Apple menyediakan proses khusus untuk melaporkan panggilan FaceTime yang mencurigakan.
Pengguna yang menerima panggilan FaceTime yang terlihat berasal dari bank atau institusi keuangan dapat mengambil Screenshot informasi panggilan dan melaporkannya kepada Apple.
Link FaceTime mencurigakan yang diterima melalui Messages atau Mail juga dapat dilaporkan.
Apple menyarankan Screenshot link tersebut menyertakan nomor telepon atau Email Address pengirim.
Menyimpan informasi ini membantu mendokumentasikan upaya penipuan tanpa harus melanjutkan komunikasi dengan pelaku.
Jika informasi sudah terbuka, bertindaklah cepat
Siapa pun yang menduga Password atau Verification Code telah terekspos harus segera bertindak.
Password bank harus diganti secepatnya.
Jika Password yang sama juga digunakan di website atau layanan lain, masing-masing akun harus mendapat password berbeda dan unik.
Pelanggan perlu memeriksa aktivitas rekening terbaru untuk transaksi yang tidak dikenali.
Jika dana sudah berpindah atau muncul aktivitas mencurigakan, departemen Fraud bank harus segera dihubungi melalui nomor yang sudah diverifikasi.
Semakin cepat bank diberi tahu, semakin besar waktu yang tersedia untuk menyelidiki transaksi, melindungi rekening dan menentukan apakah dana dapat dikembalikan.
FaceTime adalah saluran, bukan kerentanan
Keberadaan penipuan bank lewat FaceTime tidak berarti FaceTime sendiri telah diretas secara teknis.
Penjahat menggunakan alat komunikasi yang sah untuk menjalankan Social Engineering.
Perbedaan ini penting.
Platform yang aman tetap tidak dapat sepenuhnya melindungi pengguna yang berhasil dibujuk untuk mengungkapkan informasi secara sukarela.
Karena itu pengguna harus menilai apa yang diminta oleh penelepon, bukan menganggap percakapan terpercaya hanya karena berlangsung melalui layanan Apple yang familier.
Permintaan mendadak untuk Password, One-Time Code, Screen Sharing atau pemindahan uang segera harus dipandang sebagai peringatan, baik datang melalui FaceTime, telepon biasa, Email maupun SMS.
