Ketika Ahli Keamanan Siber Menjadi Target
Saya bekerja di bidang keamanan siber. Setiap hari saya membahas tentang serangan rekayasa sosial (social engineering), ancaman berbasis identitas, dan penggunaan kecerdasan buatan (AI) oleh para penjahat siber.
Karena itu, saya merasa cukup paham bagaimana cara kerja para penyerang.
Namun semua asumsi tersebut berubah ketika Rachel Tobac, CEO Social Proof Security dan juara kompetisi Social Engineering DEFCON sebanyak tiga kali, melakukan demonstrasi serangan langsung terhadap saya dalam sebuah webinar.
Hasilnya sangat mengejutkan.
Hanya dalam waktu 15 menit, Rachel berhasil mengumpulkan informasi pribadi saya, membuat skenario phishing yang sangat meyakinkan, meniru suara saya, bahkan membuat video deepfake yang seolah-olah menunjukkan saya meminta kata sandi kepada rekan kerja.
Yang lebih mengejutkan, semua itu dilakukan hanya menggunakan data yang tersedia secara publik dan berbagai alat AI yang dapat diakses banyak orang.
Bagaimana Penyerang Mengumpulkan Informasi Korban
Langkah pertama yang dilakukan Rachel adalah mencari informasi kontak saya.
Dengan menggunakan situs pencarian data profesional seperti Rocket Reach dan ContactOut, ia dapat menemukan alamat email dan nomor telepon saya hanya dalam hitungan detik.
Selanjutnya, ia memanfaatkan fitur “lupa kata sandi” di beberapa platform populer untuk memastikan bahwa email dan nomor telepon tersebut masih aktif digunakan.
Tidak ada proses peretasan yang rumit. Semuanya dilakukan menggunakan fitur yang tersedia secara legal dan informasi yang dapat ditemukan secara online.
Kemudian, Rachel menggunakan layanan pencarian data kebocoran (data breach repository) bernama Dehashed.
Dari sana, ia menemukan bahwa data saya pernah muncul dalam delapan insiden kebocoran data yang berbeda. Informasi yang berhasil diperoleh meliputi:
-
Tiga nomor telepon
-
Tiga alamat rumah
-
Dua alamat email
-
Nama pengguna (username)
-
Tanggal lahir
-
Bahkan satu kata sandi yang pernah bocor
Semua informasi ini menjadi bahan baku yang sangat berharga untuk menyusun serangan yang lebih meyakinkan.
Membuat Email Phishing yang Sulit Ditolak
Setelah mengumpulkan informasi dasar, Rachel mulai menyusun skenario serangan atau yang biasa disebut pretext.
Ia menelusuri akun media sosial saya dan menemukan bahwa saya adalah penggemar berat olahraga kriket serta pendengar setia podcast komedi kriket bernama “The Grade Cricketer”.
Dari informasi sederhana tersebut, Rachel membuat email palsu yang seolah-olah berasal dari dua pembawa acara podcast favorit saya.
Isi email tersebut mengundang saya untuk mengikuti sesi wawancara singkat sebagai pendengar setia.
Terdengar menarik, bukan?
Masalahnya, tautan yang disisipkan dalam email tersebut sebenarnya adalah tautan berbahaya.
Yang membuat saya semakin terkejut adalah fakta bahwa saya memang pernah menghubungi pembawa acara podcast tersebut sebelumnya. Jika email itu benar-benar masuk ke kotak masuk saya, kemungkinan besar saya akan langsung mengkliknya tanpa berpikir panjang.
Bukan karena saya ceroboh, tetapi karena saya terlalu antusias.
Inilah kekuatan social engineering modern. Penyerang tidak lagi mengandalkan ancaman atau paksaan. Mereka memanfaatkan minat, hobi, dan emosi manusia untuk membuat korban lengah.
Ketika AI Meniru Suara dan Wajah Saya
Bagian paling mengerikan datang setelahnya.
Rachel menemukan rekaman podcast yang pernah saya ikuti sekitar lima bulan sebelumnya.
Hanya dengan menggunakan sekitar satu menit rekaman suara tersebut, ia berhasil membuat salinan suara saya menggunakan teknologi AI.
Hasilnya sangat realistis.
Dalam rekaman palsu tersebut, “saya” meminta seorang rekan kerja untuk membacakan kata sandi karena aplikasi pengelola password saya sedang bermasalah menjelang rapat penting.
Tidak berhenti sampai di situ.
Rachel kemudian menggabungkan suara palsu tersebut dengan teknologi deepfake yang menampilkan wajah saya secara real-time dalam sebuah simulasi panggilan video.
Bayangkan menerima panggilan Zoom yang menampilkan wajah atasan Anda, lengkap dengan suara yang terdengar asli, lalu meminta informasi penting secara mendesak.
Banyak orang kemungkinan besar akan mempercayainya.
AI Membuat Serangan Semakin Cepat dan Meyakinkan
Beberapa tahun lalu, mengumpulkan informasi sebanyak ini membutuhkan waktu puluhan hingga ratusan jam.
Saat ini, AI mampu mempersingkat proses tersebut menjadi hanya beberapa menit.
Penyerang dapat:
-
Mengumpulkan data korban secara otomatis
-
Membuat email phishing yang sangat personal
-
Meniru suara seseorang
-
Membuat video deepfake
-
Menjalankan serangan dalam skala besar
Dengan kata lain, AI tidak menciptakan jenis serangan baru, tetapi membuat serangan lama menjadi jauh lebih cepat, murah, dan sulit dideteksi.
Apa yang Terjadi Setelah Akun Berhasil Diretas?
Menurut Andrew Lemon, CEO Red Threat yang juga menjadi pembicara dalam webinar tersebut, masalah sebenarnya baru dimulai setelah penyerang berhasil masuk ke jaringan perusahaan.
Sering kali penyerang dapat bergerak bebas karena:
-
Jaringan internal tidak dipisahkan dengan baik
-
Akun memiliki hak akses berlebihan
-
Data sensitif tersimpan tanpa perlindungan memadai
-
Sistem lama tidak diawasi dengan baik
Jika satu akun berhasil diretas, penyerang dapat menggunakan akses tersebut untuk menjangkau sistem lain yang lebih penting.
Pelajaran Penting untuk Semua Orang
Pengalaman ini memberikan pelajaran yang sangat berharga.
Pertama, informasi yang kita bagikan di internet bisa menjadi senjata bagi penjahat siber.
Kedua, teknologi AI membuat serangan social engineering jauh lebih meyakinkan dibanding sebelumnya.
Ketiga, tidak ada pelatihan keamanan yang dapat menjamin seseorang tidak akan tertipu oleh serangan yang sangat personal.
Karena itu, organisasi tidak boleh hanya berfokus mencegah serangan masuk. Mereka juga harus membatasi dampak jika serangan berhasil terjadi.
Salah satu pendekatan yang semakin penting adalah microsegmentation, yaitu membatasi akses setiap pengguna dan sistem hanya pada sumber daya yang benar-benar diperlukan.
Dengan cara ini, meskipun akun berhasil diretas, penyerang tidak bisa bergerak bebas ke seluruh jaringan.
Kesimpulan
Teknologi AI telah mengubah cara kerja social engineering secara drastis. Dalam hitungan menit, penjahat siber dapat mengumpulkan informasi, membuat email phishing yang sangat personal, meniru suara, hingga menghasilkan video deepfake yang sulit dibedakan dari aslinya.
Ancaman ini bukan lagi skenario masa depan. Ini sudah terjadi sekarang.
Oleh karena itu, baik individu maupun organisasi harus meningkatkan kewaspadaan, memperkuat verifikasi identitas, serta menerapkan kontrol keamanan yang mampu membatasi penyebaran serangan ketika suatu akun berhasil dikompromikan.
Di era AI, pertanyaan terpenting bukan lagi “Bagaimana mencegah semua serangan?”, melainkan “Bagaimana membatasi dampaknya ketika serangan berhasil terjadi?”
illumio Indonesia merupakan bagian dari PT. iLogo Infralogy Indonesia, yang bertindak sebagai partner resmi illumio.
Selain itu, kami juga berperan sebagai penyedia layanan (vendor) sekaligus distributor berbagai produk Infrastruktur IT dan Cybersecurity terbaik di Indonesia.