Pernahkah kamu tiba-tiba dapat pesan WhatsApp dari nomor nggak dikenal yang berisi file ekstensi ‘.APK’? Atau, mungkin email dari “pihak bank” yang menyuruh kamu segera update data dengan mengklik sebuah tautan? Ini adalah contoh ancaman siber paling berbahaya saat ini, yang dikenal juga dengan nama social engineering attacks.

Tidak seperti virus atau malware yang bisa meretas laptop dari jarak jauh, social engineering adalah teknik rekayasa sosial yang menyerang titik lemah manusia. Bisa dikatakan, ini adalah trik manipulasi agar kita mau memberikan hal-hal yang diinginkan peretas. 

Supaya lebih paham, kamu bisa cek ulasan berikut seputar pengertian, jenis-jenis, hingga cara mengatasi social engineering. Yuk, kita bekali diri biar nggak jadi korban selanjutnya!

Apa Itu Social Engineering Attacks?

Social engineering attacks adalah teknik memanipulasi psikologi seseorang untuk membuatnya melakukan tindakan tertentu atau membocorkan informasi rahasia, seperti PIN, kode OTP, password dan lainnya. Hackers tidak membobol sistem teknologi dengan kode, tapi dengan kepercayaan, rasa takut, atau rasa penasaran targetnya yang merupakan manusia atau pengguna teknologi.

Statistik global bahkan menunjukkan bahwa hingga 98% dari semua serangan siber mengandalkan beberapa bentuk social engineering. Ini membuktikan bahwa manusia seringkali menjadi titik terlemah dalam rantai keamanan digital.

Cara Kerja Social Engineering Attacks

Para pelaku social engineering ini ternyata bekerja dengan pola yang sangat terstruktur. Biasanya, serangan mereka melewati empat tahapan utama:

1. Riset (Investigation): Pelaku akan mengintai calon korbannya. Mereka bisa mencari informasi dari media sosial (apa hobimu, di mana kamu bekerja), profil LinkedIn, dan lainnya untuk menemukan detail yang bisa digunakan untuk membangun skenario palsu.
2. Membangun Kepercayaan (Hook): Dengan informasi yang didapat, pelaku mulai mendekati korban. Mereka akan membuat skenario yang meyakinkan, misalnya berpura-pura sebagai rekan kerja, petugas bank, atau bahkan teman lama, untuk mendapatkan kepercayaan korban.
3. Eksploitasi (Play): Setelah korban mulai percaya, inilah saatnya pelaku beraksi. Mereka akan memanfaatkan emosi korban—seperti rasa takut (misalnya, "akun kamu akan diblokir!"), rasa ingin tahu ("lihat foto paket kamu di sini"), atau keserakahan ("selamat kamu memenangkan hadiah!")—untuk meminta data sensitif atau menyuruh korban melakukan sesuatu.
4. Menghilang (Exit): Begitu tujuan tercapai—misalnya data kredensial sudah didapat atau uang sudah ditransfer—pelaku akan langsung menghapus jejaknya dan menghilang tanpa bekas.

Jenis-Jenis Social Engineering Attacks

Ada banyak jenis modus rekayasa sosial yang aktif beredar saat ini. Berikut beberapa jenis social engineering attacks yang patut kamu waspadai:

1. Phishing

Pelaku phishing biasanya melempar “umpan” berupa email, SMS, atau pesan instan palsu yang seolah-olah berasal dari institusi resmi seperti bank, e-commerce, atau media sosial. Tujuannya untuk memancing korban mengklik tautan berbahaya dan memasukkan username serta password di situs web palsu yang sudah mereka siapkan.

Saat ini pun ada juga modus baru bernama “Vishing” (voice phishing). Pelaku menggunakan panggilan telepon untuk menyamar sebagai petugas resmi dan mencoba mengorek data pribadimu, termasuk kode OTP (One-Time Password), lewat percakapan suara. Ingat, pihak resmi tidak akan pernah meminta OTP!

2. Baiting

Modus social engineering attack yang satu ini terbilang lumayan licik. Pelaku bergerak dengan meninggalkan umpan berupa barang fisik seperti USB flash drive di tempat umum (misalnya di lobi kantor atau kafe). Karena penasaran, korban yang menemukannya mungkin akan mencolokkan USB itu ke komputernya. 

Tanpa disadari, malware yang ada di dalamnya langsung terinstal dan mencuri data. Umpan ini juga bisa berupa tautan unduhan film atau software gratis di internet.

3. Pretexting

Pelaku pretexting adalah orang yang jago bikin skenario tertentu buat menipu. Biasanya, cerita yang dibuat sangat detail dan meyakinkan. Contoh kasusnya, hacker akan berusaha meyakinkan karyawan di sebuah perusahaan untuk memberikan data klien dengan berpura-pura sebagai auditor dari kantor pusat yang sedang melakukan pemeriksaan mendesak. 

4. Scareware

Pernah lihat pop-up di website yang tiba-tiba muncul dengan tulisan seperti, "PERINGATAN! KOMPUTER ANDA TERKENA 342 VIRUS!"? Itulah contoh scareware. Tujuannya adalah membuat kamu panik dan mengunduh atau membeli software antivirus palsu yang sebenarnya adalah malware.

5. Quid Pro Quo

Quid pro quo adalah istilah yang berarti "sesuatu untuk sesuatu". Pelaku akan menawarkan bantuan atau imbalan palsu kepada korban. 

Misalnya, ada yang menelepon secara acak ke karyawan kantor dan menawarkan bantuan IT. Jika ada karyawan yang kebetulan memang punya masalah komputer, pelaku akan memandunya untuk mematikan program keamanan atau menginstal malware dengan dalih "perbaikan".

Ancaman Baru Deepfake: Social Engineering Berbasis AI

Kalau kamu pikir modus di atas sudah cukup mengerikan, tunggu dulu! Kini, para penipu mulai memanfaatkan Artificial Intelligence (AI) untuk membuat serangan mereka jauh lebih canggih dan sulit dideteksi.

Salah satu yang paling berbahaya adalah Deepfake. Dengan AI, pelaku bisa membuat video atau rekaman suara palsu yang meniru wajah dan suara seseorang dengan sangat akurat. 

Bayangkan kamu menerima telepon dari "atasanmu" yang suaranya sangat mirip, menyuruhmu segera mentransfer sejumlah uang ke rekening tertentu. Kasus penipuan seperti ini pernah terjadi melalui kloningan AI dan menipu seorang manajer perusahaan agar mentransfer uang sebesar $35 juta. Mengerikan, kan? 

Dampak Serangan Social Engineering

Kerugian akibat social engineering attacks ini bukan main-main. Bukan cuma soal kehilangan uang, tapi juga reputasi dan data pribadi yang bisa disalahgunakan.

Menurut data Otoritas Jasa Keuangan (OJK), total kerugian yang dialami bank umum di Indonesia akibat fraud pada semester I 2021 saja mencapai Rp246,5 miliar. Sementara itu, Badan Siber dan Sandi Negara (BSSN) mencatat ada 403 juta serangan siber sepanjang 2023 di Indonesia, di mana sebagian besar penyebarannya menggunakan teknik rekayasa sosial (social engineering) seperti ini.

Contoh Kasus Nyata Social Engineering di Indonesia

Biar lebih kebayang, ini beberapa contoh kasus penipuan rekayasa sosial yang pernah betulan terjadi di Indonesia:

• Modus Lowongan Kerja Palsu (2023): Banyak penipu mengatasnamakan perusahaan besar seperti JobStreet, menawarkan pekerjaan paruh waktu dengan gaji menggiurkan. Korban diminta bergabung ke grup Telegram, lalu diberi "tugas" seperti menaikkan rating produk. Ujung-ujungnya, korban diminta deposit sejumlah uang yang akhirnya tidak pernah kembali.
• Pembobolan Rekening Nasabah (2020): Seorang nasabah bank di Jombang kehilangan Rp44 juta hanya dalam 11 menit. Pelaku menelepon korban, mengaku sebagai petugas bank, dan dengan lihai memandu korban untuk memberikan data pribadi dan kode OTP.
• Penipuan Kripto Sky Mavis (2022): Ini kasus global tapi dampaknya besar. Peretas mencuri aset kripto senilai lebih dari 8 triliun Rupiah bukan karena meretas sistem, tapi karena seorang karyawan senior tertipu tawaran pekerjaan palsu di LinkedIn. Ia mengunduh file PDF yang ternyata berisi spyware.

Cara Mengatasi Social Engineering Attacks

Setelah tahu bahayanya, sekarang gimana cara melawannya? Kuncinya adalah membangun "firewall manusia". Caranya bisa kamu simak di bawah:

• Verifikasi Selalu: Jika menerima permintaan mendesak atau aneh, bahkan dari orang yang kamu kenal, selalu lakukan verifikasi lewat jalur lain. Contohnya, jika kamu dapat email dari atasan, segera lakukan konfirmasi via WhatsApp atau telepon.
• Jangan Klik Sembarangan: Curigai semua tautan dan lampiran dari pengirim yang tidak dikenal. Arahkan kursor ke tautan untuk melihat alamat URL aslinya sebelum mengklik.
• Gunakan Otentikasi Multi-Faktor (MFA): Aktifkan 2FA/MFA di semua akun pentingmu (email, media sosial, perbankan). Ini adalah lapisan keamanan tambahan yang sangat kuat.
• Jaga Data Pribadi: Jangan umbar informasi pribadi yang sensitif di media sosial. Pelaku bisa menggunakan informasi ini untuk membangun skenario penipuan.
• Pikir Dulu, Baru Bertindak: Penipu sering menciptakan rasa urgensi. Jika ada yang membuatmu merasa harus bertindak cepat, tarik napas dan pikirkan dulu dengan tenang.

Kesimpulan

Social engineering attacks adalah upaya serangan siber yang menargetkan manusia atau pengguna selaku titik lemah. Jadi, kita sebagai pengguna tidak hanya bisa mengandalkan keamanan teknologi saja. Kita pun harus terus waspada dan meningkatkan pemahaman agar tidak mudah masuk perangkap penipu.

Dengan mengenali berbagai modusnya, memahami cara kerjanya, dan menerapkan langkah-langkah perlindungan di atas, kita bisa membangun "firewall manusia" yang kokoh untuk melindungi diri sendiri, keluarga, dan tempat kerja kita. Semoga bermanfaat!