16.37
Unknown
 |
Social
Engineering (Rekaya Sosial) adalah sebuah teknik pendekatan yang memanfaatkan
aspek-aspek sosial melalui telepon, komputer dan internet. Teknik ini biasanya
digunakan untuk mendapatkan data-data pribadi seseorang untuk keperluan yang
negatif seperti pencurian rekening bank, pencurian password, pencurian
akun-akun tertentu atau kejahatan teknologi yang berpotensi lainnya.
Social
engineering berkonsentrasi pada rantai terlemah sistem jaringan komputer, yaitu
manusia. Tidak ada sistem komputer yang tidak melibatkan interaksi manusia. Dan
parahnya lagi, celah keamanan ini bersifat universal, tidak tergantung platform,
sistem operasi, protokol, software ataupun hardware.
Artinya, setiap sistem mempunyai kelemahan yang sama pada faktor manusia.
Setiap
orang yang mempunyai akses kedalam sistem secara fisik adalah ancaman, bahkan
jika orang tersebut tidak termasuk dalam kebijakan kemanan yang telah disusun.
Seperti metoda cracking yang lain, social engineering juga memerlukan
persiapan, bahkan sebagian besar pekerjaan meliputi persiapan itu sendiri (mengumpulkan
data- data target).[1]
Social engineering di
definisikan dalam berbagai bentuk seperti “seni dan ilmu memaksa orang untuk memenuhi harapan anda”(Bernz 2), “suatu pemanfaatan trik-trik psikologis hacker luar pada seorang
user legitimate dari sebuah sistem komputer” (Palumbo), atau
“mendapatkan informasi yang diperlukan
(misalnya sebuah password) dari seseorang daripada merusak sebuah sistem” (Berg).[2]
Dalam kenyataannya, social engineering bisa menjadi berbagai
dan semua hal-hal yang disebutkan di atas, tergantung dimana anda duduk atau
mengambil posisi. Satu hal yang kelihatan disetujui semua orang adalah bahwa social
engineering umumnya suatu manipulasi cerdas tentang tendensi kemanusiaan
natural yang dipercaya dari seorang. Tujuan cracker adalah untuk mendapatkan
informasi yang akan mengizinkan dia untuk mendapatkan akses yang tak
terotorisasi (tak legal) pada sistem yang diinginkan dan informasi yang
berlokasi pada sistem itu.
Bruce Schneier, penulis Secrets &
Kebohongan: Keamanan Digital dalam Jaringan Dunia, mengingatkan kita bahwa
rekayasa sosial, alias "serangan sosio-teknis" adalah benar-benar
semua tentang aspek manusia, dan itu berarti kepercayaan.[3]
Security
adalah segala hal yang berkaitan dengan kepercayaan. Kepercayaan adalah perlindungan
dan otentisitas. Umumnya disetujui sebagai jalinan paling lemah dalam alur keamanan,
kemauan manusia yang natural untuk menerima kata-kata seseorang meninggalkan
hal-hal yang rentan diserang. Banyak ahli security yang berpengalaman
menekankan fakta ini. Tak jadi soal banyaknya artikel yang telah diterbitkan
tentang firewall, belang (patches), dan lubang-lubang jaringan, kita hanya bisa
mengurangi ancaman sebanyak mungkin.
Kejahatan dunia maya (Inggris:
cybercrime) adalah
istilah yang mengacu kepada aktivitas kejahatan
dengan komputer
atau jaringan komputer menjadi alat, sasaran atau
tempat terjadinya kejahatan. Termasuk ke dalam kejahatan dunia maya
antara lain adalah penipuan lelang secara online, pemalsuan cek, penipuan kartu kredit/carding, confidence
fraud, penipuan identitas, dll. Kejahatan-kejahatan tersebut kerap kali
menggunakan teknik social engineering (rekayasa sosial).[4]
>> Teknik Social Engineering
Secara
garis besar social engineering dapat dilakukan dengan beberapa macam teknik,
seperti :
- Pretexting : Pretexting adalah suatu teknik untuk membuat dan menggunakan skenario yang diciptakan yang melibatkan korban yang ditargetkan dengan cara meningkatkan kemungkinan korban membocorkan informasinya. Pretexting bisa disebut sebagai kebohongan yang terencana dimana telah diadakan riset data sebelumnya untuk mendapatkan data-data akurat yang dapat meyakinkan target bahwa kita adalah pihak yang terautorifikasi.
- Diversion Theft : Diversion Theft atau yang sering dikenal dengan Corner Game adalah pengalihan yang dilakukan oleh professional yang biasanya dilakukan pada bidang transportasi atau kurir. Dengan meyakinkan kurir bahwa kita adalah pihak legal, kita dapat mengubah tujuan pengiriman suatu barang ke tempat kita.
- Phising : Phising adalah suatu teknik penipuan untuk mendapatkan informasi privat. Biasanya teknik phising dilakukan melalui email dengan mengirimkan kode verifikasi bank atau kartu kredit tertentu dan disertai dengan website palsu yang dibuat sedemikian rupa terlihat legal agar target dapat memasukkan account-nya. Teknik phising bisa dilakukan melalui berbagai macam media lain seperti telepon, sms, dsb.
- Baiting : Baiting adalah Trojan horse yang diberikan melalui media elektronik pada target yang mengandalkan rasa ingin tahu target. Serangan ini dilakukan dengan menginjeksi malware ke dalam flash disk, atau storage lainnya dan meninggalkannya di tempat umum, seperti toilet umum, telepon umum, dll dengan harapan target akan mengambilnya dan menggunakannya pada komputernya.
- Quid pro pro : Quid pro pro adalah sesuatu untuk sesuatu. Penyerang akan menelpon secara acak kepada suatu perusahaan dan mengaku berasal dari technical support dan berharap user menelpon balik untuk meminta bantuan. Kemudian, penyerang akan “membantu” menyelesaikan masalah mereka dan secara diam-diam telah memasukkan malware ke dalam komputer target.
- Dumpster diving : Dumpster diving adalah pengkoleksian data dari sampah perusahaan. Bagi perusahaan yang tidak mengetahui betapa berharganya sampah mereka akan menjadi target para cracker. Dari sampah yang dikumpulkan seperti buku telepon, buku manual, dan sebagainya akan memberikan cracker akses besar pada perusahaan tersebut.
- Persuasion : Persuasion lebih disebut sebagai teknik psikologis, yaitu memanfaatkan psikologis target untuk dapat memperoleh informasi rahasia suatu perusahaan. Metode dasar dari persuasi ini adalah peniruan, menjilat, kenyamanan, dan berpura-pura sebagai teman lama.
Teknik-teknik ini biasanya dilakukan
dengan menggunakan skenario tertentu untuk dapat mencapainya.
>> Skenario Social Engineering
Untuk skenario dengan basis interaksi sosial, ada beberapa
modus skenario, antara lain:
- Berlaku sebagai User penting,
- Berlaku sebagai User yang sah,
- Kedok sebagai Mitra Vendor,
- Kedok sebagai Konsultan Audit,
- Kedok sebagai Penegak Hukum,
- Dan lain sebagainya.
Sementara untuk jenis kedua, yaitu menggunakan komputer atau
piranti elektronik/digital lain sebagai alat bantu, cukup banyak modus operandi
yang sering dipergunakan seperti :
- Teknik phising melalui email,
- Teknik phising melalui SMS,
- Teknik phising melalui pop up window dan lainnya.[5]
>> Faktor yang Mempengaruhi Social Engineering
Predikat
negara berkembang membuat metode ini mudah dan terasa tepat diaplikasikan ke
masyarakat dikarenakan mulai terbukanya segala akses informasi bagi sebagian
masyarakat dan disisi lain kurangnya pengetahuan masyarakat akan hal
tersebut sehingga mudahnya dalam memberikan informasi kepada orang lain untuk
disalah gunakan.
Dengan
banyaknya pengguna alat telekomunikasi dan kemudahan untuk mendapatkannya,
menjadikan celah terbesar untuk melakukan rekayasa sosial seperti penipuan
melalui sms, media jejaring sosial, konten web, email,dll. Dikarenakan masuknya
sifat budaya asing seperti ingin pamer atau unjuk diri dengan bangga
mencantumkan biodata asli yang dapat disalahgunakan oleh orang lain yang
melihatnya.
Minimnya
penyerapan informasi masyarakat terhadap dampak rekayasa sosial yang membuat
mereka sering terkena dampak negatifnya seperti seringnya kasus penipuan via
Website yang mengatasnamakan program pemerintah yang pada faktanya tidak
melibatkan aparat.
Sebuah
sistem keamanan yang baik, akan menjadi tidak berguna jika ditangani oleh
administrator yang kurang kompeten. Selain itu, biasanya pada sebuah jaringan
yang cukup kompleks terdapat banyak user yang kurang mengerti masalah keamanan
atau kecerobohan seorang user dalam mengelola passwordnya (user menggunakan
password yang mudah ditebak, lupa logout ketika pulang kerja, atau dengan mudah
memberikan akses kepada rekan kerja atau bahkan kliennya). Hal ini dapat
menyebabkan seorang cracker memanfaatkan celah tersebut dan mencuri atau
merusak data-data penting perusahaan.
Atau bisa
juga cracker berpura-pura menjadi orang yang berkepentingan dalam sebuah sistem
dan meminta akses kepada salah satu user yang ceroboh tersebut (seperti memerlukan
password, akses ke jaringan, peta jaringan, konfigurasi sistem dan semacamnya) untuk
suatu keperluan tertentu.
Membuang sampah
yang tidak berguna bagi kita juga dapat menjadi faktor terjadinya social
engineering, Misal: slip gaji, slip atm. Barang tersebut kita buang karena
tidak kita perlukan, namun ada informasi didalamnya yang bisa dimanfaatkan
orang lain.
Berdasarkan Methods of
Hacking: Social Engineering, makalah yang
ditulis oleh Rick Nelson, tiga bagian serangan-serangan social engineering
adalah sabotase, iklan, dan assisting. cracker men-sabotase suatu jaringan, menyebabkan
suatu masalah muncul. Cracker itu kemudian mengiklankan bahwa dia adalah orang
yang tepat untuk mengatasi permasalahan, dan kemudian, ketika dia datang untuk
mengatasi masalah, dia mensyaratkan jumlah tertentu informasi dari para pekerja
dan mendapatkan apa yang benar-benar ia inginkan. Mereka tidak pernah tahu bahwa
tu adalah cracker, karena permasalahan jaringan mereka telah selesai diperbaiki dan setiap orang menjadi bahagia.[6]
>> Target (Korban) Social Engineering
Menurut
studi dari data, secara statistik, ada 5 (lima) kelompok individu yang kerap
menjadi korban serangan social engineering, yaitu :
- Receptionist dan/atau Help Desk sebuah perusahaan, karena merupakan pintu masuk ke dalam organisasi yang relatif memiliki data/informasi lengkap mengenai personel yang bekerja dalam lingkungan yang dimaksud,
- Pendukung teknis dari divisi teknologi informasi, khususnya yang melayani pimpinan dan manajemen perusahaan, karena mereka biasanya memegang kunci akses penting ke data dan informasi rahasia, berharga, dan strategis,
- Administrator sistem dan pengguna komputer, karena mereka memiliki otoritas untuk mengelola manajemen password dan account semua pengguna teknologi informasi di perusahaan,
- Mitra kerja atau vendor perusahaan yang menjadi target, karena mereka adalah pihak yang menyediakan berbagai teknologi beserta fitur dan kapabilitasnya yang dipergunakan oleh segenap manajemen dan karyawan perusahaan, dan
- Karyawan baru yang masih belum begitu paham mengenai prosedur standar keamanan informasi di perusahaan.
>> Cara Menanggulangi
Langkah yang
diperlukan untuk menanggulanginya yaitu :
a.
Mengutamakan kewaspadaan prosedur untuk menjaga keamanan dan data informasi,
b. Buatlah
sebuah prosedur yang dapat mengeliminasi pertukaran password dan username dalam
segala proses,
c. Hindarilah
penggunaan pertanyaan untuk petunjuk password karena ini juga dapat digunakan
para cracker sebagai petunjuk untuk melakukan hack terhadap password
d. Gunakanlah
password yang berisikan kata-kata yang tidak biasa diucapkan atau tidak ada
relevansinya dengan kehidupan,
e. Jika
memungkinkan hilangkan semua elemen manusia pada titik-titik yang penting untuk
dijaga keamanannya, seperti misalnya menggunakan sistem token password yang
dapat meng-generate nomor acak sebagai password, biometric, smard card, sistem
location-based authentication,
f. Selalu
berhati-hati dan mawas diri dalam melakukan interaksi di dunia nyata maupun
di dunia maya dengan tidak langsung
percaya dengan orang yang baru dikenal dan tidak membagi informasi
pribadi begitu saja,
g. Pelatihan
dan sosialisasi dari perusahaan ke karyawan dan unit-unit terkait mengenai
pentingnya mengelola keamanan informasi melalui berbagai cara dan kiat,
h. Organisasi
atau perusahaan mengeluarkan sebuah buku saku berisi panduan mengamankan
informasi yang mudah dimengerti dan diterapkan oleh pegawainya, untuk
mengurangi insiden-insiden yang tidak diinginkan,
i. Belajar
dari buku, seminar, televisi, internet, maupun pengalaman orang lain agar
terhindar dari berbagai penipuan dengan menggunakan modus social engineering,
j. Memasukkan
unsur-unsur keamanan informasi dalam standar prosedur operasional sehari-hari –
misalnya “clear table and monitor policy” - untuk memastikan semua pegawai
melaksanakannya,
k. Melakukan
analisa kerawanan sistem keamanan informasi yang ada di perusahaannya seperti mencoba melakukan uji coba
ketangguhan keamanan dengan cara melakukan “penetration test”, dan masih banyak
lagi.[7]
Referensi:
- Agustianingsih25. “Social Engineering Makalah”. May 20, 2013. https://kelompokpertama4g.wordpress.com/2013/05/20/social-engineering-makalah/
- Granger, Sarah. “Social Engineering
Fundamentals, Part I: Hacker Tactics”. ‘symantec’. December 18, 2001. http://www.symantec.com/connect/articles/social-engineering-fundamentals-part-i-hacker-tactics
- Granger, Sarah. “Social engineering reloaded”. ‘symantec’.
March 14, 2006. http://www.symantec.com/connect/articles/social-engineering-reloaded
- Husnantiya, Muamaroh. “Social Engineering,
Celah yang Terbentuk dari Kelemahan Manusia”. June 17, 2012. http://x4-kingdom.blogspot.co.id/2012/06/social-engineering-celah-yang-terbentuk.html
- Para kontributor Wikipedia, "Kejahatan
dunia maya," Wikipedia, Ensiklopedia Bebas, https://id.wikipedia.org/w/index.php?title=Kejahatan_dunia_maya&oldid=8385318
(diakses pada September 25, 2015).
- Para kontributor Wikipedia, "Social
engineering (keamanan)," Wikipedia, Ensiklopedia Bebas, https://id.wikipedia.org/w/index.php?title=Social_engineering_(keamanan)&oldid=8252482
(diakses pada September 25, 2015).
[1] Para kontributor Wikipedia,
"Social engineering (keamanan)," Wikipedia, Ensiklopedia Bebas,
https://id.wikipedia.org/w/index.php?title=Social_engineering_(keamanan)&oldid=8252482
(diakses pada September 25, 2015).
[2] Granger, Sarah. “Social
Engineering Fundamentals, Part I: Hacker Tactics”. ‘symantec’. December 18,
2001. http://www.symantec.com/connect/articles/social-engineering-fundamentals-part-i-hacker-tactics
[3] Granger, Sarah. “Social engineering reloaded”. ‘symantec’. March, 14 2006. http://www.symantec.com/connect/articles/social-engineering-reloaded
[4]Para kontributor Wikipedia,
"Kejahatan dunia maya," Wikipedia, Ensiklopedia Bebas, https://id.wikipedia.org/w/index.php?title=Kejahatan_dunia_maya&oldid=8385318
(diakses pada September 25, 2015).
[5] Husnantiya, Muamaroh. “Social Engineering, Celah yang Terbentuk dari Kelemahan Manusia”. June 17, 2012. http://x4-kingdom.blogspot.co.id/2012/06/social-engineering-celah-yang-terbentuk.html
[6] Granger, Sarah. “Social
Engineering Fundamentals, Part I: Hacker Tactics”. ‘symantec’. December 18, 2001. http://www.symantec.com/connect/articles/social-engineering-fundamentals-part-i-hacker-tactics.
[7] Agustianingsih25. “Social
Engineering Makalah”. May 20, 2013. https://kelompokpertama4g.wordpress.com/2013/05/20/social-engineering-makalah/
