Serangan whaling adalah kombinasi mematikan antara spear-phishing dan rekayasa sosial . Seperti serangan phishing, upaya para pelaku serupa – untuk membuat target mengungkapkan data rahasia atau bahkan tertipu dan mengirimkan uang.
Namun, serangan whaling beroperasi pada tingkat yang jauh lebih berbahaya. Di sini, penjahat siber merencanakan serangan mereka dengan sangat detail. Targetnya sebagian besar terdiri dari para eksekutif senior di sebuah organisasi. Banyak persiapan dilakukan untuk meneliti target. Secara umum, serangan terjadi melalui skenario berikut:
Bagaimana Mike ditipu
Mike mengepalai divisi pengadaan di perusahaan globalnya. Pada hari kerja biasa, di mana ia sedang disibukkan dengan banyak proyek, ia menerima email dari CEO perusahaannya. Mike mengenal CEO tersebut dengan baik dan email tersebut tidak menimbulkan kecurigaan apa pun karena merujuk pada diskusi-diskusi sebelumnya yang pernah ia lakukan dengan CEO tersebut. Email tersebut juga ditulis persis seperti cara CEO biasanya menulis. Di akhir email, CEO meminta Mike untuk mengirimkan catatan pengadaan untuk tahun keuangan terakhir yang perlu dipresentasikan kepada dewan direksi.
Permintaan tersebut sama sekali tidak terasa aneh atau tidak wajar bagi Mike. Bagaimanapun, CEO perusahaanlah yang meminta informasi. Jadi, Mike langsung membalas email tersebut dan mengirimkan catatan pengadaan yang diminta.
Dua minggu kemudian, Mike dihadapkan dengan tim IT. CEO-nya tidak pernah mengirim email seperti itu. Email itu palsu. Mike mengirimkan informasi yang sangat berharga kepada penipu: catatan pengadaan perusahaan. Ini skandal besar dan perusahaan sekarang perlu melakukan pengendalian kerusakan besar-besaran. Satu kesalahan yang tidak disengaja telah membuat Mike kehilangan pekerjaannya.
Perburuan paus: taktik yang licik
Seperti yang diilustrasikan skenario di atas, serangan whaling hanya membutuhkan satu kesalahan langkah dari seorang karyawan untuk berhasil. Alasan lain keberhasilannya adalah tekanan rekayasa sosial – email whaling biasanya selalu disamarkan seolah-olah berasal dari pejabat senior (CEO atau orang lain dari jajaran eksekutif) dan sangat membutuhkan informasi mereka. Seorang karyawan tentu tidak ingin mengecewakan CEO-nya, sehingga mereka tidak berpikir dua kali sebelum mengirimkan informasi yang diminta.
Serangan whaling tidak hanya dapat mengakibatkan kerugian finansial, tetapi juga data perusahaan yang bersifat rahasia. Alih-alih meminta data perusahaan, email whaling dapat meminta transfer uang. Hal ini terjadi pada perusahaan mainan raksasa Mattel pada tahun 2016: sebuah geng kriminal siber Tiongkok menyamar sebagai CEO baru untuk mengirim email kepada seorang eksekutif tingkat tinggi, meminta transfer uang sebesar tiga juta dolar ke sebuah bank di Tiongkok. Eksekutif tersebut percaya bahwa email itu berasal dari CEO dan mentransfer uang tersebut, hanya untuk kemudian menyadari bahwa tidak ada permintaan seperti itu! Untungnya, mereka berhasil menghindari situasi tersebut karena keesokan harinya adalah hari libur nasional di Tiongkok.
Serangan whaleing dapat diminimalkan dengan memastikan karyawan menyadari bahayanya dan menerapkan kebijakan keamanan informasi yang ketat. Karyawan harus selalu diingatkan untuk memeriksa keaslian email, siapa pun yang menerimanya. Mereka harus sangat berhati-hati dalam mengunggah informasi perusahaan di platform media sosial.
Hubungi kami untuk mengetahui lebih lanjut tentang penipuan perburuan paus dan bagaimana kami dapat membantu.
