PINUSI.COM - Para pakar keamanan siber kerap kali menyarankan pengguna internet tidak sembarang klik link, karena bisa menuntun pengguna kepada penipuan hingga pencurian data.
Namun demikian, penyerang atau penjahat siber kerap kali menyebarkan tautan berbahaya dan phishing, tujuannya untuk membingungkan filter email.
Penjahat siber dalam hal ini mencoba membuat korban mengeklik alamat yang sebenarnya membawa menuju alamat lain.
Agar tidak mudah jadi korban phising atau penipuan lainnya, Kaspersky memberikan tips mengetahui metode yang dipakai penjahat siber untuk menyamarkan URL berbahaya atau phishing.
Dengan begitu, pengguna bisa lebih dahulu meneliti tautan atau URL yang diterima, sebelum memutuskan mengklik link tersebut atau tidak.
1. Simbol @ pada alamat
Cara
paling sederhana untuk menyembunyikan domain asli di alamat adalah menggunakan simbol @ di URL.
Ini adalah simbol yang benar-benar sah yang dapat digunakan untuk mengintegrasikan login dan kata sandi ke alamat situs web — HTTP, memungkinkan untuk meneruskan kredensial ke server web melalui URL hanya dengan menggunakan formatlogin:password@domain.com.
Jika data sebelum simbol @ salah dan tidak cocok untuk otentikasi, browser akan membuangnya begitu saja, mengarahkan pengguna ke alamat yang terletak setelah simbol @.
Selanjutnya, penjahat dunia maya memanfaatkan metode, yakni membuat nama halaman yang meyakinkan, menggunakan nama situs yang sah di dalamnya, dan menempatkan alamat asli setelah simbol @.
Misalnya, lihat alamat blog kita yang disamarkan seperti ini: http://convincing-business-related-page-name-pretending-to-be-on-google.com@kaspersky.com/blog/.
Ini tampak seperti halaman dengan banyak kata dalam nama yang di-hosting di suatu tempat di domain Google, namun browser akan membawa Anda ke http://kaspersky.com/blog/.
2. Angka, bukan alamat IP
Pada metode sebelumnya, penyerang kerap membingungkan pengguna dengan nama laman yang panjang. Tujuannya untuk mengalihkan perhatian pengguna dari alamat sebenarnya.
Namun, ada cara yang bisa menyembunyikannya sepenuhnya, yakni dengan mengubah alamat IP palsu suatu situs menjadi bilangat bulat. Hal ini pun jauh lebih aman untuk disimpan dan sebaliknya.
Kini, ketika browser modern melihat angka di URL, mereka secara otomatis mengubahnya menjadi alamat IP. Jika dikombinasikan dengan simbol @ yang sama, ini efektif menyembunyikan domain sebenarnya.
Dalam memakai trik ini, penjahat dunia maya mencoba memusatkan perhatian pada domain sebelum simbol @ dan menjadikan segala sesuatu tampak seperti parameter. Sebab, berbagai alat pemasaran kerap memasukkan segala jenis tag alfanumerik ke dalam tautan web.
3.Layanan Pemendek URL
Cara lain yang sederhana dipakai untuk menyembunyikan URL asli adalah dengan menggunakan salah satu layanan pemendekan tautan yang sah.
Pengguna bisa benar-benar memasukkan apa pun ke tautan pendek, dan tidak mungkin memeriksa apa yang tersembunyi di situ tanpa mengekliknya.
4. Layanan Seluler yang Dipercepat Google
Google dan mitranya beberapa lalu membuat framework Google AMP.
Layanan ini
dimaksudkan untuk membantu laman web dimuat lebih cepat di perangkat seluler.
Pada 2017, Google mengeklaim laman dengan AMP dimuat dalam waktu kurang dari satu detik, serta menggunakan data 10 kali lebih sedikit dibandingkan halaman yang sama tanpa AMP.
Penyerang kini sudah mempelajari cara menggunakan mekanisme ini untuk phishing.
Sebuah email berisi tautan yang dimulai dengan google.com/amp/s/, namun jika pengguna mengekliknya, mereka akan diarahkan ke situs yang bukan milik Google.
Bahkan, beberapa filter anti-phishing kerap kali tertipu dengan trik ini, karena reputasi Google, mereka menganggap tautan tersebut bisa diandalkan.
5.
Penyedia layanan email
Cara
lain untuk menyembunyikan halaman Pinusian di balik URL orang lain adalah dengan
menggunakan ESP, sebuah layanan membuat buletin sah dan email masuk lainnya.
Singkatnya, penyerang akan menggunakan salah satu layanan ini, membuat kampanye pengiriman email, memasukkan URL phishing, dan mendapatkan alamat bersih siap dipakai yang memiliki reputasi sebagai perusahaan ESP.
PerusahaanESP pun berupaya melawan penyalahgunaan untuk layanan mereka, tetapi hal ini tidak selalu berhasil. (*)
