Phishing semakin tersembunyi: 4 cara untuk mempertahankan merek Anda

Beberapa tahun yang lalu, phishing mudah dikenali. Jika email atau teks tampaknya berasal dari merek asli, tetapi berisi salah eja, tata bahasa yang buruk, atau logo yang buram, Anda dapat bertaruh bahwa seseorang mencoba mengelabui Anda agar mengeklik tautan sebagai bagian dari kampanye untuk mencuri data, uang, , atau identitas.

Namun, hari ini, menemukan komunikasi yang tidak sah tidaklah mudah. Sebagian besar penjahat dunia maya jauh lebih baik dalam menyamarkan identitas mereka berkat alat peretasan yang kuat dan murah atau kit phishing-as-a-service di web gelap. Alat-alat ini, banyak di antaranya menggunakan kecerdasan buatan, dapat membuat komunikasi bahkan dari scammer yang paling buta huruf pun terlihat profesional.

Terlebih lagi, dengan kemajuan pesat dalam Open AI's ChatGPT, program chatbot AI gratis yang dibangun dengan kemampuan pemrosesan bahasa alami (NLP), peretas sekarang memiliki cara yang lebih cepat, lebih baik, dan lebih murah untuk menciptakan komunikasi yang meniru kepribadian atau nada merek.

Dengan semua inovasi tersebut, tak heran jika hacker mampu melancarkan 255 juta serangan phishing pada tahun 2022, naik 61% dari tahun sebelumnya.

Hilang phishing: 10 merek yang paling banyak dipalsukan

Semua merek berisiko dipalsukan, tetapi penipu sering menargetkan perusahaan teknologi besar, pengirim barang, dan jaringan media sosial.

Berikut adalah 10 merek teratas yang paling banyak ditiru pada Q4 2022, diurutkan berdasarkan keseluruhan penampilan mereka dalam upaya phishing merek, menurut Check Point Software:

1. Yahoo (20%)
2. DHL (16%)
3. Microsoft (11%)
4. Google (5,8%)
5. LinkedIn (5,7%)
6. WeTransfer (5,3%)
7. Netflix (4,4%)
8. FedEx (2,5%)
9. HSBC (2,3%)
10. WhatsApp (2,2%)

4 cara untuk melindungi merek Anda

Phishing adalah risiko besar bagi merek, pemasaran, dan reputasi mereka.

“Semua aktivitas phishing ini dapat merusak nilai merek karena ketika email tersebut keluar, dan konsumen tidak tahu apakah itu valid atau tidak, terkadang kami salah menghubungkan pengalaman negatif kami dengan perusahaan yang ditiru,” kata Frank Dickson, seorang analis industri keamanan siber dengan IDC.

“Tetapi sebenarnya perusahaan besar seperti Microsoft atau Google hanya dapat melakukan banyak hal untuk menggagalkan phishing dengan cara yang berarti.”

1. Mengadopsi protokol keamanan email
2. Kuasai domain Anda
3. Pertahankan saluran media sosial Anda
4. Mendidik pelanggan Anda

Menggagalkan ancaman dengan keamanan email

Meskipun phishing sulit dikalahkan, organisasi setidaknya dapat memperlambat perkembangannya dengan menerapkan protokol keamanan utama di tingkat server email.

Ada tiga perusahaan yang cenderung digunakan bersamaan satu sama lain:

• Domain-based Message Authentication , Reporting and Conformance (DMARC) adalah sistem validasi email yang dirancang untuk melindungi domain email perusahaan Anda agar tidak digunakan untuk spoofing, penipuan phishing, dan kejahatan dunia maya lainnya. DMARC menggunakan teknik autentikasi email seperti Sender Policy Framework (SPF) dan Domain Keys Identified Mail (DKIM).
• Sender Policy Framework (SPF) adalah teknik autentikasi email untuk mencegah spammer mengirim pesan atas nama domain Anda. Ini memberi Anda kemampuan untuk menentukan server email mana yang diizinkan mengirim email atas nama domain Anda.
• DomainKeys Identified Mail (DKIM) adalah teknik autentikasi email berbasis tanda tangan yang melibatkan tanda tangan digital yang memungkinkan penerima untuk memeriksa apakah email telah dikirim dan disahkan oleh pemilik domain tersebut.

Sebelum standar ini, peretas pada dasarnya dapat mengirim email dengan domain yang sama persis dengan merek itu sendiri, kata Roger Grimes, penginjil pertahanan untuk KnowBe4, platform pelatihan kesadaran keamanan. Dengan menggunakan protokol ini untuk mengautentikasi email sebelum dikirim, banyak perusahaan besar telah menghentikannya.

“Standarnya sangat sukses sehingga phisher hampir tidak menggunakan domain merek yang nyata dan sah,” kata Grimes.

Kuasai domain Anda untuk mengalahkan kekuatan gelap

Dengan protokol keamanan email yang melakukan pekerjaan luar biasa untuk menghentikan satu baris serangan, peretas beralih untuk membuat domain mereka sendiri. Anda mungkin pernah melihat mereka. Mereka sering sangat mirip dengan aslinya, tetapi sedikit menyimpang, menyelipkan angka, huruf, atau simbol ke tempat yang tidak terlihat.

Sebagian besar peretas tidak repot melakukan ini secara manual karena ada banyak alat yang memungkinkan mereka membuat lusinan atau bahkan ratusan turunan palsu. Dan hampir tidak mungkin menemukan semua itu setelah dibuat, kata Grimes.

Salah satu solusi teknologinya adalah menerapkan alat otomatis untuk mengidentifikasi domain serupa yang dikaitkan dengan domain perusahaan Anda, kata Dickson dari IDC. Ini pada dasarnya akan mencari web yang menghadap publik serta web gelap dan situs web dalam untuk melihat siapa yang mungkin memalsukan merek Anda.

Pertimbangan tambahan untuk menjadi master domain Anda adalah dengan berlangganan layanan reputasi. Ini juga biasanya melibatkan alat pencarian untuk melihat siapa, jika ada, yang menyamar sebagai Anda.

Tetapi mereka juga dapat meminta ratusan orang melakukan penelitian serta layanan dukungan, seperti bekerja sama dengan penegak hukum untuk menghapus domain ilegal, kata Tony Sabaj, juru bicara Check Point.

Tingkatkan keamanan media sosial

Merek juga perlu melindungi saluran media sosial mereka dari serangan. Jika disusupi, saluran ini kemudian dapat menjadi alat untuk meluncurkan serangan phishing, kata Grimes.

“Sangat umum bagi seorang peretas untuk membobol sebuah perusahaan, mencari melalui kotak masuk hutang dan piutang kemudian mengirim faktur palsu dan perubahan informasi perbankan kepada orang-orang,” katanya, mengacu pada kompromi email bisnis.

“Mereka mungkin mengatakan sesuatu seperti 'hai, kami hanya ingin memberi tahu Anda bahwa kami akan beralih ke bank baru dan Anda harus mengirimkan pembayaran ke perutean dan nomor rekening bank baru ini'.”

Mendidik pelanggan Anda (dan siapa saja yang mau mendengarkan)

Salah satu hal terpenting yang dapat dilakukan perusahaan untuk melindungi mereknya adalah memberi tahu pelanggan tentang ancaman yang ditimbulkan oleh serangan phishing dan apa yang dapat mereka lakukan untuk mengatasinya.

Beri tahu mereka tentang tren phishing saat ini, seperti peretas yang mengirim email yang tidak diminta yang mengatakan bahwa mereka telah memenangkan sesuatu atau bahwa pengiriman sesuatu yang tidak pernah mereka pesan telah tertunda, atau bahwa akun mereka telah diambil alih dan memerlukan dukungan teknis.

Selain itu, beri tahu pelanggan secara rutin tentang cara Anda bekerja secara proaktif untuk memerangi phishing. Terakhir, gunakan setiap kesempatan untuk mengingatkan pelanggan bahwa mereka perlu berperan dalam melindungi diri mereka sendiri.

Tawarkan tip yang masuk akal seperti:

• Curigai komunikasi digital dengan nama domain yang aneh, font, salah eja, tata bahasa, atau gambar . "Kisah" ini tidak biasa seperti dulu, tetapi masih ada.
• Cari ketidaksesuaian antara pengirim yang seharusnya, alamat email, baris subjek, dan pesan itu sendiri. Misalnya, saya baru-baru ini menerima email yang dibuat dengan buruk yang konon berasal dari Lowe yang mengklaim bahwa saya memenangkan Dewalt Heater. Alamat email pengirim tidak mencantumkan nama toko perangkat keras. Isi pesan itu diatapi logo dari EA, perusahaan video game. Dan alih-alih memberi tahu saya cara mendapatkan pemanas saya, ia mengatakan saya telah meminta perubahan kata sandi dan dapat mengklik tautan untuk mewujudkannya.
• Bersikaplah skeptis terhadap komunikasi yang muncul entah dari mana atau meminta Anda melakukan sesuatu yang belum pernah Anda lakukan sebelumnya dengan pengirim yang dimaksud, seperti berbagi informasi keuangan atau informasi identitas pribadi (PII).
• Jangan pernah mengklik tautan dari siapa pun yang tidak Anda kenal atau percayai, terutama jika mereka meminta Anda memilih kata sandi baru.
• Selain itu, perhatikan kemungkinan video deepfake , yang digunakan untuk phishing. Meskipun semakin licin, Anda biasanya dapat menemukannya dengan mencari distorsi visual seperti gerakan kepala atau batang tubuh yang tidak biasa dan masalah sinkronisasi antara wajah, bibir, dan audio, tulis Stu Sjouwerman, pendiri dan CEO, KnowBe4.

Pertempuran yang tidak pernah berakhir

Pada akhirnya, perusahaan harus menghadapi kenyataan bahwa memerangi phisher adalah pertempuran bolak-balik. Untuk setiap merek penanggulangan yang dilontarkan, penjahat dunia maya akan menemukan vektor serangan lain – itulah sebabnya tetap waspada terhadap perubahan ancaman dan fokus pada orang, proses, dan teknologi sangat penting.

“Ini pasti permainan kucing-dan-tikus,” kata Sabaj dari Check Point. “Tetapi ada banyak hal yang dapat dilakukan organisasi untuk mencegah phishing, dan mereka perlu melakukannya untuk melindungi nilai merek mereka.”