Serangan Phishing Terbaru Mengincar Pengguna Apple

Pengguna Apple patut waspada karena serangan siber dengan metode phishing (phising) tengah meningkat secara global. Menurut laporan dari KrebsOnSecurity melalui MacRumors, ada sebuah bug atau kerentanan pada fitur pengaturan ulang kata sandi atau password reset pada perangkat Apple yang semakin umum terjadi. Hal ini membuat sejumlah pengguna Apple menjadi sasaran serangan di mana mereka dibombardir dengan notifikasi atau pesan autentikasi multi-faktor (MFA) secara berlebihan.

Beberapa pengguna iPhone dan produk Apple lainnya melaporkan bahwa mereka menerima notifikasi atau pesan MFA tanpa henti yang mengharuskan mereka untuk menyetujui perubahan password pada Apple ID mereka. Para pelaku serangan ini menggunakan taktik agar korban terus-menerus disuguhi teks persetujuan perubahan kata sandi yang seolah-olah berasal dari tingkat sistem di iPhone, Apple Watch, atau Mac mereka.

Melalui tindakan ini, pelaku kejahatan siber berharap agar korban secara tidak sadar menyetujui permintaan palsu atau bahkan terpaksa mengklik tombol persetujuan karena terganggu oleh notifikasi yang terus muncul. Ketika notifikasi tersebut di klik, penyerang dapat mengubah kata sandi Apple ID korban dan mengunci akses ke akun tersebut pada iPhone, Mac, atau iPad milik korban. Karena notifikasi ini ditujukan untuk Apple ID, maka notifikasi tersebut akan muncul di semua perangkat yang terhubung dengan Apple ID korban.

Sebagai hasilnya, semua produk Apple yang terhubung tidak dapat digunakan sampai popup notifikasi tersebut ditutup satu per satu di setiap perangkat. Jika korban masih enggan mengklik notifikasi "Izinkan" untuk perubahan kata sandi Apple ID mereka, pelaku serangan kemungkinan akan menelepon korban dan berpura-pura menjadi karyawan Apple. Dalam panggilan tersebut, penyerang akan mengklaim mengetahui bahwa perangkat korban telah diserang dan berusaha mendapatkan password one-time-passcode (OTP) yang dikirimkan ke nomor yang terdaftar pada iPhone, iPad, atau Mac milik korban.

Cara Pelaku Mendapatkan Informasi Korban

Pertanyaan yang muncul adalah bagaimana cara para pelaku mendapatkan informasi pribadi pengguna yang mereka gunakan untuk serangan ini? Menurut laporan, para penjahat siber menggunakan data pribadi yang bocor dan tersebar luas di internet. Data-data ini mencakup nama, alamat saat ini, alamat masa lalu, dan nomor telepon pengguna.

KrebsOnSecurity melakukan penyelidikan lebih lanjut terkait hal ini dan menemukan bahwa para penyerang tampaknya menggunakan halaman web resmi Apple untuk mendapatkan password Apple ID yang terlupa. Halaman ini meminta pengguna untuk memasukkan email atau nomor telepon yang terkait dengan Apple ID mereka, dan juga memiliki CAPTCHA sebagai langkah keamanan tambahan.

Ketika pengguna memasukkan alamat email mereka, halaman tersebut menampilkan dua digit terakhir dari nomor telepon yang terhubung dengan akun Apple mereka. Dengan memasukkan digit yang hilang dan menekan tombol kirim, halaman tersebut akan mengirimkan peringatan ke sistem. Meskipun tidak jelas secara spesifik bagaimana para penyerang berhasil menyalahgunakan sistem ini untuk mengirimkan banyak pesan ke pengguna Apple, tampaknya mereka telah mengeksploitasi bug atau kerentanan tertentu yang ada.

Kemungkinan kecil bahwa sistem Apple dimaksudkan untuk memungkinkan pengiriman lebih dari 100 permintaan sekaligus, sehingga para penyerang tampaknya telah melampaui batas kecepatan ini. Hal yang perlu diingat adalah bahwa Apple tidak pernah mengirimkan notifikasi atau melakukan panggilan telepon untuk meminta kode pengaturan ulang kata sandi satu kali pun kepada pengguna mereka. Jadi, pengguna perlu selalu waspada dan tidak mudah terpancing oleh permintaan atau notifikasi yang mencurigakan.

Cara Menghindari Serangan Phishing

Untuk menghindari jatuh korban dalam serangan phishing seperti ini, ada beberapa langkah yang bisa dilakukan oleh pengguna Apple dan pengguna internet secara umum:

1. Verifikasi Sumber: Selalu pastikan bahwa notifikasi atau pesan yang terima berasal dari sumber yang terpercaya. Jika ragu, jangan mengklik tautan atau memberikan informasi pribadi.
2. Periksa URL: Saat diminta untuk memasukkan informasi pribadi atau masuk ke halaman login, pastikan URL yang tercantum benar-benar dari situs resmi. Hindari tautan yang mencurigakan atau mengarah ke situs yang tidak dikenal.
3. Aktifkan MFA: Aktifkan autentikasi multi-faktor (MFA) pada akun Anda untuk memberikan lapisan keamanan tambahan. Dengan MFA, membutuhkan lebih dari sekadar kata sandi untuk mengakses akun.
4. Laporkan Serangan: Jika Anda mendapatkan notifikasi atau pesan yang mencurigakan atau telah menjadi korban serangan phishing, segera laporkan ke pihak yang berwenang atau penyedia layanan terkait.
5. Jaga Keamanan Password: Selalu gunakan kata sandi yang kuat dan berbeda untuk setiap akun Anda. Hindari menggunakan informasi pribadi seperti nama atau tanggal lahir sebagai bagian dari kata sandi Anda.
6. Pembaruan Perangkat: Pastikan perangkat Anda selalu diperbarui dengan versi perangkat lunak terbaru. Pembaruan ini seringkali mengandung perbaikan keamanan yang dapat melindungi Anda dari serangan yang menggunakan kerentanan lama.

Dengan menjaga kewaspadaan dan mengikuti langkah-langkah keamanan yang disarankan, pengguna dapat mengurangi risiko jatuh korban dalam serangan phishing dan menjaga keamanan data pribadi mereka.