Social Engineering

Social Engineering adalah teknik manipulasi psikologi yang digunakan oleh penyerang untuk membujuk sesorang agar melakukan tindakan atau mengungkapkan informasi sensitif yang seharusnya dirahasiakan. Tindakan ini tidak melibatkan kode atau malware, melainkan mengeksploitas kepercayaan, rasa takut, kepanikan, kebutuhan, atau kurangnya pengetahuan korban terhadap ancaman dunia digital.

Social Engineering (Rekayasan Social), adalah salah satu teknik serangan siber yang peling berbahaya, memanfaatkan kelemahan utama dalam sistem keamanan yaitu manusia itu sendiri.

Tujuan utama dari serangan secial engineering adalah memperoleh akses ke informasi rahasia seperti:

1. Kata sandi
2. Nomor kartu kredit
3. Data identitas pribadi
4. Akses ke sistem perusahaan

Setelah mendapatkan informasi tersebut, penyerang bisa melakukan pencurian identitas, penipuan finansial, atau akses ilegal ke berbagai akun atau sistem.

Cara Kerja Social Engineering

Secara umum, tahapan social engineering Adalah:

1. Pengumpulan Informasi: Penyerang mengumpulkan data korban, seperti tempat kerja, rutinitas, atau hubungan sosial.
2. Penjajakan: Mulai membangun interaksi dengan korban, seringkali dengan menyamar sebagai pihak berwenang.
3. Manipulasi Psikologi: Menggunakan emosi (percaya, takut, panik, dan sebagainya) untuk menekan korban.
4. Eksekusi: Korban diminta mengungkapkan data atau melakukan tindakan tertentu (contoh, klik link, install aplikasi, beri akses).
5. Disengangement: Penyerang keluar jika tujuannya sudah tercapai, yaitu korban sering kali tidak menyadari telah menjadi target.

Jenis-Jenis Serangan Social Engineering

Beberapa jenis serangan social engineering yang umum ditemukan antara lain:

1. Phising: Penipuan dengan mengirim email, pesan, atau situs web palsu yang terlihat seperti institusi resmi guna mencuri data pribadi korban.
2. Spear Phising: Versi phising yang lebih terarah kepada individu atau organisasi tertentu memakai informasi yang sudah dikumpulkan sebelumnya.
3. Pretexting: Penyerang menciptakan skenario atau identitas palsu untuk membujuk korban agar mengungkapkan data sensitif (misal, mengaku sebagai petugas IT).
4. Baiting: Menawarkan "Umpan" yang menarik (misal, USB drive ditemukan di tempat umum) dengan harapan korban akan menggunakannya dan tanpa sadar menginfeksi perangkat mereka dengan malware.
5. Quid Pro Qui: Menjanjikan manfaat tertentu sebagai imbalan atas informasi sensitif atau akses sistem.
6. Vishing dan Smishing: Phising melalui telepon (vishing) atau SMS (smishing).

Contoh Kasus Serangan Engineering

Terdapat banyak contoh kasus serangan social engineering yang terjadi di sekitar kita, diantaranya adalah:

1. Email perbankan palsu yang meminta kita untuk memperbarui data via link tertentu.
2. Penelpon yang mengaku dari helpdesk perusahaan lalu meminta password remote access.
3. Seseorang pura — pura menjadi teknisi atau rekan kerja yang meminta akses fasilitas fisik perusahaan.

Peringatan ⚠️

Tulisan ini dibuat hanya untuk tujuan edukasi, riset, dan pembelajaran dalam bidang Cyber Security serta Ethical Hacking. Segala bentuk percobaan, teknik, atau simulasi yang dijelaskan wajib dilakukan di lingkungan yang aman (seperti lab pribadi, sistem virtual, atau jaringan uji coba) dan tidak boleh digunakan pada sistem orang lain tanpa izin resmi.

Instalasi Tools

1. Langkah pertama adalah, kita install terlebih dahulu tools yang kita gunakan dengan menggunakan perintah berikut.

2. Setelah proses instalasi selesai dan berhasil, maka untuk menjalankan Setoolki adalah dengan memasukkan perintah berikut.

3. Jika tampilan seperti berikut, maka Setoolkit sudah bisa kia mulai gunakan.

Konfigurasi Tools

1. Saat pertama kali akses Setoolkit dan memulai konfigurasi, sistem akan menampilkan tampilan menu yang dapat kita pilih. Disini tujuan kita adalah untuk melakukan teknik peretasan social engineering. Maka disini, kita akan memasukkan opsi menu nomer 2.

2. Kemudian menu selanjutnya, kita akan pilih opsi Website Attack Vectors karena kita akan melakukan metode peretasan phising di website.

3. Pada menu selanjutnya, kita pilih opsi 3 untuk Credential Harvester Attack Method.

4. Dan disini, kita pilih website yang ingin kita jadikan umpan. Disini, kita bisa menggunakan website template yang disediakan oleh Setoolkit, meng-klooning webiste lain, atau kita bisa pakai website yang kita buat sendiri. Disini untuk percobaan saja, kita pakai web template yang disediakan dengan memasukkan opsi 1.

5. Disini, dikarenakan percobaan yang kita lakukan menggunakan virtualisasi, maka kita pilih No pada penggunaan forwarding, agar target (windows) dapat terhubung dengan website phising kita.

6. Masukkan IP attacker tempat listener dan akses websitenya.

7. Terakhir, kita pilih website template yang ingin kita gunakan, disini kita contohkan dengan menggunakan website Google Login.

8. Disini, kita tunggu sinyal dari target ketika mengakses web phsingnya.

Simulasi Social Engineering

1. Kita gunakan salah satu teknik social engineering dengan menulis pesan email bohongan untuk dikirim ke target, dimana kita beritahu target bahwa sedang terjadi perbaikan pada sistem dan diharapkan target untuk mengganti passwordnya.

2. Disini, kita reka kejadian bagaimana target terkena serangan phising. Dimana pada langkah pertama, target akan menerima pesan dari email kita yang berpura — pura dari pihak yang sah.

3. Kita asumsikan target menekan dan akses link alamat yang kita kirim dengan tipuan untuk menggantikan password.

4. Kemudian, laman akan mengarah ke website yang seolah — olah dari perusahaan asli yang meminta informasi email dan password.

5. Target akan memasukkan alamat email, password, dan menekan tombol sign in.

6. Ketika tombol Sign In ditekan, maka layar hanya akan menunjukkan laman pencarian google dan dari sisi target tidak akan terjadi apa — apa.

7. Tetapi jika kita kembali ke terminal Setoolkit, maka kita berhasil menangkap sinyal dari target dan berhasil menemukan inputan yang tadi dimasukkan oleh target, yaitu berupa alamat email dan passwordnya