Social engineering adalah jenis penipuan yang mengandalkan petunjuk sosial, bukan digital. Penipu memanfaatkan pengetahuan mendalam tentang bisnis, karyawan, proyek Anda, dan banyak lagi, untuk meyakinkan Anda agar memberikan atur ulang kata sandi atau menyetujui pembayaran. Mereka sering kali menggabungkan pengetahuan ini dengan urgensi, mendorong Anda untuk membuat keputusan cepat.

Tidak ada daftar tanda bahaya yang dapat mempersiapkan seseorang untuk itu, karena manipulasi tersebut tidak terjadi melalui teknologi. Hal itu terjadi di dalam pikiran seseorang saat mereka mengambil keputusan.

Kami telah membahas apa itu social engineering pada tingkat mendasar: definisi, kategori serangan umum, mekanisme umum serangan berbasis manipulasi versus serangan murni teknis. Membangun program kesadaran keamanan yang efektif, cara menyusun pelatihan, menentukan ritme, dan mengukur apakah program tersebut berfungsi, adalah subjek terpisah yang juga telah kami tulis.

Artikel ini berada di antara keduanya. Alih-alih definisi atau perancangan program, artikel ini membahas apa yang sebenarnya perlu dimasukkan ke dalam pelatihan karyawan: mekanisme psikologis yang diandalkan penyerang, dan seperti apa pertahanan nyata ketika seseorang berada dalam situasi langsung alih-alih dibaca di slide.

Mengapa social engineering berhasil: enam pemicu, satu titik buta

Social engineering tidak berhasil karena karyawan ceroboh. Serangan ini berhasil karena memanfaatkan pintasan yang digunakan otak manusia setiap hari untuk membuat keputusan biasa secara cepat, lalu mengarahkannya ke target yang salah. Penelitian Robert Cialdini tentang persuasi mengidentifikasi tujuh dari pintasan ini beberapa dekade lalu, dan enam di antaranya menggambarkan hampir setiap upaya social engineering yang akan dihadapi bisnis:

  • Resiprositas
  • Kelangkaan
  • Otoritas
  • Konsistensi
  • Bukti sosial
  • Kesatuan

Otoritas

Penipu paling sering mengandalkan otoritas. Orang lebih cepat mematuhi permintaan yang tampaknya datang dari seseorang yang senior, administrator TI, atau badan eksternal seperti regulator atau pemasok, sering kali tanpa memeriksa apakah otoritas tersebut nyata.

Urgensi

Urgensi memperparahnya: tenggat waktu, akun yang terkunci, atau pembayaran yang harus segera dikirim sebelum bank tutup mendorong orang untuk bertindak dan menjauhi verifikasi, karena jeda untuk memeriksa terasa seperti dapat memicu masalah yang diancamkan oleh penyerang.

Kelangkaan

Kelangkaan bekerja dengan cara yang sama dalam bentuk berbeda: penawaran terbatas waktu, jendela akses sekali pakai, pesan yang menyiratkan bahwa keraguan berarti melewatkan kesempatan.

Bukti sosial

Bukti sosial meyakinkan orang bahwa suatu permintaan sah karena pihak lain tampaknya telah menyetujuinya, “bagian keuangan lainnya sudah menyetujui ini,” atau utas yang terlihat seperti percakapan internal yang nyata. Rasa suka mengeksploitasi keakraban: penyerang yang ramah, suka memuji, atau tampak akrab dengan budaya kantor menurunkan kewaspadaan target hanya dengan bersikap menyenangkan saat diajak berinteraksi.

Resiprositas

Resiprositas adalah yang paling halus di antara keenamnya: bantuan kecil, informasi yang tampaknya berguna, atau pujian yang diberikan terlebih dahulu, yang menciptakan rasa kewajiban ringan dan sering kali tidak disadari untuk membalas budi tersebut.

Tidak ada satu pun dari pemicu ini yang canggih. Itu adalah naluri yang sama yang memungkinkan terjadinya kerja sama di tempat kerja biasa. Setiap permintaan yang menerapkan satu atau beberapa prinsip ini akan terlihat seperti permintaan normal yang sedikit mendesak; jenis permintaan yang dilatihkan sepanjang karier seseorang untuk direspons dengan cepat dan penuh bantuan.

Serangan yang sebenarnya dihadapi karyawan dalam konteks bisnis

Sebagian besar organisasi berfokus pada langkah-langkah anti-phishing dan kami telah menulis tentang cara bertahan dari serangan phishing. Namun, pelatihan social engineering yang hanya mencakup email melewatkan sebagian besar dari apa yang sebenarnya dihadapi karyawan, khususnya di kantor atau tempat kerja hibrida tempat panggilan telepon, pengunjung, dan akses fisik masih menjadi bagian dari rutinitas harian.

Vishing

Voice phishing, atau vishing, mengandalkan panggilan telepon atau pesan suara palsu. Penelepon mungkin menyamar sebagai dukungan TI yang meminta seseorang untuk konfirmasi kata sandi sebelum perbarui sistem, sebagai bank yang memverifikasi transaksi, atau sebagai kurir yang memerlukan kode sekali pakai untuk menyelesaikan pengiriman.

Suara seseorang menambah urgensi dan otoritas yang tidak dapat ditiru secara meyakinkan oleh teks, itulah alasan tepat mengapa metode ini tetap efektif bahkan terhadap orang yang menganggap dirinya waspada terhadap email phishing. Semakin lama, penyerang juga menggunakan alat kloning suara untuk meniru suara rekan kerja atau eksekutif yang sebenarnya, yang telah ditandai oleh NCSC sebagai risiko yang berkembang(jendela baru) bagi individu maupun organisasi. Kami juga telah menulis tentang pencegahan deepfake.

Pretexting

Pretexting melibatkan pembuatan cerita yang kemudian digunakan penyerang untuk membenarkan permintaan yang tidak biasa. Mereka mungkin menyamar sebagai pemasok baru yang memerlukan rincian akun untuk siapkan pembayaran, auditor yang meminta log akses, atau kandidat pelamar kerja yang meminta kontak SDM untuk konfirmasi rincian pribadi guna pemeriksaan latar belakang.

Skenario ini sering kali dibangun dari potongan kecil informasi publik, seperti jabatan dan nama pemasok yang digabungkan agar terdengar masuk akal.

Baiting

Baiting menawarkan sesuatu yang diinginkan karyawan: sumber daya gratis, drive USB atau hard drive bermerek, dokumen berjudul tinjauan gaji Q3, sebagai imbalan atas tindakan yang mengompromikan perangkat atau akun. Metode ini berhasil karena tidak meminta kepercayaan seperti halnya email phishing; melainkan mengandalkan rasa ingin tahu untuk membujuk.

Tailgating

Tailgating, atau piggybacking, adalah satu-satunya serangan dalam daftar ini yang tidak ada hubungannya dengan layar. Penyerang mengikuti karyawan melewati pintu berkartu akses, sering kali dengan membawa kotak, mengenakan sesuatu yang mirip seragam, atau sekadar mengatur waktu pendekatan pada momen ketika membukakan pintu merupakan hal yang sopan untuk dilakukan. Ini mengeksploitasi kesopanan di tempat kerja secara langsung, itulah sebabnya pelatihan keamanan fisik cenderung terlewatkan dalam program yang sepenuhnya dirancang seputar kotak masuk.

Seperti apa sebenarnya bentuk pertahanan terhadap serangan social engineering

Sekadar memberi tahu karyawan untuk “lebih waspada” tidak akan bertahan di bawah tekanan nyata. Rasa curiga adalah sebuah perasaan dan penyerang secara khusus berusaha mengesampingkannya. Pelatihan perlu mengganti instruksi samar tersebut dengan perilaku spesifik dan berulang yang tidak bergantung pada kesadaran seseorang bahwa mereka sedang dimanipulasi pada saat itu.

Selalu verifikasi

Verifikasi melalui kanal terpisah adalah satu-satunya kebiasaan paling berguna yang dapat diterapkan oleh bisnis. Jika permintaan masuk melalui email, konfirmasi melalui telepon atau secara langsung, menggunakan nomor atau kontak yang sudah ada di file alih-alih nomor yang diberikan dalam pesan itu sendiri. Kebiasaan satu ini menggagalkan sebagian besar upaya penyamaran terlepas dari seberapa meyakinkannya kontak awal tersebut, karena tindakan ini menghapus kendali penyerang atas langkah verifikasi.

Perlambat

Urgensi harus diperlakukan sebagai sinyal untuk memperlambat langkah, bukan alasan untuk lewati suatu tahapan. Karyawan harus dilatih untuk menyadari kapan suatu permintaan mendorong mereka untuk mengutamakan kecepatan daripada proses, karena tekanan tersebut jarang terjadi secara tidak sengaja. Permintaan sah yang benar-benar mendesak dapat menunggu panggilan verifikasi dua menit; permintaan yang tidak dapat menoleransi penundaan tersebut harus diperlakukan dengan curiga, terlepas dari siapa pun yang tampaknya mengirimkannya.

Dapatkan konfirmasi

Permintaan finansial dan kredensial harus memerlukan konfirmasi orang kedua sebagai praktik standar, bukan sebagai pengecualian yang hanya ditujukan untuk transaksi besar. Ini menghapus tekanan sosial yang diandalkan penyerang ketika mereka mengisolasi satu karyawan dan memintanya bertindak sendiri, serta memberi karyawan tersebut cara langsung dan bebas dari rasa bersalah untuk mengatakan “biarkan saya memeriksa dengan seseorang terlebih dahulu” tanpa terkesan tidak membantu atau tidak percaya.

Laporkan insiden nyaris terjadi

Pelaporan insiden nyaris terjadi menutup celah ini. Karyawan yang mematuhi sebagian permintaan, sempat ragu tetapi akhirnya menyerah, atau kemudian menyadari ada sesuatu yang tidak beres harus didorong untuk melaporkannya bahkan setelah kejadian, dan bahkan jika tidak ada hal buruk yang terlihat terjadi. Laporan-laporan ini sering kali menjadi peringatan paling awal yang didapatkan bisnis bahwa mereka sedang menjadi sasaran, dan laporan tersebut hanya muncul dalam budaya tempat pelaporan tidak menimbulkan rasa malu atau disalahkan.

Naluri yang sama dapat diterapkan saat uang atau data telah benar-benar berpindah: Action Fraud(jendela baru), pusat pelaporan nasional Inggris untuk penipuan dan kejahatan siber, hadir karena semakin cepat suatu insiden dilaporkan, semakin berguna hal tersebut bagi orang lain yang menjadi target pola yang sama.

Mengapa slide tidak membangun pertahanan, dan simulasi berhasil

Membaca tentang enam pemicu persuasi memang berguna untuk konteks, tetapi tidak mengubah cara seseorang bersikap di bawah tekanan nyata, sama halnya seperti membaca tentang latihan kebakaran tidak membuat seseorang siap menemukan pintu keluar terdekat. Pertahanan terhadap manipulasi adalah keterampilan yang dipraktikkan, bukan fakta yang diingat dari slide presentasi, itulah sebabnya pelatihan social engineering yang paling efektif mengandalkan simulasi alih-alih instruksi semata.

Simulasi yang efektif mengarahkan karyawan pada versi realistis dari tekanan yang sebenarnya akan mereka hadapi: simulasi panggilan vendor yang meminta perubahan akun, permintaan mendesak rekaan dari seseorang yang mengaku sebagai manajer, atau pengunjung rekayasa yang meminta izin untuk melewati pintu yang aman, lalu memberikan masukan yang spesifik dan langsung alih-alih skor lulus/gagal.

Tujuannya adalah memungkinkan karyawan merasakan momen tekanan di tempat yang aman, memperhatikan pemicu mana yang sedang digunakan, dan membangun naluri untuk jeda serta memverifikasi sebelum terjadi masalah nyata.

Tingkat kesulitan harus ditingkatkan secara bertahap dan skenario harus mencerminkan peran nyata. Seseorang di bagian keuangan menghadapi skenario pretexting yang berbeda dari seseorang di meja depan, dan latihan tersebut harus diakhiri dengan evaluasi yang menjelaskan mekanisme yang digunakan, bukan hanya apakah orang tersebut lulus atau tidak.

Jika dilakukan dengan baik, simulasi mengubah enam pemicu psikologis menjadi konsep yang dapat dipahami dan dikenali oleh karyawan, yang merupakan tujuan utama pelatihan yang dirancang untuk diterapkan di luar ruang kelas.

Melatih orang, bukan hanya kebijakan

Social engineering berhasil dengan mengincar naluri yang memungkinkan terjadinya kerja sama tim yang normal: kepercayaan pada otoritas, respons terhadap urgensi, ketidaknyamanan mempertanyakan seseorang yang tampak senior atau ramah. Pelatihan yang hanya mendefinisikan serangan ini atau mencantumkan kategorinya membuat karyawan tetap rentan seperti sebelumnya, karena mengenali definisi dan mengenali upaya manipulasi langsung adalah keterampilan yang sangat berbeda.

Kurikulum yang menyebutkan enam pemicu psikologis, memaparkan bagaimana vishing, pretexting, baiting, dan tailgating benar-benar muncul di lingkungan kerja, dan membekali karyawan dengan perilaku konkret yang telah dilatih (verifikasi secara terpisah, perlakukan urgensi sebagai tanda bahaya alih-alih batas waktu, libatkan orang kedua, laporkan bahkan insiden yang nyaris terjadi) memberi orang sesuatu yang benar-benar dapat mereka gunakan di bawah tekanan.

Diperkuat melalui simulasi alih-alih slide, dan didukung oleh kata sandi unik serta MFA yang membatasi apa yang dapat dicapai oleh upaya yang berhasil, kombinasi itulah yang mengubah kesadaran menjadi pertahanan.

Semua ini tidak menggantikan pembuatan program pelatihan itu sendiri: ritme, struktur, seberapa sering program diulang, dan cara Anda mengukur apakah program tersebut berhasil. Hal itulah yang dicakup dalam panduan pendamping kami tentang membangun program kesadaran keamanan. Yang ada di sini adalah lapisan di bawah program tersebut: psikologi yang sebenarnya dihadapi karyawan, dan kebiasaan spesifik yang telah dilatih yang bertahan ketika tekanan menjadi nyata alih-alih hipotetis.

Tim yang dapat menyebutkan taktik persuasi saat taktik tersebut sedang digunakan kepada mereka, dan tahu persis siapa orang kedua yang harus dihubungi sebelum bertindak, pada dasarnya merupakan target yang jauh lebih sulit dibandingkan tim yang hanya diberi tahu untuk tetap waspada. Itulah celah yang dapat Anda tutup dengan pelatihan semacam ini.

Koneksi kredensial: Mengapa pembatasan dampak tetap penting setelah terjadinya kesalahan

Pelatihan mengurangi frekuensi keberhasilan social engineering, tetapi tidak dapat menurunkan angka tersebut menjadi nol. Program yang dibangun dengan tujuan itu pasti akan gagal. Suatu saat, seseorang akan memberikan kata sandi melalui telepon, mengeklik halaman masuk rekaan, atau konfirmasi rincian yang seharusnya tidak mereka bagikan. Yang membatasi kerusakan pada saat itu bukanlah kesadaran — melainkan kontrol akses apa pun yang sudah ada sebelum panggilan dimulai.

Kredensial yang diambil melalui social engineering jauh lebih tidak berguna bagi penyerang jika kredensial tersebut unik untuk satu layanan dan dilindungi oleh autentikasi multifaktor (MFA). Kata sandi yang unik mencegah satu kredensial yang disusupi digunakan kembali untuk akses layanan lain, sementara MFA dapat mencegah kata sandi yang dicuri memberikan akses bahkan ke akun miliknya.

Ini adalah logika pembatasan yang sama yang dibahas dalam panduan kami tentang membangun budaya keamanan tempat kerja yang kuat dan membuat kebijakan kata sandi yang tangguh, dan hal ini patut diulang di sini karena social engineering dan kebersihan kata sandi biasanya diperlakukan sebagai masalah terpisah, padahal sebenarnya keduanya adalah dua tahap dari serangan yang sama.

Pengelola kata sandi bisnis seperti Proton Pass for Business membuat pembatasan tersebut realistis untuk dipertahankan dalam skala besar, alih-alih bergantung pada masing-masing karyawan yang harus mengingat untuk mengikuti kebijakan.

Ketika kredensial tersimpan, dibuat, dan dibagikan secara aman melalui brankas kata sandi yang dikelola alih-alih melalui ingatan, peramban, atau spreadsheet, satu upaya social engineering yang berhasil tidak lagi menjadi jalan masuk ke setiap sistem yang diakses karyawan.

Proton Pass for Business membuat pengelolaan kredensial menjadi mudah untuk setiap anggota tim, bukan hanya tim TI Anda:

Kurangi paparan tim Anda terhadap social engineering dengan pengelola kata sandi bisnis yang aman.