Whaling, phishing, dan spear phishing: Apa perbedaannya?

Phishing merupakan kejahatan siber yang paling sering dilaporkan ke Internet Crime Complaint Center(jendela baru) pada tahun 2024. Penjelasan mengenai apa itu phishing dan beberapa contoh email phishing yang meyakinkan telah ditulis di blog, tetapi penjahat siber selalu menyesuaikan serangan mereka untuk memperbesar keuntungan yang diperoleh.

Versi phishing yang lebih efektif adalah ketika penyerang menargetkan orang tertentu, yang disebut whaling atau spear phishing. Meskipun phishing dapat menargetkan individu atau bisnis, whaling dan spear phishing secara khusus menargetkan orang-orang di dalam bisnis. Memahami perbedaan antara istilah-istilah ini sangatlah penting, begitu juga dengan cara mendeteksi dan melindungi diri darinya.

Apa perbedaan antara whaling, phishing, dan spear phishing?

Phishing adalah metode yang digunakan peretas untuk mengelabui agar membagikan informasi sensitif kepada mereka. Jika pernah menerima email yang mencurigakan dari layanan seperti Amazon, Google, atau PayPal yang menyatakan bahwa akun telah dibekukan, berarti telah menjadi target upaya phishing. Serangan ini bersifat luas dan bertujuan untuk mendapatkan respons sebanyak mungkin. Email ini akan dikirim ke alamat email pribadi serta alamat email kerja.

Serangan spear phishing dan whaling menggunakan taktik yang sama dengan phishing, tetapi menerapkannya pada sekelompok target yang jauh lebih kecil dan spesifik di dalam bisnis. Kedua jenis serangan ini secara umum termasuk dalam kategori phishing, tetapi penting untuk memahami bagaimana target peretas memengaruhi taktik yang digunakan.

Apa itu spear phishing?

Spear phishing menggunakan teknik luas yang sama dengan serangan phishing dan menyesuaikannya untuk individu tertentu. Individu yang menjadi target spear phishing sering kali bekerja di departemen hukum atau keuangan, yang memberi mereka akses ke data yang sangat sensitif dan berharga.

Menurut riset yang diterbitkan oleh Barracuda Networks(jendela baru), lebih dari 80% serangan spear phishing melibatkan peniruan identitas merek. Setelah menganalisis 360.000 email phishing selama tiga bulan, perusahaan tersebut menemukan bahwa Microsoft dan Apple adalah merek yang paling sering ditiru, dengan serangan yang paling mungkin terjadi antara hari Selasa hingga Kamis dan melonjak di sekitar acara seperti musim pajak. Tingkat perencanaan dari para penipu ini menunjukkan seberapa cermat mereka mempelajari karyawan dan merencanakan serangan mereka.

Laporan tersebut menunjukkan bahwa tiga baris subjek teratas yang digunakan dalam serangan spear phishing adalah beberapa variasi dari hal berikut:

1. Permintaan
2. Tindak lanjut
3. Mendesak/Penting

Tidak mengherankan jika baris subjek tersebut menimbulkan rasa mendesak atau kesan bahwa Anda telah berhubungan dengan pengirim. Serangan spear phishing juga dapat didasari oleh motivasi politik. Pada tahun 2024, Microsoft merilis laporan intelijen(jendela baru) mengenai campur tangan Iran dalam pemilu AS. Akun Microsoft Hotmail milik mantan penasihat senior dikompromikan untuk meluncurkan serangan yang menargetkan pejabat tinggi dalam kampanye kepresidenan.

Apa itu whaling?

Jika spear phishing menargetkan beberapa individu tingkat tinggi, whaling menargetkan… ya, paus (target besar). Whaling secara efektif merupakan spear phishing yang ditujukan pada target yang sangat bernilai tinggi, seperti CEO atau CFO. Serangan ini sangat dipersonalisasi dan diteliti dengan cermat. Penjahat siber bertujuan untuk menghasilkan uang, serta berpotensi mendapatkan akses ke data sensitif seperti IP atau informasi investor, memeras target mereka, dan menyebabkan kerusakan reputasi yang sangat besar.

Serangan whaling membutuhkan waktu berbulan-bulan, bahkan bertahun-tahun, untuk direncanakan secara efektif, dan penjahat menargetkan bisnis yang sedang mengalami masa-masa sulit untuk memanfaatkan kekacauan tersebut. Pada tahun 2015, penyerang menargetkan eksekutif tingkat C di Mattel dengan serangan whaling yang rumit(jendela baru) saat perusahaan sedang melakukan restrukturisasi dan mengubah kebijakan pembayarannya. Seorang eksekutif keuangan menerima catatan dari CEO baru perusahaan yang meminta pembayaran vendor baru ke Tiongkok, negara yang sedang coba dimasuki oleh Mattel untuk ekspansi. Menyusul perubahan kebijakan pembayaran, transfer memerlukan persetujuan dari dua manajer berpangkat tinggi di Mattel, sehingga penerima memberikan persetujuannya, dan transfer pun dilakukan. Hanya setelah uang tersebut hilang, eksekutif tersebut menyebutkan pembayaran itu kepada CEO baru, yang sebenarnya tidak mengajukan permintaan tersebut.

Berkat tanggal 1 Mei yang merupakan hari libur perbankan di Tiongkok, Mattel dapat membekukan akun yang menampung dana curian tersebut, dan uang tersebut berhasil dipulihkan dalam waktu dua hari. Namun, serangan yang sangat bertarget ini hampir saja merugikan Mattel sebesar $3 juta hanya dengan satu email.

Whaling vs spear phishing

Untuk merangkum perbedaan antara ketiga jenis serangan tersebut:

Kekhasan target menentukan tingkat riset dan penargetan yang dilakukan dalam setiap serangan. Namun, apa pun jenis serangannya, ada proses serupa yang akan diikuti peretas dalam merencanakan dan mengeksekusinya.

Bagaimana proses dari serangan whaling atau spear phishing?

1. Reconnaissance (Pengintaian): Peretas meneliti target mereka dengan memeriksa kehadiran daring untuk membuat profil tentang apa yang mungkin memicu target untuk merespons. Ini mencakup profil media sosial, situs web bisnis, dan tempat lain mana pun di mana target mereka mungkin muncul secara daring. Mereka juga akan menggunakan pialang data dan kemungkinan dark web untuk mendapatkan informasi pribadi.
2. Crafting the bait (Membuat umpan): Peretas kemudian menyusun rencana serangan. Mereka akan membuat email yang dirancang untuk meyakinkan target bahwa mereka adalah rekan kerja, layanan pihak ketiga, atau lembaga pemerintah. Mereka akan mengumpulkan informasi sebanyak mungkin untuk mengelabui target, mungkin dengan melakukan phishing secara lebih luas di dalam bisnis.
3. Delivery (Pengiriman): Penyerang akan mengirim email yang telah disesuaikan kepada target mereka. Email tersebut bisa terlihat seperti faktur dan berisi tautan ke situs web berbahaya, yang mengundang pembaca untuk memasukkan rincian pembayaran, atau permintaan dari departemen TI bisnis untuk mendapatkan informasi masuk dan kata sandi.
4. Exploitation (Eksploitasi): Email tersebut mungkin bermuatan malware atau ransomware, menautkan ke situs tiruan, atau meminta kredensial, informasi sensitif, atau pembayaran. Ada berbagai cara bagi peretas untuk mengeksploitasi jaringan setelah mereka mendapatkan akses, seperti membuat akses pintu belakang (backdoor) dan memberikan hak istimewa admin kepada diri mereka sendiri.
5. Dampak: Jika serangan berhasil, peretas akan melanjutkan phishing untuk mendapatkan akses lebih banyak atau mulai melakukan transaksi, mengunduh data, atau mengambil alih akun. Perusahaan menghadapi kerugian finansial, pembobolan data, kerusakan reputasi, atau semua hal di atas.

Serangan datang dalam berbagai bentuk, membuat kewaspadaan konstan menjadi sulit. Secara umum, semakin senior peran atau semakin sensitif data yang diakses, semakin penting arti verifikasi.

Bagaimana cara melindungi diri dari serangan?

Ada dua bagian untuk melindungi diri dari serangan siber: Infrastruktur bisnis dan kesadaran diri sendiri.

Pertama, mari kita lihat apa yang dapat dilakukan secara pribadi.

• Percayai tetapi verifikasi. Jika menerima permintaan terkait pembayaran atau pemberian akses ke data sensitif, berbicara dengan orang yang diduga mengirimkan permintaan tersebut adalah pilihan terbaik. Jika sudah pernah bertemu dengan orang tersebut sebelumnya, hubungi atau bicaralah secara langsung dan konfirmasikan bahwa permintaan tersebut sah. Jika belum, verifikasi identitas mereka melalui kanal tepercaya, seperti kolega yang memiliki koneksi atau individu berpangkat lebih tinggi di bisnis mereka.
• Jangan biarkan urgensi memaksa pengambilan keputusan yang salah. Penipu menggunakan urgensi palsu untuk mendorong pengambilan keputusan yang cepat. Menunggu untuk memverifikasi permintaan tidak akan memicu penyesalan, tetapi tidak memverifikasinya bisa berujung penyesalan.
• Periksa alamat email pengirim dengan cermat. Ketika peretas membuat email mereka seolah-olah berasal dari pengirim yang sah, ini disebut spoofing email. Pastikan nama domain benar dan tidak ada kesalahan ejaan pada alamat email itu sendiri. Pelajari lebih lanjut tentang cara melindungi diri dari spoofing email.

• Edukasikan tim tentang risiko serangan phishing. Satu email phishing yang berhasil dapat menimbulkan konsekuensi yang merusak bagi bisnis.

Menyadari potensi ancaman bukan berarti mencurigai setiap email yang diterima, melainkan memastikan bahwa langkah-langkah telah diambil untuk melindungi diri sendiri dan tempat kerja.

Cara Proton membantu mengurangi risiko

Cara efektif lain untuk melindungi tempat kerja adalah dengan mengadopsi alat terenkripsi secara end-to-end yang aman yang membantu mempertahankan kendali atas data:

• Proton Pass adalah pengelola kata sandi aman yang membantu membuat, menyimpan, dan mengelola kata sandi bisnis. Mengizinkan tim untuk membagikan kredensial mereka dengan aman membantu semua orang mengidentifikasi permintaan masuk atau data yang tidak sah — jika seseorang diminta untuk mengirimkan kata sandi melalui email alih-alih membagikannya dengan aman di Proton Pass, mereka dapat menandai permintaan tersebut sebagai mencurigakan. Jika data muncul di web gelap, pemberitahuan akan segera dikirimkan sehingga tindakan pencegahan upaya phishing dapat segera diambil.
• Proton Mail adalah email aman dan kalender yang menjaga email bisnis tetap terlindungi. Perlindungan phishing tingkat lanjut kami PhishGuard melindungi dari upaya phishing dengan menandai alamat email yang berpotensi dipalsukan. Setiap upaya masuk yang mencurigakan atau perubahan akun diidentifikasi dan ditandai secara otomatis, dan perlindungan tautan membantu melihat URL lengkap sebelum membukanya untuk mencegah pembukaan tautan phishing secara tidak sengaja.

Jika siap melindungi diri dan bisnis dari serangan whaling, spear phishing, dan phishing, mulailah hari ini dengan melihat paket Proton mana yang paling cocok.