Definisi Pretexting
Pretexting adalah bentuk serangan rekayasa sosial (social engineering) di mana penyerang menciptakan skenario palsu atau 'pretext' untuk memanipulasi target agar memberikan informasi rahasia atau melakukan tindakan tertentu. Berbeda dengan phishing yang sering kali bersifat massal, pretexting biasanya melibatkan riset mendalam terhadap target untuk membangun kepercayaan.
Mekanisme Kerja Pretexting
Penyerang memulai dengan mengumpulkan data publik tentang target, seperti nama, jabatan, atau riwayat transaksi. Setelah memiliki informasi yang cukup, mereka akan menyamar sebagai pihak berwenang, seperti staf IT, perwakilan bank, atau rekan kerja. Berikut adalah tahapan teknis yang umum dilakukan:
| Tahap | Tindakan Penyerang |
|---|---|
| Riset | Mengumpulkan data target dari media sosial atau kebocoran data. |
| Penyusunan Skenario | Membangun alur cerita yang meyakinkan (pretext). |
| Kontak | Menghubungi target melalui telepon, email, atau pesan instan. |
| Manipulasi | Mendesak target untuk memberikan data (OTP, password, atau akses). |
| Eksekusi | Menggunakan data yang didapat untuk akses ilegal. |
Contoh Skenario Umum
Dalam konteks keamanan digital, penyerang sering berpura-pura menjadi petugas verifikasi sistem. Misalnya, mereka menghubungi korban dan mengklaim ada masalah pada akun MyASN atau layanan perbankan, lalu meminta kode OTP dengan alasan untuk 'reset password' atau 'aktivasi layanan'.
Cara Melindungi Diri
- Verifikasi Identitas: Jangan pernah memberikan data sensitif kepada pihak yang menghubungi Anda secara tiba-tiba, meskipun mereka mengaku dari instansi resmi.
- Gunakan Jalur Resmi: Jika menerima permintaan verifikasi, tutup komunikasi tersebut dan hubungi instansi terkait melalui nomor atau situs resmi yang sudah terverifikasi.
- Waspadai Urgensi: Penyerang sering menggunakan taktik urgensi (seperti ancaman akun akan diblokir) untuk membuat korban panik dan tidak berpikir jernih.
- Jangan Berikan OTP: Kode OTP (One Time Password) bersifat rahasia dan tidak boleh dibagikan kepada siapa pun, termasuk pihak yang mengaku sebagai admin sistem.