– Google baru-baru ini mengeluarkan peringatan darurat kepada lebih dari dua miliar pengguna Gmail di seluruh dunia. Langkah ini diambil setelah terungkap adanya skema phishing (penipuan online) baru yang berhasil membobol sistem keamanan Gmail.
Dalam skema ini, pelaku memanfaatkan layanan Google Sites untuk membuat tautan palsu yang menyerupai domain resmi Google.
Maka dari itu, pemakai diharapkan untuk langsung mengaktifkan verifikasi dua faktor (2FA) ataupun memanfaatkan passkey. Langkah tersebut mampu meningkatkan keamanan tambahan bagi akun Gmail mereka.
Metode phishing: Salin gaya Google sambil memanfaatkan jaringan infrastrukturnya Google
Modus penipuan jenis phishing ini pertamakali diketahui oleh Nick Johnson, seorang pembuat perangkat lunak dan tokoh dalam dunia kriptocurrency. Dia menceritakan petualangan itu lewat untaian postingan di situs X (yang dulunya adalah Twitter).
Johnson nyaris menjadi mangsa sesudah mendapat surel yang kelihatan sah. Surel itu dikirim dari alamat “no-reply@google.com”.
Harus diingat bahwa alamat “no-reply@google.com” sering kali dipakai oleh Google untuk mengirimi Anda pesan yang bersifat informasi penting. Contohnya seperti konfirmasi verifikasi masuk, pergantian kata kunci, ataupun pemberitahuan tentang kegiatan aneh pada akun Anda.
Pada situasi tersebut, Johnson memperoleh surel yang mengabarkan terdapat permasalahan hukum berhubungan dengan akun Google-nya. Selanjutnya, ia diberi petunjuk untuk mengeksplor sebuah tautan agar bisa mendapatkan detail tambahan.
Ketika tautan tersebut diklik, penggunanya akan dialihkan ke suatu situs web yang mirip dengan antarmuka masuk Google. Tetapi, sebenarnya ini adalah sebuah halaman tiruan. Situs tersebut ternyata palsu.
hosting
melalui Google Sites (sites.google.com), tidak melalui domain resmi accounts.google.com.
Perbedaan kecil pada alamat situs ini sering kali tidak disadari pengguna. Akibatnya, pengguna bisa saja terkecoh dan memasukkan kredensial akun mereka ke situs phishing.
Setelah korbannya memasukkan alamat email dan passwordnya, informasi tersebut segera diambil oleh penjahat. Hal ini dikenal sebagai phising, yaitu usaha mencuri data dengan berpura-pura menjadi entitas terpercaya.
Serangan ini menjadi lebih berbahaya karena berhasil mengelabui sistem keamanan DKIM (DomainKeys Identified Mail). Sistem DKIM biasanya digunakan Gmail untuk memverifikasi keaslian e-mail dan menyaring pesan mencurigakan ke dalam folder spam.
Meskipun demikian, karena email pada insiden ini disampaikan melalui jaringan Google, sistem keamanan mengenali dan memvalidasinya sebagai sesuatu yang sah. Sebagai hasilnya, pesan phising itu berhasil lolos dan masih muncul di kotak masuk pengguna bersama dengan pemberitahuan resmi lainnya dari Google.
Pengguna diimbau aktifkan 2FA
Dalam keterangan resminya kepada
Newsweek
, Google telah mengakuannya tentang tipe serangan tersebut. Perusahaan juga memastikan sedang mengerjakan solusi untuk mengatasinya.
Serangan tersebut diduga berasal dari kelompok hacker yang dikenal sebagai Rockfoils.
“Jenis serangan yang disengaja oleh para penyerang Rockfoils ini sudah kita ketahui, dan dalam minggu terakhir kami telah mengimplementasikan proteksi,” ungkap perwakilan resmi Google.
“Perlindungan tersebut akan langsung diimplementasikan secara menyeluruh untuk mengatasi lubang ketidaksesuaian ini,” tegasnya.
Google juga menekankan pentingnya bagi pengguna untuk selalu waspada terhadap email yang memintakan data pribadi.
“Google sama sekali tidak akan mengajukan permohonan untuk mendapatkan kata sandi, kode OTP, ataupun permintaan verifikasi akun lewat surel atau panggilan telepon,” demikian penjelasan dari juru bicara Google seperti yang dikumpulkan.
KompasTekno
dari
The New York Post,
Senin (28/4/2025).
Di samping itu, Google masih menekankan kepada para penggunanya agar mengaktifkan otentikasi dua faktor (2FA) atau menggunakan kunci sandi. Tindakan tersebut dianggap bisa memberikan lapisan keamanan ekstra terhadap serangan hacker pada akun.
Tips menghindari phishing
Untuk menghindari penipuan phishing melalui e-mail, pengguna disarankan menerapkan langkah-langkah berikut:
- Berhati-hatilah terhadap email yang menggunakan nada mendesak atau menakutkan. Misalnya saja seperti ini: “Akunmu bakal di-lock kalau enggak langsung diverifikasi.”
- Telitilah pada URL situs web tersebut. Situs masuk yang sah dari Google pasti mengandalkan domain accounts.google.com.
- Jauhi klik link langsung dari email yang meragukan. Lebih baik lagi, ketik URL website secara manual di peramban Anda untuk lebih meningkatkan keamanannya.
- Aktifkan otentikasi dua faktor (2FA) atau gunakan passkey. Fitur ini menambah tingkat keamanan ekstra yang signifikan jika password Anda tercuri.
Related posts:
