Hampir Tertipu Dengan Modus Email Spoofing

Di kesempatan kali ini saya akan sedikit bercerita mengenai pengalaman pribadi hampir tertipu oleh sekelompok orang yang tidak bertanggung jawab dengan memanfaatkan celah social engineering via pengiriman Email Spoofing. Saya yang pada dasarnya sulit untuk percaya dengan orang asing dan mampu untuk mengindikasi penipuan pun masih sedikit terperdaya oleh akuratnya informasi yang terdapat dalam email tersebut.

Indikasi Awal Penipuan

Tanggal 30 Oktober 2018 tengah malam sekitar pukul 03:00 sehabis menonton pertandingan sepak bola, saya membuka salah satu akun email di ponsel dan iseng-iseng mengecek folder spam. Alangkah terkejutnya saya ketika membaca judul email yang berisi kata sandi (password) yang cukup sering saya gunakan.

Di dalam folder spam tersebut ada sekitar 6 email yang isinya kurang lebih sama dengan contoh di atas. Isi dari email-email tersebut antara lain;

• Email saya dengan akun namaakun@dionbarus.com telah diretas (di-hack) oleh orang lain dan mereka mengetahui password email tersebut.
• Mereka mengklaim bahwa telah menanamkan malware di komputer saya sehingga semua data dan aktifitas pribadi dapat dibaca.
• Data-data pribadi tersebut antara lain daftar riwayat penelusuran (browsing) di internet, file-file di harddisk komputer, daftar kontak email dan video recording webcam dari komputer.
• Saya diharuskan untuk membayar uang tebusan sebesar 500-1000 US Dollar melalui Bitcoin agar data saya aman.
• Mereka mengancam jika tidak membayar uang tebusan maka semua file-file tersebut akan dibagikan kepada daftar kontak email saya.
• Mereka juga menggunakan celah social engineering dengan mengatakan bahwa mereka memiliki rekaman daftar situs-situs XXX yang pernah saya kunjungi. 😀

Sebagai orang normal dan dalam keadaan setengah sadar karena hari sudah menjelang subuh saya pun sangat-sangat khawatir sekaligus terkejut membaca semua email-email tersebut. Pada waktu itu, logika saya hampir mengatakan bahwa saya telah diretas. Sebenarnya yang benar-benar membuat saya hampir percaya 100% adalah email tersebut dikirim dari akun pribadi saya sendiri!

Sebelum saya memutuskan untuk bunuh diri, hal pertama yang harus saya lakukan adalah berusaha untuk tetap tenang. Oleh sebab itu, tidur adalah keputusan paling bijaksana yang bisa saya ambil di hari itu.

Pagi harinya ketika kepala dapat berpikir jernih dan opsi bunuh diri bukanlah solusi untuk mengatasi masalah ini, saya pun mulai melakukan rekonstruksi untuk mencari penyebab kenapa saya bisa mendapatkan email-email tersebut.

Hal pertama yang saya lakukan adalah mengecek apakah benar akun email saya telah diretas. Untuk membuktikan hal tersebut maka saya memanfaatkan situs Hacked Email untuk proses verifikasi. Dan hasilnya…

Ternyata benar akun email tersebut telah diretas dan sampai di sini jelas wajar kenapa email-email ancaman itu dapat masuk ke inbox folder spam. Dari data dan informasi yang diberikan oleh situs Hacked Email nantinya akan sangat membantu saya dalam menemukan akar dari semua masalah ini.

Identifikasi Masalah

Sebagai informasi untuk email dengan domain dionbarus.com, saya menggunakan layanan dari Google Apps (sekarang namanya GSuite) yang mana memungkinan saya untuk mendapatkan hampir seluruh layanan Google dengan nama domain saya sendiri. Saya sudah mengunakan Google Apps kurang lebih selama 8 tahun dan belum pernah menemukan masalah seserius ini.

Pada dasarnya ketika memanfaatkan Google Apps untuk layanan email, kita sebenarnya seperti menggunakan Gmail namun dengan nama domain kita sendiri.

Saat ini saya memiliki 3 akun email dengan domain dionbarus.com untuk masing-masing keperluan yang berbeda. 1 akun email untuk urusan teknis, 1 akun untuk korespodensi sehari-hari dan 1 akun untuk keperluan iklan komersial. Nah, yang terkena indikasi retas adalah 1 akun untuk urusan teknis.

Pertanyaannya sekarang adalah kenapa akun email teknis saya tersebut bisa diretas? Pertanyaan ini bisa dijawab tepat setelah saya mendapatkan informasi dari Hacked Email seperti data di atas. Jika dianalisa secara cermat, akun email yang diretas tersebut masuk ke dalam 8 database yang berisi daftar-daftar email hasil retasan yang beredar luas di internet.

Satu hal yang harus diperhatikan adalah dari 8 database retasan email di atas ada 1 database yang telah terkonfirmasi kebenarannya yaitu hasil retasan dari webhosting gratisan, 000webhost.

Saya lantas melakukan penelurusan mengenai informasi dan berita situs 000webhost diretas dan ternyata hasilnya cukup mencengangkan;

1. https://www.000webhost.com/000webhost-database-hacked-data-leaked
2. https://www.zdnet.com/article/000webhost-hacked-13-million-customers-exposed/
3. https://www.troyhunt.com/breaches-traders-plain-text-passwords/
4. https://www.forbes.com/sites/thomasbrewster/2015/10/28/000webhost-database-leak/

Database konsumen webhosting gratisan 000webhost yang berisi username, email dan password telah diretas! Total ada 13 juta informasi pribadi konsumen yang berhasil diekspos ke publik melalui forum-forum darknet, termasuk punya saya. Yang lebih menyedihkannya lagi, semua informasi tersebut dapat dilihat dengan mata telanjang karena 000webhost menyimpannya dalam bentuk plain text dan tidak terenkripsi.

Walaupun berita 000webhost diretas adalah berita lama karena telah terjadi pada tahun 2015 lalu namun saya baru mengetahuinya baru-baru ini. Dengan kata lain username, email dan password saya telah diketahui dan beredar luas di internet selama 3 tahun.

Saya pun kembali merenung karena memang dulu ketika kuliah saya pernah menggunakan layanan 000webhost untuk belajar hosting. Bodohnya saya, informasi yang saya berikan ketika proses registrasi adalah dengan memasukkan alamat email yang diretas tersebut dan dengan password yang sering saya gunakan.

Karena saya orang Indonesia, selalu ada alasan untuk mengatakan “Untung”. Untungnya, sekitar tahun 2014 –1 tahun sebelum 000webhost diretas– saya sudah mengganti password yang diretas tersebut sehingga walaupun password yang ditulis di dalam email retasan di atas adalah benar namun password tersebut tidak dapat digunakan lagi. Saya tidak bisa membayangkan bagaimana jadinya kalau saya masih tetap menggunakan password lama itu.

Kenapa baru sekarang saya mendapatkan email ancaman padahal data saya sudah bocor dari 3 tahun lalu? Sekali lagi situs Hacked Email berjasa menjawabnya. Seperti yang telah saya tulis sebelumnya, bahwa akun email retasan tersebut masuk ke dalam 8 database dan database terbaru yang beredar di internet tercatat pada bulan Agustus 2018. Dari database itulah para spoofer mulai melancarkan aksinya.

Dalam database bulan Agustus 2018 yang bernama NewBase 30GB Dumps Pro terdapat 112,8 juta alamat email dan password yang telah berhasil dicuri dari berbagai aksi. Itu baru dari 1 database saja, belum lagi database-database sebelumnya yang bahkan bisa berisi sampai 2,9 miliar email dan password curian. Bisa dibayangkan betapa banyaknya email dan password orang-orang yang berhasil dicuri bahkan mungkin sebagian dari pemiliknya tidak menyadari bahwa akun mereka telah dicuri.

Jika alamat email dan password anda telah dicuri maka informasi tersebut akan selalu masuk ke dalam daftar database-database seperti contoh di atas. Database tersebut ibarat kompilasi dan kombinasi dari semua alamat email curian yang akan selalu diupdate oleh pencurinya. Menariknya lagi, database tersebut diperjualbelikan di forum-forum hacking darknet.

Jika dibuat analogi, kasus ini persis seperti sales kartu kredit yang sering menelpon nasabah bermodalkan rekapan database nasabah dari oknum pegawai bank yang nakal atau SMS-SMS penipuan yang masuk ke ponsel anda bermodalkan rekapan daftar nomor-nomor yang isi ulang pulsa di counter-counter nakal.

Kesimpulan dari identifikasi masalah ini adalah bahwa pada dasarnya akun email saya tidak diretas oleh orang lain. Akun email dan password dapat diketahui oleh orang lain karena situs 000webhost –tempat saya dulu daftar layanan hosting gratis– yang menyimpan informasi pribadi saya tersebut telah diretas sehingga menyebabkan bocornya data 13 juta pelanggan 000webhost.

Kenapa Saya Tidak Percaya Modus Penipuan Ini?

Sejujurnya ketika pertama kali mendapatkan email seperti itu, di dalam hati kecil saya sudah ada perasaan ketidakpercayaan karena memang tidak semudah itu seseorang bisa mendapatkan informasi pribadi sensitif seperti alamat email dan password. Namun hal-hal berikut inilah yang pada akhirnya menyakinkan saya bahwa semuanya adalah omong kosong.

1. Penipu Menggunakan Modus Email Spoofing

OK, poin pertama ini adalah salah satu teknik “pancingan” yang cukup berhasil hampir mengelabui saya. Seperti contoh screenshot email di atas, alamat email dikirimkan dari alamat akun email saya sendiri. Jadi seolah-olah mereka berhasil masuk ke akun email dan mengirimkan email ke alamat email saya sendiri padahal tidak.

Teknik mengelabui penerima dengan menyamarkan kolom Mail From, From atau Reply To seolah-olah dari pengirim yang asli dinamakan Email Spoofing. Teknik ini sudah sangat lazim digunakan oleh penipu untuk mencuri data penerima dengan memanfaatkan kelengahan penerima yang mengira bahwa pengirim adalah orang yang mereka kenal karena alamat email yang digunakan sama persis dengan yang ada di daftar kontak.

Contoh:

Saya mengirimkan sebuah email kepada ibu@keluargacemara.com dengan menuliskan From dari ayah@keluargacemara.com yang berisi agar Ibu segera mentransfer sejumlah uang ke rekening XXX karena ayah baru saja kecelakaan dan sekarang sedang dirawat di Rumah Sakit. Ibu yang cemas karena menerima email dari ayah@keluargacemara.com tanpa pikir panjang segera ke ATM dan mentransfer uang ke rekening XXX tersebut. Padahal ayah sedang kerja di kantor pada saat itu.

Saya yang tidak kenal dengan Ayah atau Ibu dari Keluarga Cemara namun berhasil mendapatkan alamat email ayah dan ibu dapat dengan mudah menipu keduanya hanya bermodalkan sebuah aplikasi pengirim email sederhana seperti, PHP Mailer.

Parahnya lagi, Email Spoofing ini tidak bisa dihentikan dengan cara tertentu karena struktur email memang didesain seperti itu dari awal yaitu setiap email yang terkirim pasti ada Envelope, Message Header dan Message Body. Di bagian Envelope-lah setiap orang bisa melakukan dan menuliskan alamat asal email apapun yang mereka mau.

Kasus di atas adalah contoh bagaimana email memiliki celah yang masih dapat digunakan untuk menipu orang lain. Itulah kenapa lapisan pengamanan untuk akun email anda harus diperketat apalagi jika anda menggunakan layanan email dengan domain sendiri.

Jadi dengan mengetahui celah dalam struktur email dan mempelajari bagaimana Email Spoofing bekerja maka hampir dapat dipastikan saya terkena imbas dari hal tersebut.

2. Penipu Memanfaatkan Metode Social Engineering

Apa reaksi anda ketika pertama kali menerima sebuah email dari akun email anda sendiri yang berisikan ancaman akan menyebarkan semua data informasi pribadi anda –bahkan yang paling sensitif sekalipun– ke daftar kontak atau ke orang lain di internet jika anda tidak membayar mereka dengan sejumlah uang ? Tentu saja anda akan cemas, takut dan bingung.

Hal ini yang ingin dicapai oleh para penipu dengan memanfaatkan kelemahan alami manusia, ketakutan. Dengan anda merasa takut diharapkan anda tidak dapat berpikir jernih dan pada akhirnya menuruti ancaman mereka dengan mengirimkan uang yang diminta.

Ancaman mereka pun sebenarnya logis karena mereka telah menanamkan malware di komputer anda dan berhasil masuk ke dalam sistem komputer sehingga semua data yang tersimpan di komputer telah berpindah tangan. Belum lagi, ancaman jika mereka sukses merekam anda melalui webcam di komputer atau telah berhasil mendapatkan daftar riwayat penelusuran browsing internet, termasuk situs-situs yang tidak seharusnya anda kunjungi. Semua itu tentu menambah rasa kekhawatiran bahwa hidup anda telah berakhir.

Mari kita berpikir logis. Anggap saja jika memang penipu tersebut telah berhasil masuk ke sistem anda dan telah mendapatkan semua file-file berharga dan sensitif yang disimpan di harddisk maka sekarang pertanyaannya bagaimana mereka mentransfer itu semua tanpa koneksi internet?

Jika semua file yang anda simpan di komputer sebesar 500GB maka anda harus memiliki koneksi internet unlimited minimal 50 MBps untuk proses unggah dari komputer anda ke komputer penipu agar bisa selesai kurang dari 24 jam. Lah bagaimana bisa sukses terunggah jika anda hanya punya koneksi internet modal tethering dari ponsel menggunakan paket internet Tri kuota 2.5GB sehari di dalam jaringan HSDPA? 😀

Kalau saya baca-baca kembali email retasan tersebut rasanya ingin tertawa karena banyak sekali hal-hal yang sebenarnya tidak masuk akal. Misalkan;

• Penipu telah menyelipkan script/pixel khusus yang memberitahukan mereka bahwa email telah dibaca oleh anda. (add-on dari Gmail juga ada seperti itu)
• Penipu mengatakan jika dalam waktu 2×24 jam mereka tidak menerima pembayaran uang dalam bentuk BitCoin maka semua data dalam komputer akan hilang dan otomatis terkirim ke daftar kontak dan orang lain di internet.

Dengan metode Social Engineering ini pula mereka mengancam calon-calon korban bahwa mereka telah diretas padahal yang mereka lakukan tidak lebih dari membeli database-database hasil retas dari orang lain yang berisikan alamat dan password curian.

Pencegahan Penipuan Email Spoofing

Satu hal yang harus diperhatikan ketika kita mendapati bahwa sedang ditipu dengan meggunakan metode Email Spoofing adalah jangan mudah percaya. Email Spoofing bukanlah teknik penipuan internet yang canggih karena orang yang tidak mengerti sekalipun bisa saja menipu anda dengan hanya menuliskan alamat From di bagian envelope email (surat elektronik).

Walaupun sangat sederhana namun Email Spoofing terbukti telah banyak membuat orang tertipu karena mereka merasa kenal dengan pengirim atau merasa takut karena informasi dan kehidupan pribadi mereka terbongkar oleh orang lain. Itulah kekuatan social engineering. Anda tertipu bukan karena email tapi karena anda sendiri.

Oleh sebab itu, bagi anda, khususnya, yang mengelola email dengan domain sendiri sudah seharusnya memperkuat pengamanan untuk menjamin bahwa email-email anda bersih dari serangan dan incaran orang-orang tidak bertanggung jawab.

Untuk bagaimana proses dan cara mengamankan email pribadi anda akan saya tulis dengan rinci di artikel berikutnya.

Semoga membantu.