Phishing Attack Simulation Melalui Penetration Testing Berbasis Email

5/5 - (1 vote)

Perkembangan teknologi memang menawarkan berbagai kemudahan dan hal-hal menarik yang bisa kamu coba. Tapi celah keamanan di dunia digital belum menemukan jawaban pasti persoalan keamanannya terutama dari ancaman phishing.

Ancaman phishing merupakan serangan siber yang biasanya ditujukan kepada seseorang atau kelompok, agar bisa mengakses informasi data secara ilegal untuk disalahgunakan dengan cara menipu. Biasanya untuk melancarkan aksi phishing dilakukan dengan pesan, situs web palsu atau lewat panggilan suara menyamar sebagai perusahaan atau organisasi resmi.

Dalam perannya pada keamanan informasi, ancaman phishing memang sangat mengkhawatirkan dan perlu kehati-hatian untuk menghindarinya. Sebab ancaman phishing menjadi semakin meningkat seiring dengan kemajuan teknologi, meski hal itu juga dipengaruhi oleh faktor ketidaktahuan atau kelalaian dari pemilik informasi yang memberikan akses awal kepada pelaku phishing.

Tapi jangan terlalu khawatir, ancaman phishing boleh dilakukan dengan banyak cara. Namun, juga ada cara agar individu ataupun organisasi bisa menghindari ancaman phishing dengan memunculkan sikap hati-hati. Hal tersebut akan dibahas di dalam artikel ini, dengan tujuan memberikan pemahaman mengenai bagaimana menggunakan simulasi phishing melalui penetration testing berbasis email. Sebagai langkah bijak mengenal phishing di dunia nyata, dan menanamkan sikap kehati-hatian dengan mensimulasikan serangan phishing di lingkungan aman dan terkontrol tentunya.

Phishing Attack: Konsep Dasar

Phishing merupakan bentuk serangan siber yang ditujukan untuk menipu individu, perusahaan, ataupun organisasi dimana menjadi target sedari awal. Biasanya, pelaku memasang umpan kepada calon korbannya dengan menggunakan pesan atau situs Web palsu. Bentuk cara penipuan sering menggunakan entitas terpercaya, seperti bank, situs pemerintah atau perusahaan.

Tujuan dari ancaman phishing tidak jauh-jauh dari upaya menipu dalam mencuri informasi yang menimbulkan kerugian bagi korban. Korban akan dipancing agar bisa memberikan informasi sensitif, yang umumnya dikaitkan dengan nomor kartu kredit, sandi, dan lainnya.

Untuk memancing korban teknik-teknik umum yang digunakan dalam serangan phishing juga bervariasi. Pelaku ancaman phishing bisa melancarkan serangan melalui:

Email Phishing : pesan palsu menautkan link Web palsu dengan memanfaatkan pesan di email kepada pelaku yang ditargetkan.
Spear Phishing : penyerangan phishing lebih ditargetkan kepada korban yang diincar. Cara penargetkan juga dilakukan dengan melakukan persiapan, seperti mencari informasi diri sebanyak mungkin dari korban. Hal ini dilakukan untuk menyakinkan korban dengan membuat pesan atau situs Web palsu.
Vishing atau Voice phishing: sesuai dengan namanya dilakukan dalam upaya menipu melalui panggilan suara atau pesan. Aksi phishing umumnya dilakukan dengan menyamar sebagai pihak terpercaya menurut korban, agar bisa memberikan informasi yang berguna bagi pelaku.
Smishing atau SMS phishing : dilakukan dengan cara mengirimkan SMS. SMS yang dikirimkan pelaku berisi tautan ataupun instruksi diarahkan untuk melancarkan aksi penipuan.
Clone Phishing : Salinan email yang sah disalahgunakan dengan pelaku menyalinkannya dan menukar tautan link. Kemudian tautan link dikirim kepada calon korban untuk menghindari kecurigaan.
Pharming : Serangan phishing juga bisa dilakukan tanpa pelaku repot-repot mengirimkan pesan phishing. Hal itu dapat melalui manipulasi server DNS ataupun teknik lainnya. Cara kerjanya ialah dengan mengalihkan lalu lintas internet yang awalnya dari situs Web sah ke Web palsu.
Man In The Middle Phishing : ancaman phishing bisa dilakukan dengan menyusup diantara dua pembicaraan atau pesan, kemudian menyadap data di antara kedua korbannya. Atau juga dengan memodifikasi infomasi selama transmisi.
Search Engine Phishing : Mesin telusur internet juga bisa dimanfaatkan dalam penyerangan phishing dengan memanipulasi hasil pencarian di mesin penelusuran. Lalu, menautkan tautan situs Web palsu untuk menarik sebanyak mungkin informasi dengan mengelabui pengguna yang mencari suatu topik tertentu.
Link Manipulation : URL shortening atau tautan yang seolah-olah sah tapi palsu diciptakan untuk melakukan aksi penipuan.
Email Spoofing : Alamat pengirim email dimanipulasi agar terlihat dalam bentuk pesan yang diterima dari sumber terpercaya yang kemudian digunakan untuk aksi menipu.
Social Engineering : Pengungkapan informasi pribadi atau agar seseorang bisa melakukan tindakan tertentu dalam ancaman phishing dilakukan dengan teknik memanipulasi psikologis.
Watering Hole Phishing : Menanamkan malware atau memberikan jebakan pada situs yang sering dikunjungi calon korban aksi phishing.

Pentingnya Penetration Testing Berbasis Email

Penetration Testing berbasis email adalah teknik untuk menguji celah sistem keamanan informasi pada organisasi atau perusahaan. Lalu mengapa simulasi phishing perlu dilakukan melalui penetration testing berbasis email ? Sebab hal ini dilakukan untuk menguji seberapa besar keamanan dan kesiapan organisasi atau perusahaan dalam menjaga datanya. Untuk itu, pengujian tersebut memang ditujukan semata-mata dalam mendukung keamanan dan kesiapan penjagaan informasi di perusahaan atau organisasi.

Maka manfaat yang bisa ditawarkan dimulai dengan menguji pertahanan email perusahaan atau organisasi, mengidentifikasi kerentanan sistem, meningkatkan kewaspadaan pengguna, sebagai bentuk pelatihan keamanan seperti berhadapan langsung pada serangan phishing di dunia nyata, mendeteksi rantai serangan yang berpotensial, bentuk evaluasi respons keamanan, menguji bagaimana kesiapan respons dari bentuk ancaman phishing, dan meningkatkan kesadaran secara keseluruhan betapa berbahayanya ancaman phishing.

Kemudian, bentuk manfaat tersebut membentuk tujuan untuk peningkatan dari faktor penilaian respon dan kewaspadaan karyawan, keamanan, pengujian serta evaluasi email perusahaan atau organisasi dari serangan phishing secara berkelanjutan.

Langkah-langkah Persiapan

Identifikasi Target dan Sasaran Simulasi

Identifikasi target dan sasaran merupakan langkah dasar dalam melakukan penetration testing berbasis email. Sebab dengan mengidentifikasi target dan sasaran simulasi, perusahaan atau organisasi akan menjadi lebih mudah dalam menjaga kewaspadaan dan melihat gambaran seperti apa respons karyawan maupun anggota organisasi perihal phishing. Maka langkah-langkah yang perlu dipersiapkan dalam identifikasi target dan sasaran simulasi ialah dengan :
Menganalisis organisasi : kamu bisa memahami bagaimana struktur dan dinamika organisasi atau perusahaan. Analisis dilakukan dengan mengidentifikasi unit kerja yang berkaitan dengan kepemilikan akses ke informasi sensitif ataupun informasi berharga.
Menentukan sasaran: Tujuan simulasi dihubungkan dengan memilih kelompok sasaran yang tepat untuk dilakukannya aktivitas tersebut. Tentu kelompok sasaran melibatkan karyawan sampai staff operasional dan juga eksekutif.
Mempertimbangkan profil pengguna : berdasarkan peran dan tanggung jawab dari sasaran simulasi.
Menyesuaikan jenis serangan yang akan disimulasikan kepada profil target.
Menentukan apakah simulasi ditujukan untuk individu atau kelompok di dalam perusahaan atau organisasi
Mengidentifikasi tren serangan sebelumnya untuk dipelajari dan digunakan dalam simulasi sebagai strategi yang lebih realistis.
Mengidentifikasi departemen atau unit bisnis yang dianggap sebagai sasaran kunci berdasarkan kepentingan strategis atau akses ke data rahasia.
Memastikan keberagaman pengguna dalam pemilihan sasaran di organisasi atau perusahaan. Agar bisa mengukur respons sasaran dan tingkat kesadaran di organisasi atau perusahaan secara holistik.
Kegiatan bisnis juga dikaitkan dengan sasaran simulasi
Fokuskan pada individu atau kelompok yang memiliki hak akses kritis atau kebijakan keamanan tertinggi.
Pertimbangkan tingkat kewaspadaan dan pemahaman keamanan siber saat memilih sasaran.
Mempertimbangkan untuk menyertakan vendor atau mitra bisnis sebagai sasaran, terutama jika mereka memiliki akses ke sistem atau informasi organisasi, apabila relevan dengan simulasi.

Pemilihan Teknik dan Metode Simulasi Yang Sesuai

Untuk mencapai tujuan simulasi yang efektif dibutuhkan pemilihan teknik dan metode simulasi yang sesuai. Maka pemilihan teknik dan metode simulasi yang sesuai di antaranya :

Kamu harus menentukan tujuan utama dari menghadirkan simulasi. Penentuan tujuan berdasarkan mengukur tingkat kewaspadaan karyawan, menguji respons sistem keamanan ataupun mengidentifikasi kelemahan kebijakan.
Menentukan jenis serangan yang akan dipakai dalam simulasi.
Mempertimbangkan tren terkini dalam simulasi yang akan digunakan.
Menyesuaikan teknik sasaran dengan simulasi.
Mempertimbangkan kombinasi tautan dan lampiran.
Menyertakan unsur social engineering.
Email palsu yang digunakan dalam simulasi harus terlihat seperti layaknya ancaman phishing menggunakan email.
Pra simulasi juga dilakukan pengujian sejauh mana filter email dan mekanisme keamanan lainnya dapat mendeteksi pesan phishing palsu.
Saat memungkinkan, perusahaan atau organisasi dianjurkan untuk menyertakan pihak ketiga profesional dibidangnya dalam simulasi agar terlihat seperti lebih nyata.
Metode simulasi harus dipastikan sesuai dengan kebijakan keamanan dan etika organisasi.
Edukasi menjadi poin penting dalam simulasi.
Menentukan metode untuk menganalisis respons pengguna dan sistem terhadap serangan.
Melaksanakan variasi simulasi secara konsisten.
Melakukan pembaruan mengenai metode dan teknik simulasi berdasarkan tren.

Pengumpulan Data dan Informasi untuk Mendukung Simulasi

Pengumpulan data dan informasi yang lebih padat akan mendukung simulasi menjadi lebih realitas dan manfaat beserta tujuan bisa lebih terasa oleh perusahaan atau organisasi. Maka langkah-langkah dari pengumpulan data dan informasi dalam mendukung simulasi dapat digunakan melalui :

Memahami seluk beluk struktur organisasi atau perusahaan baik unit bisnis, department dan hierarki.
Mereview hasil penilaian risiko sebelumnya dan fokus pada area yang rentan terdampak phishing.
Mempelajari profil pengguna dalam organisasi.
Mengidentifikasi pengguna yang mempunyai akses tinggi di perusahaan atau organisasi sebagai seseorang yang dimungkinkan menjadi target phishing.
Audit dan evaluasi sistem keamanan yang ada, termasuk filter email, solusi keamanan endpoint, dan alat keamanan jaringan.
Pelajari serangan phishing yang mungkin telah dialami oleh organisasi atau industri sejenis sebagai tambahan wawasan untuk perusahaan atau organisasi.
Memahami kebijakan keamanan.
Melakukan pemetaan infrastruktur email.Karena, bisa memahami bagaimana sistem email bekerja.
Melakukan edukasi untuk meningkatkan sikap kehati-hatian dari karyawan.
Mengevaluasi kemampuan filter email dan alat keamanan lainnya untuk mendeteksi dan menghentikan serangan phishing. Identifikasi potensi kelemahan yang dapat dieksploitasi dalam simulasi.
Memahami tren serangan terkini dan lingkungan kerja. Terutama apabila perubahan yang dapat memengaruhi respon atau kewaspadaan karyawan terhadap serangan phishing.

Pelaksanaan Simulasi Phishing

Tahapan-tahapan Pelaksanaan Simulasi :

1. Perencanaan dan Persiapan
2. Mengidentifikasi target
3. Melakukan serangan dalam simulasi
4. Menganalisis dan pemantauan respon
5. Melakukan pemantauan infrastruktur
6. Melakukan umpan balik kepada peserta
7. Melaksanakan pemulihan dan analisis respons
8. Membuat laporan hasil dari simulasi
9. Perbaikan dan peningkatan dilakukan ketika menemukan rekomendasi berdasarkan simulasi
10. Pemantauan secara berkelanjutan
11. Penilaian berkelanjutan berdasarkan sistem simulasi
12. Pelatihan dan edukasi tetap dilakukan dengan konsisten

Pemilihan Skenario dan Serangan yang Sesuai :

1. Mengidentifikasi ancaman yang relevan
2. Menyesuaikan skenario berdasarkan lingkungan dan industri
3. Memilih untuk memfokuskan simulasi pada informasi yang lebih sensitif untuk segera ditangani
4. Melibatkan peristiwa terkini dengan menyesuaikannya dengan skenario khusus
5. Melakukan skenario spear phishing atau whaling
6. Mempertimbangkan serangan kombinasi
7. Memberikan konteks yang realistis
8. Mengetahui pola dan serangan yang pernah digunakan saat ancaman phishing menimpa perusahaan atau organisasi
9. Mengetahui pola serangan
10. Menguji filter email dan mekanisme keamanan
11. Memberikan variasi dalam skenario
12. Melihat sudut pandang penyerang
13. Menyesuaikan skenario dengan tujuan simulasi
14. Menjelaskan risiko yang mungkin terjadi pada anggota perusahaan atau organisasi
15. Memberikan pelatihan sebelum simulasi
16. Evaluasi kesiapan begitupun dengan respons karyawan.

Penggunaan Alat dan Teknologi Pendukung : platform simulasi phishing, alat penetration testing, alat analisis email palsu, alat pemantauan dan analisis jaringan, alat uji filter email, alat analisis malware, alat pemantauan infrastruktur, alat pelaporan dan analisis respons, alat pendukung pelatihan kesadaran keamanan, teknologi pemblokiran dan deteksi, teknologi DNS filtering, teknologi keamanan email, teknologi AI dan Machine Learning, dan sistem manajemen keamanan informasi.

Analisis Hasil Simulasi

Evaluasi Respons Pengguna Terhadap Serangan

Memantau respons pengguna dari aktivitas simulasi secara real-time.
Menganalisis secara keseluruhan mengenai tren respon pengguna. Analisis dilakukan dengan memperhatikan apakah ada pola tren tertentu dalam perilaku pengguna yang merespon serangan phishing.
Mengklasifikasikan respon pengguna didasarkan tingkat keterlibatan. Keterlibatan yang dimaksud di dalam simulasi bisa dengan adanya pengguna yang mengklik tautan atau membuka lampiran, melaporkan serangan kepada tim keamanan, dan menolak atau tidak merespons.
Saat simulasi apabila ditemukan pengguna yang melaporkan serangan, maka lakukan analisis terhadap perilaku pengguna dalam mengatasi serangan dan langkah-langkah yang diambil setelahnya. Maka diperlukan juga pertimbangan mengenai pelatihan kesadaran keamanan sebelumnya apakah memengaruhi respon pengguna pada simulasi terbaru.
Waktu rata-rata yang dibutuhkan pengguna juga perlu dianalisis dalam merespon serangan setelah menerima pesan phishing. Kemudian tinjau perbedaan waktu respon baik kelompok atau peran pengguna dalam organisasi atau perusahaan.
Evaluasi bagaimana respon maupun tindakan dari tim keamanan setelah phishing terdeteksi. Gambaran respon dari tim keamanan selanjutnya ditinjau, apakah cepat tanggap atau tidak.
Menganalisis kesadaran keamanan karyawan dan mengidentifikasi area yang memerlukan peningkatan kesadaran maupun pelatihan tambahan.
Menilai kemampuan deteksi alat keamanan.
Tinjau langkah-langkah pengguna dengan menganalisis respon dan juga termasuk langkah pencegahan.
Menganalisis variabilitas respons, begitupun dalam memerhatikan apakah ada perbedaan pada tingkat kewaspadaan maupun kemampuan identifikasi serangan.
Mengumpulkan umpan balik dari peserta simulasi
Membandingkan hasil simulasi dengan kriteria yang telah ditetapkan perusahaan atau organisasi. Kemudian, hasil simulasi dievaluasi sedemikian rupa dengan perbandingan tersebut, untuk ditetapkan apakah berhasil sesuai dengan skenario dan dalam skala waktu yang telah ditetapkan.
Meninjau peningkatan kesadaran keamanan sebagai penilaian terhadap hasil simulasi. Hasil simulasi diperhatikan apakah ada perubahan atau kebijakan setelah simulasi.
Hasil simulasi dibuat dalam bentuk laporan, yang mencakup analisis respons pengguna, evaluasi tim keamanan, dan rekomendasi perbaikan. Hasil simulasi selanjutkan diberikan rekomendasi konkret dalam meningkatkan kesiapan dan juga termasuk respons terhadap serangan phishing dimana dikhawatirkan muncul pada waktu yang akan datang.
Lakukan literasi dari hasil analisis agar bisa merancang simulasi lanjutan. Hal tersebut dilakukan secara terus menerus dengan berupaya memperbaiki kebijakan, prosedur atau jika diperlukan pelatihan yang didasarkan dari hasil simulasi sebelumnya.

Penilaian Keberhasilan Simulasi Berdasarkan Indikator Tertentu

Tingkat keterlibatan karyawan atau pengguna ikut andil dalam simulasi. Lalu persentase dihitung berdasarkan jumlah total peserta yang berinteraksi dengan pesan phishing.
Mengukur respons positif karyawan saat berhadapan dengan pesan phishing.
Mengukur karyawan melalui jumlah persentase yang melaporkan serangan phishing. Hasilnya menunjukkan sejauh mana karyawan bisa mengenal dan berupaya melaporkan serangan phishing.
Menilai waktu respon rata-rata karyawan.
Mengukur tingkat keberhasilan filter email sebagai persentase pesan phishing yang bisa dicegah.
Mengukur peningkatan pengetahuan kesadaran karyawan setelah dilakukannya simulasi.
Menilai sejauh mana karyawan mematuhi kebijakan keamanan ketika dihadapkan dengan phishing. Sebagai bentuk indikator kepatuhan karyawan dalam mengamankan informasi data untuk menjaga keamanan.
Mengukur tingkat pelaporan palsu positif dari karyawan. Hal ini akan membedakan sejauh mana karyawan bisa membedakan mana pesan yang sah, dan phishing.
Mengumpulkan umpan balik peserta simulasi dengan melibatkan pertanyaan yang berhubungan dengan tingkat kesulitan, keaslian pesan phishing dan saran perbaikan.
Mengevaluasi respons tim keamanan.
Membandingkan hasil simulasi dengan kriteria sukses yang ditetapkan perusahaan dan organisasi.
Meningkatkan kewaspadaan berkelanjutan dengan mengukur seberapa waspada karyawan terhadap serangan phishing dengan tetap meningkatkannya setelah simulasi.
Mengukur ketidakberhasilan serangan.
Mengevaluasi perubahan dalam kebijakan prosedur dari hasil simulasi.

Identifikasi Area yang Perlu Perbaikan dalam Keamanan Email

Filter email, pendidikan dan pelatihan kesadaran, pengujian ulang phishing secara konsisten, meninjau kebijakan dan prosedur keamanan terkait dengan email, pelaporan dan respon cepat, analisis log dan monitoring, penggunaan teknologi keamanan lanjutan, simulasi phishing terarah, penilaian keamanan jaringan dan sistem, pembaruan kebijakan penggunaan email pribadi, klasifikasi pesan sensitif, kontrol akses ke informasi sensitif, melakukan uji pemulihan pasca serangan, melakukan pemantauan vendor layanan keamanan email, dan pelaporan kinerja keamanan email.

Tantangan dan Solusi

Tantangan Umum dalam Melakukan Simulasi Phishing :

Sistem keamanan yang canggih, sehingga membuat pesan phishing sebagai simulasi tidak sampai kepada pengguna.
- Solusi : skenario simulasi disesuaikan untuk teknik phishing bisa tembus melewati sistem keamanan.
- Langkah–langkah: meninjau dan memperbarui aturan filter email dan memilih variasi pesan phishing yang lebih sulit untuk dideteksi.
Pengguna terlalu tergantung dengan alat keamanan sehingga memungkinkan kehilangan kewaspadaannya.
- Solusi : perusahaan atau organisasi dianjurkan untuk memberikan pelatihan kesadaran keamanan untuk meningkatkan kewaspadaan pengguna mengenai pesan phishing.
- Langkah-langkah: pelatihan yang difokuskan memang benar-benar pada pengembangan keterampilan identifikasi phishing, tanpa bergantung atau terlalu dikaitkan dengan teknologi.
Kesulitan simulasi serangan tingkat lanjut.
- Solusi: meningkatkan simulasi secara konsisten dan berdasarkan kemajuan pengguna.
- Langkah-langkah: simulasi dimulai dari dasar dan diadakan berdasarkan tingkatan kompleksitas. Pelatihan tambahan juga dilakukan.
Pembatasan penggunaan alat simulasi atau pemblokiran akses ke situs web tertentu.
- Solusi: masalah pembatasan penggunaan alat simulasi dikoordinasikan dengan tim TI dan keamanan untuk mendapatkan persetujuan atau penyesuaian kebijakan yang diperlukan.
- Langkah-langkah: mendiskusikan hasil positif yang dapat diperoleh melalui simulasi. Serta identifikasi dan atasi batasan teknis yang dapat mempengaruhi pelaksanaan simulasi.
Persepsi karyawan terhadap simulasi phishing sebagai gangguan dalam melaksanakan pekerjaannya atau dalam bentuk tambahan.
- Solusi: untuk karyawan yang mengalami gangguan maka dikomunikasikan secara teratur mengenai simulasi. Komunikasi yang dimaksud ialah tujuan dan manfaat dari program simulasi yang diberikan perusahaan atau organisasi.
- Langkah-langkah: membagikan informasi mengenai peningkatan keamanan yang telah dicapai untuk menyemangatkan karyawan. Serta memberikan umpan balik positif dari peserta sebelumnya.

Keamanan Cyber yang Berkelanjutan

Implementasi Tindakan Pencegahan dan Perbaikan Berkelanjutan : dilakukan dengan pemantauan terus menerus, pelaporan kejadian keamanan, pembaruan dan pemeliharaan berkala, pengelolaan rentang kontrol, pengelolaan akses dan identitas, analisis risiko berkala, pendidikan serta pelatihan kesadaran keamanan, audit keamanan rutin, penilaian keamanan aplikasi, pengelolaan kejadian beserta respon insiden, pemantauan jejak audit, backup rutin dan uji pemulihan, kerjasama dengan komunitas keamanan, penyaringan email dan konten, evaluasi vendor keamanan, perbaikan terus menerus, kepatuhan dan penerapan standar, manajemen perbaruan vendor, kolaborasi tim keamanan, evaluasi serta perbaikan berkelanjutan.
Pentingnya Pelaksanaan Rutin Simulasi Phishing Untuk Menjaga Keamanan Cyber membawa berbagai keuntungan diantaranya : meningkatkan kesadaran keseluruhan, menguji respon dan pelaporan, identifikasi poin lemah, dan sebagai pemantauan tingkat kewaspadaan.

Kesimpulan

Hasil simulasi phishing menawarkan berbagai keuntungan untuk meningkatkan keamanan informasi perusahaan atau organisasi. Maka temuan dari simulasi phishing mencakup evaluasi bagaimana respon dan seperti apa bentuk kewaspadaan dari karyawan.

Oleh karenanya penting melakukan integrasi simulasi phishing dalam strategi keamanan informasi. Sehingga melaluinya bisa meningkatkan kesadaran dalam menjaga informasi dari serangan phishing, sebagai upaya melatih karyawan, bentuk penilaian kesiapan, bentuk pembaruan dan perbaikan berkelanjutan, dan perusahaan bisa lebih memahami bagaimana serta seperti apa bentuk risiko yang bisa menimpa untuk dicari cara penanganannya.

Jelajahi dunia keamanan digital dengan pelatihan Penetration Testing kami. Tingkatkan keterampilan Anda, hadapi risiko, dan jadilah ahli yang diandalkan dalam melindungi sistem dan data. Daftar sekarang untuk memulai perjalanan keamanan cyber Anda!

Referensi