SOSIAL ENGINEERING

Social engineering adalah pemerolehan informasi atau maklumat rahasia/sensitif dengan cara menipu pemilik informasi tersebut. Social engineering umumnya dilakukan melalui telepon atau Internet. Social engineering merupakan salah satu metode yang digunakan oleh hacker untuk memperoleh informasi tentang targetnya, dengan cara meminta informasi itu langsung kepada korban atau pihak lain yang mempunyai informasi itu.Social engineering mengkonsentrasikan diri pada rantai terlemah sistem jaringan komputer, yaitu manusia. Seperti kita tahu, tidak ada sistem komputer yang tidak melibatkan interaksi manusia. Dan parahnya lagi, celah keamanan ini bersifat universal, tidak tergantung platform, sistem operasi, protokol, software ataupun hardware. Artinya, setiap sistem mempunyai kelemahan yang sama pada faktor manusia. Setiap orang yang mempunyai akses kedalam sistem secara fisik adalah ancaman, bahkan jika orang tersebut tidak termasuk dalam kebijakan kemanan yang telah disusun. Seperti metoda hacking yang lain, social engineering juga memerlukan persiapan, bahkan sebagian besar pekerjaan meliputi persiapan itu sendiri.dan Social Engineering Sebuah Pendekatan Favorit Pembuat Virus Komputer, atau Rekayasa Sosial, bila diterjemahkan ke
dalam bahasa tercinta kita, bahasa Indonesia. Social Engineering merupakan sebuah pendekatan favorit para pembuat
virus komputer (untuk selanjutnya disebut virus saja). Social Engineering merupakan teknik yang memanfaatkankelengahan pengguna komputer karena sudah terbiasa akan pengaturan default komputer atau sesuatu hal yang “eyecatching” atau yang dapat membuat penasaran.Mengapa social engineering menjadi pilihan para pembuat virus? ?! Nah, sebelum hal itu terjawab, mari kita lihat
bagaimana siklus hidup sebuah virus sehingga dia dapat menginfeksi sebuah komputer dan menularkannya ke
komputer yang lain. Virus sebenarnya adalah sebuah program komputer (aplikasi komputer) biasa, seperti halnya
Microsoft Word, Solitaire, Calculator dan berbagai program komputer lainnya. Bedanya, virus ini mempunyai sebuah sifat
destruktif dan dapat menggandakan dirinya. Berbeda dengan worm atau trojan horse yang hanya membuka celah
keamanan sebuah komputer agar dapat diambil alih oleh pengguna komputer pengirim worm atau trojan horse. Worm
atau trojan horse tidak dapat menggandakan dirinya seperti virus. Nah, karena virus adalah program komputer, maka
perlu campur tangan pengguna komputer untuk mengaktifkannya. Sama seperti bila kita ingin menjalankan program
Microsoft Word, maka kita perlu meng-klik ganda icon Microsoft Word yang sebenarnya merupakan shortcut untuk
mengeksekusi program WINWORD.EXE yang terletak di lokasi “C:\Program Files\Microsoft Office\OFFICE11″ (untuk
Microsoft Office 2003). Dari sini dapat disimpulkan bahwa apabila virus terdapat pada flash disk, disket atau CDROM,
maka virus tersebut masih dalam keadaan diam, belum dapat menyebarkan atau merusak sistem komputer anda. So,
anda ga usah terlalu takut bila teman anda ingin mencolokkan flash disk ke komputer anda.
Setelah tau siklus sebuah virus, maka kita mengetahui bahwa agar virus aktif, virus tersebut harus dieksekusi terlebih
dahulu dengan cara diklik ganda. Dan yang dapat mengaktifkannya adalah pengguna komputer itu sendiri. Hal ini
merupakan rahasia umum para pembuat virus. Agar pengguna “mau” mengklik ganda virus tersebut, maka pembuat
virus memanfaatkan kelengahan dan rasa penasaran para pengguna komputer. Contohnya dengan membuat nama file
virus tersebut adalah “foto bugil.jpg.exe”, “dokumen penting.doc.exe”, “jangan dihapus.doc.exe”, “agnes monica.exe”
dan lain-lain. Icon juga dimanfaatkan oleh pembuat virus. Icon untuk file yang bertipe *.exe (kadang-kadang bertipe
*.com, *.bat, *.scr) atau aplikasi adalah sebuah window kecil berwarna putih dengan bingkai biru. Oleh pembuat virus,
icon ini diubah menjadi icon untuk file gambar (*.jpg) atau icon untuk file Microsoft Word (*.doc). Contoh social engineering yang menarik bisa dilihat pada kasus virus Brontok, sebuah virus yang akhir-akhir ini menjadi
populer, bahkan semakin hari, versi update virus ini semakin ganas dan teknik social engineering yang digunakan
semakin canggih. Terus terang, saya salut dengan ide social engineering yang dimiliki oleh pencipta virus Brontok ini.
Two thumbs up for u bro! Pada awal kemunculan virus brontok, virus ini memanfaatkan kelengahan pengguna komputer
yang terbiasa mengklik ganda icon folder dan setting Windows Explorer yang menyembunyikan tipe file dan ektensi
sebuah file. Virus Brontok menyembunyikan dirinya dibalik topeng icon folder, sehingga kemungkinan besar pengguna
komputer akan mengklik ganda icon tersebut yang sebenarnya adalah virus! :(( Tetapi, seiring perkembangan dan
pengetahuan pengguna komputer akan teknik ini, maka setting di windows explorer diubah agar menampilkan tipe file.
Apabila ternyata terdapat icon folder dan tipe file adalah “File Folder” maka file tersebut bukan virus melainkan folder
biasa, tetapi bila tipe file adalah “Application”, maka tidak diragukan lagi bahwa file tersebut adalah virus. Pengguna
komputer yang semakin pintar membuat pembuat virus brontok ini tidak kehilangan ide. Maka dicarilah teknik baru, yaitu
mengubah setting default tipe file aplikasi (*.exe) yang sebelumnya adalah “Application” menjadi “File Folder”, agar
pengguna komputer terkecoh. Bila sudah begini, pengguna komputer yang berhati-hati pun dapat dikelabui. Untuk kasus
ini, virus dapat dikenali dengan mengubah setting pada Windows Explorer, yaitu dengan memunculkan ekstensi dari tiaptiap
file. Pengaturan ini dapat diubah melalui Tools > Folder Options pada tab View. Bila file dengan icon folder tidak
terdapat ekstensi apa-apa, maka file tersebut murni folder. Sebaliknya bila terdapat ektensi *.exe (dalam kasus lain
kemungkinan terdapat ekstensi lain seperti *.scr, *.bat, *.com), maka dapat dipastikan bahwa file tersebut adalah virus
yang apabila anda berbaik hati mendobel klik file tersebut maka pembuat virus akan sangat berterima kasih kepada
anda karena telah mengaktifkan virus buatannya.
Social engineering memang menarik, dan masih banyak lagi teknik-teknik social engineering yang dibuat oleh para
pembuat virus. Intinya, sebagai pengguna komputer kita harus waspada, jangan sampai sembarangan membuka file
yang tidak jelas.
Social engineering dapat dibagi menjadi dua tipe :
1. Social engineering yang didasarkan pada sisi manusianya (human based social engineering)2. Social engineering yang didasarkan pada sisi teknis atau komputernya (computer based social engineering)
Human based social engineering melibatkan interaksi antara manusia yang satu dengan yang lainnya.
Sementara computer based social engineering bergantung pada software yang digunakan untuk mengumpulkan data atau informasi yang diperlukan.
Gartner Research mencatat bahwa ada enam sifat manusia yang dapat dimanfaatkan untuk melakukan proses social engineering:
- Reciprocation (Timbal Balik)
Contoh: Kita cenderung untuk membeli suatu produk tertentu setelah diberikan sample gratis sebelumnya.
- Consistency (Konsistensi)
Contoh: Pada saat kita sedang mengajukan suatu pertanyaan dan menunggu beberapa saat, orang yang ada di sekitar kita akan berusaha untuk mengutarakan suatu komentar atau berusaha untuk menjawab.
- Social Validation (Validasi Sosial)
Contoh: Umumnya kita cenderung untuk mengikuti apa yang dilakukan oleh orang lain.
Liking (Kesukaan)
Contoh: Kita cenderung untuk mengatakan “ya” atau “setuju” kepada orangorang yang dekat dengan kita atau pada orang yang kita suka.
- Authority (Kekuasaan)
Contoh: Kita cenderung untuk mengikuti atau menuruti anjuran atau saran dari orang yang memiliki kedudukan atau posisi yang cukup tinggi.
- Scarcity (Kelangkaan)
Contoh: Kita cenderung lebih menghargai sesuatu atau menjadi lebih menginginkan sesuatu yang jarang ada atau langka di pasaran.
Human based social engineering dapat dikategorikan menjadi lima jenis :
- Impersonation (Pemalsuan)
Contoh: Cracker menyamar sebagai salah seorang karyawan dari suatu perusahaan, petugas kebersihan, kurir pengantar barang, dan sebagainya.
- Important User (Menyamar sebagai orang penting)
Contoh: Cracker menyamar sebagai seorang yang memiliki kedudukan tinggi di perusahaan dan kemudian berusaha untuk meng-intimidasi karyawan atau bawahannya untuk mengumpulkan informasi dari mereka.
- Third Party Authorization (Pemalsuan otorisasi)
Contoh: Cracker berusaha meyakinkan target atau korbannya untuk memberikan informasi yang diperlukan dengan mengatakan bahwa ia telah diberi otorisasi
penuh oleh seseorang untuk menanyakan hal tersebut.
- Technical Support (Menyamar sebagai bagian technical support)
Contoh: Cracker menyamar sebagai salah satu dari tim teknisi dan berusaha mengumpulkan informasi dari korbannya.
- In Person (Mendatangi langsung ke tempat korban)
Contoh: Cracker mendatangi langsung tempat atau lokasi korbannya untuk mengumpulkan informasi dari lokasi di sekitar tempat korbannya, antara lain dengan menyamar sebagai petugas kebersihan dan mencari atau mengumpulkan data/informasi dari tempat sampah yang ada di tempat korban (dumpsterdiving), atau berusaha melihat sekeliling pada saat user sedang mengetikkan password di komputernya (shoulder surfing).
Beberapa aturan yang dapat mencegah atau setidaknya mengurangi akibat atau kerusakan yang dapat terjadi pada human based social engineering adalah:
- Semua pengunjung yang bukan karyawan internal dari perusahaan harus selalu dikawal selama berada di dalam perusahaan.
- Segera laporkan apabila secara tibatiba perusahaan Anda kedatangan tamu yang mengaku sebagai petugas kebersihan, atau siapa saja yang datang tanpa ada pemberitahuan terlebih dahulu. Periksa dengan teliti identitas mereka.
- Kunci selalu ruangan tempat penyimpanan data atau peralatan penting, seperti server, pabx, ruang filing, dan sebagainya.
- Buat daftar inventaris dari semua barang yang ada di dalam perusahaan. Lakukan pemeriksaan dan laporkan setiap kehilangan barang yang terjadi.
Computer based social engineering dapat dikategorikan menjadi empat jenis:
- Mail/IM (Instant Messenger Attachment)
Setiap karyawan umumnya sering atau setidaknya pernah menggunakan software e-mail atau instant messenger (chatting). Melalui fasilitas semacam itu seorang cracker dapat dengan mudah mengirimkan suatu file attachment berisi trojan, virus atau worm dengan tujuan untuk mengumpulkan data atau informasi dari komputer korban.
- Pop-Up Windows
Cracker dapat membuat suatu software untuk menipu user agar memasukkan username dan password miliknya dengan menggunakan pop-up window pada saat
user sedang menggunakan komputer.
- Websites
Cracker dapat membuat suatu website tipuan untuk menarik user agar memasukkan alamat e-mail dan password pada saat mendaftar (register) untuk memperoleh
hadiah, misalnya. Biasanya password yang digunakan oleh kebanyakan user adalah sama dengan password yang digunakan di PC kantor.
- Spam Email
Cracker dapat mengirimkan e-mail berisi attachment yang mengandung virus atau trojan. Virus atau trojan ini dapat dimanfaatkan untuk mengumpulkan informasi
yang terdapat di komputer user (korban).