Social Enginering

Tipe Social Engineering

Pada dasarnya teknik social  engineering dapat dibagi  menjadi  dua jenis, yaitu: berbasis
interaksi  sosial  dan berbasis  interaksi  komputer. Berikut adalah sejumlah teknik  social
engineering yang biasa dipergunakan oleh kriminal, musuh, penjahat, penipu, atau mereka
yang memiliki intensi tidak baik. Dalam skenario ini yang menjadi sasaran penipuan adalah
individu yang bekerja di divisi teknologi  informasi perusahaan. Modus operandinya sama,
yaitu melalui medium telepon.

Jenis Social Engineering :
Karena sifatnya yang sangat “manusiawi” dan memanfaatkan interaksi sosial, teknik-teknik
memperoleh informasi rahasia berkembang secara sangat variatif. Beberapa contoh adalah
sebagai berikut:
1.Ketika seseorang memasukkan password di  ATM  atau di  PC, yang bersangkutan
“mengintip” dari belakang bahu sang korban, sehingga karakter passwordnya dapat
terlihat;
2.Mengaduk-ngaduk  tong  sampah tempat pembuangan kertas  atau dokumen kerja
perusahaan untuk mendapatkan sejumlah informasi penting atau rahasia lainnya;
3. Menyamar  menjadi  “office boy”  untuk  dapat  masuk  bekerja ke  dalam kantor
manajemen atau pimpinan puncak perusahaan guna mencari informasi rahasia;
4. Ikut masuk ke dalam ruangan melalui  pintu keamanan dengan cara “menguntit”
individu atau mereka yang memiliki akses legal;
5. Mengatakan secara meyakinkan bahwa yang bersangkutan terlupa membawa I D-Card
yang berfungsi sebagai kunci akses sehingga diberikan bantuan oleh satpam;
6. Membantu  membawakan  dokumen  atau  tas  atau  notebook  dari  pimpinan  dan
manajemen dimana pada saat lalai yang bersangkutan dapat memperoleh sejumlah
informasi berharga;
8. Melalui chatting di dunia maya, si penjahat mengajak ngobrol calon korban sambil
pelan-pelan berusaha menguak sejumlah informasi berharga darinya;
9. Dengan menggunakan situs social networking –  seperti facebook, myspace, friendster,
dsb. –  melakukan diskursus dan komunikasi yang pelan-pelan mengarah pada proses
“penelanjangan” informasi rahasia;
10. dan lain sebagainya.

Target Korban Social Engineering
 
Statistik memperlihatkan, bahwa ada 4 (empat) kelompok individu di perusahaan yang kerap
menjadi korban tindakan social engineering, yaitu:
1. Receptionist dan/atau Help Desk sebuah perusahaan, karena merupakan pintu masuk
ke dalam organisasi yang relatif memiliki data/informasi lengkap mengenai personel
yang bekerja dalam lingkungan dimaksud;
2. Pendukung teknis dari divisi teknologi informasi –  khususnya yang melayani
pimpinan dan manajemen perusahaan, karena mereka biasanya memegang kunci
akses penting ke data dan informasi rahasia, berharga, dan strategis;
3. Administrator sistem dan pengguna komputer, karena mereka memiliki otoritas untuk
mengelola manajemen password dan account semua pengguna teknologi informasi di
perusahaan;
4. Mitra kerja atau vendor perusahaan yang menjadi target, karena mereka adalah pihak
yang menyediakan berbagai teknologi beserta fitur dan kapabilitasnya yang
dipergunakan oleh segenap manajemen dan karyawan perusahaan; dan
5. Karyawan baru yang masih belum begitu paham mengenai prosedur standar
keamanan informasi di perusahaan.

Solusi Menghindari Resiko

Setelah mengetahui isu social engineering di atas, timbul pertanyaan mengenai bagaimana
cara menghindarinya. Berdasarkan sejumlah pengalaman, berikut adalah hal-hal yang biasa
disarankan kepada mereka yang  merupakan pemangku  kepentingan aset-aset informasi
penting perusahaan, yaitu:
? Selalu hati-hati dan mawas diri dalam melakukan interaksi di dunia nyata maupun di
dunia  maya.  Tidak  ada salahnya  perilaku  “ekstra hati-hati”  diterapkan  di  sini
mengingat informasi merupakan aset sangat berharga yang dimiliki oleh organisasi
atau perusahaan;
1.Organisasi  atau  perusahaan  mengeluarkan  sebuah  buku  saku  berisi  panduan
mengamankan informasi  yang mudah dimengerti dan diterapkan oleh pegawainya,
untuk mengurangi insiden-insiden yang tidak diinginkan;
2. Belajar dari buku, seminar, televisi, internet, maupun pengalaman orang lain agar
terhindar dari berbagai penipuan dengan menggunakan modus social engineering;
3. Pelatihan dan sosialisasi dari perusahaan ke karyawan dan unit-unit terkait mengenai
pentingnya mengelola keamanan informasi melalui berbagai cara dan kiat;
4. Memasukkan unsur-unsur keamanan informasi  dalam standar prosedur operasional
sehari-hari –  misalnya “clear table and monitor policy” - untuk memastikan semua
pegawai melaksanakannya; dan lain sebagainya.
Selain usaha yang dilakukan individu tersebut, perusahaan atau organisasi yang bersangkutan
perlu pula melakukan sejumlah usaha, seperti:
5. Melakukan analisa kerawanan sistem keamanan informasi yang ada di perusahaannya
(baca: vulnerability analysis);
6. Mencoba  melakukan  uji  coba  ketangguhan  keamanan  dengan  cara  melakukan
“penetration test”;
7. Mengembangkan kebijakan, peraturan, prosedur, proses, mekanisme, dan standar
yang harus dipatuhi seluruh pemangku kepentingan dalam wilayah organisasi;
8. Menjalin kerjasama dengan pihak ketiga seperti vendor, ahli  keamanan informasi,
institusi penanganan insiden, dan lain sebagainya untuk menyelenggarakan berbagai
program dan  aktivitas  bersama  yang  mempromosikan  kebiasaan  perduli  pada
keamanan informasi;
9. Membuat standar  klasifikasi  aset informasi  berdasarkan tingkat kerahasiaan dan
nilainya;
10. Melakukan audit secara berkala dan berkesinambungan terhadap infrastruktur dan
suprastruktur  perusahaan  dalam  menjalankan  keamanan  inforamsi;  dan  lain
sebagainya.