Peretas yang terkait dengan intelijen Rusia secara aktif menyusupi akun Signal dan WhatsApp yang digunakan oleh pejabat pemerintah AS, personel militer, politisi, dan jurnalis, menurut peringatan dari FBI dan badan keamanan siber. Ini bukan sekadar peretasan acak; ini adalah kampanye terkoordinasi untuk mendapatkan akses ke komunikasi sensitif dengan memanfaatkan teknik phishing yang dasar namun efektif.
Cara Kerja Serangan: Meniru Identitas Dukungan
Para penyerang menyamar sebagai akun dukungan sah di Signal dan WhatsApp, mengirimkan pesan yang secara palsu mengklaim aktivitas login yang mencurigakan. Korban kemudian ditipu untuk membagikan kode verifikasi atau PIN, yang segera memberi peretas kendali penuh atas akun yang disusupi. Begitu masuk, peretas dapat menyamar sebagai korban, mengirimkan tautan phishing lebih lanjut ke kontak mereka, dan berpotensi meningkatkan serangan.
“Kewaspadaan pengguna pada akhirnya adalah pertahanan terbaik melawan phishing,” tulis Signal sebagai tanggapan atas serangan tersebut.
Mengapa Aplikasi Ini? Daya Tarik Saluran Aman
Pemilihan Signal dan WhatsApp memang disengaja. Kedua platform tersebut dikenal dengan enkripsi end-to-end, menjadikannya populer di kalangan pejabat yang membutuhkan komunikasi aman. Ketertarikan Rusia pada Signal, sebagaimana dicatat oleh badan intelijen Belanda, berasal dari reputasinya sebagai saluran yang andal dan independen, sehingga menjadikannya target pengawasan yang bernilai tinggi.
Apa Kata Lembaga: Peringatan Terkoordinasi
FBI dan Badan Keamanan Siber dan Infrastruktur (CISA) mengeluarkan pernyataan bersama minggu lalu yang memperingatkan skema ini. Peringatan serupa juga telah dikeluarkan oleh lembaga-lembaga di Portugal, Belanda, dan Perancis, yang menunjukkan adanya upaya luas dan terkoordinasi untuk menyusup ke saluran pesan aman. Terlepas dari serangan-serangan ini, Signal menegaskan bahwa infrastrukturnya tetap tidak dapat dikompromikan.
Cara Melindungi Diri: Langkah Sederhana
Badan-badan tersebut merekomendasikan untuk memperlakukan pesan yang tidak diminta dengan sangat curiga. Blokir dan segera laporkan pengirim yang tidak dikenal. Aktifkan semua fitur keamanan yang tersedia dalam aplikasi perpesanan, termasuk autentikasi dua faktor jika memungkinkan. Jangan pernah membagikan kode verifikasi atau PIN sebagai respons terhadap permintaan yang tidak diminta, meskipun tampaknya berasal dari dukungan resmi.
Jenis kampanye phishing ini menyoroti tren yang sedang berkembang: bahkan platform terenkripsi pun rentan jika pengguna tertipu oleh taktik rekayasa sosial. Serangan-serangan ini menggarisbawahi pentingnya kewaspadaan dan skeptisisme yang terus-menerus ketika berinteraksi dengan komunikasi online.
