Email Spoofing
Memalsukan alamat pengirim email sehingga tampak berasal dari orang atau domain tepercaya, biasanya dengan mengeksploitasi domain yang tidak memiliki perlindungan SPF, DKIM, dan DMARC yang memadai.
Definisi
Email spoofing adalah tindakan memalsukan informasi pengirim dalam sebuah email, biasanya nama dan alamat 'From' yang terlihat atau envelope sender yang mendasarinya, sehingga pesan tampak berasal dari kolega, eksekutif, atau merek terkenal yang tepercaya padahal sebenarnya dikirim oleh penyerang. Ini berhasil karena protokol email asli, SMTP, tidak pernah dirancang untuk memverifikasi siapa yang sebenarnya mengirim pesan, dan hal ini masih mungkin terjadi hingga saat ini di mana pun domain penerima belum menerapkan standar autentikasi yang memeriksa keabsahan pengirim.
Spoofing mengeksploitasi celah antara apa yang secara teknis diizinkan server mail dan apa yang sebenarnya dimaksudkan pemilik domain. Tanpa catatan DNS pelindung, siapa pun dapat mengonfigurasi server mail keluar untuk menampilkan alamat 'From' apa pun yang mereka pilih, termasuk yang persis cocok dengan domain perusahaan asli, dan banyak sistem mail penerima akan mengirimkan pesan tersebut tanpa keberatan. Inilah yang membuat email yang dipalsukan begitu meyakinkan: penerima melihat nama pengirim dan domain yang familiar di kotak masuk mereka dan tidak memiliki cara mudah untuk mengetahui, hanya dengan melihat, bahwa pesan tersebut sebenarnya tidak berasal dari infrastruktur mail asli organisasi itu.
Spoofing adalah mekanisme teknis di balik sebagian besar serangan business email compromise dan brand impersonation, karena email yang dipalsukan mengaku dari CEO atau vendor terkenal jauh lebih meyakinkan dibanding email dari alamat yang jelas tidak terkait. Organisasi Indonesia yang belum sepenuhnya menerapkan SPF, DKIM, dan DMARC pada domain mereka tetap terpapar baik sebagai target spoofing, di mana domain mereka sendiri dipalsukan untuk menyerang nasabah atau mitra, maupun sebagai korban spoofing, di mana penyerang meniru merek tepercaya lain untuk menargetkan staf mereka.
Pertahanannya sebagian besar merupakan latihan konfigurasi DNS: SPF (Sender Policy Framework) mempublikasikan server mail mana yang diizinkan mengirim atas nama sebuah domain, DKIM (DomainKeys Identified Mail) menandatangani mail keluar secara kriptografis sehingga penerima dapat memverifikasi bahwa mail tersebut tidak diubah, dan DMARC (Domain-based Message Authentication, Reporting and Conformance) menyatukan keduanya dan memberi tahu server penerima apa yang harus dilakukan terhadap pesan yang gagal pemeriksaan ini, idealnya menolak atau mengkarantinanya. Menerapkan ketiganya, memindahkan DMARC dari mode pemantauan ke kebijakan penolakan yang ditegakkan, dan melatih karyawan untuk memeriksa domain pengirim dengan cermat bersama-sama menutup sebagian besar celah yang memungkinkan email spoofing.
Sekilas info
- Tingkat keparahan
- Tinggi
- Tingkat kejadian
- Sangat umum
- Target utama
- Domain mana pun tanpa SPF, DKIM, dan DMARC yang ditegakkan
Cara kerjanya
- 1
Pemilihan domain: penyerang memilih merek, eksekutif, atau domain vendor tepercaya untuk ditiru, idealnya yang tanpa autentikasi email yang ketat.
- 2
Pemalsuan header: penyerang mengonfigurasi server mail keluar atau alat spoofing untuk menampilkan alamat 'From' yang cocok dengan domain atau nama tepercaya.
- 3
Pengiriman: tanpa penegakan SPF, DKIM, dan DMARC pada domain yang ditiru, server mail penerima mengirimkan pesan tanpa menandainya.
- 4
Penipuan: penerima melihat nama pengirim dan domain yang familiar di kotak masuk mereka dan jauh lebih mungkin mempercayai permintaan pesan tersebut.
- 5
Eksploitasi: email yang dipalsukan digunakan untuk mencuri kredensial, meminta pembayaran palsu, atau mengirimkan malware dengan kedok identitas tepercaya.
Tanda peringatan
- Alamat 'reply-to' yang berbeda dari alamat pengirim yang ditampilkan
- Permintaan mendesak atau tidak biasa, seperti perubahan pembayaran atau pembelian kartu hadiah, dari email eksekutif yang tampaknya asli
- Ketidakkonsistenan kecil dalam nada, tanda tangan, atau format dibandingkan cara pengirim biasa menulis
- Peringatan autentikasi email yang ditampilkan klien mail Anda tentang pesan yang gagal pemeriksaan SPF, DKIM, atau DMARC
- Permintaan untuk melewati proses persetujuan normal 'hanya kali ini' untuk transaksi yang tidak biasa
Cara bertahan
- Publikasikan dan konfigurasikan catatan SPF dengan benar untuk menentukan server mana yang boleh mengirim atas nama domain Anda
- Terapkan DKIM untuk menandatangani mail keluar secara kriptografis sehingga penerima dapat memverifikasi keasliannya
- Terapkan DMARC dan pindahkan dari mode pemantauan ke kebijakan penolakan atau karantina yang ditegakkan setelah aman untuk dilakukan
- Latih karyawan untuk memverifikasi domain pengirim, bukan hanya nama tampilan, sebelum menindaklanjuti permintaan tidak biasa
- Verifikasi permintaan pembayaran atau terkait kredensial apa pun melalui saluran kedua, seperti panggilan telepon ke nomor yang dikenal
- Pantau laporan DMARC untuk mendeteksi dan merespons upaya memalsukan domain Anda sendiri
Contoh nyata
Staf sebuah perusahaan dagang Indonesia menerima email yang tampak dari direktur keuangan mereka meminta transfer bank mendesak ke akun pemasok baru. Nama tampilan dan tanda tangan cocok sempurna, tetapi domain tersebut tidak memiliki kebijakan penegakan DMARC, sehingga pesan, yang sebenarnya dikirim oleh penyerang yang memalsukan alamat From, terkirim tanpa peringatan, dan seorang staf keuangan junior hampir menyelesaikan transfer tersebut sebelum memeriksa ulang lewat telepon.
Bagaimana Claro membantu
Simulasi phishing Claro mereplikasi skenario pengirim palsu sehingga karyawan belajar mencermati domain pengirim sebenarnya, bukan hanya nama tampilan, sementara panduan platform untuk domain pengiriman tenant memperkuat praktik terbaik SPF, DKIM, dan DMARC, membantu organisasi Indonesia menutup celah persis yang dieksploitasi spoofing pada infrastruktur mail mereka sendiri.
Pertanyaan yang sering diajukan
Apakah email spoofing sama dengan meretas akun email?
Tidak. Spoofing memalsukan informasi pengirim pada pesan yang dikirim dari infrastruktur penyerang sendiri, dan akun asli tidak pernah benar-benar dibobol. Account takeover, sebaliknya, berarti penyerang benar-benar membobol dan mengirim dari akun asli.
Bagaimana saya tahu jika sebuah email dipalsukan?
Periksa domain pengirim sebenarnya dan alamat reply-to, bukan hanya nama tampilan, dan cari peringatan autentikasi klien mail Anda tentang kegagalan pemeriksaan SPF, DKIM, atau DMARC. Jika ragu, verifikasi permintaan tidak biasa melalui saluran terpisah.
Apa sebenarnya fungsi SPF, DKIM, dan DMARC?
SPF mencantumkan server mail mana yang berwenang mengirim untuk sebuah domain, DKIM menandatangani pesan secara kriptografis sehingga perubahan dapat dideteksi, dan DMARC memberi tahu server penerima apa yang harus dilakukan terhadap pesan yang gagal pemeriksaan tersebut, idealnya menolak atau mengkarantinanya.
Bisakah email spoofing dicegah sepenuhnya?
Pemilik domain tidak dapat menghentikan penyerang mencoba memalsukan domain mereka, tetapi kebijakan DMARC yang ditegakkan pada tingkat penolakan berarti pesan yang dipalsukan mengaku dari domain tersebut sama sekali tidak akan sampai ke kotak masuk penerima.
Istilah terkait
Phishing
Phishing adalah serangan rekayasa sosial ketika pelaku menyamar sebagai pengirim tepercaya untuk menipu korban agar membocorkan kredensial, mengirim uang, atau memasang malware.
Brand Impersonation
Taktik phishing di mana penyerang meniru identitas merek, nada bicara, dan gaya komunikasi perusahaan terkenal agar pesan penipuan tampak sah.
Business Email Compromise
Penipuan keuangan bertarget di mana penyerang menyamar sebagai eksekutif, pemasok, atau rekan kerja tepercaya melalui email untuk memperdaya karyawan agar mentransfer uang atau data sensitif.
Kurangi risiko manusia Anda
Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.
Minta demo