9 Mei 2025
Serangan ransomware baru-baru ini terhadap M&S, Co-op, dan Harrods menunjukkan pola yang sudah tidak asing lagi: para penyerang tidak lagi mengandalkan peretasan jaringan perusahaan - mereka sering kali masuk melalui meja bantuan. Seperti yang diidentifikasi oleh Gartner, pemulihan akun karena kata sandi yang terlupa atau kredensial yang hilang adalah bagian paling berisiko dalam siklus hidup manajemen identitas. Sama seperti Pelanggaran MGM Resorts pada tahun 2023yang menyebabkan kerugian sebesar $100 juta, insiden ini menunjukkan betapa rentannya proses pemulihan akun terhadap serangan rekayasa sosial.
Anatomi Serangan Rekayasa Sosial
Bagaimana AI Membuat Serangan Rekayasa Sosial Lebih Mudah
AI mengubah kejahatan siber menjadi operasi berskala tinggi dengan keterampilan rendah - mengotomatiskan phishing, mengembangkan deepfakes, dan memungkinkan malware yang beradaptasi lebih cepat daripada yang dapat ditanggapi oleh pertahanan. Teknologi ini tidak hanya mengurangi upaya yang diperlukan oleh penyerang tetapi juga secara signifikan meningkatkan kecepatan, akurasi, dan jangkauan mereka.
- Identifikasi Target: Alat bantu yang didukung AI mengikis dan menganalisis data publik dalam jumlah besar - mulai dari profil LinkedIn hingga basis data yang dibobol - untuk membangun profil target yang terperinci. Pemrosesan bahasa alami membantu mengidentifikasi peran pekerjaan, hubungan, dan pola komunikasi untuk menciptakan umpan phishing atau upaya peniruan yang sangat dipercaya.
- Isian Kredensial: AI mempercepat upaya login secara brute force dengan memprioritaskan kata sandi yang sering digunakan dan menyesuaikan strategi secara real time. Pada tahun 2024, Microsoft melaporkan 7.000 serangan kata sandi per detik. Penelitian menunjukkan bahwa AI dapat memecahkan lebih dari 50% kata sandi yang lemah dalam waktu kurang dari satu menit.
- Peniruan: Model pembelajaran mendalam digunakan untuk membuat audio dan video deepfake yang realistis, menirukan suara dan gerakan wajah dengan akurasi tinggi. Hal ini memungkinkan penyerang untuk menyamar sebagai pekerja secara meyakinkan dalam panggilan dukungan langsung, rapat video, atau bahkan pesan pesan suara.
- Serangan Kelelahan MFA: Skrip AI mengatur upaya pemberitahuan push berulang, mengatur waktunya selama saat-saat yang mungkin mengganggu (misalnya, istirahat makan siang atau di penghujung hari). Beberapa penyerang bahkan menggabungkannya dengan pemalsuan suara yang menyamar sebagai dukungan TI, mendesak pengguna untuk menerima permintaan tersebut.
Metode yang disempurnakan dengan AI ini terbukti efektif. Pada tahun 2024, 42% organisasi melaporkan keberhasilan serangan phishing, vishing, deepfake, atau serangan rekayasa sosial lainnya (Prospek Keamanan Siber Global 2025Forum Ekonomi Dunia).
Masalah Utama: Rahasia yang Dibagikan Akan Selalu Dibagikan
Karena AI mempercepat kemampuan pelaku ancaman, otentikasi organisasi masih didasarkan pada pengetahuan yang lemah dan metode berbasis kepemilikan, kata sandi, Kode SMS, dan aplikasi autentikator. Kredensial yang dapat dibagikan ini dengan mudah dibujuk dari korban dan dibagikan melalui telepon.
Akar masalahnya adalah kepercayaan apa yang diketahui seseorang atau katakanbukannya memverifikasi siapa mereka. Tenaga kerja telah berubah lebih cepat daripada kebanyakan arsitektur keamanan. Akses jarak jauh, BYOD, dan lingkungan yang mengutamakan cloud telah membuat autentikasi tradisional berbasis perimeter menjadi usang.
Pusat Keamanan Siber Nasional Inggris (National Cyber Security Centre - NCSC) telah mendesak organisasi untuk menilai kembali cara meja bantuan TI mengautentikasi pengguna - terutama saat menangani akun-akun istimewa. Meskipun para ahli keamanan siber menganjurkan lebih banyak lapisan keamanan untuk mencegah serangan di masa depan, seperti kata-kata kode yang dibagikan ke meja bantuan, namun jika lapisan-lapisan ini terdiri dari rahasia yang bisa dibagikan, maka lapisan-lapisan ini menjadi rentan.
Biometrik Wajah Tahan terhadap Phishing
Biometrik wajah dengan deteksi kehidupan menawarkan perubahan mendasar dalam verifikasi dan autentikasi tenaga kerja.
- Ini bukan rahasia - wajah Anda tidak dapat disebarkan atau di phishing.
- Ini menegaskan identitas - bukan hanya apakah Anda mengetahui sebuah kode atau dapat mengakses sebuah perangkat, tetapi juga siapa Anda.
- Ini memverifikasi kehadiran asli - kemampuan yang sangat penting di dunia jarak jauh saat ini.
Bahkan jika penyerang meyakinkan seseorang untuk mengautentikasi, mereka hanya akan mendapatkan foto selfie. Deteksi keaslian berbasis cloud yang kuat memastikan bahwa gambar dan video - bahkan yang palsu berkualitas tinggi - tidak dapat digunakan untuk mem-bypass alur kerja autentikasi, dan selalu berkembang untuk memitigasi serangan berbasis AI yang baru.
Biometrik wajah adalah satu-satunya cara untuk menghubungkan aktivitas pengguna dengan manusia yang nyata dan hidup. Ketika organisasi berusaha untuk menjadi tanpa kata sandi dan menerapkan arsitektur Zero Trust, ini adalah kemampuan penting untuk mengurangi risiko dan menjaga keamanan tenaga kerja.
Amankan Proses Pemulihan Akun Anda
Karena AI mempercepat skala dan kecanggihan rekayasa sosial, kebutuhan akan autentikasi yang sangat terjamin dan tahan terhadap phishing menjadi semakin jelas. Biometrik wajah dengan deteksi kehidupan menawarkan cara yang aman untuk memverifikasi identitas - bukan hanya kredensial - pada titik yang memiliki risiko tertinggi.
Jika organisasi Anda sedang mengevaluasi kembali cara pengguna diverifikasi selama panggilan dukungan, terutama untuk akses istimewa, inilah saatnya untuk bertindak.
Jangan biarkan meja bantuan Anda menjadi titik terlemah Anda. Bicaralah dengan kami hari ini tentang penerapan otentikasi biometrik yang tahan terhadap serangan rekayasa sosial, pengeboman MFA, dan deepfake yang canggih.
