TEMPO.CO, Jakarta - Kaspersky merilis laporan baru yang mengungkap adanya skema phishing yang menimbulkan ancaman terhadap sistem perusahaan dengan menargetkan karyawan. Skema penipuan ini berwujud evaluasi kinerja karyawan yang berasal dari departemen SDM. Evaluasi tersebut memiliki agenda berbahaya, yaitu mencuri informasi sensitif.

Pakar keamanan Kaspersky, Roman Dedenok mengimbau karyawan perusahaan untuk berhati-hati saat menerima email seperti itu, terutama yang menyerupai komunikasi HR. "Untuk melindungi data mereka, sangat penting untuk memverifikasi keaslian permintaan evaluasi diri yang tidak diminta secara langsung dengan departemen SDM mereka,” ujar Roman lewat rilis yang dibagikan.

Sudah merupakan praktik umum dalam organisasi besar di mana karyawan berbagi pemikiran mengenai aspirasi karir, bidang minat, atau pencapaian di luar deskripsi pekerjaan mereka. Biasanya, diskusi semacam ini hanya dilakukan setahun sekali pada saat evaluasi kinerja.

Namun, banyak karyawan yang ingin memiliki lebih banyak kesempatan untuk berkomunikasi dengan manajemen. Ketika email yang mengundang untuk berpartisipasi dalam evaluasi diri tiba, terutama jika itu dituliskan bersifat “wajib”, para penjahat siber sering kali memanfaatkan kesempatan tersebut tanpa ragu-ragu. Inilah celah yang dieksploitasi oleh penjahat siber dalam kampanye spear-phishing terbaru mereka.

Dalam skema penipuan ini, penjahat siber mengirimkan email yang dibuat secara meyakinkan agar tampak seolah-olah berasal dari departemen SDM. Email ini menawarkan formulir evaluasi diri sebagai cara bagi karyawan untuk berinteraksi dengan manajer mereka. Namun jika diperhatikan dengan lebih seksama, email-email yang menipu ini menunjukkan beberapa tanda-tanda phishing yang sangat jelas.

Pertama, perhatikan alamat email pengirim yang tidak sesuai dengan alamat perusahaan. Inilah yang menimbulkan kecurigaan sejak awal. Kedua, email tersebut memberikan tekanan dengan menegaskan bahwa setiap orang harus melengkapi formulir pada akhir hari kerja, sebuah taktik umum yang digunakan oleh penipu untuk menciptakan rasa urgensi.

Selain itu, ketika penerima mengklik link yang disediakan, mereka akan menghadapi pertanyaan yang, pada pandangan pertama, tampak tidak berbahaya. Namun, sifat sebenarnya dari skema tersebut menjadi jelas dalam tiga pertanyaan terakhir, yang meminta alamat email korban, kata sandi, dan konfirmasi kata sandi.

Pendekatan yang menipu ini membuat korban lengah karena meminta informasi sensitif menjelang akhir proses. Untuk lebih menghindari deteksi, kata "kata sandi/password" disembunyikan, sehingga menambah kecanggihan penipuan.

Selalu update info terkini. Simak breaking news dan berita pilihan dari Tempo.co di kanal Telegram “Tempo.co Update”. Klik https://t.me/tempodotcoupdate untuk bergabung. Anda perlu meng-install aplikasi Telegram terlebih dahulu.