Cyberthreat.id – Abnormal Security, perusahaan keamanan siber, baru-baru ini menurunkan laporan terkait serangan siber yang menargetkan pengguna TikTok.

Abnormal mendapati dua gelombang penyebaran email phishing yang bertujuan membajak akun pengguna Tiktok, yaitu pada 2 Oktober dan 1 November lalu.

Sebaran email palsu itu terpantau ke lebih dari 125 orang dan bisnis, terutama akun-akun yang memiliki pengikut banyak, seperti studio produksi media sosial, manajemen influencer, dan segala jenis pembuat konten.

“Banyak dari alamat email yang digunakan terlihat diambil langsung dari media sosial,” ujar peneliti Rachelle Chouinard dalam unggahan laporan temuan di blog perusahaan, Selasa (16 November 2021).

Menurut Rachelle, modus penyerang ialah merancang email agar terlihat seperti notifikasi pelanggaran hak cipta dari TikTok. Selanjutnya, calon korban diminta untuk merespons pesan tersebut. Jika tidak ditanggapi, akun orang yang bersangkutan terhapus dalam 48 jam.

Modus lain yang digunakan dalam email adalah menawarkan lencana “Terverifikasi” untuk menambah kredibilitas dan keaslian akun.

“Terverifikasi” TikTok memang memberi bobot pada konten yang diunggah dan membuat algoritma platform meningkatkan kepopuleran akun.

Taktik tersebut cenderung sangat efektif karena banyak orang akan senang menerima email yang menawarkan kesempatan untuk mendapatkan lencana “Terverifikasi”.

---

Email palsu yang tawarkan lencana "Terverifikasi".

---

Email palsu yang menakut-nakuti target bahwa akunnya akan dihapus dalam 48 jam.

---

Peneliti Abnormal pun berpura-pura mengikuti permainan yang dijalankan si penipu. Setelah membalas email itu, penipu merespons kembali dengan email yang berisi tautan singkat “Confirm My Account”.

Ternyata, “Tautan ini mengarahkan kami ke percakapan obrolan WhatsApp. Dalam obrolan selanjutnya, kami diminta untuk memverifikasi nomor telepon dan alamat email yang ditautkan ke akun TikTok,” tutur Rachelle.

Dari situ, penipu berpura-pura sebagai “pejabat TikTok” dan meminta untuk mengonfirmasi kepemilikan akun dengan memberikan kode enam digit yang barusan diterima—ini tentu saja tidak asing yaitu kode OTP. Taktik rekayasa sosial penyerang untuk bisa melewati otentikasi multi-faktor.

Namun, komunikasi antara peneliti dan “pejabat TikTok” itu tidak berlanjut lebih lagi—kemungkinan mereka melihat akun TikTok peneliti yang tidak sesuai target penyerang.

“Meski kami tidak mengidentifikasi tujuan akhir serangan, penargetan akun medsos menjadi kian berharga bagi penyerang dalam beberapa tahun terakhir. Ini lantaran pemilik asli rela menebus kembali akun yang dibajak dengan biaya yang tak sedikit,” kata Rachelle.

Ia pun mengingatkan kembali kepada pengguna media sosial untuk lebih hati-hati. Platform medsos, kata dia, tidak akan bertanggung jawab atas kehilangan data dari pengguna. Bahkan, dalam kebanyakan kasus, data dari akun yang terhapus tidak dapat dipulihkan oleh platform.

“Jadi, jika pembayaran uang tebusan diselesaikan, belum tentu pula mendapat akses kembali ke akun medsos Anda,” ujarnya.

Bahkan, sesuai ketentuan platform, jika sebuah akun telah melanggar, bisa terkena penutupan sementara atau permanen. Jika akun Anda memiliki follower tinggi, misalnya, tiba-tiba dibajak oleh peretas, lalu mengunggah konten-konten terlarang, akun Anda bisa masuk kategori pelanggaran kebijakan platform. Kerja keras Anda, apalagi yang bergantung terhadap akun untuk mata pencaharian, langsung hilang seketika.

Oleh karenanya, disarankan agar mengelola akun medsos Anda dengan selalu mencadangkan semua konten. Lalu, terapkan praktik keamanan yang baik, seperti aktifkan 2FA. Ada baiknya gunakan nomor ponsel bukan publik untuk mendapatkan kode OTP verifiksi dua langkah.[]