Peringatan Darurat dari Google, Pengguna Gmail Diminta Waspada

Jakarta, CNN Indonesia --

Google mengeluarkan peringatan darurat kepada 3 miliar pengguna Gmail setelah mengonfirmasi sebuah penipuan phishing canggih yang menargetkan pengguna email. Simak penjelasannya.

Developer Nick Johnson pertama kali menemukan masalah ini setelah hampir tertipu oleh penjahat siber yang menggunakan infrastruktur Google agar terlihat sebagai pesan resmi. Ia kemudian membagikan pengalamannya di media sosial.

"Baru-baru ini saya menjadi sasaran serangan phishing yang sangat canggih," kata Johnson dalam sebuah unggahan di X pada 16 April lalu, mengutip New York Post, Selasa (22/4).

"Serangan ini mengeksploitasi kerentanan pada infrastruktur Google, dan mengingat penolakan mereka untuk memperbaikinya, kita mungkin akan melihatnya lebih banyak lagi," lanjutnya.

Jebakan itu datang dengan menyamar sebagai email yang tampak resmi yang mengklaim bahwa dia telah menerima surat panggilan pengadilan yang terkait dengan akun Google-nya.

Email tersebut bahkan berasal dari alamat yang tampak seperti alamat Google asli.

"Satu-satunya petunjuk bahwa ini adalah phishing adalah bahwa email tersebut di-host di sites.google.com dan bukan di accounts.google.com," kata Johnson melanjutkan.

Menurutnya, tautan tersebut mengarahkan korbannya ke portal dukungan palsu dengan duplikat halaman login Google yang asli. Para pelaku merancang ini untuk mengelabui pengguna agar menyerahkan kredensial mereka.

"Dari sana, mungkin, mereka mengambil kredensial login Anda dan menggunakannya untuk membobol akun Anda," jelas dia.

"Bahkan menempatkannya dalam percakapan yang sama dengan peringatan keamanan yang sah lainnya," tambahnya.

Lebih buruk lagi, email mencurigakan tersebut lolos dari pemeriksaan DKIM (DomainKeys Identified Mail) Google, yang berarti Gmail memperlakukannya seperti pesan biasa.

Menurut Johnson pelaku serangan ini menggunakan Google Sites untuk memberikan kesan kredibilitas pada aksi mereka. Mereka memanfaatkan kelemahan sebagian besar orang yang tidak akan menebak-nebak URL yang terlihat familiar.

"Penipuan ini dirancang agar terlihat senyata mungkin," kata Johnson, memperingatkan bahwa banyak pengguna tidak akan menyadari perubahan kecil pada nama domain, meski hal inidapat menyebabkan masalah besar pada rekening bank atau identitas mereka.

Dalam sebuah pernyataan, Google mengatakan sudah mengetahui soal serangan ini dan telah meluncurkan perlindungan baru untuk menutup celah serangan tersebut.

"Sementara itu, kami mendorong pengguna untuk mengadopsi otentikasi dua faktor dan passkeys, yang memberikan perlindungan yang kuat terhadap serangan phishing semacam ini," kata juru bicara Google.

Google mengaku telah memblokir celah keamanan yang memungkinkan terjadinya serangan tersebut. Mereka juga mengklaim sudah meluncurkan saran baru untuk membantu pengguna menghindari jebakan email serupa.

Cara menangkal

Menurut New York Post, pengguna Gmail yang hanya mengandalkan password akan sangat rentan menjadi korban penipuan ini.

Jika peretas mendapatkan informasi login dan korban tidak menggunakan autentikasi dua faktor (2FA) atau password, mereka dapat melenggang masuk ke akun korban.

Sebaliknya, passkeys adalah metode login yang terikat pada perangkat keras yang tidak bisa digesek dan digunakan oleh peretas dan menjadikannya lebih aman.

Sementara itu, upaya phishing semakin sulit dikenali. Tanda-tanda peringatan termasuk salam yang tidak jelas, nada mendesak, dan tautan yang dapat diklik yang menuntut tindakan segera, terutama terkait data pribadi atau akses akun.

Meskipun Google memang mengirim email tentang masalah akun, raksasa teknologi ini mengatakan bahwa Anda harus selalu berpikir dua kali sebelum mengklik.

"Ketika kami menerima permintaan dari lembaga pemerintah, kami mengirim email ke akun pengguna sebelum mengungkapkan informasi. Jika akun tersebut dikelola oleh sebuah organisasi, kami akan memberikan pemberitahuan kepada administrator akun tersebut," kata Google dalam halaman Privasi dan Ketentuan.

"Kami tidak akan memberikan pemberitahuan jika dilarang secara hukum berdasarkan ketentuan permintaan. Kami akan memberikan pemberitahuan setelah larangan hukum dicabut, seperti saat periode pembungkaman yang diperintahkan oleh undang-undang atau pengadilan telah berakhir," lanjutnya.

Intinya, Anda disarankan tidak mengeklik email dari pengirim yang tidak jelas siapa pengirimnya dan meminta informasi pribadi. Sebaliknya, buka situs tersebut di windows peramban terpisah dan periksa ulang sumbernya.

(dmi/dmi)

[Gambas:Video CNN]