Melalui model kejahatan siber bernama Phishing-as-a-Service (PhaaS), pelaku bisa menyewa atau membeli perangkat siap pakai untuk meniru halaman login layanan populer, menyebarkan pesan jebakan, hingga mencuri informasi akun korban.
Model ini membuat serangan phishing lebih mudah dijalankan oleh pelaku dengan kemampuan teknis terbatas. Infrastruktur, templat email, situs tiruan, dan fitur otomatisasi sudah disiapkan penyedia layanan ilegal. Pelaku tinggal menyesuaikan pesan dengan target, lalu menyebarkannya kepada calon korban.
Laporan dari situs keamanan siber Barracuda menyebut sekitar 60–70 persen serangan phishing yang diamati sejak awal 2025 menggunakan model PhaaS. Angka tersebut menunjukkan bahwa phishing bukan sekadar soal email mencurigakan, tetapi juga ekosistem kejahatan siber yang semakin terorganisasi.
Apa Itu Phishing-as-a-Service dan Bagaimana Cara Kerjanya?
PhaaS adalah model kejahatan siber yang menyediakan perangkat dan layanan phishing kepada pihak lain, biasanya melalui skema berlangganan atau pembayaran satu kali. Aksesnya kerap ditawarkan melalui kanal seperti Telegram atau forum di darknet.Penyedia PhaaS menyiapkan berbagai kebutuhan serangan, mulai dari templat email hingga situs login palsu yang menyerupai layanan asli. Pelaku kemudian dapat menyesuaikan pesan, menyebarkannya secara massal, dan mengumpulkan data yang dimasukkan korban ke halaman tiruan.
Informasi yang dicuri dapat mencakup nama pengguna, kata sandi, hingga token autentikasi multifaktor (MFA). Jika penyerang berhasil mengambil alih akun, dampaknya bisa meluas ke pencurian identitas, penyalahgunaan layanan, atau akses tidak sah ke sistem perusahaan.
Keunggulan PhaaS bagi penjahat terletak pada kemudahan dan efisiensi. Mereka tidak perlu membangun seluruh infrastruktur sendiri, sementara sejumlah perangkat menyediakan pembaruan dan teknik untuk menghindari deteksi sistem keamanan.
Mengapa PhaaS Sulit Dikenali?
Masalahnya, serangan PhaaS tidak selalu menggunakan situs dengan tampilan buruk atau alamat yang jelas-jelas mencurigakan. Sejumlah perangkat dapat menyalahgunakan situs tepercaya atau situs resmi yang sudah diretas untuk menyamarkan tautan berbahaya.Pelaku juga bisa mengenkripsi atau mengaburkan kode berbahaya agar lebih sulit dianalisis oleh perangkat keamanan. Beberapa perangkat bahkan dirancang untuk mengenali lingkungan pemeriksaan otomatis, lalu mengubah perilaku atau mengarahkan pengunjung ke situs asli agar aktivitasnya tidak mudah terdeteksi.
PhaaS pun dapat disesuaikan dengan target tertentu. Barracuda menyoroti CoGUI sebagai salah satu perangkat yang secara khusus menyasar organisasi di Jepang. Perangkat lain yang disebut dalam laporan tersebut meliputi Tycoon 2FA, EvilProxy, Mamba 2FA, Sneaky 2FA, dan SessionShark, yang memiliki kemampuan serta pola serangan berbeda.
Dalam pengamatan Barracuda sejak awal 2025, Tycoon 2FA menyumbang 76 persen dari serangan PhaaS yang diamati. EvilProxy mencapai sekitar 8 persen, sedangkan Mamba 2FA dan Sneaky 2FA secara gabungan sekitar 6 persen. Angka ini menggambarkan distribusi perangkat dalam pengamatan tersebut, bukan persentase seluruh serangan phishing di dunia.
Cara Mengenali dan Menghindari Serangan PhaaS
Karena halaman palsu bisa terlihat meyakinkan, pengguna sebaiknya tidak hanya mengandalkan tampilan situs untuk menentukan apakah sebuah pesan aman.Ada beberapa langkah yang bisa dilakukan:
1. Periksa alamat situs secara teliti. Pastikan nama domain sesuai dengan layanan yang ingin diakses. Jangan langsung percaya pada tautan yang dikirim melalui email, SMS, atau aplikasi pesan.
2. Akses layanan melalui aplikasi atau alamat resmi. Jika menerima pesan tentang rekening, akun kerja, atau layanan belanja, buka layanan tersebut secara mandiri alih-alih mengeklik tautan dalam pesan.
3. Waspadai permintaan mendesak. Pesan yang mengancam pemblokiran akun atau meminta pengguna segera memverifikasi data perlu diperiksa sebelum ditindaklanjuti.
4. Jangan pernah membagikan kode autentikasi. Kata sandi, kode OTP, dan informasi pemulihan akun tidak boleh diberikan kepada pihak yang menghubungi secara tiba-tiba.
5. Aktifkan autentikasi multifaktor. Lapisan keamanan tambahan dapat membantu, meskipun tidak sepenuhnya mencegah pencurian sesi atau penyalahgunaan token autentikasi.
6. Periksa kembali sebelum memasukkan data. Jika telanjur membuka tautan, jangan memasukkan kredensial ketika keaslian halaman belum terverifikasi.
