Dengan memanfaatkan domain email @google.com yang sah dan sistem notifikasi Google yang terpercaya, pelaku kejahatan siber berhasil melewati filter keamanan email tradisional dan mengeksploitasi kepercayaan pengguna terhadap layanan yang sudah dikenal.
Dalam kampanye ini, para korban menerima notifikasi yang tampak sangat otentik dari Google Tasks dengan subjek "Anda memiliki tugas baru". Pesan tersebut dirancang untuk menciptakan kesan bahwa perusahaan penerima telah mengadopsi alat manajemen tugas Google, sekaligus menekan mereka untuk segera bertindak. Notifikasi sering kali menyertakan unsur urgensi, seperti bendera prioritas tinggi dan tenggat waktu yang ketat, untuk mendorong respons segera dari korban.
Setelah mengklik tautan yang disematkan dalam notifikasi Google Tasks palsu, pengguna diarahkan ke formulir palsu yang disamarkan sebagai halaman verifikasi karyawan (employee verification). Di halaman ini, karyawan diminta untuk memasukkan kredensial perusahaan mereka dengan dalih untuk mengkonfirmasi status mereka.
Kredensial yang berhasil dicuri kemudian dapat digunakan oleh penyerang untuk mendapatkan akses tidak sah ke sistem perusahaan, melakukan pencurian data, atau melancarkan serangan lebih lanjut.
Roman Dedenok, Pakar Anti-Spam di Kaspersky, berkomentar bahwa ekosistem layanan Google yang luas kini dieksploitasi oleh para penipu. Skema phishing yang menggunakan Google Tasks ini merupakan bagian dari tren yang lebih luas, yang telah diamati sebelumnya dan terus berlanjut hingga tahun 2026.
Pelaku kejahatan siber menyalahgunakan platform yang sah untuk menyebarkan penipuan. Ia menjelaskan bahwa notifikasi yang berasal dari domain yang sah secara alami menghindari banyak filter spam dan phishing. Sementara itu, aspek rekayasa sosial—dengan membuatnya tampak seperti proses internal perusahaan—berpotensi menurunkan kewaspadaan korban.
Untuk menangkal ancaman ini dan ancaman serupa, Kaspersky merekomendasikan langkah-langkah keamanan berikut:
1. Waspadai undangan yang tidak diminta dari platform apa pun, bahkan jika tampaknya berasal dari sumber yang tepercaya.
2. Periksa URL dengan cermat sebelum mengklik tautan apa pun.
3. Jangan menghubungi nomor telepon yang tertera dalam email mencurigakan. Jika Anda perlu menghubungi dukungan layanan tertentu, sebaiknya cari nomor telepon di halaman web resmi layanan tersebut.
4. Laporkan email mencurigakan ke penyedia platform.
5. Gunakan otentikasi multi-faktor untuk semua akun.
Bagi pengguna korporat, Kaspersky Security for Mail Server direkomendasikan dengan mekanisme pertahanan berlapis yang didukung oleh algoritma pembelajaran mesin untuk perlindungan yang kuat.
Sedangkan bagi pengguna individu, Kaspersky Premium menawarkan fitur anti-phishing berbasis AI yang dirancang untuk membantu menghindari serangan phishing dan meningkatkan keamanan siber secara keseluruhan.
Cek Berita dan Artikel yang lain di
Google News
