Seperti kita ketahui, hukum kenikmatan berbanding terbalik dengan keamanan. Memang nikmat memiliki satu account untuk semua, sehingga tidak perlu mencatat / mengingat banyak username dan password. Tetapi celakanya jika username dan password tersebut berhasil di ketahui oleh orang lain, kenikmatan tadi berbalik menjadi bencana. Sudah email accountnya dikuasai orang .... sekalian password voip, mailing list dan lainnya juga dikuasai cukup dengan mengetahui satu password. Ibaratnya di dunia nyata, sudah motornya kecurian karena kuncinya tertinggal di stop kontak, eh... STNKnya juga ada di gantungan kunci, BPKB dan KTP pemiliknya disimpan di bawah jok kursi. Ngeri kan anda membayangkan hal ini. Terlebih jika account tersebut digunakan untuk hal yang penting seperti untuk tujuan bisnis atau hal penting lain seperti moderator mailing list penting yang berhak memasukkan atau menghentikan member baru. Lebih celaka lagi jika account tersebut dapat digunakan untuk transaksi ... anda bayangkan sendiri akibatnya. Ibarat kartu kredit anda dicuri dan digunakan oleh orang lain dan anda yang harus menanggung akibatnya.

Bagaimana hal ini dilakukan ?

Phiser akan membuat satu halaman web "gadungan" yang mirip sekali dengan halaman web autentifikasi password Yahoo (lihat gambar 1).

Gambar 1, Halaman web phising yang bertujuan mendapatkan password Yahoo. Perhatian bahwa website ini akan mengirimkan informasi ke www2.fiberbit.net.

Halaman web ini akan dipasang (hosting) pada hosting gratis yang disediakan Yahoo, Geocities (EG www.geocities.com, uk.geocities.com). Pemilihan hosting di Geocities ini juga merupakan phising yang cerdik karena penerima tentunya tidak akan curiga menerima halaman autentifikasi dari Geocities karena dimiliki oleh Yahoo. Padahal jika korbannya menasukkan informasi, maka semuanya akan dikirimkan ke alamat yang telah dpersiapkan sebelumnya.

Lalu bagaimana korbannya diantar untuk masuk ke website ini. Masa ada orang yang dengan bodohnya secara sukarela memasukkan informasi account Yahoonya pada website yang tidak dikenalnya ?

Oke, begini ceritanya. Bagaimana jika yang mengirimkan link tersebut adalah teman YM anda. Dengan pesan, silahkan lihat foto saya pada link ini, dan setelah mengklik link tersebut anda diantarkan pada halaman web seperti gambar 1. Tentunya anda secara otomatis tanpa ba..bu... akan langsung memasukkan informasi username dan password dan mengklik [Sign In] untuk melihat foto teman anda tanpa menyadari bahwa informasi account anda tersebut telah diketahui juga oleh orang lain. Hebatnya, setelah anda memasukkan informasi tersebut maka halaman web tersebut akan meneruskan halaman web anda ke halaman web foto Yahoo sehingga anda tidak akan curiga.

Sebagai perbandingan, coba perhatikan gambar 2 dibawah ini yang merupakan halaman web autentifikasi Yahoo yang asli.

Gambar 2, Halaman web autentifikasi Yahoo yang asli, perhatikan adanya Sign In Seal yang unik dan berbeda pada setiap komputer yang bertujuan untuk mempermudah mengidentifikasi web phising.

Sekali mendapatkan satu Account Yahoo baru, maka secara diam-diam program otomatis akan melakukan login pada YM account dan mengirimkan link URL foto phising tadi ke seluruh kontak YM yang telah berhasil diketahuinya. Hal ini akan dilakukan terus menerus setiap kali program mendapatkan account Yahoo baru.

Jika halaman web phising tersebut diteliti lebih jauh (view source), ternyata tersimpan script untuk mengirimkan informasi Yahoo id ke alamat email rose_ayu01@yahoo.com. Lihat gambar 3.

Gambar 3, Halaman web phising mengirimkan informasi Yahoo id korbannya secara rahasia ke email yang telah ditentukan.

Ganti Password anda secara berkala !!

Jika anda pernah tertipu dan memasukkan Username dan Password anda pada website apapun yang mencurigakan dan tidak anda yakini keasliannya, kami sarankan SEGERA ganti password Yahoo anda sekarang. Jika anda merasa tidak pernah atau ragu-ragu .... kami sarankan tetap ganti password Yahoo anda sekarang (jika anda merasa Account Yahoo anda penting) karena salah satu prinsip penanganan password yang baik adalah password diganti secara berkala.

Untuk memudahkan identifikasi halaman web autentifikasi Yahoo, aktifkan fitur Sign In Seal dan harap perhatikan setiap masuk ke web autentifikasi Sign In Seal harus muncul, jika tidak kemungkinan besar website tersebut bukan dari Yahoo.

Referensi : AAT

info@vaksin.com, Google, CyberMedia