Modus penipuan siber makin canggih dan beragam. Yang terbaru, penjahat siber memanfaatkan celah di sistem Google untuk mengirim surat elektronik atau email palsu yang terlihat sah. Modus ini berpotensi menguras rekening dalam sekejap.
__________
Mengutip laporan Bleeping Computer, seorang pengembang utama Ethereum Name Service (ENS), Nick Johnson, menjadi korban percobaan serangan ini.
Ia menerima email yang terlihat resmi dari “no-reply@google.com“. Email tersebut berisi permintaan hukum atas akun Google-nya.
Parahnya, email ini lolos verifikasi dan ditempatkan bersamaan dengan peringatan keamanan asli Google—yang membuatnya seolah email asli dan makin sulit dikenali.
Setelah ditelusuri, portal “dukungan” yang disebutkan dalam email tersebut ternyata dibuat melalui platform Sites Google, bukan domain resmi accounts.google.com. Fakta ini memperkecil kecurigaan korban, karena tetap berada di lingkungan Google.
Para penjahat siber juga menggunakan teknik yang dikenal sebagai “DKIM Replay Phishing”. Caranya, mereka mendaftarkan domain baru, membuat akun Google dengan alamat seperti me@domain, lalu membuat aplikasi OAuth dengan nama yang menyisipkan pesan phishing.
DKIM hanya memvalidasi isi pesan dan header, bukan amplop email. Karenanya pesan palsu ini tetap dianggap valid oleh sistem Google dan terlihat meyakinkan di kotak masuk korban.
Bukan hanya Gmail yang jadi sasaran. Metode serupa pernah digunakan pada PayPal, di mana pelaku memanfaatkan opsi ‘gift address‘ untuk mengirim konfirmasi palsu yang juga lolos pemeriksaan DKIM.
Pakar keamanan dari EasyDMARC menegaskan bahwa metode ini sangat berbahaya, karena korban tidak sadar bahwa mereka sedang diarahkan ke situs penipuan yang nyaris identik dengan halaman resmi.
Tips Aman dari Pakar
Bagi masyarakat yang menggunakan akun Google untuk memverifikasi akun keuangan, bisa mengantisipasinya dengan menjalankan tips dari para pakar berikut:
- Selalu cek URL situs, perhatikan tanda-tanda mencurigakan, dan aktifkan verifikasi dua langkah untuk menambah lapisan keamanan.
- Google juga menyarankan para pengguna untuk mengikuti kuis phishing Gmail untuk membantu mereka mempelajari cara mengenali email yang mencurigakan.
- Jangan mudah percaya dengan email yang mengatasnamakan perusahaan besar, bahkan bila tampilannya tampak meyakinkan 100 persen.
- Gunakan aplikasi email di desktop atau perangkat seluler yang lebih aman daripada akses melalui browser.
Meski Google pernah mengklaim mampu memblokir lebih dari 99,9 persen spam dan upaya phishing, juga menggunakan proteksi berbasis AI untuk mendeteksi metode manipulasi link, pengguna tetap dihimbau untuk berhati-hati.
“Gmail memblokir lebih dari 99,9 persen spam, upaya phishing, dan malware agar tidak sampai ke Anda. Sebagai bagian dari perlindungan berbasis AI, Gmail memperhitungkan metode pengaburan tautan saat mengklasifikasikan pesan. Selain itu, Gmail secara otomatis memindai lampiran dalam pesan yang dikirim dan diterima untuk mencari virus,” begitu kata juru bicara Google yang tidak disebutkan namanya, melansir Forbes, dikutip Sabtu, 26 April 2025.***
