Tetap aman saat online selama musim liburan

Seorang perempuan yang mengenakan sweter abu-abu sedang duduk di belakang meja sambil menatap ponselnya.

Yang perlu diketahui oleh pendiri pertahanan

Penjahat cyber menyukai peluang bagus untuk memanfaatkan orang-orang, dan saat musim liburan, hal ini menjadi lebih mudah saat perhatian teralihkan. Di tengah kegiatan berbelanja, waktu bersama keluarga, pilek menyebalkan yang menyebar luas, serta aktivitas terhubung dengan orang-orang tersayang lewat internet, para pelaku ancaman melihat sasaran empuk.

Sayangnya, lonjakan aktivitas yang beralasan ini justru dijadikan kedok oleh pelaku. Data Microsoft Threat Intelligence menunjukkan, bahwa kampanye penyerang jatuh bertepatan pada periode ketika orang-orang teralihkan, terburu-buru, dan lebih mudah memercayai email pedagang retail atau layanan pengiriman.

Pola musiman ini terlihat konsisten dalam telemetri Microsoft dan Laporan Pertahanan Digital Microsoft (MDDR) 2025, yang menyoroti bahwa serangan rekayasa sosial serta peniruan identitas berbasis AI meningkat, baik volume maupun tingkat keberhasilan, saat transaksi banyak dilakukan.

Berikut ini adalah hal-hal yang perlu diwaspadai oleh pendiri pertahanan dan pengguna sehari-hari menjelang musim liburan.

Pengelabuan kode perangkat

Saat kesibukan liburan terjadi—ketika konfirmasi pesanan, pembaruan pengiriman, pemeriksaan identitas, dan peringatan akan penipuan benar-benar gencar—pelaku ancaman mengeksploitasi kebisingan ini. Mereka mengirimkan pesan yang meminta pengguna memasukkan “kode verifikasi” untuk memperbaiki masalah pembelian atau mengonfirmasi pengiriman. Dalih mereka terasa tak asing dan mendesak, sehingga kecurigaan berkurang. Namun, memasukkan kode tersebut dapat diam-diam memberi penyerang akses OAuth ke akun pengguna tanpa memerlukan kata sandi.

Microsoft Threat Intelligence mencatat peningkatan konsisten teknik pengambilalihan akun tanpa kredensial ini, baik di lingkungan konsumen atau perusahaan. Penyerang menggunakan kode perangkat dan pengelabuan berbasis persetujuan karena sederhana, scalable, dan sangat efektif untuk menembus kontrol pencurian kredensial tradisional. Selama periode belanja puncak, umpan seperti ini menyatu rapi dengan komunikasi sah, sehingga deteksi menjadi lebih sulit dan risiko pengelabuan meningkat.

Cara memitigasi pengelabuan kode perangkat

Larang alur kode perangkat saat memungkinkan
Perkuat kejelasan saat proses masuk dan verifikasi pengguna
Segera cabut akses ketika aktivitas mencurigakan terdeteksi
Gunakan kebijakan risiko saat proses masuk untuk mengotomatiskan penahanan
Pantau proses masuk berisiko secara berkelanjutan

Serangan CAPTCHA palsu (skema ClickFix)

Promo perjalanan liburan, penjualan cepat, serta perburuan hadiah menit terakhir menciptakan kondisi ideal bagi penyerang untuk bersembunyi di tempat-tempat mudah. Serangan pengalihan yang menyamar sebagai konfirmasi pemesanan atau email promosi kerap menggiring korban ke halaman CAPTCHA, pola yang dipercaya oleh pengguna dan jarang dipertanyakan. Namun, ini bukan CAPTCHA asli. Sekarang, pelaku ancaman menggunakannya sebagai mekanisme penyampaian instruksi rekayasa sosial, memerintahkan korban untuk menempelkan perintah berbahaya langsung ke perintah Windows Run atau terminal.

Microsoft Threat Intelligence baru-baru ini memperingatkan tentang pertumbuhan pesat skema ClickFix. Mereka tidak membutuhkan rangkaian eksploit—cukup tindakan pengguna. Kesederhanaan membuat metode ini sangat scalable dan terutama berbahaya pada puncak musim, saat pembeli bergerak cepat dan lebih cenderung mematuhi perintah yang tampak seperti hal rutin.

Sebagai contoh, tepat sebelum Thanksgiving, Microsoft Threat Intelligence mendeteksi dan memblokir kampanye pengelabuan bervolume tinggi dari Storm-0900 yang menarget puluhan ribu pengguna di AS. Pelaku mengatur operasi agar jatuh pada hari libur, ketika orang-orang teralihkan dan menunggu pesan mendesak.

Email tersebut menggunakan umpan yang tak asing lagi, seperti tiket parkir, hasil medis, dan referensi Thanksgiving. Setiap pesan mengarahkan korban ke situs yang dikendalikan oleh penyerang dengan CAPTCHA tipuan, kemudian diikuti dengan perintah ClickFix.

Microsoft mendisrupsi kampanye ini melalui pemfilteran, proteksi titik akhir, dan pemblokiran infrastruktur penyerang untuk pencegahan. Namun, kampanye ini menjadi contoh nyata bagaimana pelaku ancaman memadukan pola UX tepercaya—seperti CAPTCHA—dengan teknik eksekusi oleh pengguna untuk menembus kontrol tradisional.

Cara memitigasi serangan CAPTCHA palsu dan ClickFix

Terapkan kontrol aplikasi dan batasi jalur eksekusi perintah
Nonaktifkan atau batasi secara ketat antarmuka baris perintah yang tidak dibutuhkan
Perketat kebijakan browser dan pemfilteran URL
Perkuat heuristik pengguna seputar tindakan tak terduga
Pantau pola eksekusi perintah yang tidak biasa
Pertahankan desain akun dengan hak istimewa paling rendah

Penipuan berkedok peniruan dukungan teknis

Orang-orang bepergian dengan perangkat pribadi yang kurang aman, menggunakan wifi hotel, dan menghadapi lebih banyak kendala teknis. Penyerang memanfaatkan hal ini dengan menyamar sebagai staf dukungan untuk menyelesaikan masalah yang sebenarnya tidak ada. Penipuan ini melonjak konsisten pada bulan November–Januari, terutama bagi anggota keluarga yang lanjut usia atau orang-orang yang tidak terlalu memahami teknologi.

Laporan MDDR 2025 menyoroti penipuan dukungan sebagai salah satu kategori penipuan global paling sukses. Lebih spesifik lagi, pemerasan dan ransomware menggerakkan separuh dari seluruh serangan cyber.

Pelaku ancaman semakin sering menggunakan skrip buatan AI, persona telepon realistis, serta peniruan merek untuk meningkatkan kredibilitas. Hasilnya adalah dalih meyakinkan dan dapat berujung pada pemasangan program jahat dengan akses jarak jauh, pencurian kredensial, atau pengambilalihan akun sepenuhnya.

Bagi pendiri pertahanan dan eksekutif, penipuan ini sangat mengkhawatirkan karena mengaburkan risiko pribadi dan korporat: perangkat pribadi yang disusupi di Wi-Fi hotel dapat dengan cepat menjadi titik awal serangan yang lebih luas.

Mitigasi penipuan berkedok peniruan dukungan teknis

Kurangi permukaan serangan dengan kontrol ketat untuk akses jarak jauh
Tingkatkan budaya verifikasi pada seluruh organisasi
Latih pengguna untuk tidak memercayai urgensi dan bantuan
Perkuat perangkat yang digunakan saat bepergian
Blokir domain serupa dan situs peniruan
Pantau penyalahgunaan alat untuk akses jarak jauh serta pola helpdesk yang tidak biasa
Sediakan saluran pelaporan yang jelas dan cepat

Notifikasi pengiriman dan pengantaran palsu

Berbelanja pada masa liburan menjadikan semua orang layaknya mesin pelacak paket. Pelaku ancaman menyusup masuk ke dalam alur kerja tersebut. Dengan banyaknya orang yang menangani belasan kiriman, satu email tambahan yang mengklaim keterlambatan atau memerlukan konfirmasi alamat tidak akan menimbulkan kecurigaan.

Menurut Laporan Pertahanan Digital, pengelabuan bertema pengiriman adalah salah satu kategori peniruan yang paling sering disalahgunakan. Microsoft Threat Intelligence melihat lonjakan yang dapat diprediksi terkait umpan berbasis logistik ini pada setiap musim liburan, dengan penyerang yang menyamar sebagai penyedia layanan pengiriman terkenal seperti UPS, USPS, FedEx, Amazon, DHL, dan layanan pos regional. Merek yang meyakinkan, waktu yang masuk akal, dan ekspektasi pengguna selama puncak musim belanja menjadikan serangan ini sangat efektif.

Karena kampanye ini meniru alur transaksi yang sah dan sering kali menyertakan nomor pelacakan asli yang diambil dari kebocoran data atau hasil scraping kotak masuk, pengguna semakin sulit membedakannya dari notifikasi autentik.

Cara memitigasi penipuan berkedok notifikasi pengiriman dan pengantaran palsu

Terapkan proteksi URL dan domain yang menetralkan upaya peniruan
Perkuat perilaku verifikasi pengguna selama periode puncak belanja
Terapkan friksi Akses Bersyarat untuk tindakan yang sensitif secara finansial
Tambahkan deteksi perilaku untuk pembuatan aturan email dan anomali penerusan
Sebarkan proteksi peniruan dan kebijakan autentikasi pengirim

Penipuan amal dan donasi

Kedermawanan musiman melonjak pada Q4, terutama saat Selasa Memberi, dan penyerang mengeksploitasi ini. Sekarang, dengan AI pelaku ancaman dapat membuat situs nirlaba yang rapi, kisah emosional menakjubkan, dan formulir donasi persuasif dalam skala besar. Mereka merangkai narasi yang mendesak dan menyentuh tentang bantuan bencana, penggerak komunitas, atau kampanye liburan pada menit-menit terakhir, berharap dapat mencampurkan niat baik dengan pengalihan dan tekanan.

Mitigasi penipuan berkedok amal dan donasi

Tingkatkan budaya verifikasi — terutama selama musim saat orang-orang memberi
Promosikan platform donasi terverifikasi
Blokir serta pantau domain yang serupa atau baru didaftarkan
Terapkan kontrol identitas anti pengelabuan dan deteksi anomali
Berikan edukasi kepada karyawan dan pemangku kepentingan mengenai perubahan pola penipuan

Nikmati musim ini, tetapi tetap waspada

Keamanan tidak seharusnya mengurangi kegembiraan musim ini, tetapi kesadaran menjadi lebih penting saat aktivitas kerap dilakukan dan banyak pengalihan. Panduan Microsoft di seluruh Kit Menjadi Cerdas telah selaras dengan prinsip: bahwa berhenti sejenak, melakukan langkah verifikasi, atau melihat sekali lagi, adalah faktor penentu untuk tetap aman dan bukan menjadi korban.