Perusahaan Logistik UPS Ungkap Pelanggaran Data Pelanggan, Pelaku Serangan Pakai Metode SMS Phishing

Liputan6.com, Jakarta - Perushaan penyedia layanan pengiriman dan logistik global, UPS, memperingatkan para pelanggan di Kanada bahwa beberapa informasi pribadi mereka mungkin telah terungkap melalui alat pencarian paket online dan disalahgunakan dalam serangan SMS phishing.

Sepintas, surat yang dikirim oleh UPS Canada berjudul "Fighting phishing and smishing - an update from UPS" tampak seperti peringatan bagi pelanggan tentang bahaya phishing.

Namun, ternyata ini sebenarnya adalah pemberitahuan pelanggaran data, di mana perusahaan telah menerima laporan pesan SMS phishing yang berisi info nama dan alamat penerima.

"UPS mengetahui beberapa penerima paket telah menerima pesan teks penipuan yang meminta pembayaran sebelum paket dapat dikirimkan," kata UPS dalam surat yang dibagikan oleh analis ancaman Emsisoft, Brett Callow, dikutip dari Bleeping Computer, Minggu (25/6/2023).

Setelah menerima laporan phishing, UPS bekerja dengan mitra dalam rantai pengiriman untuk memahami metode yang digunakan oleh pelaku ancaman (hacker) untuk mendapatkan informasi pengiriman target mereka.

Setelah peninjauan internal, UPS menemukan bahwa penyerang di balik kampanye SMS phishing menggunakan alat pencarian paket untuk mengakses detail pengiriman, termasuk informasi kontak pribadi penerima, antara Februari 2022 dan April 2023.

Perusahaan sekarang telah menerapkan langkah-langkah yang dirancang untuk membatasi akses ke data sensitif untuk menggagalkan upaya phishing yang meyakinkan ini.

UPS mengatakan akan memberi tahu individu yang informasinya mungkin terpengaruh serangan phishing untuk memastikan transparansi dan kesadaran akan situasi tersebut.

"Informasi yang tersedia melalui alat pencarian paket termasuk nama penerima, alamat pengiriman, dan kemungkinan nomor telepon dan nomor pesanan," kata UPS.

"Kami tidak dapat memberi Anda kerangka waktu pasti terjadinya penyalahgunaan alat pencarian paket kami. Ini mungkin memengaruhi paket untuk sekelompok kecil pengirim dan beberapa pelanggan mereka dari 1 Februari 2022 hingga 24 April 2023," UPS membeberkan.

Pelanggan UPS di seluruh dunia telah terpengaruh oleh serangan phishing ini, seperti yang ditunjukkan oleh laporan online yang menunjukkan pelaku ancaman menggunakan nama, nomor telepon, dan kode pos mereka, serta info tentang pesanan terbaru.

Menurut banyak pesan teks berbahaya yang dilihat oleh Bleeping Computer dan diyakini dikirim selama serangan ini, pelaku ancaman meniru pengiriman LEGO dan Apple, dengan perusahaan lain kemungkinan besar juga terkena dampaknya.

Seorang juru bicara UPS belum memberikan komentar terkait jumlah pelanggan yang terpengaruh dan jenis pengirim apa yang terdampak dalam serangan itu.

Pada September dan Juli, Internal Revenue Service (IRS) dan Federal Communications Commission (FCC) memperingatkan warga Amerika tentang peningkatan besar dalam serangan SMS phishing.

Kedua agen federal itu meminta mereka untuk waspada terhadap pesan teks yang datang dari nomor tak dikenal dengan tautan mencurigakan, serta seringkali berisi informasi menyesatkan dan tidak lengkap.

Untuk menghindari serangan tersebut, diimbau untuk tidak mengeklik tautan yang disematkan dalam pesan mencurigakan atau membalasnya dengan memberikan informasi sensitif.

Sebelumnya, warganet beramai-ramai membagikan jenis penipuan baru yang khususnya mengincar penjual online atau online shop (olshop). Modus ini dilakukan penipu dengan mengaku sebagai calon pembeli dan berdalih mengirimkan PDF berisi daftar pesanan. 

Berdasarkan pantauan Tekno Liputan6.com, Rabu (17/5/2023), kasus ini banyak diungkapkan pengguna Twitter, salah satunya oleh akun @txtdarionlshop. 

Dalam utas (thread) yang diunggahnya, akun ini menerima cerita dari seorang pengikutnya. Ia menyatakan telah beberapa kali mendapat pesan dari calon konsumen di berbagai e-commerce.

Namun, kebanyakan dari mereka meminta kontak WhatsApp pemilik atau admin online shop. Alih-alih langsung memesan melalui aplikasi belanja, oknum penipu ini malah mengirimkan sebuah file yang mereka sebut PDF daftar pesanan.

Ia mencurigai file itu setelah melihat beberapa perbedaan tampilan file dengan PDF yang umumnya dikirimkan melalui WhatsApp. 

Rupanya, PDF itu merupakan APK (Android Package Kit) yang hanya diganti format namanya. 

“Dari yang mincop perhatikan sih, sebenarnya file ini tuh file APK tapi direname (diganti nama) jadi .Pdf,” tulis admin akun pada cuitannya yang dikutip, Rabu (17/5/203).

Jika file tersebut dibuka dan dijalankan, kemungkinan besar APK akan mencuri data tertentu di perangkat korban. 

Menanggapi kasus ini, pengamat keamanan siber, Alfons Tanujaya, menjelaskan modus penipuan online tersebut pada prinsipnya merupakan APK pencuri SMS. Cara ini sebelumnya juga digunakan oknum yang mengaku kurir paket, undangan pernikahan atau teguran dari kantor pajak.

“Semuanya bertujuan untuk membuat penerimanya mengklik dan menjalankan file yang dikirimkan yang sebenarnya APK pencuri SMS,” ujar Alfons, dihubungi Tekno Liputan6.com, Rabu (17/5/2023). 

Lalu, apakah modus ini termasuk dalam jenis penipuan phishing?

Menurut Alfons, modus penipuan ini bukan merupakan jenis modus phishing. Penipuan melalui phishing biasanya memanfaatkan situs palsu guna mengelabui korbannya dan hanya mencuri kredensial yang diinput oleh korban.

Sementara, APK hanya akan berjalan dan mencuri SMS jika diinstal. Alfons menekankan, APK ini lebih berbahaya dari phishing karena dapat mencuri semua SMS yang masuk ke perangkat korban.

“Jika korbannya tertipu, semua SMS-nya akan diteruskan ke penipu dan semua aplikasi yang menggunakan SMS dalam verifikasinya, seperti M-Banking, kartu kredit, akun Whatsapp, akun media sosial, atau email akan bisa dieksploitasi atau dicuri,” papar Alfons.

Alfons menambahkan, meskipun APK dikirim melalui WhatsApp atau aplikasi lain seperti kasus di atas, APK hanya bisa mencuri pesan SMS.

“Tetapi kalau SMS yang dicuri adalah SMS otorisasi pemindahan akun Whatsapp, akun Whatsapp akan berpindah tangan dan tentunya semua pesan Whatsapp akan bisa di curi,” pungkasnya.

Artinya, APK tidak mencuri pesan WhatsApp, melainkan membuat akun aplikasi chatting itu berpindah tangan.

Tidak hanya membagikan pengalaman yang terjadi pada salah satu pengikutnya, admin akun Twitter @txtdarionlshop juga mengungkap sejumlah hal mencurigakan dari file kiriman penipu itu. 

Hal-hal tersebut mencakup perbedaan dari tampilan atau preview PDF asli yang dikirim melalui WhatsApp dengan file APK ini. Berikut adalah beberapa perbedaan yang ditemui.

1. Nama extension file “.Pdf”, sedangkan extension file asli biasanya huruf kecil semua (.pdf)

2. Logo PDF tidak berwarna merah seperti logo PDF pada umumnya

3. Tidak ada preview file PDF

4. File memiliki ukuran yang terbilang besar untuk sebuah file pesanan 

Dengan memahami perbedaan tersebut, masyarakat diharapkan dapat mengenal dan membedakan PDF asli dengan APK berbahaya. Karenanya, penting untuk tidak asal membuka file kiriman orang tak dikenal. 

Setelah utas tersebut mendapatkan banyak perhatian, pengguna Twitter lainnya pun turut membalas cuitan tersebut dengan pengalaman mereka masing-masing. 

“Ternyata aku juga dapat, untung ga kenapa-kenapa tapi,” cuit akun @sherl****.

“Saya juga dapat, sekalian dikerjain aja,” timpal akun @0xriz****.

Di sisi lain, beberapa pengguna juga mengkhawatirkan pengguna Android lain yang masih awam dengan modus penipuan semacam ini.

“Yang gua khawatirkan cuma 1.. Orang tua gua.. udah.. mana mereka pakai Android semua,” tulis akun @syawall*****.

Sementara itu, admin akun yang membagikan utas itu juga menyarankan warganet untuk melaporkan modus penipuan ini ke e-commerce yang bersangkutan.