Phising Andalkan Popularitas AI –

Phising Andalkan Popularitas AI – Popularitas teknologi kecerdasan buatan (AI) semakin banyak dimanfaatkan penjahat siber untuk menjalankan penipuan.

Salah satu modus terbaru menggunakan undangan palsu yang mengatasnamakan Anthropic, perusahaan pengembang AI Claude. Melalui email yang menawarkan akses awal ke teknologi AI terbaru, pelaku berusaha mencuri kredensial akun Google dan Microsoft milik penerima.

Kampanye phising ini telah berlangsung sejak September 2026 dan menyasar pengguna di berbagai negara. Menariknya, email yang digunakan justru memiliki banyak kekurangan.

Mulai dari kesalahan penulisan hingga tampilan yang tidak menyerupai komunikasi resmi Anthropic. Namun, pesan-pesan tersebut tetap berhasil melewati sejumlah produk keamanan email yang banyak digunakan perusahaan.

Kasus ini menunjukkan bahwa email phishing tidak harus terlihat canggih untuk menimbulkan risiko. Dengan memanfaatkan layanan resmi dan beberapa teknik sederhana, pelaku tetap dapat mengelabui pengguna sekaligus menghindari sebagian mekanisme penyaringan email.

Menawarkan Akses Eksklusif ke Teknologi AI

Dalam kampanye ini, pelaku mengirimkan email yang menawarkan undangan khusus untuk mencoba sebuah layanan AI baru yang diklaim dikembangkan Anthropic.

Pesan tersebut menggunakan istilah seperti private preview dan invitation-only untuk memberikan kesan bahwa penerima mendapatkan kesempatan terbatas yang tidak tersedia bagi pengguna umum.

Padahal, terdapat sejumlah tanda mencurigakan. Nama pengirim, misalnya, menggunakan tulisan “Austin from nthropic”, yang menghilangkan huruf “A” dari nama Anthropic. Alamat domain pengirim juga berasal dari GoTo Webinar, bukan domain resmi Anthropic.

Jika penerima mengeklik tautan pendaftaran, mereka akan diarahkan ke halaman konferensi video palsu yang awalnya menyerupai Zoom. Selanjutnya, korban diminta masuk menggunakan akun Google atau Microsoft melalui fitur Single Sign-On (SSO).

Pada tahap inilah pencurian kredensial berpotensi terjadi. Halaman login palsu tersebut dirancang untuk memperoleh informasi akun yang dimasukkan pengguna. Dengan kredensial yang berhasil dicuri, pelaku dapat mencoba mengakses layanan lain yang terhubung dengan akun tersebut.

Tiga Teknik untuk Melewati Keamanan Email

Meskipun email yang dikirimkan terlihat sederhana, pelaku menggunakan beberapa teknik untuk meningkatkan peluang pesan masuk ke kotak masuk penerima dan menghindari pemeriksaan otomatis.

1. Memanfaatkan alamat email layanan resmi

Pelaku menggunakan alamat bersama customercare@gotowebinar.com untuk mengirimkan undangan. Karena alamat tersebut memang digunakan oleh layanan GoTo Webinar, sistem keamanan email dapat mengalami kesulitan membedakan pesan resmi dengan pesan yang disalahgunakan oleh pihak lain.

2. Menyembunyikan tautan berbahaya menggunakan URL shortener

Tautan pendaftaran dalam email melewati layanan pemendek URL melalui Zapier. Teknik ini membuat alamat tujuan sebenarnya tidak langsung terlihat ketika pengguna memeriksa tautan.

Akibatnya, sistem keamanan email yang melakukan pemeriksaan berdasarkan reputasi domain dapat lebih sulit mengenali tujuan berbahaya tersebut.

3. Menggunakan CAPTCHA untuk menghambat pemeriksaan otomatis

Kampanye ini juga menggunakan dua tahapan CAPTCHA. CAPTCHA pertama muncul sebelum pengguna diarahkan ke halaman Zoom atau Anthropic palsu. Tujuannya adalah menghambat pemindai otomatis yang biasa digunakan sistem keamanan untuk memeriksa halaman mencurigakan.

CAPTCHA kedua ditempatkan sebelum halaman login palsu. Mekanisme ini juga dirancang untuk mendeteksi atau membatasi akses dari VPN, peramban Tor, dan sejumlah alat yang biasa digunakan peneliti maupun tim keamanan untuk menganalisis situs berbahaya.

Dengan kombinasi tersebut, pelaku berusaha membuat halaman phising lebih sulit diperiksa oleh sistem otomatis maupun pihak yang melakukan investigasi.

Mengapa Sistem Keamanan Email Bisa Tertipu?

Salah satu hal yang perlu diperhatikan dari kampanye ini adalah keberhasilannya melewati sejumlah produk keamanan email, termasuk Proofpoint Secure Email Gateway dan Microsoft Defender for Office 365.

Hal ini tidak berarti produk tersebut tidak memiliki perlindungan terhadap phishing. Namun, sistem keamanan email memiliki keterbatasan dalam mengenali setiap bentuk penyalahgunaan layanan yang sah.

Email yang dikirim melalui alamat resmi sebuah layanan, misalnya, tidak otomatis berarti isinya aman. Demikian pula, tautan yang telah dipendekkan atau halaman yang menggunakan CAPTCHA dapat mempersulit proses pemeriksaan otomatis.

Karena itu, perusahaan tidak dapat sepenuhnya mengandalkan penyaring email untuk menghentikan seluruh serangan phishing. Pengguna tetap perlu mengenali tanda-tanda penipuan, sementara organisasi harus menyiapkan perlindungan tambahan apabila kredensial karyawan berhasil dicuri.

Cara Melindungi Akun dari Phising Berkedok AI

Agar tidak terjebak dalam modus serupa, pengguna dan perusahaan perlu menerapkan beberapa langkah berikut:

Periksa alamat pengirim dan domain. Jangan hanya melihat nama pengirim. Periksa alamat email lengkap dan pastikan domain benar-benar milik perusahaan yang disebutkan.
Jangan mudah percaya pada undangan eksklusif. Tawaran akses awal, fasilitas khusus, atau kesempatan terbatas sering dimanfaatkan untuk mendorong korban bertindak terburu-buru. Verifikasi informasi melalui situs resmi penyedia layanan.
Periksa tautan sebelum mengeklik. Berhati-hatilah terhadap URL yang dipendekkan atau mengarahkan pengguna ke domain yang tidak berkaitan dengan layanan yang ditawarkan.
Waspadai halaman login yang tidak sesuai. Jika undangan berasal dari Anthropic, tetapi proses pendaftaran mengarahkan pengguna ke halaman Zoom atau layanan lain tanpa penjelasan yang masuk akal, hentikan proses dan lakukan verifikasi.
Gunakan MFA yang tahan phishing. Organisasi sebaiknya menerapkan autentikasi multifaktor yang tahan terhadap phishing, seperti passkey atau kunci keamanan fisik.
Gunakan pengelola kata sandi. Password manager dapat membantu mengenali ketidaksesuaian domain dan mencegah pengisian kredensial secara otomatis pada situs palsu.
Pantau aktivitas akun. Perusahaan perlu memantau upaya login yang tidak biasa, menerapkan pembatasan hak akses sesuai kebutuhan, dan segera mencabut sesi atau token yang diduga telah disalahgunakan.

Kampanye yang mengatasnamakan Anthropic ini menjadi pengingat bahwa popularitas AI dapat dimanfaatkan sebagai umpan untuk mencuri informasi. Pelaku tidak selalu membutuhkan teknik yang rumit.

Cukup dengan menawarkan sesuatu yang menarik, memanfaatkan layanan tepercaya, dan menyamarkan tautan berbahaya, mereka dapat membuka peluang terjadinya pencurian akun.

Pada akhirnya, keamanan email bukan hanya bergantung pada teknologi penyaring pesan. Kewaspadaan pengguna, perlindungan identitas, dan pemantauan aktivitas akun tetap menjadi bagian penting dalam menghadapi serangan phishing.

Baca artikel lainnya: