Image credit: Freepix
Kocak! Robinhood Main Phising – Kejadian unik dan sangat meyakinkan baru saja menimpa platform perdagangan daring, Robinhood. Yang mengakibatkan terjadi phising melalui email resmi.
Para aktor ancaman berhasil mengeksploitasi celah pada proses pembuatan akun untuk menyuntikkan pesan phising ke dalam email resmi perusahaan, sehingga membuat pengguna percaya bahwa akun mereka mengalami aktivitas mencurigakan.
Sejak akhir pekan lalu, banyak pelanggan Robinhood menerima email berjudul “Your recent login to Robinhood” yang menyatakan adanya perangkat tidak dikenal tertaut ke akun mereka.
Apa yang membuat serangan ini sangat berbahaya adalah email tersebut benar-benar dikirim dari alamat resmi noreply@robinhood.com serta lolos verifikasi keamanan email SPF dan DKIM.
Hal ini membuat sistem filter spam tercanggih sekalipun sulit untuk memblokirnya secara otomatis.
|
Baca juga: Peran OSINT dalam Keamanan Siber |
Manipulasi Metadata
Serangan ini dimungkinkan karena adanya celah sanitasi data pada proses pendaftaran akun baru di Robinhood. Peneliti mengonfirmasi bahwa penyerang memanfaatkan alur pendaftaran otomatis yang mengirimkan detail login (seperti IP dan informasi perangkat) kepada pengguna baru.
Berikut adalah taktik teknis yang dilakukan peretas:
- Penyuntikan Kode (Injection): Penyerang memodifikasi kolom metadata perangkat (Device ID) mereka dengan menyertakan kode HTML berbahaya. Karena sistem Robinhood tidak membersihkan (sanitize) data tersebut dengan benar, kode HTML tersebut ikut tercetak ke dalam badan email resmi.
- Tampilan Palsu yang Meyakinkan: Kode HTML tersebut merender pesan peringatan palsu “Unrecognized Device Linked to Your Account” lengkap dengan tombol “Review Activity Now” yang mengarah ke situs pencurian kredensial di luar ekosistem Robinhood.
- Target Data Bocor: Aktor ancaman kemungkinan besar menggunakan daftar alamat email pelanggan Robinhood dari pelanggaran data masa lalu (tahun 2021) untuk menargetkan korban secara spesifik.
- Trik Dot Aliasing Gmail: Penyerang menggunakan fitur titik pada alamat Gmail (misalnya: a.b.c@gmail.com dianggap sama dengan abc@gmail.com) agar bisa mendaftarkan banyak akun variasi menggunakan satu alamat target yang sama.
Tanggapan dan Penanganan Robinhood
Robinhood telah mengonfirmasi insiden tersebut dan menyatakan bahwa ini adalah penyalahgunaan alur pembuatan akun, bukan peretasan sistem internal atau pencurian dana nasabah.
Sebagai langkah perbaikan, Robinhood telah menghapus kolom informasi perangkat (Device:) yang sebelumnya disalahgunakan dalam email konfirmasi akun mereka.
Meskipun sistem telah diperbaiki, insiden ini menunjukkan bahwa peretas tidak lagi hanya memalsukan email, tetapi benar-benar “meminjam” server resmi perusahaan untuk mengirimkan tipuan mereka.
Pengamanan bagi Pengguna dan Organisasi
Kasus ini menjadi peringatan keras bahwa email dari sumber yang tampak sah sekalipun tetap harus diperiksa dengan kritis. Berikut adalah langkah-langkah untuk memperkuat pertahanan diri:
- Jangan Terpaku pada Nama Pengirim: Meskipun email berasal dari alamat resmi perusahaan, selalu periksa tautan di balik tombol atau teks sebelum mengeklik. Arahkan kursor Anda ke tombol tersebut untuk melihat alamat URL aslinya.
- Akses Melalui Aplikasi Resmi: Jika menerima peringatan keamanan, hindari mengeklik tombol di dalam email. Sebaiknya, buka aplikasi Robinhood atau situs web resmi secara manual untuk memeriksa aktivitas akun Anda.
- Waspadai Desakan Urgensi: Pesan yang menciptakan rasa takut atau urgensi ekstrem sering kali merupakan ciri khas rekayasa sosial. Berhenti sejenak dan berpikir jernih sebelum bertindak.
- Aktifkan Autentikasi Multifaktor (MFA): Pastikan akun finansial Anda terlindungi oleh MFA. Jika kredensial Anda tercuri, lapisan keamanan ini akan mencegah penyerang masuk ke akun Anda.
- Gunakan Proteksi dari ESET: Solusi keamanan ESET memiliki teknologi anti-phishing yang mampu mengenali dan memblokir situs web berbahaya meskipun tautannya dikirim melalui email resmi perusahaan yang telah terkompromi atau disalahgunakan.
Kepercayaan pada Komunikasi Resmi
Eksploitasi pada Robinhood membuktikan bahwa kepercayaan pengguna terhadap email resmi adalah celah keamanan yang sangat besar.
Di tahun 2026, para pelaku kejahatan semakin cerdas dalam memanipulasi infrastruktur perusahaan yang sah untuk meluncurkan serangan mereka.
Kesadaran digital saat ini menuntut kita untuk tidak hanya memercayai “siapa” yang mengirim email, tetapi juga memvalidasi “apa” isi dan tujuan dari pesan tersebut.
Dengan tetap waspada terhadap anomali dalam konten email resmi dan selalu melakukan verifikasi melalui jalur mandiri, kita dapat melindungi aset finansial kita dari taktik rekayasa sosial yang semakin canggih ini.
Sumber berita:
