Social Engineering

Bagi orang yang berkecimpung di dunia I.T, "social engineering" bukan merupakan suatu hal asing,akan tetapi bagi orang yang berinteraksi dengan dengan teknologi inforamsi sebatas hanya sebagai "user" mungkin istilah ini masih sangat awam. Definisi dari "social engineering" menurut wikipedia adalah pemerolehan informasi rahasia/sensitif dengan cara memanipulasi pemilik informasi tersebut. Hampir sebagian besar kisah-kisah hacking activity dengan dampak kerugian finansial yang besar tidak bisa lepas dari lemahnya I.T awareness dari para pekerja di tempat tersebut. Dalam hal ini "Kevin Mitnick" salah seorang legenda hacker yang pernah menjadi "FBI No. 1 enemy" pada dekade 90an adalah seorang pakar IT yang dengan kemampuan "social engineering" yang cukup luar biasa. Kevin Mitnick merupakan seorang yang memahami betul bahwa keamanan sistem komputer terdiri dari aspek kebijakan organisasi, sumber daya manusia, proses yang terlibat serta teknologi yang digunakan.

Sebenarnya tujuan utama dari social engineering adalah sebagaimana aktivitas hacking pada umumnya yaitu untuk mendapatkan hak akses illegal pada sistem atau informasi untuk melakukan aktivitas fraud, penyusupan pada jaringan, spionase, pencurian identitas,dll. Social engineering dapat dilakukan dengan bermacam-macam, antara lain :

• Social engineering melalui telephone salah satu contoh yang marak adalah penipuan kartu atm melalui telepon
  
• Dumpster diving yaitu dengan mencari data-data berharga melalui berkas perusahaan misalnya daftar no telp/ext di perusahaan, BPP perusahaan, struktur organisasi perusahaan, memo-memo rapat, notulen meeting, dll.
• On-line social engineering dimana seorang user biasanya hanya mengenakan satu user-id dan password untuk mengakses berbagai layanan yang ada di internet seperti yahoo mail, google mail, akses internet banking, dll. Disamping itu kebiasaan lain dari user adalah menggunakan password yang mudah untuk ditebak semisal password = user id atau password nama dan tanggal lahir, dll.
• Persuasif social engineering yaitu dengan melakukan pendekatan personal kepada calon korbannya. Contoh sederhana yang bisa dilakukan adalah dengan berpura-pura meminjam PC dari calon korbannya, kemudian dengan menggunakan tool khusus sang hacker bisa mengetahui Pwd dari PC calon korbannya. Dan setelah itu dia bisa mengakses PC korbannya dari tempat lain dan menggambil semua informasi yang dia inginkan (mudah bukan), dan bukan hanya mengambil semua informasi bahkan sang hacker bisa memantau aktivitas dari korbannya secara real time (melihat apa yang sedang dibuka atau apa yg sedang diketikkan oleh korbannya)
• Reverse Social engineering, merupakan sebuah metode yang lebih canggih yang dapat dilakukan oleh hacker. Hal ini dilakukan dengan cara mensabotase jaringan dari calon korbannya sehingga jaringan menjadi crash, kemudian sang hacker dengan berlagak sebagai seorang yang mengerti tentang permasalahan jaringan tersebut berusaha untuk memperbaiki jaringan tersebut dan selama dia memperbaiki jaringan tersebut dia juga menanyakan beberapa informasi-informasi personal dari calon korbannya yang untuk kemudian dapat dimanfaatkan dalam aktivitas hackingnya.
  

Berikut ini beberapa tip sederhana untuk menghindari social engineering (based on my experience) :

• Jangan menuliskan IP address dari PC kita pada tempat yang terbuka, dan usahakan beri nama yang unik pada PC tersebut sehingga hacker akan sulit menebak PC kita pada saat hacker melakukan aktivitas "network scanning".
• Biasakan menggunakan Password yang unik (strong password) berupa kombinasi angka dan huruf (agar "John The Ripper" gagal he3x)
• Biasakan mengganti password secara periodik or apabila kita merasa password kita bocor.
• Jangan pernah mau berada dalam jaringan yang menggunakan HUB karena semua data anda pasti bisa di sadap oleh teman anda, untuk aman minta koneksi jaringan pakai Switch. (or klo terpaksa harus pakai HUB, bikin perjanjian "sniffing dilarang yaa" he3x).
• User standard WindowsXP adalah "Administrator" n password blank.....HARUS DIHINDARI....
• Klo ada temen yang pinjem PC, n temen itu ada tampang2 hacker...segera ubah segala password yang ada di PC itu (password windows, ym, ibank, dll)
• Jangan membuang dokumen/tulisan yang berisi informasi berharga tanpa menghancurkannya terlebih dahulu
  
• Intinya kita harus pelit informasi terkait personal detail or personal PC kita untuk menghindari social engineering....

Sementara itu dulu yaa, mungkin kalo ada yang mau menambahkan.....