Teknogav.com -  Empat aspek yang menjadi fokus serangan ke bisnis adalah keuangna, kekayaan intelektual, data pribadi dan infrastruktur TI. Penjahat siber juga menjadikan aset perusahaan yang dikelola bagian hubungan masyarakat dan pemasaran sebagai sasarannya. Aset perusahaan yang menjadi sasaran ini termasuk email, platform periklanan, saluran media sosial, dan situs promosi. Kaspersky memaparkan lima serangan siber yang mengincar bagian pemasaran beserta dengan tips bagi perusahaan untuk mengamankan aset mereka.

Malvertising

Iklan berbayar resmi telah aktif digunakan penjahat siber untuk mengiklankan halaman palsu, kampanye palsu merek terkenal dan skema penipuan lain. Penjahat siber membayar iklan banner, penempatan pencarian dan alat promosi perusahaan. Modus penggunaan iklan berbayar resmi untuk melancarkan kejahatan siber ini disebut malvertising atau iklan berbahaya. Penjahat siber ini terkadang membuat akun iklan sendiri dan membayar iklannya, tetapi metode ini meninggalkan banyak jejak seperti rincian pembayaran. 

Metode lain pun digunakan, yaitu mencuri kredensial login dan peretasan akun iklan perusahaan untuk mempromosikan situs mereka. Penjahat siber bisa mendapat keuntungan ganda dengan modusi ini, yaitu membelanjakan uang orang lain tanpa meninggalkan jejak berlebih. Di sisi lain, akun iklan akun perusahaan yang diretas menjadi rusak dan mengalami masalah. Salah satu masalah tersebut adalah kemungkinan diblokir platform periklanan karena mendistribusikan konten berbahaya.

Baca juga: Eksekutif Perusahaan Ternyata Masih Asing dengan Beberapa Istilah Keamanan Siber

Downvoted and unfollowed

Pengambilalihan akun iklan berbayar di jejaring sosial merupakan variasi dari skema malvertising. Perusahaan yang menjadi sasaran mendapat beberapa masalah tambahan terkait platform media sosial yang digunakan. 

Masalah pertama ditimbulkan oleh akses akun media sosial perusahaan yang biasanya ditautkan dengan akun pribadi karyawan. Penyerang kerap membobol komputer pribadi karyawan atau mencuri kata sandi jejaring sosial. Upaya ini dilakukan agar dapat mengakses sampai cakupan tindakan yang diberikan perusahaan tempat bekerja. Tindakan tersebut mencakup memposting di halaman jejarin sosial perusahaan, mengirim email ke pelanggan melalui mekanisme komunikasi bawaan dan memasang iklan berbayar. Pencabutan fungsi-fungsi tersebut dari karyawan mudah dilakukan selama mereka bukan administrator halaman perusahaan. Pada kasus ini, pemulihan akses akan makin menghemat waktu.

Kedua, sebagian besar iklan di jejaring sosial berbentuk “postingan promosi” yang dibuat atas nama perusahaan tertentu. Promosi penawaran palsu yang dibuat penjahat siber terlihat diposting oleh perusahaan resmi, sehingga audiens mempercayainya. Pelanggan cenderung menyampaikan keluhan langsung di bawah iklan tersebut, sehingga perusahaan juga mengalami kerugian reputasi sesungguhnya. 

Ketiga, banyak audiens khusus di jejaring sosial yang tertarik dengan produk dan layanan suatu perusahaan atau sebelumnya mengunjungi web perusahaan. Kondisi ini sebenarnya tidak bisa dicuri, tetapi membuka peluang untuk membuat malvertising sesuai minat kalangan tertentu, sehingga lebih efektif.

Baca juga: Trend Micro One Sajikan Keamanan Siber dan Manajemen Attack Terpadu

Lingkup Tak Terjadwal

Pembajakan akun di penyedia email juga bisa jadi cara untuk mendapat iklan gratis. Jika perusahaan yang jadi korban cukup besar, maka kemungkinan ada jutaan pelanggan dalam mailing list mereka. Penjahat siber bisa mengeksploitasi akses tersebut dengan berbagai cara. Salah satunya adalah mengirim penawaran palsu menarik ke alamat email dalam database pelanggan. Tentu saja dalam email tersebut bisa disertakan tautan untuk phishing atau mengunduh file berbahaya. Penjahat siber juga bisa mengeksploitasi akses untuk mengunduh database pelanggan untuk melancarkan serangan ke email pelanggan dengan cara lain.

Serangan siber jenis ini dapat menimbulkan kerugian finansial, reputasi dan teknis. Maksud dari kerugian 'teknis' adalah pemblokiran pesan masuk di email berikutnya yang dikirim oleh server email. Perusahaan yang menjadi korban harus mengatasi masalah dengan platform pengiriman surat dan penyedia email yang sudah memblokir akibat pengiriman email berbahaya.

Dampak terburuk dari serangan jenis ini adalah keebocoran data pribadi pelanggan. Masalah ini jadi insiden lain yang merusak reputasi dan risiko denda dari regulator perlindungan data.

Fifty shades of websites

Peretasan situd web dari perusahaan kecil yang mengutamakan berbisnis melalui jejaring sosial atau offline bisa jadi luput dari perhatian dalam jangka waktu lama. Penjahat siber memiliki berbagai tujuan dalam meretas web, tergantung jenis situs dan sifat bisnis perusahaan. 

Kaspersky dapat membedakan serangan siber yang lebih canggih setelah penjahat siber menyusup web. Pertama adalah serangan siber dengan pemasangan web skimmer. Kedua, membuat sub bagian tersembunyi di situs web dan mengisinya dengan konten berbahaya. 

Pada serangan dengan web skimmer, kode pemrograman Java Script disematkan di kode pemrograman web untuk mencuri rincian kartu pembayaran. Penyerang dapat mengambil uang setelah membayar transaksi di web tersebut. 

Cara kedua memungkinkan penjahat siber untuk menjalankan berbagai kegiatan kriminal. Laman web dapat digunakan untuk menawarkan hadiah atau penawaran palsu, bahkan untuk menyebarkan perangkat lunak Trojan.

Baca juga: Trend Micro One Sajikan Keamanan Siber dan Manajemen Attack Terpadu

Perusahaan pemilik web resmi tidak menyadari web mereka disusupi oleh penjahat siber. Situs tanpa pengawasan yang dibuat untuk kampanye pemasaran atau acara satu kali yang telah dilupakan pembuatnya kerap menjadi sasaran penjahat siber.

Dampak peretasan situs web menimbulkan kerugian yang luas bagi perusahaan. Berikut ini adalah beberapa kerugian tersebut :

• Peningkatan biaya akibat trafik berbahaya
• Penurunan jumlah pengunjung sebenarnya akibat penurunan tingkat SEO
• Potensi perselisihan dengan pelanggan atau penegak hukum mengenai tagihan tak terduga pada kartu pelanggan

Hotwired web forms

Penjahat siber dapat memanfaatkan situs web perusahaan yang disusupi untuk tujuan sendiri tanpa harus meretasnya. Fungsi situs yang dibutuhkan adalah untuk membuat email konfirmasi, formulir umpan balik, formulir pembuatan jadwal ketemu dan lain-lain. Formulir tersebut dieksploitasi penjahat siber menggunakan sistem otomatis untuk mengirim spam atau phishing. 

Mekanisme modus ini adalah dengan memasukkan alamat target ke dalam formulir sebagai email kontak. Teks email disematkan dalam kolom nama atau subjek. Contohnya "Transfer uang Anda siap diterbitkan (tautan)”. 

Isi email berbahaya akan tertulis sebagai berikut:

"XXX yang terhormat, transfer uang Anda siap untuk diterbitkan (tautan). Terima kasih sudah menghubungi kami. Kami akan segera menghubungi Anda." 

Akibatnya platform anti-spam tidak meloloskan email tersebut diterima, sehingga formulir perusahaan korban kehilangan sebagian fungsi. Seluruh penerima pesan juga tidak terlalu memikirkan perusahaan dan menyamakan dengan pelaku spam.

Tips Amankan Aset PR dan Pemasaran

Perlindungan mendalam dibutuhkan untuk menghadapi berbagai jenis serangan. Berikut ini adalah beberapa langkah tersebut:

• Mengadakan pelatihan kesadaran keamanan siber di seluruh departemen pemasaran secara rutin
• Memastikan karyawan menerapkan penggunaan kata sandi dengan praktik terbaik. Pakai kata sandi yang panjang dan unik untuk setiap platform. Terapkan autentikasi dua faktor, terutama pada jejaring sosial, alat pengiriman surat, dan platform manajemen iklan
• Tidak menggunakan satu kata sandi untuk semua karyawan yang membutuhkan akses ke jaringan sosial perusahaan atau alat online lain
• Menginstruksikan karyawan untuk mengakses alat surat atau periklanan 
• Terapkan praktik wajib keluar dari platform surat/iklan dan akun serupa lain jika tidak digunakan 
• Selalu cabut akses ke jejaring sosial, platform surat/iklan dan admin situs web segera setelah karyawan berhenti bekerja dari perusahaan 
• Tinjau daftar email yang dikirim dan iklan yang sedang berjalan secara rutin. Lakukan berbarengan dengan analisis lalu lintas situs web yang detail untuk mendeteksi anomali tepat waktu
• Pastikan selalu memperbarui perangkat lunak yang digunakan di situs web dan di komputer kerja
• Bekerja sama dengan kontraktor pendukung situs web untuk menerapkan validasi dan sanitasi formulir. Pastikan tautan tidak bisa dimasukkan dalam bidang yang tidak dimaksudkan untuk tujuan tersebut. Tentukan batas kecepatan untuk mencegah pelaku kejahatan membuat ratusan permintaan setiap hari. Tambahkan juga captcha cerdas untuk menghindari bot

Demikianlah lima jenis serangan siber yang menjadikan bagian pemasaran sebagai sasarannya dan tips untuk aman dari ancaman tersebut.