Phishing pajak (terbuka di tab baru) penipuan sangat umum di Inggris, sedemikian rupa sehingga HMRC menerbitkan panduan dari jenis yang paling umum. Meskipun paling sering muncul di sekitar tenggat waktu pajak utama (misalnya penilaian diri Januari, pengarsipan perusahaan pada bulan Maret), hal itu dapat terjadi sepanjang tahun.
Tentang Penulis
Richard Meeus adalah Direktur Teknologi dan Strategi Keamanan di Akamai (terbuka di tab baru).
Serangan phishing bisa sangat bermanfaat bagi penjahat – tidak hanya secara finansial, tetapi juga ketika menyangkut kompromi data sensitif (terbuka di tab baru)mengakibatkan penipuan atau pencurian identitas (terbuka di tab baru) – dan siapa pun bisa menjadi korban: dari pekerja lepas TI hingga UKM dengan pendapatan jutaan pound.
Phishing sering dilihat sebagai jenis serangan siber ‘rekayasa sosial’, yang mengandalkan pengelabuan pengguna akhir agar memberikan informasi sensitif dengan berpura-pura berasal dari sumber tepercaya. Penyerang dunia maya juga akan sering menggunakan ‘perangkat’ teknis untuk membantu mereka melakukan penipuan. Penyerang tidak perlu menjadi peretas ahli untuk berhasil melakukan serangan phishing karena ada ekosistem kriminal yang sangat besar dari toolkit siap pakai yang tersedia untuk dibeli di web gelap. Melacak perkembangan penggunaan toolkit ini dapat memberi tahu kita banyak hal tentang keamanan siber yang mendasarinya (terbuka di tab baru) tren.
Untuk lebih memahami sifat dari penipuan berulang ini, kami melacak lima perangkat phishing paling signifikan yang didaur ulang dan digunakan kembali selama dua tahun terakhir. Di sini kami membagikan pelajaran penting kami dari data untuk membantu melindungi, menginformasikan, dan memberdayakan konsumen dengan lebih baik.
Scammer memanfaatkan ketidakpastian dan ketakutan
Selama 18 bulan terakhir, kami telah melihat lonjakan penipuan phishing berbasis pajak yang telah disesuaikan untuk mereferensikan Covid-19, dengan perpesanan terkait pandemi disertakan di hampir setiap penipuan. Ini bukanlah fenomena baru, karena kampanye dirancang untuk menarik perhatian dan prioritas konsumen, tetapi teknik rekayasa sosial ini sangat produktif selama 2020/21.
Banyak penipuan menyebutkan program bantuan pemerintah dan perubahan jadwal pengarsipan, meniru situs web yang sah. Misalnya, dua penipuan terkenal meniru HMRC, konon menawarkan skema bantuan Covid-19, termasuk “rencana dukungan penguncian” dan “pengembalian dana Covid-19”.
Menurut penelitian kami, terjadi peningkatan volume penipuan tepat setelah pandemi dimulai pada April 2020. Dengan memanfaatkan ketakutan dan kekhawatiran yang ada seputar ketidakamanan finansial, para penipu meningkatkan volume kampanye jenis ini untuk memanfaatkannya.
Penipuan pajak terus bermunculan
Kami melacak tiga penipuan Inggris yang, secara total, menciptakan lebih dari 1000 domain phishing, dengan satu penipuan khusus menggunakan 650 domain.
Kami menemukan semua toolkit muncul pada waktu yang berbeda menggunakan ratusan domain dan memengaruhi banyak organisasi. Sementara beberapa ada di seluruh pelacakan kami – kemungkinan akan kembali ke sebelum 2019 – satu penipuan pertama kali diidentifikasi pada Juli 2020.
Ketika datang untuk mengembangkan penipuan yang ada, kami telah menemukan bahwa penjahat akan sering mengambil vektor serangan tertentu dan men-tweak dan menyempurnakannya dari waktu ke waktu – kadang-kadang perubahan ini dilakukan pada peralatan teknis dan pada orang lain pada kata-kata.
Penjahat phishing memanfaatkan agenda berita, mengeksploitasi dan menghasut rasa takut dan memanfaatkan tenggat waktu yang ketat untuk memaksimalkan efektivitas serangan phishing dan menciptakan rasa urgensi.
Misalnya pada Desember 2020, sehari setelah Boris Johnson mengumumkan skema peluncuran vaksin, email phishing (terbuka di tab baru) sudah didistribusikan menawarkan vaksin. Serangan ini siap untuk dilakukan dan dikerahkan segera setelah agenda berita memungkinkan.
Setelah kit phishing tidak digunakan lagi, kit tersebut diputar kembali atau dihapus, memberi jalan bagi toolkit baru dan lebih baik yang telah belajar dari keberhasilan dan kegagalan pendahulu mereka. Dengan cara ini, toolkit scammers pajak mengikuti siklus hidup yang mirip dengan produk normal, artinya tidak ada dua tahun pelacakan penipuan yang sama.
Mempersiapkan fase selanjutnya
Seperti yang telah kita lihat, penipuan pajak, pada dasarnya, berbahaya, manipulatif, dan sangat merusak. Mereka memanfaatkan ketakutan dan prioritas kita untuk mengeksploitasi, mencuri, dan meniru korban mereka.
Penjahat akan terus menyerang kita saat kita paling rentan dan akan melakukan semua yang mereka bisa untuk membuat kita terlibat dalam penipuan mereka dengan memanfaatkan rekayasa sosial dan memanfaatkan sentimen yang terkait dengan peristiwa global seperti Covid-19.
Salah satu area utama yang kami perkirakan akan mengalami peningkatan serangan adalah melalui perangkat seluler. Korban sangat rentan di sini dan penjahat akan semakin menargetkan media ini. Hal ini mungkin terjadi baik dengan mengeksekusi kampanye pengguna seluler yang ditargetkan secara eksplisit atau, lebih implisit, dengan cara kita semakin banyak mengonsumsi dan menggunakan layanan Internet di ponsel cerdas kita. (terbuka di tab baru).
Perpindahan banyak tenaga kerja juga membuat serangan perangkat seluler lebih menarik karena lebih banyak aplikasi dan layanan terkait pekerjaan yang dapat diakses dari perangkat ini. Ini menciptakan permukaan serangan berkelanjutan yang pasti akan dimanfaatkan oleh penjahat, dan akan terus menjadi tantangan saat kami menavigasi cara kerja hybrid baru.
