Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Security

Security

Hati-hati penipuan verifikasi di Instagram, Facebook, dan Twitter

by

Enver Ceylan menampilkan dirinya secara online sebagai pria Renaissance.

Dia adalah seorang konsultan media sosial Turki, musisi dan aktor yang “memainkan peran utama dalam banyak serial TV dan film,” menurut situs webnya. Di antara layanan digitalnya: membantu pengguna Facebook dan Instagram dengan masalah periklanan dan mengembangkan akun mereka. Salah satu versi situs webnya dengan jelas menampilkan formulir yang meminta pengguna TikTok untuk mengisi informasi pribadi agar akun mereka diverifikasi, status yang biasanya disediakan untuk tokoh-tokoh terkenal.

“Akun Anda telah diikuti selama 30 hari, dan telah ditentukan bahwa Anda memenuhi syarat untuk menerima Lencana Biru TikTok,” situsnya menyatakan dalam bahasa Inggris pada 9 Juni. Sebuah formulir di bawah logo TikTok, sebuah notasi musik animasi, meminta password pengguna, alamat dan nomor telepon.

Jika janji Ceylan tampak terlalu bagus untuk menjadi kenyataan, itu karena kemungkinan besar memang demikian. Ceylan menghilang tak lama setelah CNET memasukkan informasi untuk mengujinya. Sebagian besar situs kemudian menjadi kosong sebelum muncul kembali sepenuhnya dalam bahasa Turki. (TikTok mengonfirmasi bahwa formulir itu tidak sah).

Mengarahkan pengguna media sosial ke formulir verifikasi palsu, seperti yang tampaknya telah dicoba oleh Ceylan, adalah taktik yang digunakan untuk menipu orang agar mendapatkan informasi pribadi dan mengambil alih akun mereka.

Scammers juga akan meluncur ke pesan langsung di Instagram dan memikat pengguna dengan janji verifikasi. Variasi penipuan ini telah ada selama bertahun-tahun, tetapi pakar keamanan siber mengatakan mereka memperkirakan penipuan ini akan berkembang seiring orang-orang menghabiskan lebih banyak waktu untuk membangun brand mereka di media sosial.

Demikian juga, orang-orang yang terverifikasi biasanya memiliki banyak pengikut, yang dapat menjadikan mereka target utama scammers atau peretas yang mencoba menjangkau banyak orang.

Mengumumkan bahwa Anda baru saja diverifikasi di media sosial juga dapat menjadikan Anda target jika Anda ingin mendapatkan lencana biru di jejaring sosial lain atau jika seorang peretas mencoba menemukan akun dengan banyak pengikut.

Selengkapnya: CNET

Aturan keamanan data baru dilembagakan untuk sistem pemrosesan pembayaran AS

by

Aturan keamanan data baru yang mengatur bagaimana uang berpindah tangan di AS telah berlaku hari ini, memaksa pemroses uang digital utama untuk membuat informasi rekening deposito tidak dapat dibaca dalam penyimpanan elektronik.

National Automated Clearinghouse Association (NACHA), badan yang meloloskan aturan, mengatur ACH Network, sistem pembayaran yang mendorong setoran langsung dan pembayaran langsung untuk hampir semua rekening bank dan serikat kredit AS. Lembaga kliring otomatis nasional memproses sejumlah besar transaksi kredit dan debit di AS dan menangani transaksi keuangan untuk konsumen, bisnis, dan pemerintah federal, negara bagian, dan lokal.

Mulai tanggal 30 Juni, jika nomor rekening digunakan untuk pembayaran ACH — konsumen atau perusahaan — nomor itu harus dibuat tidak terbaca saat disimpan secara elektronik, menurut NACHA, yang menambahkan bahwa setiap tempat di mana nomor rekening yang terkait dengan entri ACH disimpan adalah dalam ruang lingkup aturan.

“Ini termasuk sistem di mana otorisasi diperoleh atau disimpan secara elektronik, serta basis data atau platform sistem yang mendukung entri ACH. Sebagai contoh, untuk Penyedia Layanan Pihak Ketiga yang kliennya adalah lembaga keuangan, ini dapat mencakup platform yang melayani ACH. pergudangan dan posting transaksi, dan sistem pelaporan informasi klien,” jelas NACHA.

“Untuk Pengirim Asal dan Penyedia Layanan Pihak Ketiga mereka, sistem hutang dan piutang akan terpengaruh, seperti halnya sistem lain (misalnya, sistem manajemen klaim untuk perusahaan asuransi).”

Aturan ini juga berlaku untuk otorisasi kertas atau dokumen lain yang berisi nomor akun ACH yang dipindai untuk tujuan penyimpanan dan penyimpanan catatan elektronik.

selengkapnya : www.zdnet.com

API Baru Memungkinkan Pengembang Aplikasi Mengautentikasi Pengguna melalui Kartu SIM

by

Pembuatan akun online menimbulkan tantangan bagi para insinyur dan arsitek sistem: jika Anda memasang terlalu banyak penghalang, Anda berisiko menolak pengguna asli. Buat terlalu mudah, dan Anda berisiko dari penipuan atau akun palsu.

Model tradisional identitas online – nama pengguna/email dan kata sandi – telah lama tidak digunakan lagi. Beginilah cara otentikasi multi-faktor atau dua faktor (MFA atau 2FA) berperan, untuk menambal kerentanan yang disebut model berbasis pengetahuan, biasanya dengan kode sandi SMS untuk memverifikasi kepemilikan nomor ponsel.

Terkadang solusi paling sederhana sudah ada di tangan kita. SMS saja mungkin tidak aman, tetapi nomor ponsel yang ditambatkan ke kartu SIM adalah: pasangan unik yang sulit untuk diubah atau disalin.

Otentikasi berbasis SIM adalah terobosan identitas. Sekarang dimungkinkan untuk mencegah penipuan dan akun palsu sambil memverifikasi pengguna seluler dengan mulus menggunakan pengenal paling aman secara kriptografis yang sudah mereka miliki – kartu SIM yang tertanam di perangkat seluler mereka.

Jika Anda khawatir tentang penipuan pertukaran SIM sebagai ancaman bagi pengguna Anda, Anda benar.

Otentikasi berbasis SIM memberikan perbaikan sederhana, dengan respons langsung yang dapat ditindaklanjuti. Penipu berusaha mengakses akun korban mereka biasanya dalam waktu 24 jam, jadi dengan memeriksa aktivitas pertukaran SIM dalam 7 hari terakhir, SubscriberCheck oleh tru.ID dapat mendeteksi mereka di gerbang.

Kartu SIM di dalam telepon sudah diautentikasi dengan Operator Jaringan Seluler (MNO). Otentikasi SIM memungkinkan pelanggan seluler melakukan dan menerima panggilan telepon dan terhubung ke Internet.

SubscriberCheck dari tru.ID terhubung ke mekanisme otentikasi yang sama dengan MNO. Akibatnya, tru.ID API melakukan dua hal.

Pertama, memverifikasi bahwa nomor ponsel aktif dan dipasangkan ke kartu SIM di ponsel. Sebagai bagian dari verifikasi ini, API juga mengambil informasi jika kartu SIM yang terkait dengan nomor telepon baru saja diubah. Pemeriksaan ini dapat diintegrasikan dengan mudah dengan API dan SDK.

Selengkapnya: The Hacker News

Pelanggaran Data LinkedIn dilaporkan mengekspos data 92% pengguna, termasuk gaji yang diperkirakan [U]

by

Pelanggaran besar kedua LinkedIn dilaporkan mengekspos data 700 juta pengguna, yang merupakan lebih dari 92% dari total 756 juta pengguna. Basis data untuk dijual di web gelap, dengan data termasuk nomor telepon, alamat fisik, data geolokasi, dan gaji yang diperkirakan.

Peretas yang memperoleh data telah memposting sampel 1 juta catatan, dan pemeriksaan mengonfirmasi bahwa data tersebut asli dan terbaru.

RestorePrivacy melaporkan bahwa peretas tampaknya telah menyalahgunakan LinkedIn API resmi untuk mengunduh data, metode yang sama yang digunakan dalam pelanggaran serupa pada bulan April.

Pada tanggal 22 Juni, seorang pengguna situs peretasan populer mengiklankan data dari 700 Juta pengguna LinkedIn untuk dijual. Pengguna forum memposting sampel data yang mencakup 1 juta pengguna LinkedIn. Kami memeriksa sampel dan menemukannya mengandung informasi berikut:

  • Alamat email
  • Nama lengkap
  • Nomor telepon
  • Alamat fisik
  • Catatan geolokasi
  • Nama pengguna dan URL profil LinkedIn
  • Pengalaman/latar belakang pribadi dan profesional
  • jenis kelamin
  • Akun media sosial dan nama pengguna lainnya

PrivacyShark

Tidak ada kata sandi yang ikut bocor, tetapi ini masih merupakan data berharga yang dapat digunakan untuk pencurian identitas dan upaya phishing yang tampak meyakinkan yang dapat digunakan sendiri untuk mendapatkan kredensial masuk untuk LinkedIn dan situs lainnya.

Saat dimintai keterangan, pihak LinkedIn membantah dengan mengatakan bahwa itu bukanlah pelanggaran data.

Sementara kami masih menyelidiki masalah ini, analisis awal kami menunjukkan bahwa kumpulan data tersebut mencakup informasi yang diambil dari LinkedIn serta informasi yang diperoleh dari sumber lain. Ini bukan pelanggaran data LinkedIn dan penyelidikan kami telah menetapkan bahwa tidak ada data pribadi anggota LinkedIn yang terpapar. Memotong data dari LinkedIn merupakan pelanggaran terhadap Ketentuan Layanan kami dan kami terus berupaya untuk memastikan privasi anggota kami terlindungi.

LinkedIn

Selengkapnya: 9to5mac

DMARC: Garis Pertahanan Pertama Terhadap Ransomware

by

Ada banyak buzz di industri tentang ransomware akhir-akhir ini. Hampir setiap hari, itu menjadi berita utama. Dengan bisnis di seluruh dunia menahan napas, takut mereka mungkin menjadi korban serangan ransomware besar berikutnya, sekarang saatnya untuk mengambil tindakan.

Laporan FBI IC3 tahun 2020 mengklasifikasikan Ransomware sebagai kejahatan dunia maya yang paling merusak secara finansial tahun ini, tanpa peningkatan besar pada tahun 2021.

Bukankah lebih baik jika Anda bisa mencegah serangan ransomware dari awal? DMARC dapat membuat klaim yang tampaknya mustahil ini menjadi peluang bagi pemilik domain!

Ransomware adalah perangkat lunak berbahaya yang menginstal sendiri di komputer Anda tanpa izin Anda. Itu kemudian mengenkripsi data Anda, dan Anda hanya bisa mendapatkannya kembali dengan membayar tebusan.

Sebagai akibat dari meningkatnya serangan Ransomware pada bisnis global, CISA menganggap email phishing sebagai salah satu vektor ancaman yang paling kuat.

Badan Keamanan Infrastruktur Keamanan Siber pemerintah AS telah merekomendasikan, dalam Panduan Perlindungan Ransomware mereka, bahwa semua bisnis, termasuk lembaga pemerintah, untuk menerapkan DMARC sedini mungkin untuk mengurangi kemungkinan email palsu atau diubah dari domain yang valid.

Alasannya adalah DMARC dibuat berdasarkan standar autentikasi email seperti SPF dan DKIM, yang mengautentikasi sumber pengiriman, dan memastikan bahwa penerima email Anda tidak pernah tertipu.

Menerapkan DMARC analyzer di organisasi Anda memastikan Anda terlindungi dari peniruan identitas semaksimal mungkin. Alat ini memudahkan untuk mengonfigurasi DMARC untuk domain Anda dan beralih ke kebijakan yang diberlakukan dalam beberapa hari.

Selengkapnya: The Hacker News

TikTok Diam-diam Memperbarui Kebijakan Privasi untuk Mengumpulkan Faceprints dan Voiceprints

by

TikTok, salah satu aplikasi yang paling banyak diunduh pada tahun 2021 sejauh ini, memutuskan untuk secara diam-diam memperbarui kebijakan privasinya untuk mengumpulkan pengenal biometrik dan informasi biometrik yang dikenal di AS sebagai Faceprints dan Voiceprints.

Aplikasi trendi, yang dimiliki oleh perusahaan teknologi internet China ByteDance, menambahkan bagian baru pada kebijakan privasinya yang disebut ‘Informasi Gambar dan Audio’.

Dengan langkah berani, perusahaan yang berbasis di Beijing sekarang dapat secara otomatis mengumpulkan jenis data biometrik baru tersebut. Menurut kebijakan privasi yang diperbarui, data akan digunakan untuk operasi non-identifikasi pribadi seperti mengaktifkan efek video khusus, moderasi konten, klasifikasi demografis, dan rekomendasi iklan.

Meskipun kebijakan privasi TikTok secara eksplisit mengatakan bahwa mereka tidak menjual informasi pribadi kepada pihak ketiga, mereka juga membiarkan pintu terbuka, mengatakan bahwa mereka dapat berbagi informasi bisnis, termasuk Faceprints dan Voiceprints, untuk tujuan bisnis.

Kekhawatiran lain yang membayangi ByteDance adalah bahwa perusahaan tersebut suatu hari nanti mungkin dipaksa oleh partai komunis yang berkuasa di China untuk membagikan informasi biometrik semacam itu dengan pemerintah.

Selengkapnya: Panda Security

NSA membagikan panduan tentang mengamankan komunikasi suara dan video

by

National Security Agency (NSA) telah membagikan mitigasi dan praktik terbaik yang harus diikuti oleh administrator sistem saat mengamankan sistem pemrosesan panggilan Unified Communications (UC) dan Voice and Video over IP (VVoIP).

UC dan VVoIP adalah sistem pemrosesan panggilan yang digunakan di lingkungan perusahaan untuk berbagai tujuan, mulai dari konferensi video hingga pesan instan dan kolaborasi proyek.

Karena sistem komunikasi ini terintegrasi erat dengan peralatan TI lainnya di dalam jaringan perusahaan, mereka juga secara tidak sengaja meningkatkan permukaan serangan dengan memperkenalkan kerentanan baru dan potensi akses rahasia ke komunikasi organisasi.

Perangkat UC/VVoIP yang tidak diamankan dengan benar terpapar pada risiko keamanan yang sama dan ditargetkan oleh pelaku ancaman melalui spyware, virus, kerentanan perangkat lunak, dan cara berbahaya lainnya jika tidak diamankan dan dikonfigurasi secara memadai.

Admin disarankan untuk mengambil langkah-langkah utama ini untuk meminimalkan risiko jaringan perusahaan organisasi mereka dilanggar dengan mengeksploitasi sistem UC/VVoIP:

  • Segmentasikan jaringan perusahaan menggunakan Virtual Local Area Networks (VLAN) untuk memisahkan lalu lintas suara dan video dari lalu lintas data
  • Gunakan daftar kontrol akses dan aturan perutean untuk membatasi akses ke perangkat di seluruh VLAN
  • Menerapkan perlindungan layer 2 dan Address Resolution Protocol (ARP) dan pertahanan dari spoofing IP
  • Lindungi gateway PSTN dan perimeter Internet dengan mengautentikasi semua koneksi UC/VVoIP
  • Selalu perbarui perangkat lunak untuk mengurangi kerentanan perangkat lunak UC/VVoIP
  • Mengautentikasi dan mengenkripsi sinyal dan lalu lintas media untuk mencegah peniruan identitas dan penyadapan oleh aktor jahat
  • Deploy pengontrol batas sesi (SBC) untuk memantau lalu lintas UC/VVoIP dan mengaudit catatan data panggilan (CDR) menggunakan solusi deteksi penipuan untuk mencegah penipuan
  • Pertahankan cadangan konfigurasi dan instalasi perangkat lunak untuk memastikan ketersediaan
  • Kelola serangan denial of service menggunakan pembatasan kecepatan dan batasi jumlah panggilan masuk untuk mencegah kelebihan server UC/VVoIP
  • Gunakan kartu identitas, biometrik, atau sarana elektronik lainnya untuk mengontrol akses fisik ke area aman dengan jaringan dan infrastruktur UC/VVoIP
  • Verifikasi fitur dan konfigurasi untuk perangkat baru (dan berpotensi jahat) di testbed sebelum menambahkannya ke jaringan

Selengkapnya: Bleeping Computer

Di dalam serangan ransomware: bagaimana jaringan gelap penjahat dunia maya berkolaborasi untuk melakukannya

by

Dalam komunike Carbis Bay mereka, G7 mengumumkan niat mereka untuk bekerja sama mengatasi kelompok ransomware. Beberapa hari kemudian, Presiden AS Joe Biden bertemu dengan Presiden Rusia Vladimir Putin, di mana proses ekstradisi untuk membawa penjahat siber Rusia ke pengadilan di AS dibahas. Putin dilaporkan setuju pada prinsipnya, tetapi bersikeras bahwa ekstradisi harus dilakukan secara timbal balik.

Masalah penegakan hukum adalah bahwa ransomware – suatu bentuk malware yang digunakan untuk mencuri data organisasi dan menyimpannya untuk tebusan – adalah suatu hal yang susah ditangkap. Tidak hanya itu kejahatan campuran, termasuk pelanggaran yang berbeda di berbagai badan hukum, tetapi juga kejahatan yang mengangkangi kewenangan lembaga kepolisian yang berbeda dan, dalam banyak kasus, negara. Dan tidak ada satu pelaku utama. Serangan Ransomware melibatkan jaringan terdistribusi dari penjahat dunia maya yang berbeda, seringkali tidak diketahui satu sama lain untuk mengurangi risiko penangkapan.

Serangan Ransomware juga berubah. Model bisnis industri kriminal telah bergeser ke arah ransomware-as-a-service. Ini berarti operator menyediakan perangkat lunak berbahaya, mengelola sistem pemerasan dan pembayaran, serta mengelola reputasi “merek”. Tetapi untuk mengurangi risiko penangkapan, mereka merekrut afiliasi dengan komisi yang besar untuk menggunakan perangkat lunak mereka untuk meluncurkan serangan.

Untuk mengurangi risiko tertangkap, kelompok pelaku cenderung mengembangkan dan menguasai keterampilan khusus untuk berbagai tahap serangan. Kelompok-kelompok ini mendapat manfaat dari saling ketergantungan ini, karena mengimbangi tanggung jawab pidana di setiap tahap.

Mereka mungkin dibeli oleh “broker akses awal”, yang berspesialisasi dalam mendapatkan akses awal ke sistem komputer sebelum menjual detail akses tersebut kepada calon penyerang ransomware.

Ekosistem ini terus berkembang. Misalnya, perkembangan baru-baru ini adalah munculnya “konsultan ransomware”, yang memungut biaya untuk menasihati pelanggar pada tahap-tahap utama serangan.

Selengkapnya: The Conversation