‘Phishing’ Dan ‘SMiShing’ Apple ID: Maksud Dan Bagaimana Untuk Elak Serta Melaporkannya

Jenayah siber adalah tidak asing lagi berlaku di kalangan pengguna internet pada abad ini. Serangan seperti pencerobohan maklumat yang mensasarkan akaun seperti e-mel dan media sosial sering kali dilaporkan terjadi pada setiap hari. Ini termasuklah pencerobohan maklumat yang berlaku terhadap pengguna dan pemilik akaun Apple ID bagi mendapat akses dan mengambil alih akaun tersebut.

Dalam ekosistem Apple, akaun Apple ID merupakan sebuah akaun yang digunakan sebagai pusat untuk mengurus dan mengakses perkhidmatan Apple seperti App Store, iTunes Store, iCloud, iMessage, Apple Online Store, FaceTime dan banyak lagi. Penggunaan akaun Apple ID ini juga ialah pada ketika menyediakan peranti baru, membuat pembelian pada laman jualan atau menggunakan sebarang servis Apple.

Setiap akaun Apple ID mempunyai maklumat peribadi, butiran pembayaran dan keselamatan termasuklah mengaktifkan sistem Activation Lock yang berada di bawah servis Find My melalui iCloud. Dengan sebab ini, serangan pencerobohan maklumat terhadap akaun Apple ID milik pengguna adalah semakin berleluasa dari hari ke hari.

• Maksud ‘Phishing’ dan ‘SMiShing’
• Perihalnya pada Apple ID
• Cara untuk mengelakkannya
• Laporkan kepada Apple
• Kesimpulan

Apakah itu ‘Phishing’ dan ‘SMiShing’?

‘Phishing’ atau memancing data ialah merupakan suatu teknik pencerobohan maklumat dan data sulit pengguna dengan memanipulasi dan/atau memperdayakan mangsa. Kebanyakan phishing mensasarkan akaun atau alamat e-mel yang digunakan bagi sesuatu urusan pada akaun pengguna. Teknik phishing yang digunakan ialah menghantar e-mel palsu berbentuk seperti notis pemberitahuan penting atau menyamar sebagai entiti yang sah.

Bagi ‘SMiShing’ pula, teknik memancing data adalah sama seperti phishing tetapi mensasarkan nombor telefon milik pengguna dengan menggunakan penghantaran mesej. Sebuah mesej sistem pesanan ringkas (SMS) dihantar kepada mangsa yang mengandungi teks dan notis penting atau penyamaran yang boleh mempengaruhi dan mengumpan pengguna tersebut.

Setiap phishing dan smishing yang dilakukan akan mempunyai sebuah pautan laman web yang disertakan. Apabila mengetik pautan tersebut, mangsa akan di bawa ke sebuah laman web palsu yang direka khas sama seperti laman web asli.

Para pemancing data (phisher) yang menggunakan teknik memancing data ini memerlukan pengetahuan dan pemahaman kejuruteraan sosial (social engineering) bagi mengaburi teknik yang digunakan terhadap mangsa. Memancing data ini tidaklah terhad kepada akaun e-mel dan media sosial sahaja, terdapat pelbagai jenis dan teknik serangan yang berbeza dan tersendiri seperti laman web dan aplikasi berdasarkan akaun yang disasarkan.

Penggunaan ‘Phishing’ dan ‘SMiShing’ pada Apple ID

Kebiasaannya, teknik pencurian data ini digunakan kepada pengguna yang telah kehilangan peranti Apple mereka atau peranti yang masih lagi dipautkan dengan akaun Apple ID walaupun ia telah dijual kepada orang lain termasuklah peranti yang  diaktifkan Activation Lock. Ini berkemungkinan peranti tersebut berada di tangan pemancing data atau orang lain di mana mereka menjadi orang tengah untuk mendapatkan maklumat Akaun Apple ID milik mangsa. Apabila maklumat akaun Apple ID telah diterima, pemancing data akan mendaftar masuk dan menyahkuncikan Activation Lock atau log keluar akaun Apple ID pada peranti tersebut.

Teknik memancing data ini selalunya digunakan pada alamat e-mel dan nombor telefon yang didaftarkan pada akaun Apple ID. Salah satu sebabnya ialah, e-mel yang diterima pengguna dan ‘kurang mencurigakan’ adalah yang dihantar oleh pihak Apple. Pengguna akan menerima e-mel palsu daripada pihak yang menyamar sebagai Apple dengan mempengaruhi anda untuk melayari pautan laman web yang diberikan dan kemudiannya mendaftar masuk akaun Apple ID.

Selain itu, memancing data ini juga dilakukan dengan mengunakan sistem pesanan ringkas (SMS) dan iMessage. Sama seperti phishing untuk e-mel, tipu helah smishing yang digunakan adalah lebih kurang sama dengan penyamaran sebagai pihak Apple dan turut disertakan sebuah pautan untuk dilayari. Pemancing data biasanya mendapatkan nombor telefon pengguna pada peranti yang hilang dan diaktifkan Activation Lock yang dikunci dengan kod laluan yang berada di dalam keadaan Lost Mode.

Jika pautan yang terdapat pada e-mel atau mesej tersebut dilayari, pengguna akan dibawa ke laman web yang ditiru semula dan sama seperti laman web milik Apple yang asli. Pada halaman palsu ini, pengguna yang tidak dapat mengesyaki sebarang muslihat dan terperdaya akan mendaftar masuk akaun Apple ID dan kata laluan yang kemudiannya dihantar kepada pemancing data.

Langkah untuk mengenal pasti dan mengelakkannya

A. E-mel (Phishing)

Kebanyakan e-mel memancing data akan meniru semula berdasarkan rangka dan struktur e-mel asli oleh Apple. Apabila e-mel seperti ini diterima, agak susah sebenarnya untuk mengenalpasti kesahihannya jika tidak memeriksa alamat e-mel penghantar dengan teliti. Perkara atau tajuk yang sering kali digunakan ialah yang berkaitan dengan akaun Apple ID dan peranti dimiliki mangsa.

Berikut ialah antara contoh perkara/tajuk atau notis pada e-mel memancing data yang dihantar ke alamat e-mel pemilik Apple ID:

• “iPhone/iPad/iPod/Apple Watch/Mac has been found. (nama peranti) was found at 18:00. Your (device) last reported location will be available for 24 hours. View Location”
• “Your Apple ID (…) was used to sign in to iCloud on an iphone 6. Time: 7:05 AM GMT. Operating system: IOS 10.2. Reset Password”
• “iCloud ID locked for access. Your iCloud ID has been used… for this reason your iCloud ID is locked temporarily. Reset now”
• “You recently made a request to reset your Account ID. Please click the link below to complete the process. Reset now >”
• “Lost Mode enabled on iPhone. This device was put into Lost Mode at…. Use Find My iPhone on an…… to take additional action. Additional Action”
• “Your receipt from Apple. If you don’t make this purchase,… click here to cancel your purchase.”
• “XXX send you an iTunes Gift Card. You can redeem this gift card…….. can purchase the latest music, apps and mode. Redeem Now”
• “Subscribe to ____ Album “…..”? You are invited to view these shared photos…. Subscribe” (Photo Stream)
• “Apple Maps Connect. Do you own or manage a small business? Add or correct your business… Sign Up”

Kebiasaannya, ayat yang digunakan pada e-mel memancing data mempunyai beberapa kesalahan dari segi tatabahasa dan ejaan. Rajinkanlah untuk membaca keseluruhan teks dengan teliti sebelum melakukan apa-apa perkara dan senantiasa peka untuk memeriksa alamat e-mel penghantar jika anda menerima e-mel seperti ini.

Pada peranti iOS dan iPadOS, anda boleh memeriksa alamat e-mel penghantar dengan menekan pada nama penghantar > From: (nama penghantar) > other.

Pada komputer Mac pula, halakan tetikus pada nama penghantar > tekan anak panah sebelahnya.

Di bawah adalah antara senarai alamat e-mel yang digunakan oleh pihak Apple dan dihantar kepada pemilik Apple ID bagi sesuatu urusan rasmi:

Sekiranya anda menerima e-mel daripada pihak Apple (atau yang menyamar), sila pastikan pada penghujung alamat e-mel mempunyai domain daripada Apple seperti contoh di atas. Jika mempunyai domain yang lain, sila abaikan e-mel tersebut. Jika e-mel tersebut mengenai resit pembelian yang anda tidak pernah lakukan, untuk kepastian anda boleh memeriksa pembelian Apple ID secara terperinci dan terus pada peranti iOS dengan menggunakan tutorial ini tanpa perlu menggunakan perisian iTunes.

B. Sistem pesanan ringkas (SMS) dan iMessage (SMiShing)

Selain itu, teknik memancing data Apple ID juga dilakukan dengan menghantar mesej SMS atau iMessage berserta pautan kepada nombor telefon mangsa. Lazimnya, pemancing data akan menghantar kandungan mesej yang direka sendiri oleh mereka. Ini kerana, pihak Apple TIDAK PERNAH SESEKALI menghantar sebarang mesej SMS dan iMessage kepada pengguna bagi segala urusan rasmi yang berkaitan dengan Apple ID, iCloud, Find My dan lain-lain (kecuali kod pengesahan nombor telefon seperti kaedah pembayaran Apple ID dan pengesahan dwi-faktor).

Semua urusan rasmi Apple hanya dilakukan menggunakan e-mel sahaja dan sila abaikan sebarang mesej yang diterima. Untuk panduan, berikut ialah senarai contoh mesej memancing data yang dihantar ke nombor telefon pemilik Apple ID:

• “Your iPhone XXX XXGB has been found and temporarily connected to iCloud. View location: http://contoh.com/. Sincerely, Apple Support”
• “Your iPhone was found near _____ at 09.10am. See location: http://contoh.com/. Apple Inc”
• “Dear customer, You iPhone has been found. Date and Time… Sign in with your Apple ID to view it’s current location: http://contoh.com/. Apple Support”
• “Your iCloud/Apple ID has been suspended/locked, please verify your account now: http://contoh.com/.”
• “Your iCloud/Apple ID has been temporarily suspended/locked due to unauthorized login attempts. Unlock your iCloud/Apple ID now: http://contoh.com/.”
• “Your Apple account has been suspended due to security reasons. To unlock it review your account here: http://contoh.com/.”
• “Apple Notification/Final Notification. Your Apple ID is due to expire today. Prevent this by confirming your Apple ID at: http://contoh.com/. Apple Inc”
• “Copyright © 2019 Apple Inc. iPhone has been located at… view last location will be available for 24 hours: http://contoh.com/.”
• “(Name), your Apple ID has been deactivated. To reactive your account confirm details here : http://contoh.com/ – Apple”

C. Pautan yang diterima dan laman web palsu mirip Apple

Setiap e-mel dan mesej yang dihantar akan diselitkan sebuah pautan untuk dilayari. Pautan ini akan ditempatkan pada butang seperti ‘Reset Now’, ‘Reset Password’, atau ‘Sign Up’ dalam e-mel memancing data tersebut. Untuk kandungan mesej SMS dan iMessage pula, ia agak berlainan, pautan yang diselit akan menggunakan alamat laman web yang seakan asli. Seperti contoh, ‘icloud.com’ dan ‘icioud.com’ tidak boleh dibezakan sekiranya huruf ‘i’ dijadikan huruf besar dan menyerupai huruf ‘L’ yang kecil.

Terdapat juga cara lain dengan menyembunyikan pautan laman web palsu sebenar menggunakan ‘domain mapping’ yang dihalakan melalui pautan yang terdapat dalam e-mel atau mesej yang diterima. Di samping itu, terdapat juga pautan memancing data yang mempunyai beberapa kesalahan seperti ejaan, karakter pelik atau terlalu panjang.

Apabila mengetik pautan yang diterima tersebut, anda akan dibawa ke sebuah laman web palsu yang seakan seperti laman web asli milik Apple. Berdasarkan senarai e-mel dan mesej yang dihantar di atas, laman web asli yang acap kali ditiru semula bagi memancing data ialah laman web daftar masuk seperti:

• iCloud – https://www.icloud.com/
• Apple ID – https://appleid.apple.com/
• Find Devices (Find My) – https://www.icloud.com/find/
• iForgot – https://iforgot.apple.com/
• Reset Password – terdapat pada appleid.apple.com

Anda dinasihatkan untuk memeriksa dan memastikan alamat serta pautan laman web yang dilayari adalah sahih dan sama seperti contoh yang disertakan di atas terlebih dahulu sebelum membuat atau melakukan apa-apa sebarang urusan.

Pada laman web palsu ini, keseluruhan halaman dan paparan antaramuka adalah 99% sama seperti halaman asli. Tetapi, kebanyakan laman web palsu ini tidak berfungsi sepenuhnya seperti laman web yang asal. Hanya paparan antaramuka sahaja yang menyerupai laman asli, bagi fungsi lain seperti memeriksa e-mel, melihat akaun Apple ID tidak boleh dilakukan sama sekali.

Apakah yang akan berlaku jika anda mendaftar masuk Apple ID dan kata laluan pada laman web palsu tersebut? Di bawah ialah antara senarai maklumat yang anda ‘berikan’ kepada pemancing data:

• nama anda
• alamat e-mel dan kata laluan Apple ID
• nombor telefon yang diset pada Apple ID
• ….dan beberapa maklumat penting yang tidak boleh saya nyatakan atas beberapa faktor utama

Cara untuk melaporkan kepada Apple

Sekiranya anda menerima e-mel atau mesej memancing data seperti ini, anda boleh melaporkan kepada pihak Apple bagi mereka mengambil tindakan selanjutnya:

1. Jika anda menerima suatu e-mel mencurigakan yang dipercayai sebagai phishing yang direka dan menyamar sebagai pihak Apple, sila kemukakan dan hantar ke alamat [email protected]
2. Untuk melaporkan sebarang e-mel penipuan atau mencurigakan yang diterima pada akaun e-mel iCloud.com, me.com, atau mac.com milik anda, sila kemukakan dan hantar ke alamat [email protected]
3. Untuk melaporkan penipuan atau mesej mencurigakan yang diterima melalui iMessage, tekan Report Junk yang terdapat di bawah kandungan mesej tersebut.

Deduksi

Rata-rata pengguna yang termakan umpan memancing data ini adalah tidak mengira latar belakang mahupun pengalaman dan berapa lama tempoh mereka menggunakan produk Apple. Setiap manusia mempunyai kelemahan tersendiri yang boleh dimanipulasi dan dieksploitasikan oleh pemancing data mengikut cara yang tertentu.

Keberkesanan untuk memancing data ini adalah bergantung pada mangsa yang dijadikan sebagai sasaran. Sesiapa sahaja boleh melakukan pencerobohan maklumat ini jika mempunyai kit memancing data yang lengkap dan terkini. Pengguna yang panik apabila kehilangan telefon pintar mereka dan pengguna yang tidak terdedah akan teknik ini adalah salah satu sebab mengapa memancing data ini masih lagi berleluasa dan keberkesanan yang berjaya dilakukan sehingga kini.

Saya harap semua pengguna mengambil serius mengenai jenayah siber ini. Perkara seperti ini ialah benar-benar berlaku di luar pengetahuan dan pandangan kita. Antara sebab utama mereka memilih untuk memancing data Apple ID ialah disebabkan peranti yang hilang berada di tangan mereka dan juga permintaan pengguna lain bagi menghilangkan maklumat akaun pemilik serta menyahaktifkan Activation Lock.

Tidak dinafikan, di Malaysia juga mempunyai servis yang menjalankan sindiket ini dan berlindung di sebalik tabir. Setiap hari, pelbagai cara dan teknik dipraktikkan yang diperbaharui oleh mereka bagi memastikan sindiket ini sentiasa berjalan dan dilakukan dengan jayanya.

Semoga anda mendapat kesedaran dan sesuatu yang bermanfaat kepada diri sendiri dan juga untuk orang lain.