Kenali para peretas yang memperdagangkan nama pengguna Instagram dan mata uang kripto hasil curian di pasar gelap yang remang-remang namun ramai, tempat akun dan nama pengguna curian diperjualbelikan. Kelemahan para korbannya? Nomor telepon mereka.
Pembajakan kartu SIM adalah ancaman yang belum banyak diketahui, tetapi terus meningkat. Untuk mempelajari cara mencegah peretas mencuri nomor telepon Anda, baca panduan kami tentang cara melindungi diri dari serangan semacam ini.
Malam itu tampak seperti malam September yang hangat pada umumnya di pinggiran Salt Lake City. Rachel Ostlund baru saja menidurkan anak-anaknya dan bersiap untuk tidur. Ia sedang mengirim pesan teks kepada adiknya ketika tiba-tiba layanan ponselnya terputus. Pesan terakhir yang diterima Rachel berasal dari T-Mobile, operator selulernya. Kartu SIM untuk nomor teleponnya, begitu bunyi pesan tersebut, telah «diperbarui».
Rachel melakukan apa yang akan dilakukan kebanyakan orang dalam situasi itu: ia mematikan lalu menyalakan kembali ponselnya. Hasilnya nihil.
Ia naik ke lantai atas dan memberi tahu suaminya, Adam, bahwa ponselnya tidak berfungsi. Adam mencoba menelepon nomor Rachel dengan ponselnya sendiri. Nada sambung terdengar, tetapi ponsel di tangan Rachel tidak menyala. Tidak ada yang menjawab. Sementara itu, Rachel masuk ke email-nya dan melihat bahwa seseorang sedang mengatur ulang kata sandi beberapa akunnya. Satu jam kemudian, Adam menerima sebuah telepon.
«Suruh Rachel bicara,» pinta suara di ujung telepon.”Sekarang.”
Adam menolak dan bertanya apa yang sedang terjadi.
“Kami akan menghancurkan hidup kalian,” kata si penelepon. “Kalau kalian tahu apa yang baik untuk kalian, berikan telepon itu kepada istrimu.”
Adam refused.
«Kami akan menghancurkan riwayat kredit kalian,» lanjut orang itu sambil menyebut nama anggota keluarga Rachel dan Adam beserta alamat mereka, yang menurut pasangan itu diperoleh dari akun Amazon Rachel. «Bagaimana kalau kami menyakiti mereka? Bagaimana kalau kami menghancurkan kredit kalian lalu meninggalkan pesan bahwa semua itu terjadi karena kalian?
“Kami akan menghancurkan hidupmu.”
Pasangan itu belum menyadarinya, tetapi mereka baru saja menjadi korban terbaru para peretas yang membajak nomor telepon untuk mencuri nama pengguna Instagram yang berharga dan menjualnya dengan Bitcoin. Pada malam akhir musim panas 2017 itu, keluarga Ostlund sedang berbicara dengan dua peretas yang telah mengambil alih akun Instagram Rachel, dengan nama pengguna @Rainbow. Kini mereka menuntut Rachel dan Adam menyerahkan akun Twitter @Rainbow miliknya.
Di pasar gelap yang sedang populer untuk jual beli nama pengguna game dan media sosial curian, satu nama pengguna yang singkat dan unik bisa dihargai antara 500 hingga 5.000 dolar AS, menurut orang-orang yang terlibat dalam perdagangan ini dan hasil penelusuran daftar di salah satu pasar populer. Beberapa peretas yang terlibat di pasar tersebut mengklaim bahwa akun Instagram @t, misalnya, baru-baru ini terjual seharga sekitar 40.000 dolar dalam bentuk Bitcoin.
Apakah ponsel atau Instagram Anda pernah diretas? Ceritakan kisah Anda kepada kami.Anda dapat menghubungi jurnalis ini dengan aman melalui Signal di +1 917 257 1382, melalui obrolan OTR di [email protected], atau melalui email di [email protected].
Dengan membajak nomor telepon Rachel, para peretas tidak hanya dapat mengambil alih akun Instagram-nya, tetapi juga akun Amazon, Ebay, Paypal, Netflix, dan Hulu miliknya. Semua langkah keamanan yang diambil Rachel untuk mengamankan sebagian akun tersebut, termasuk autentikasi dua faktor, menjadi tidak berguna begitu para peretas menguasai nomor teleponnya.
“Malam itu sangat menegangkan,” kenang Adam. “Aku tidak percaya mereka punya nyali untuk menelepon kami.”
GAMBAR: SHUTTERSTOCK
ANCAMAN YANG MENGERIKAN
Pada bulan Februari, T-Mobile mengirimkan pesan singkat massal yang memperingatkan pelanggan akan ancaman «sektoral». Menurut perusahaan, para penjahat semakin sering menggunakan teknik yang disebut «penipuan port-out» untuk menargetkan dan mencuri nomor telepon orang. Penipuan ini, yang juga dikenal sebagai pertukaran atau pembajakan kartu SIM , sederhana tetapi sangat efektif.
Pertama, para penjahat menelepon nomor layanan teknis operator seluler dengan berpura-pura menjadi target mereka. Mereka memberi tahu karyawan perusahaan bahwa mereka telah «kehilangan» kartu SIM mereka, dan meminta agar nomor telepon mereka dipindahkan ke kartu SIM baru yang sudah dimiliki para peretas. Dengan sedikit rekayasa sosial – misalnya dengan memberikan nomor jaminan sosial korban atau alamat rumahnya (yang sering tersedia dari salah satu dari banyak pelanggaran data dalam beberapa tahun terakhir) – para penjahat meyakinkan karyawan bahwa mereka adalah siapa yang mereka klaim, sehingga karyawan tersebut memindahkan nomor telepon ke kartu SIM baru.
Permainan selesai.
“Dengan nomor telepon seseorang”, kata seorang peretas yang melakukan pertukaran kartu SIM kepada saya, “Anda bisa mengakses setiap akun yang mereka miliki dalam hitungan menit, dan mereka tidak bisa berbuat apa-apa.”
SEBUAH TANGKAPAN LAYAR PESAN SINGKAT YANG DITERIMA RACHEL OSTLUND SAAT PARA PERETAS MENGAMBIL ALIH NOMOR TELEPONNYA.
Sejak saat itu, korban kehilangan layanan, karena hanya satu kartu SIM yang dapat terhubung ke jaringan seluler dengan nomor tertentu dalam satu waktu. Dan para peretas dapat mengatur ulang akun korban serta sering kali melewati langkah keamanan, seperti autentikasi dua faktor, dengan menggunakan nomor telepon sebagai metode pemulihan.
Beberapa layanan, termasuk Instagram , mewajibkan pengguna memberikan nomor telepon saat pengaturan dua faktor, ketentuan yang secara tak terduga memberi peretas cara lain untuk mengakses akun. Sebab, jika peretas memiliki nomor target, mereka dapat melewati dua faktor dan masuk ke akun Instagram tanpa perlu mengetahui kata sandi akun tersebut. ( Baca panduan kami tentang cara melindungi nomor telepon Anda dan akun yang terhubung dengannya dari peretas .)
Eric Taylor, seorang peretas yang sebelumnya dikenal sebagai CosmoTheGod , menggunakan teknik ini untuk beberapa aksinya yang paling terkenal, seperti saat ia meretas akun email CEO CloudFlare pada tahun 2012. Taylor, yang kini bekerja untuk perusahaan keamanan Path Network , mengatakan kepada saya bahwa memiliki nomor telepon yang terhubung dengan salah satu akun daring Anda membuat Anda “rentan terhadap anak-anak berusia 13 hingga 16 tahun yang mengambil alih akun Anda hanya dengan mengambil ponsel Anda kurang dari lima menit setelah menelepon sialan penyedia layanan Anda.”
«Ini terjadi sepanjang waktu», tambahnya.
Punya informasi? Anda dapat menghubungi jurnalis ini dengan aman melalui Signal di +1 917 257 1382, chat OTR di [email protected], atau melalui email di [email protected].
Roel Schouwenberg, direktur intelijen dan riset di Celsus Advisory Group, telah meneliti masalah seperti pertukaran kartu SIM, pelewatan autentikasi dua faktor, dan penyalahgunaan mekanisme pemulihan akun. Menurutnya, tidak ada nomor telepon yang sepenuhnya aman, dan konsumen harus menyadari hal tersebut.
«Semua jenis nomor dapat dipindahkan», kata Schouwenberg kepada saya. «Pelaku kejahatan yang gigih dan memiliki sumber daya akan mampu mendapatkan setidaknya akses sementara ke sebuah nomor, dan itu sering kali sudah cukup untuk menyelesaikan perampokan.»
Ini mengkhawatirkan, karena nomor ponsel telah menjadi «kunci utama» dari seluruh identitas daring kita, sebagaimana dia menjelaskannya dalam sebuah artikel blog tahun lalu.
«Sebagian besar sistem tidak dirancang untuk menghadapi penyerang yang mengambil alih nomor telepon. Ini sungguh sangat serius », tulis Schouwenberg. «Nomor telepon kita telah menjadi pengenal yang hampir tidak dapat dicabut. Hal ini tidak pernah dirancang demikian, sama seperti nomor jaminan sosial tidak pernah dirancang sebagai referensi. Saat ini, sebuah nomor telepon menjadi kunci utama bagi sebagian besar layanan dan akun. “
Apa yang dilakukan peretas setelah mengendalikan nomor telepon Anda sangat bergantung pada apa yang mereka cari.
“Saya mengambil uang mereka dan menjalani hidup saya”
Jika sepeda Anda dicuri, Anda harus memeriksa di Craigslist apakah ada orang yang menjualnya di pasar gelap. Jika akun Instagram Anda dibajak melalui pertukaran kartu SIM, Anda harus memeriksa OGUSERS.
Sekilas, OGUSERS tampak seperti forum lainnya. Ada bagian “spam / lelucon” dan bagian lain untuk membahas topik seperti musik, hiburan, anime, dan permainan. Namun, bagian yang paling penting dan paling aktif adalah pasar tempat pengguna membeli dan menjual nama pengguna permainan dan media sosial, terkadang dengan harga ribuan dolar.
Dalam sebuah pesan terbaru, seseorang menjual akun Instagram @Bitcoin seharga 20.000 dolar, menurut salah satu administrator forum. Dalam daftar yang masih daring pada 13 Juni, seorang pengguna mengumumkan penjualan @eternity di Instagram seharga 1.000 dolar.
Ini hanyalah dua contoh dari jenis akun yang dijual di OGUSERS. Forum ini diluncurkan pada April 2017 untuk memberi orang tempat membeli dan menjual nama pengguna «OG». (Nama forum ini berasal dari istilah slang OG, singkatan dari “original gangster”.) OG di jejaring sosial adalah nama pengguna yang dianggap keren, mungkin karena merupakan kata tunggal seperti @Sex, @Eternity, atau @Rainbow. Atau mungkin karena pendek sekali, seperti @t atau @ty. Para selebritas juga menjadi sasaran.
TANGKAPAN LAYAR AKUN INSTAGRAM SELENA GOMEZ SETELAH DIRETAS.
Pada Agustus tahun lalu, misalnya, peretas membajak akun Instagram Selena Gomez dan memposting foto telanjang Justin Bieber. Nama pertama di akun Gomez juga diganti menjadi «Islah», sama seperti yang digunakan saat itu oleh seseorang dari OGUSERS dengan nama pengguna Islah. Menurut para peretas di OGUSERS, orang-orang yang mengaku berada di balik peretasan Gomez mengklaim melakukannya dengan mengambil alih nomor ponsel yang terkait dengan akun Instagram penyanyi-aktris tersebut, yang memiliki 125 juta pengikut pada saat pengetikan.
“Astaga, mereka benar-benar meretas orang yang paling banyak diikuti di Instagram”, komentar seorang anggota OGUSERS dalam utas berjudul “RIP SELENA GOMEZ”.
Juru bicara Gomez menolak berkomentar melalui surel.
