Menurut laporan terbaru yang dirilis oleh platform analisis keamanan blockchain ScamSniffer (Laporan Ancaman Keamanan Siber Global Agustus 202X) menunjukkan, kerugian ekonomi yang disebabkan oleh serangan phishing di seluruh dunia pada bulan Agustus telah meningkat menjadi 12,17 juta dolar AS, meningkat secara signifikan 72% dibandingkan dengan 7 juta dolar AS pada bulan Juli (berdasarkan perhitungan data historis ScamSniffer), menciptakan rekor kerugian bulanan tertinggi kedua sejak 202X, ancaman phishing menunjukkan pola “frekuensi terenkripsi, metode yang ditingkatkan, target yang tepat”.

Dari sudut pandang objek serangan dan skenario, serangan phishing di bulan Agustus menunjukkan ciri khas “konsentrasi domain” yang jelas. Di antara itu, bidang cryptocurrency menjadi daerah yang paling terkena dampak, dengan proporsi kerugian mencapai 68%, sekitar 827,6 juta dolar AS. Penyerang terutama melalui pemalsuan halaman login bursa utama (seperti tautan phishing yang meniru Binance, Coinbase), menyamar sebagai pemberitahuan airdrop proyek DeFi, mengirim email “otorisasi dompet” yang berisi kode berbahaya, dan cara lainnya, menipu pengguna untuk mengungkap kunci pribadi atau memberikan izin transfer. Misalnya, suatu komunitas NFT terkenal mengalami serangan phishing massal pada pertengahan Agustus, penyerang menyamar sebagai saluran Discord resmi komunitas dan memposting tautan “pendaftaran whitelist NFT terbatas”, yang mengakibatkan lebih dari 300 aset dompet pengguna dipindahkan, dengan kerugian per kejadian lebih dari 1,2 juta dolar AS.

Selanjutnya di bidang keuangan tradisional dan e-commerce, proporsi kerugian mencapai sekitar 22%, dengan jumlah mencapai 2.677.000 dolar AS. Jenis serangan ini sering menggunakan alasan seperti “login akun yang tidak biasa”, “pesanan tidak valid perlu diverifikasi”, dan “tagihan kartu kredit yang tidak biasa”, untuk mengirimkan pemberitahuan yang berisi tautan phishing melalui SMS dan email kepada pengguna. Kasus tipikal adalah seorang pengguna platform e-commerce lintas negara menerima SMS “pesanan dibekukan, klik untuk verifikasi pembekuan”, setelah mengklik tautan tersebut diarahkan ke halaman platform palsu, setelah memasukkan nomor kartu bank, kata sandi, dan kode verifikasi SMS, dana dalam akun cepat diambil, rata-rata kerugian per kasus sekitar 8.000 dolar AS, dan pengguna kebanyakan adalah kelompok usia menengah ke atas atau pemula dalam belanja lintas negara.

Dari perspektif evolusi metode serangan, ada dua tren baru dalam phishing di bulan Agustus: pertama, teknologi AI membantu dalam menghasilkan konten phishing, penyerang menggunakan model besar seperti ChatGPT untuk menghasilkan teks phishing yang logis dan meyakinkan, bahkan dapat meniru gaya komunikasi layanan pelanggan platform target, sehingga menurunkan kewaspadaan pengguna; kedua, kombinasi “tautan pendek + dorongan waktu terbatas”, tautan phishing sering menggunakan alat pemampat tautan pendek untuk menyembunyikan nama domain asli, sambil dipadukan dengan kalimat seperti “akun akan dibekukan jika tidak diverifikasi dalam 24 jam” dan “keuntungan terbatas hanya tersisa 30 menit”, memaksa pengguna untuk mengabaikan verifikasi risiko dalam kecemasan.

Peneliti keamanan ScamSniffer dalam laporannya menunjukkan bahwa penyebab lonjakan kerugian di bulan Agustus disebabkan oleh tiga poin utama: pertama, datangnya musim belanja liburan musim panas, frekuensi operasi pengguna di platform e-commerce dan pariwisata meningkat, memberikan lebih banyak peluang bagi serangan phishing; kedua, pasar cryptocurrency mengalami pemulihan jangka pendek, beberapa investor terburu-buru untuk “membeli di dasar” atau berpartisipasi dalam proyek baru, menurunkan kemampuan mereka dalam membedakan informasi tentang airdrop dan whitelist; ketiga, beberapa platform kecil dan menengah memiliki langkah perlindungan keamanan yang tidak memadai, insiden kebocoran data pengguna sering terjadi, memberikan kemudahan bagi penyerang untuk menargetkan sasaran dengan akurat.

Terkait dengan situasi keamanan yang serius saat ini, ScamSniffer memberikan tiga saran untuk pencegahan: 1. Semua tautan yang terkait dengan login akun dan operasi aset, harus diakses dengan memasukkan nama domain secara manual melalui aplikasi resmi atau browser, tolak untuk mengklik tautan yang tidak jelas dalam SMS atau email; 2. Terkait dengan informasi sensitif seperti kunci pribadi, kata sandi kartu bank, dan kode verifikasi SMS, tidak ada platform resmi yang akan meminta melalui saluran non-resmi, jika menghadapi permintaan semacam itu langsung dianggap sebagai phishing; 3. Dapat menginstal alat perlindungan keamanan profesional di perangkat, untuk memblokir tautan phishing dan kode jahat secara real-time, mengurangi risiko tertipu.