Serangan Phishing Meningkat Lewat Layanan PhaaS

Pencurian kredensial akun kini dapat dilakukan tanpa keahlian teknis tingkat tinggi karena tersedianya Phishing-as-a-Service (PhaaS). Menurut laporan Barracuda yang dilansir dari Medcom, sekitar 60–70 persen serangan phishing yang diamati sejak awal 2025 menggunakan model layanan tersebut.

PhaaS memungkinkan pelaku memanfaatkan perangkat siap pakai untuk membuat halaman masuk palsu, menyebarkan pesan penipuan, dan mengambil informasi milik korban. Infrastruktur serangan telah disediakan oleh pihak yang menawarkan layanan ilegal sehingga penggunaannya menjadi lebih mudah.

PhaaS merupakan model kejahatan siber yang menyediakan perangkat dan sarana untuk menjalankan serangan phishing. Layanan ini dapat ditawarkan melalui skema berlangganan maupun pembayaran satu kali, termasuk melalui Telegram atau forum di darknet.

Penyedia layanan biasanya menyiapkan templat email, halaman masuk tiruan, serta fitur otomatisasi. Pelaku kemudian menyesuaikan isi pesan dengan sasaran dan menyebarkannya untuk mendorong penerima memasukkan informasi pribadi ke halaman yang dikendalikan penyerang.

Data yang menjadi sasaran tidak terbatas pada nama pengguna dan kata sandi. Informasi tersebut juga dapat mencakup token autentikasi multifaktor (MFA), yang berpotensi dimanfaatkan untuk mengambil alih akun.

Setelah akses berhasil diperoleh, penyerang dapat menyalahgunakan layanan, mencuri identitas, atau masuk ke sistem perusahaan tanpa izin. Kemudahan penggunaan infrastruktur yang telah tersedia menjadi salah satu faktor yang membuat PhaaS menarik bagi pelaku kejahatan siber.

Mengapa serangan PhaaS sulit terdeteksi

Halaman phishing tidak selalu memiliki tampilan buruk atau alamat situs yang langsung terlihat mencurigakan. Sejumlah perangkat memanfaatkan situs tepercaya atau situs resmi yang telah diretas untuk menyamarkan tautan berbahaya.

Teknik lain mencakup penyamaran kode agar lebih sulit dianalisis oleh perangkat keamanan. Beberapa perangkat juga mampu mengenali lingkungan pemeriksaan otomatis, kemudian mengubah perilakunya atau mengarahkan pengunjung ke situs asli untuk mengurangi kemungkinan terdeteksi.

Metode serangan dapat disesuaikan dengan karakteristik sasaran. Barracuda, misalnya, menyoroti CoGUI sebagai perangkat yang secara khusus menyasar organisasi di Jepang.

Selain CoGUI, sejumlah perangkat PhaaS yang disebut dalam laporan Barracuda adalah Tycoon 2FA, EvilProxy, Mamba 2FA, Sneaky 2FA, dan SessionShark. Masing-masing memiliki kemampuan serta pola serangan yang berbeda.

Tycoon 2FA mendominasi pengamatan Barracuda

Dalam sampel serangan PhaaS yang diamati Barracuda sejak awal 2025, Tycoon 2FA menyumbang 76 persen. EvilProxy berada di angka sekitar 8 persen, sementara Mamba 2FA dan Sneaky 2FA secara gabungan mencapai sekitar 6 persen.

Angka tersebut menunjukkan distribusi perangkat dalam pengamatan Barracuda, bukan persentase dari seluruh serangan phishing di dunia. Data ini juga memperlihatkan dominasi Tycoon 2FA dibandingkan sejumlah perangkat lain yang tercatat dalam sampel tersebut.

Besarnya porsi penggunaan perangkat ini memperlihatkan pentingnya memahami pola phishing yang memanfaatkan layanan siap pakai. Pengguna tidak dapat hanya mengandalkan tampilan halaman untuk memastikan bahwa sebuah situs benar-benar aman.

Cara mengenali dan mencegah serangan PhaaS

Perlindungan terhadap phishing memerlukan pemeriksaan alamat situs, kehati-hatian saat menerima pesan, serta penggunaan fitur keamanan akun. Langkah-langkah berikut dapat membantu mengurangi risiko pencurian informasi pribadi.

1. Periksa nama domain. Cocokkan alamat situs dengan domain layanan yang sebenarnya. Jangan langsung membuka tautan dari email, SMS, atau aplikasi pesan sebelum memastikan keasliannya.

2. Gunakan kanal resmi. Jika menerima pemberitahuan tentang rekening, akun kerja, atau layanan belanja, buka aplikasi resmi atau ketik alamat situs yang dikenal secara mandiri. Hindari mengandalkan tautan dalam pesan yang diterima.

3. Waspadai pesan yang mendesak. Pemberitahuan yang mengancam penutupan akun atau meminta verifikasi segera perlu diperiksa terlebih dahulu. Tekanan untuk bertindak cepat dapat membuat pengguna melewatkan pemeriksaan keamanan.

4. Rahasiakan kode autentikasi. Jangan memberikan kata sandi, kode OTP, atau informasi pemulihan akun kepada pihak yang menghubungi secara tiba-tiba. Informasi tersebut dapat dimanfaatkan untuk memperoleh akses ke akun.

5. Aktifkan autentikasi multifaktor. MFA menambahkan lapisan perlindungan saat pengguna masuk ke akun. Namun, fitur ini tidak sepenuhnya menghilangkan risiko pencurian sesi atau penyalahgunaan token autentikasi.

6. Verifikasi halaman sebelum memasukkan data. Jika telanjur membuka tautan, jangan masukkan kredensial sebelum memastikan keaslian situs. Tampilan yang menyerupai layanan resmi tidak cukup untuk membuktikan bahwa halaman tersebut aman.

PhaaS membuat serangan phishing lebih mudah dijalankan dengan menyediakan infrastruktur dan perangkat yang dapat langsung digunakan. Pemeriksaan domain, penggunaan kanal resmi, perlindungan kode OTP, dan penerapan MFA menjadi langkah penting untuk mengurangi risiko pengambilalihan akun.