Pembajakan Akun Email dan Facebook

Annyeonghaseyo chingu...huft...this is the bad news Lagi-lagi penipuan bro and sista. Alhamdulillah seh ini bukan pengalaman sendiri, tapi dari temennya hubby. Kasusnya adalah pembajakan akun email dan fesbuk. Kasus-kasus seperti ini memang sudah sering terjadi. Beritanya juga sudah ada ditayangkan di TV or media maya. Tapi...teteepp...banyak juga yang masih tertipu. Apa pasal? ya karena qita lagi kurang beruntung ajah...jiaaa...semut juga tau.

Mungkin bro and sist pernah dibajak akun fesbuknya. Ada yang nge-wall umpatan ga jelas, kata-kata porno, or daftar penghuni kebun binatang diabsensi. Biasanya seh dialami sama yang sering ol di warnet. Walo ga selalu sih. Kadang tuh cracker emang niat membajak akun qita karena qita terkenal. Metode crack akun banyak kok yang gratisan. Qu ajah pernah coba-coba iseng ngikutin caranya, hampir berhasil loh, tapi karena hatiqu yang selembut salju tidak membolehkan diteruskan. Sebagai pembelaan diri, ini qu lakukan karena sebel sama orang itu yang guaya ne selangit dan suka mengumpat kalo lagi nge-wall. Padahal aslinya seh..huuuu..mengecewakan. Jiaaa curhat bu...

Ok...balik lagi ah. Apa seh bahayanya kalo akun email or fesbuk qita di crack? Selain apa yang disebutkan di atas, akun qita juga bisa digunakan untuk hal-hal yang tidak bertanggungjawab. Nama qita beredar di seantero dunia maya. Mereka bisa ngirim link yang aneh-aneh alias porno, kirim virus kompi, sampe minta uang sama sahabat-sahabat yang baik hati. What a nyebelin. Kalo terkenalnya kaya selebritis seh ga pa pa. Lha ini bisa dihujat orang se kampung, se negara, dan se dunia gimanaaaa....

Gimana seh modus operandinya? Neh qu kutip langsung isi emailnya. Ya...ada juga yang ditambah-tambahin by me....Kalo ada yang kurang dimengerti bisa isi di shoutmix ya.

Assalamu'alaikum wr wb,

Saya ingin sedikit berbagi cerita masalah pembajakan email dan account facebook saya.

Kejadian ini cukup menyesakkan dada, karena ditengah suasana duka, ada dua orang sahabat lama saya yang tertipu mengirimkan uang dengan jumlah yang cukup signifikan ke pembajak. Kasus ini sudah dilaporkan ke unit Cyber Crime Polda Metro Jaya, dan account bank yang digunakan sudah di blokir, walaupun apakah uang tersebut bisa kembali atau tidak masih menjadi tanda tanya besar karena kurang kooperatifnya polisi dan bank-bank dalam menangani kasus seperti ini.

Untuk bisa menghindari kejadian ini terjadi lagi, saya akan coba share sedikit tentang kejadiannya.

- Awalnya salah satu teman facebook saya accountnya dibajak. Kemudian mengajak saya chat, dengan content yang sebenernya small talk saja. Tapi dari sini dan informasi yang ada di profile facebook saya, pembajak berhasil menebak jawaban "security question" account yahoo saya (yang digunakan sebagai email utama facebook saya)

lesson learned: batasi informasi personal di account facebook, walaupun yang terkesan tidak penting, tapi bisa digunakan pembajak untuk menebak2 jawaban security question. (So...narsis boleh, tapi keep waspada loh.  Amannya seh ga terlalu open biar pada penasaran getho)

- Singkat cerita email yahoo berhasil dibajak, kemudian dilanjutkan dengan account facebook - yang kemudian oleh pelaku langsung diganti email utamanya dengan email pelaku.

- Ketika yahoo password terubah, saya mendapat notifikasi di email lainnya (yang saya gunakan saat ini) tentunya saya langsung berusaha mengambil alih kembali, yang berhasil. Kemudian saya ganti semua security questionnya. Tapi pelaku kemudian selalu berhasil untuk mengambil alih kembali. Hal ini saya lakukan berulang2 tapi tetap tidak berhasil mencegah total sipembajak untuk mengambil alih account saya lagi.

- Setelah itu saya simulasikan proses reset password yahoo, ternyata walaupun kita sudah rubah security question-nya. Selalu ada option "this is not my question", yang akan membawa kita ke security question pertama (yang sudah tercompromised) . Ini jadi lingkaran setan, karena setiap kita rubah security question-nya, tetap akan kembali lagi). Saya coba google solusi-nya, tapi belum berhasil untuk mendapatkan jawabannya untuk mendisable opsi "this is not my question".

- Ini saya simpulkan merupakan salah satu major security hole dari yahoo, jadi sekali seseorang bisa menebak jawaban security question, dia akan selalu bisa mereset password, bahkan setelah kita rubah security questionnya.

Lesson learned: Sangat berhati2lah menggunakan email yahoo, selama ini saya perhatikan memang email yahoo sangat vulnerable terhadap pembajakan. Saya pribadi berencana untuk meninggalkan total email yahoo secara bertahap.

Kejadian diatas terjadi hari Jum'at minggu lalu, malamnya saya mendapat kabar kalau kondisi ayah saya memburuk, sehingga saya tidak lagi sempat mengurus masalah ini, karena sudah sibuk untuk mencari tiket untuk terbang besok-nya.

Ternyata pembajak malah menggunakan momen ini untuk menipu teman2 saya, yang mana saya helpless untuk mencegah karena sabtu siang ketika saya bersiap untuk berangkat ke Heathrow, saya mendapat kabar kalau Ayah saya meninggal dunia. Ketika sampai di Jakarta, baru dapat kabar selama waktu saya offline dari internet dan telepon (dalam penerbangan), ada dua sahabat baik saya yang tertipu .

Sampai saat ini, account yahoo dan facebook saya belum berhasil di recover secara full. Jadi sekali lagi mohon abaikan email dan messenger yahoo saya, serta facebook. Sementara cara paling aman untuk mengontak saya adalah lewat SMS atau BBM.

Saya masih akan di Jakarta sampai tanggal 12 Des 2010, kalau ada hal-hal mencurigakan, mohon konfirmasi dahulu lewat sms ke no HP saya, atau bisa ke no HP lokal +6281321293588

Semoga tidak ada lagi yang jadi korban

Wassalamu'alaikum wr wb

Ini ada lagi...

Saya pernah mencari tahu hal ini terkait kasus yang mirip. Hasil investigasi sementara pembajak email tidak membobol password dan masuk ke email account kita, tetapi dia hanya membuat trik, supaya email yang dia kirim "terlihat" seakan-akan berasal dari kita. Kabar baiknya dia tidak bisa masuk ke account kita, tetapi kabar buruknya nama kita bisa tersebar luas di internet dan melakukan apapun yang kita tidak ketahui, dari minta uang hingga kirim link yang aneh2x.

Ada yang posting tentang metodenya. Saya belum cek validitasnya. Tapi jika dilakukan memang kesulitan untuk membedakan dengan email asli dari si pengirim. Karena dia hanya memodifikasi header email, yang biasa digunakan server mail kita untuk mengenali si pengirim. Yang dibutuhkan si pembajak hanyalah account email kita. Kalo di dunia nyata permisalannya ya surat palsu, dengan nama pengirim, dan kop surat palsu.

Sampai sekarang saya belum menemukan cara mencegahnya, karena protokol email yang saya tahu sekarang belum memiliki mekanisme validasi header email. Tentu mekanisme enkripsi email bisa digunakan, tapi sepertinya bakal merepotkan. Harapannya ini dilakukan oleh penyedia layanan email seperti gmail, yahoo dkk. (ini bukan data penelitian, dan no offense, tapi kasus seperti ini yang sampai ke saya kebanyakan di account yahoo).

Beberapa tips yang mungkin berguna :

1. Batasi informasi alamat email yang serius kita pakai. Sebaiknya tidak mencoba-coba tawaran apapun, terutama yang gratisan, baik join milis, coba aplikasi gratis dsb. Ikuti milis yang aman, dengan orang2x yang kita kenal. Jika punya hobi dan bergabung dengan milis umum yang terbuka dan beranggotakan banyak orang. saya biasa pakai account email yang memang ditujukan untuk itu. Jadi kalo dibajak orang ya terserah saja, wong nama dan identitas accountnya juga asal.

2. Gunakan salam khas/footer/ signature tentang kita di setiap email kita. yahoo dan gmail, atau email client seperti thunderbird, windows live mail, atau Mac Mail punya fasilitas mengatur signaturenya. Smartphone baru juga rata2x dah ada signature seperti sent from Iphone, android, blackberry, dsb. Ada beberapa milis yang punya "salam khusus" misalkan "live long and prosper" di komunitas star trek. Mungkin ini sepertinya main2x, tapi mereka gunakan untuk identifikasi keanggotaan. Ini juga bisa ditiru sebenarnya jika si pembajak serius. Tapi kebanyakan asal ambil account. Paling tidak ini bisa jadi warning bagi pembaca kalau email si pembajak koq tidak pakai signature sperti biasanya.

3. Rutin mengganti password adalah ide bagus. Di Essex kita diminta ganti password paling tidak setiap 6 bulan. Tapi dalam kasus ini tidak banyak membantu, karena mereka tidak membutuhkan password untuk melakukan ini.

Nah...bagaimana chingu.  Semoga ada sedikit pencerahan ya.  Kalo punya tips lain, silakan tambahin di kolom komen ya.

Best Wishes