Penipuan Phishing AI Pakai Postingan Media Sosial Anda sebagai Senjata

Sebuah studi dari University of Texas at Arlington menunjukkan bagaimana alat AI yang tersedia luas bisa memanen detail dari akun media sosial publik dan mengubahnya menjadi email phishing yang sangat meyakinkan, bahkan dalam skala besar.

Bayangkan mengunggah beberapa foto dari sebuah konser di Instagram. Keesokan harinya, datang email yang tampak berasal dari venue tersebut, menawarkan akses ke foto eksklusif dari pertunjukan itu. Email itu menyebut nama artis yang Anda tonton, bahkan merujuk malam ketika Anda hadir.

Terasa sah, bukan? Anda mungkin tergoda mengkliknya tanpa berpikir dua kali. Padahal, menurut riset terbaru, email itu bisa saja datang dari penipu yang memakai kecerdasan artifisial untuk mempelajari postingan media sosial Anda. Penelitian yang dipublikasikan tim UTA menyoroti celah yang selama ini jarang dibahas.

Bagaimana AI Merakit Email Phishing dari Postingan Anda

Anda mungkin sudah akrab dengan email phishing. Ada yang mengaku ada masalah dengan rekening bank, ada yang bilang paket gagal dikirim. Banyak pola scam ini sudah dikenali, dan sebagian orang cukup jeli menandainya. Namun AI memberi penipu pendekatan yang jauh lebih personal.

Tim peneliti UTA menelaah teknik yang disebut context-aware spear phishing. Secara sederhana, ini berarti memakai detail kehidupan sehari-hari seseorang untuk merancang scam yang terasa ditulis khusus untuknya.

Contohnya, Anda baru pulang dari liburan di Brazil. Anda mengunggah foto hotel dan menandai beberapa tempat yang dikunjungi. Penipu bisa memakai AI untuk menganalisis unggahan itu dan menghasilkan email yang tampak berasal dari hotel Anda. Pesannya mungkin berterima kasih atas kunjungan dan menawarkan diskon untuk menginap berikutnya. Semua detail tampak cocok dengan perjalanan Anda. Padahal, tautan di dalamnya bisa mengarah ke situs palsu yang dirancang mencuri kata sandi atau data kartu kredit.

Shirin Nilizadeh, associate professor di Department of Computer Science and Engineering UTA yang memimpin studi, menjelaskan mengapa hal ini mengkhawatirkan. "Siapa pun bisa menjadi penyerang, dan itu membuatnya lebih menakutkan," kata Nilizadeh, dikutip dari laporan Fox News.

Ia benar. Seseorang yang memakai alat semacam ini mungkin hanya butuh sedikit pengetahuan pribadi tentang Anda. Postingan publik bisa menyediakan sebagian besar informasi yang dibutuhkan untuk menyusun pesan yang meyakinkan.

Studi 200 Akun Instagram dan 18.000 Email Buatan AI

Tim riset yang juga melibatkan mahasiswa pascasarjana Elham Pourabbas Vafa dan peneliti Sayak Saha Roy menelaah bagaimana AI bisa menganalisis aktivitas media sosial publik dan menghasilkan email phishing yang dipersonalisasi. Menurut makalah penelitian tersebut, tim mempelajari 200 akun Instagram publik.

Temuan pentingnya: hanya dengan sekitar 10 unggahan dari seseorang, AI sudah mendapat cukup informasi untuk menyusun pesan yang sangat tertarget.

Para peneliti mengevaluasi lebih dari 18.000 email buatan AI dan membandingkannya dengan ribuan pesan phishing dunia nyata. Alat AI itu memanen informasi dari foto perjalanan dan unggahan publik soal acara yang akan datang. Mereka juga menelaah kekhawatiran pribadi yang dibagikan orang secara online. Dari situ, teknologi menyusun email yang tampak relevan dengan pengalaman terbaru tiap orang.

Tim bahkan menguji bagaimana AI menyesuaikan baris subjek, nama pengirim, dan tautan agar pesan lebih meyakinkan. Perhatikan hal sesederhana mengunggah bahwa Anda bersemangat menonton konser. Penipu bisa memakai informasi itu untuk mengirim konfirmasi tiket palsu atau tawaran kursi upgrade. Jika Anda baru mengeluh soal penerbangan yang tertunda, email berisi tawaran kompensasi bisa datang di saat yang tepat.

Dalam uji pengguna, peserta umumnya menilai email buatan AI lebih meyakinkan dan kurang mencurigakan dibandingkan contoh phishing dunia nyata yang dipakai sebagai pembanding. Meski begitu, peneliti mengevaluasi reaksi orang dalam lingkungan terkendali. Mereka tidak mengukur berapa banyak orang yang benar-benar akan mengklik tautan berbahaya dalam serangan nyata.

Filter Keamanan AI Gagal Menangkap Sebagian Besar Permintaan

Anda mungkin mengira perusahaan AI sudah punya pengaman yang mencegah alat mereka dipakai membuat scam phishing. Mereka memang punya. Namun peneliti menemukan proteksi itu punya kelemahan signifikan.

Tim menguji tiga alat keamanan AI yang banyak dipakai: Llama Guard, ShieldGemma, dan WildGuard. Sistem ini berupaya mengenali permintaan berbahaya sebelum model AI merespons.

Dengan pengaturan bawaan, alat tersebut hanya mendeteksi 0% hingga 19% permintaan untuk membuat serangan phishing yang dipersonalisasi. Hasil itu cukup mengganggu, terutama mengingat betapa cepatnya AI menghasilkan pesan semacam itu.

Para peneliti lalu menelusuri apakah instruksi yang lebih spesifik bisa membantu sistem keamanan mengenali serangan ini. Perbaikannya besar. Setelah pengaman disesuaikan untuk mengidentifikasi upaya phishing context-aware, tingkat deteksi mencapai 99% dalam pengujian mereka. Angka itu menggembirakan karena menunjukkan proteksi yang lebih kuat memang mungkin.

Namun, hasil tersebut berasal dari lingkungan riset. Itu tidak menjamin setiap permintaan berbahaya akan diblokir di dunia nyata. Peneliti juga tidak mencantumkan instruksi persis yang dipakai untuk menghasilkan email phishing mereka di makalah publik. Tujuannya agar tidak memberi penjahat panduan siap pakai. Nilizadeh mendesak perusahaan AI menanggapi ancaman ini dengan serius dan memperbaiki proteksi terhadap serangan rekayasa sosial yang tertarget.

Mengapa Email Phishing Personal Makin Sulit Dikenali

Bagian paling mengganggu dari riset ini adalah penipu mungkin tidak perlu meretas akun media sosial Anda. Jika profil Anda publik, mereka bisa memanen detail yang sudah Anda bagikan ke dunia. Detail itu membuat pesan yang semestinya mencurigakan terasa akrab.

Email yang menyebut restoran yang Anda kunjungi kemarin mungkin tampak tak berbahaya. Begitu pula pesan yang merujuk konser akhir pekan lalu. Ketika waktu dan detailnya akurat, orang cenderung tidak mempertanyakan asal pesan. Di situlah celah yang ingin dimanfaatkan penipu.

Riset ini menambah kekhawatiran karena AI bisa mengotomatiskan sebagian besar pekerjaan menyusun pesan personal. Ada pula masalah seberapa rapi email itu terdengar. Kita terbiasa mencari salah ketik dan kalimat canggung sebagai tanda bahaya. AI bisa menghasilkan pesan yang terdengar profesional, sehingga tanda peringatan tradisional itu bisa hilang.

Anda bisa menerima email yang tampak normal, merujuk sesuatu yang benar-benar Anda lakukan, dan tetap berasal dari pihak yang ingin mencuri informasi Anda.

Langkah Melindungi Diri dari Phishing Berbasis AI

Temuan ini menunjukkan betapa mudahnya penipu mengubah postingan media sosial sehari-hari menjadi email yang meyakinkan. Anda tidak perlu berhenti berbagi kehidupan online, tetapi ada baiknya lebih berhati-hati soal apa yang bisa dilihat orang asing.

Beberapa langkah praktis yang disarankan para peneliti dan praktisi keamanan:

• Perketat privasi akun media sosial di Instagram, Facebook, dan platform lain. Tinjau unggahan lama yang mungkin mengungkap terlalu banyak.
• Hindari membagikan lokasi secara real time. Menunda unggahan liburan sampai Anda pulang bisa mengurangi risiko.
• Verifikasi email tak terduga sebelum mengklik apa pun. Buka aplikasi resmi perusahaan atau ketik alamat situsnya langsung di browser.
• Pakai antivirus yang kuat dan perbarui perangkat lunak keamanan untuk menutup celah yang bisa dieksploitasi.
• Gunakan kata sandi unik dan aktifkan autentikasi multifaktor, idealnya dengan aplikasi authenticator atau security key.

Jika Anda terlanjur mengklik tautan mencurigakan, hentikan interaksi segera, tutup halaman mencurigakan, dan jangan memasukkan informasi pribadi. Jalankan pemindaian keamanan bila mencurigai malware, ganti kata sandi yang mungkin bocor lewat situs resmi, dan periksa aktivitas akun untuk login atau transaksi asing. Bila data keuangan sudah dibagikan, hubungi bank atau penerbit kartu kredit.

Untuk konteks lebih luas soal ancaman siber berbasis AI, Anda bisa merujuk pada panduan dan peringatan resmi lembaga perlindungan konsumen di wilayah Anda.

Analisis Redaksi

Yang membuat riset UTA ini penting bukan sekadar fakta bahwa AI bisa menulis email meyakinkan. Persoalan intinya ada pada asimetri: informasi yang kita bagikan untuk teman dan pengikut bisa dipanen siapa saja untuk kepentingan yang tidak kita duga. Selama bertahun-tahun, literasi keamanan digital mengajarkan orang mengenali email phishing lewat ejaan buruk dan tata bahasa canggung. AI meruntuhkan penanda itu.

Temuan soal filter keamanan yang hanya mendeteksi 0% sampai 19% permintaan berbahaya dengan pengaturan bawaan adalah peringatan bagi industri. Bahwa deteksi bisa melonjak ke 99% setelah pengaman disesuaikan menunjukkan masalahnya bukan ketiadaan teknologi, melainkan prioritas dan implementasi. Perusahaan AI punya tanggung jawab untuk menutup celah ini sebelum alat mereka menjadi infrastruktur penipuan.

Bagi pengguna, pesannya bukan berhenti berbagi, melainkan mengubah kebiasaan. Menunda unggahan liburan, memeriksa siapa yang bisa melihat profil, dan memverifikasi email lewat kanal resmi adalah langkah kecil dengan dampak besar. Penipu bekerja dengan detail yang kita berikan secara sukarela. Mengurangi detail itu, sedikit demi sedikit, membuat pekerjaan mereka jauh lebih sulit.