Modus Baru Pembobolan Rekening, Email Penipu dari Akun Resmi Gmail
Jakarta, PANGKEP NEWS – Google telah memberikan peringatan darurat kepada miliaran pengguna Gmail di seluruh dunia. Ini terkait dengan terungkapnya teknik phishing baru yang memanfaatkan kelemahan dalam infrastruktur Google.
Pengembang Nick Johnson, salah satu korban dari serangan ini, melaporkan bahwa ia menerima email dari alamat resmi yang tampak sah.
Email tersebut bahkan berhasil melewati verifikasi DKIM (DomainKeys Identified Mail), sehingga Gmail tidak mengeluarkan peringatan apa pun, dan malah menggabungkannya dalam percakapan berisi notifikasi keamanan asli.
Serangan ini semakin menakutkan karena email tersebut mengklaim bahwa Google telah menerima surat perintah pengadilan untuk menyerahkan data akunnya.
Pengguna kemudian diminta untuk mengklik tautan yang mengarahkan mereka ke halaman “support portal” palsu yang di-host di situs resmi Google, yakni sites.google.com.
Apabila pengguna mengklik tombol “Upload additional documents” atau “View case” di halaman palsu tersebut, mereka akan diarahkan ke halaman login palsu. Di sinilah informasi kredensial dicuri dan digunakan untuk mengambil alih akun korban.
Mengutip PC Mag, Selasa (29/4/2025), Johnson menyebutkan bahwa ada dua celah dalam sistem Google yang dimanfaatkan dalam serangan ini.
Google memungkinkan penyisipan skrip bebas serta mekanisme verifikasi email Google yang dapat dimanipulasi untuk melewati pengamanan.
Pertama, produk lawas sites.google.com sudah ada sebelum Google serius dengan keamanan. Pengguna dapat meng-host konten di subdomain google.com. Yang terpenting, ini mendukung skrip dan embed yang sewenang-wenang,” katanya.
Dalam keterangan kepada Newsweek, juru bicara Google mengungkapkan bahwa mereka telah mengetahui jenis serangan ini dan telah mengambil langkah proteksi bagi pengguna Gmail.
“Kami menyadari jenis serangan ini dari aktor ancaman bernama Rockfoils, dan telah mengimplementasikan proteksi tambahan selama sepekan terakhir. Perlindungan ini akan segera sepenuhnya aktif dan menutup celah penyalahgunaan ini,” ujar pihak Google.
Sambil menunggu perbaikan total, Google mengimbau pengguna untuk mengaktifkan multi-factor authentication (MFA) dan menggunakan passkeys untuk memperkuat keamanan akun.
Peringatan ini muncul di tengah meningkatnya kasus phishing, termasuk insiden di mana Troy Hunt, pakar keamanan siber dan pencipta situs HaveIBeenPwned.com, juga berhasil tertipu oleh email phishing saat mengalami jetlag.
Bagi pengguna yang sudah menjadi korban, Google menyatakan bahwa masih ada kesempatan untuk memulihkan akun dalam waktu maksimal tujuh hari, asalkan sudah mengaitkan nomor telepon dan email pemulihan ke akun tersebut.
