Dokumen bocor yang terkait dengan kelompok pemerasan Luna Moth memberikan para defender pandangan langka tentang bagaimana operasi tersebut diorganisasi. Menurut Infosecurity Magazine, materi tersebut menunjukkan upaya multi-cabang di mana spesialis rekayasa sosial dan penyerang yang lebih teknis bekerja bersama untuk memanipulasi satu target. Bagi siapa pun yang mencoba memahami playbook rekayasa sosial Luna Moth, pembagian kerja itu adalah detail kunci, karena menjelaskan mengapa satu panggilan telepon yang meyakinkan dapat menyebabkan intrusi yang jauh lebih besar.

Apa yang diungkap oleh kebocoran playbook rekayasa sosial Luna Moth

Kelompok ini juga dikenal sebagai Silent Ransom Group, Chatty Spider dan UNC3753. Peringatan publik, termasuk salah satu yang dirujuk dalam hasil pencarian dari FBI dan IC3, menggambarkannya sebagai kelompok yang menargetkan firma hukum dengan teknik rekayasa sosial, termasuk menyamar sebagai personel TI. Riset ancaman terpisah menggambarkan penggunaan callback phishing sebagai bagian dari kampanye pemerasan datanya.

Apa yang ditambahkan oleh kebocoran baru ini, berdasarkan laporan tersebut, adalah pandangan dari dalam. Alih-alih penyerang tunggal yang melakukan semuanya, dokumen-dokumen tersebut menunjukkan upaya terkoordinasi yang ditujukan pada satu korban pada satu waktu. Liputan sebelumnya di vpn.social membahas bagaimana file-file Luna Moth mengungkap playbook pemerasan firma hukum dan tentang pembayaran yang diduga terungkap oleh kebocoran terpisah. Bersama-sama, kebocoran ini menunjukkan bisnis yang terstruktur alih-alih kumpulan oportunis yang longgar.

Perlu berhati-hati di sini. Artikel sumber adalah ringkasan singkat, dan dokumen bocor itu sendiri adalah klaim yang belum semuanya diverifikasi secara independen. Namun, pola yang mereka gambarkan cocok dengan apa yang telah diperingatkan oleh peringatan publik.

Bagaimana penelpon dan penyusup teknis membagi pekerjaan

Pelajaran praktis dari struktur yang dilaporkan adalah bahwa serangan ini merupakan estafet. Satu kelompok orang menangani sisi manusia: membangun dalih yang meyakinkan, membuat target terlibat, dan membujuk mereka untuk mengambil tindakan tertentu. Kelompok lain menangani sisi teknis: menggunakan akses apa pun yang dihasilkan percakapan itu untuk bergerak melalui sistem dan mengambil data.

Pembagian itu penting karena dua alasan.

Pertama, orang di telepon tidak perlu canggih secara teknis. Tugas mereka adalah persuasi. Mereka hanya perlu target menyerahkan kredensial, menyetujui prompt, atau membuka pintu, dan operator teknis melanjutkannya dari sana.

Kedua, operator teknis tidak perlu menemukan celah perangkat lunak. Jika login yang sah atau sesi jarak jauh yang tepercaya diserahkan kepada mereka, sebagian besar pekerjaan mereka terlihat seperti aktivitas normal. Inilah sebabnya serangan semacam ini sulit ditangkap hanya dengan alat perimeter.

Konsekuensinya telah terlihat di sektor hukum. Laporan yang kami liput sebelumnya mencatat bahwa Jones Day dan Mayer Brown mengonfirmasi file sensitif telah dicuri, dan dalam setidaknya satu kasus dipublikasikan secara online setelah tuntutan pemerasan tidak dibayar. Laporan terkait tentang meningkatnya serangan firma hukum dan scam vishing menunjukkan tema yang sama: titik masuknya sering kali adalah seseorang, bukan sepotong malware.

Mengenali dalih phishing dan vishing sebelum Anda bertindak

Karena tahap pertama adalah percakapan, pertahanan awal terbaik Anda adalah kebiasaan rather than alat. Dalih yang menyamar sebagai dukungan TI cenderung memiliki beberapa ciri:

  • Urgensi. Penelpon atau email mengatakan sesuatu rusak, kedaluwarsa atau disusupi dan perlu tindakan sekarang juga.
  • Kontak yang tidak diminta. Anda tidak membuka tiket, namun seseorang mengklaim sedang membantu salah satunya.
  • Permintaan akses. Anda diminta membacakan kode, menyetujui prompt login, menginstal perangkat lunak atau memulai sesi jarak jauh.
  • Nomor callback yang disediakan oleh pengirim. Callback phishing bergantung pada Anda menghubungi nomor yang dikendalikan penyerang.

Responsnya sederhana, meskipun canggung pada saat itu. Tutup telepon atau berhenti membalas. Kemudian hubungi tim TI atau penyedia Anda menggunakan nomor atau saluran yang sudah Anda ketahui asli, seperti direktori internal atau situs web resmi perusahaan. Jangan gunakan detail kontak dari pesan itu sendiri. Staf dukungan yang sah tidak akan keberatan diverifikasi.

Organisasi kecil juga harus menyetujui aturan terlebih dahulu: tidak ada yang pernah diminta menyetujui login atau menginstal perangkat lunak akses jarak jauh karena panggilan masuk. Aturan tertulis menghilangkan tekanan dari karyawan individu.

Membatasi kerusakan setelah kredensial dicuri

Anggap saja bahwa pada akhirnya seseorang akan tertipu. Tujuannya kemudian adalah membuat kredensial yang dicuri kurang berguna.

Gunakan MFA yang tahan phishing. Kode yang dikirim melalui pesan teks atau prompt aplikasi dapat dibujuk keluar dari korban melalui telepon. Kunci keamanan perangkat keras dan passkey dirancang untuk hanya bekerja dengan situs asli, yang menghilangkan hal paling umum yang dapat diminta penelpon.

Batasi apa yang dapat dijangkau oleh satu akun. Jika satu login dapat membuka setiap share file, satu panggilan dapat mengekspos semuanya. Pisahkan akses berdasarkan peran dan hapus izin lama.

Awasi alat jarak jauh yang tidak biasa dan transfer besar. Perangkat lunak akses jarak jauh baru atau perpindahan data massal di luar jam normal harus memicu tinjauan.

Miliki rencana respons. Ketahui siapa yang harus dihubungi, bagaimana menonaktifkan akun dengan cepat, dan bagaimana menjaga bukti. Kelompok pemerasan bergantung pada kebingungan dan penundaan.

Apa Artinya Bagi Anda

Anda tidak perlu menjadi firma hukum untuk menjadi target gaya serangan ini. Dalih yang sama berhasil pada karyawan atau individu mana pun yang memiliki akses yang layak dicuri. Kebocoran tersebut memperkuat bahwa titik terlemah sering kali adalah momen seseorang memutuskan apakah akan mempercayai sebuah suara. Jika Anda bekerja dengan data klien atau pelanggan yang sensitif, struktur yang dijelaskan dalam kebocoran tersebut harus membentuk prioritas Anda: verifikasi terlebih dahulu, lindungi akun dengan autentikasi yang lebih kuat, dan kurangi apa yang dapat dijangkau oleh satu akun.

Poin penting yang dapat ditindaklanjuti

  • Perlakukan setiap panggilan tak terduga dari "dukungan TI" sebagai belum terverifikasi sampai Anda mengonfirmasinya melalui saluran yang diketahui.
  • Jangan pernah membacakan kode, menyetujui prompt atau menginstal alat jarak jauh atas permintaan penelpon yang masuk.
  • Pindahkan akun penting ke MFA yang tahan phishing seperti kunci keamanan atau passkey.
  • Pangkas izin akun sehingga satu login yang dicuri tidak dapat mengekspos semuanya.
  • Tuliskan aturan verifikasi dan daftar kontak insiden sebelum Anda membutuhkannya.

Playbook rekayasa sosial Luna Moth berhasil karena menggabungkan suara manusia yang meyakinkan dengan tindak lanjut teknis yang sabar. Tinjau paparan Anda sendiri terhadap panggilan dukungan TI palsu minggu ini, beralihlah ke MFA yang tahan phishing di mana pun Anda bisa, dan baca liputan terkait kami tentang kebocoran Luna Moth dan pemerasan yang digerakkan vishing untuk melihat bagaimana serangan ini terjadi dalam praktik.