BALINEWS.ID – Google baru saja mengeluarkan peringatan darurat kepada lebih dari dua miliar pengguna Gmail di seluruh dunia setelah terungkap adanya skema phishing yang berhasil membobol sistem keamanan Gmail. Pelaku menggunakan layanan Google Sites untuk membuat tautan palsu yang menyerupai domain resmi Google, memanfaatkan infrastruktur yang sudah dipercaya oleh pengguna.
Skema phishing ini pertama kali diungkap oleh Nick Johnson, seorang pengembang dan influencer kripto, yang hampir menjadi korban. Johnson menerima e-mail yang tampak resmi, dikirim dari alamat “no-reply@google.com“, yang biasa digunakan oleh Google untuk mengirimkan notifikasi penting seperti verifikasi login atau pemberitahuan aktivitas mencurigakan. E-mail tersebut memberitahukan masalah hukum terkait akun Google-nya dan mengarahkan Johnson untuk membuka tautan lebih lanjut.
Namun, saat tautan diklik, pengguna diarahkan ke halaman login palsu yang seolah-olah berada di domain Google, padahal sebenarnya situs tersebut di-hosting melalui Google Sites (sites.google.com), bukan akun resmi accounts.google.com. Perbedaan kecil pada alamat URL ini sering kali tidak disadari, sehingga banyak pengguna yang terkecoh dan memasukkan kredensial mereka.
Begitu korban mengisi informasi akun mereka, data tersebut langsung dicuri oleh pelaku. Skema ini berhasil mengelabui sistem keamanan DKIM (DomainKeys Identified Mail) yang digunakan Gmail untuk memverifikasi keaslian e-mail. Sebagai hasilnya, e-mail phishing ini lolos dari penyaringan dan masuk ke kotak masuk pengguna, berdampingan dengan notifikasi resmi dari Google.
Google Tanggap, Pengguna Diminta Waspada
Google mengonfirmasi bahwa mereka sudah mengetahui jenis serangan ini, yang diketahui berasal dari kelompok peretas bernama Rockfoils. Mereka juga menegaskan bahwa perlindungan terhadap serangan ini telah diterapkan sejak seminggu terakhir dan akan segera ditingkatkan untuk menutup celah yang ada.
“Perlindungan ini akan segera diterapkan sepenuhnya untuk menutup celah penyalahgunaan ini,” ujar juru bicara Google dalam keterangan kepada Newsweek.
Lindungi Akun Anda dengan 2FA
Google mengingatkan pengguna untuk tetap berhati-hati terhadap e-mail yang meminta informasi pribadi. “Google tidak akan pernah meminta kata sandi, kode OTP, atau permintaan verifikasi akun melalui e-mail atau telepon,” tegas juru bicara Google.
Untuk menambah perlindungan akun, Google sangat menganjurkan agar pengguna mengaktifkan autentikasi dua langkah (2FA) atau menggunakan passkey. Langkah-langkah ini diyakini dapat memberikan perlindungan tambahan terhadap potensi peretasan.
Dengan mengikuti langkah-langkah perlindungan yang dianjurkan, pengguna dapat meminimalkan risiko terkena serangan phishing yang semakin canggih ini. (*)
