TEKNIK PENYALAHGUNAAN DAN KECURANGAN (FRAUD) KOMPUTER

Penyalahgunaan dan Serangan Komputer

            Setiap komputer yang dikoneksikan dengan internet, terutama yang memiliki kerahasiaan dagang yang penting atau aset-aset IT yang berharga, berada di bawah serangan hackers, pemerintah asing, kelompok teroris, ketidakpuasan karyawan, mata-mata, dan saingan. Orang-orang ini menyerang komputer dengan cara mencari data-data berharga atau merusak sistem komputer. Pencegahan serangan harus dilakukan secara terus-menerus.

            Hacking adalah akses-akses yang tidak mendapat otorisasi, modifikasi, atau menggunakan perangkat elektronik atau elemen dari sistem komputer. Kebanyakan hacker membobol sistem dengan cara mengetahui kelemahan dari sistem operasi atau program aplikasi atau pengendalian akses yang lemah. Salah satu perusahaan perangkat lunak memonitoring dan memperkirakan ada lebih dari 7.000 kelemahan yang dikenal dalam perangkat lunak setiap tahunnya.

            Botnet, singkatan dari robot network, adalah jaringan yang kuat dan berbahaya yang membajak komputer. Pembajakan adalah mengontrol komputer untuk melaksanakan aktivitas terlarang tanpa sepengetahuan pengguna. Bot Herders menginstal software yang merespon instruksi elektronik hacker ke PC tanpa disadari. Bot software disampaikan dengan berbagai cara, termasuk Trojan, e-mail, Tweet, atau dengan menginfeksi Web Site. Bot Herders yang menggunakan kombinasi tenaga dalam pembajakan komputer, disebut Zombies, untuk meningkatkan berbagai serangan internet.

            Botnets digunakan untuk menyerang Denial of Service (DoS), yang didesain untuk membuat sumbernya tidak tersedia bagi penggunanya. Pada saat menyerang e-mail, banyak e-mail (ribuan per detik) yang dikirim, seringkali dengan alamat palsu secara acak, yang mengakibatkan penyedia e-mail server layanan kelebihan beban dan menutup.

            Spamming adalah e-mailing atau teks pesan yang tidak diminta oleh banyak orang pada waktu yang sama, sering berusaha untuk menjual sesuatu. Diperkirakan 250 Biliyun e-mail dikirim setiap hari (2.8 miliyar per detik); 80%-nya adalah spam dan virus.

            Spammers juga disebut dictionary attack (dikenal sebagai direct harvesting attack). Spammers menggunakan software khusus untuk menebak alamat sebuah perusahaan dan mengirim pesan e-mail kosong. Pesan-pesan tersebut tidak dikembalikan yang biasanya memiliki alamat e-maill yang valid dan ditambahkan pada daftar e-mail spammer. Dictionary attack merupakan masalah utama pada sistem e-mail perusahaan dan penyedia layanan internet.

            Blog (singkatan dari Web log) adalah Web site yang berisi jurnal dan komentar online. Hackers menciptakan splogs (kombinasi dari spam dan blog) dengan link dimana Web site yang mereka miliki menjadi naik pada Google Page Rank, yang seringkali Web page (halaman web) tersebut dijadikan referensi bagi Web page yang lain. Semenjak itu, Web site tersebut kelihatan meningkat pada halaman pertama  Page Rank dalam hasil pencarian halaman, splog diciptakan untuk memalsukan tayangan iklan yang mempengaruhi pengujung untuk melakukan pembayaran, menjual link, atau untuk mendapatkan situs baru di index.

Spoofing membuat suatu komunikasi elektronik kelihatan seperti seseorang mengirimnya untuk memperoleh kepercayaan dari penerimanya, Spoofing bisa dalam berbagai bentuk, termasuk yang dibawah ini:

·      Email spoofing membuat email terlihat seperti asllinya meskipun dikirim dari sumber yang berbeda. Banyak spam dan pishing attack menggunakan sofware khusus untuk menciptakan alamat pengirim secara acak. Mantan karyawan Oracle dituntut atas pembobolan terhadap jaringan komputer perusahaan tersebut, memalsukan bukti, dan melakukan sumpah palsu karena memalsukan pesan email untuk mendukung tuntutannya sehingga dia diberhentikan karena mengakhiri hubungan dengan perusahaan CEO. Menggunakan catatan telfon, pengacara Oracle membuktikan superviser yang semestinya memecat dan mengirimkan email kepada karyawan tersebut sedang berada diluar kota ketika email tersebut ditulis dan tidak dapat mengirimkannya. Karyawan tersebut terbukti bersalah atas tuduhan memalsukan email dan menghadapi hukuman 6 tahun penjara.

·      Caller ID spoofing menampilkan angka yang salah (angka apapun yang dipilh oleh attacker) pada tampilan ID caller unutk menyembunyikan identitas caller.

· IP address spoofing menciptakan paket Internet Protocol (IP) dengan alamat IP palsu untuk menyembunyikan identitas pengirim atau untuk menyerupai sistem komputer lain. IP spoofing sering kali digunakan dala denial-of-service attack 

·     Address Resolution Protocol (ARP) sppofing mengirimkan pesan ARP palsu pada sebuah Enthernet LAN. ARP merupakan jaringan protokol untuk menentukan alamat jaringan hardware host (induk) hanya ketika IP atau alamat jaringan tersebut diketahui. ARP kritis terhadap jaringan lokal area dan lalu lintas jalur interrnet melewati gateway (routers). ARP membolehkan attacker bekerja sama dengan alamat MACnya (alamat Media Access Control, alamat hardware yang secara unik mengidentifikasi setiap titik apda jaringan) dengan alamat IP titik lainnya. Setiap lalu lintas dimaksudkan bagi alamat IP yang secara acak dikirim ke attacker. Attacker mampu mengendus lalu lintas dan meneruskannya kepada target yang dimaksudkan, memodifikasi data sebelum meneruskannya (disebut man-in-the-middle attack), atau mengirimkan denial-of service attack.

·      SMS spoofing menggunakan layana pesan pendek (SMS) unutk merubah nama atau angka sebuah pesan terlihat dari asalnya. Di Australia, seorang wanita mendapatkan telfon yang bertanya mengapa dia mengirim penelfon tersebut pesan dewasa banyak sekali setiap hari selama beberapa bulan terakhir. Baik wanita tersebut atau perusahaan telfonnya tidka dapat menjelaskan sms tersebut, karena laporannya menyebutkan bahwa sms tersebut bukan berasal dari nomor telfonnya. Pada saat dia menyadari bahwa tidak ada cara untuk memblokir pesan tersebut, dia mengganti nomor telfonnya untuk menghindari ketidaknyamanan dikemudian hari.

·      Web pafe spoofing, juga disebut pishing, akan dijelaskan lebih lanjut di bab berikutnya

·   DNS spoofing merupakan pengendusan ID dari sistem nama domain (Domain Name System) (‘buku telpon’ Internet yang mengubah domain atau nama Web site, menjadi alamat IP) meminta dan membalas sebelum server DNS sebenarnya melakukan hal tersebut.

Zero-day attack (atau zero hour attack) merupakan suatu serangan antara waktu  suatu software lemah baru ditemukan dan saat pengembang software mengumunkan ‘solusi’ yang dapat mengatasi masalah tersebut. Pada saat hacker mengetahui ada titik kelemahan baru, mereka ‘mengumumkannya pada pihak luar’ dengan mempostkannya pada situs hacker bawah tanah. Berita tersebut menyebar dengan cepat, dan serangan dimulai. Membutuhkan waktu untuk mengetahui serangan tersebut, mempelajarinya, dan menemukan solusi, mengumumkan solusi untuk memperbaiki masalah tersebut, memasang solusi tersebut pada sistem user, dan melakukan update antivirus software. Salah satu cara pengembang software untuk meminimalisasi jendela kelemahan adalah dengan memonitor ssitus hacker sehingga mereka mengetahui kelemahan tersebut pada saat komuitas hacker melakukannya.

Vulnerability windows bisa berakhir selama berjam-jam bahkan selamanya jika user tidak menemukan solusi untuk sistemnya. Karyawan perusahaan dagang nasional menggunakan server yang membersihan transaksi kartu kredit unutuk mendownload musik dari Web site terinfeksi. Musik yang mengandung Trojan horse software yang membuat hacker Rusia mengambil keuntungan dari titik kelemahan yang telah diketahui untuk menginstal software yang mampu mengumpulakn dan mengirimkan data kartu kredit dari 16 komputer yang berbeda di Rusia setiap jamnya selama 4 bulan sama kejadian tersebut diketahui.

Cybercrook mengambil keuntungan dari lingakrang update keamanan Microsoft dengan cara menjadwalkan serangan baru sesaat sebelum atau sesudah “Patch Tuesday” – hari selasa minggu kedua setiap bulan, pada saat pembuat software mengumumkan perbaikannya. Istilah “zero-day Wednesday” menjelaskan strategi ini.

Cross site scripting (XSS) merupakan ssuatu kelemahan dalam halaman Web dinamis yang membolehkan penyerang untuk melakukan bypass terhadap mekanisme keamana browser dan memerintahkan browser korban untuk membuat kode dari Web site yang diinginkan. Kebanyakan penyerang menggunakan JavaScript yang mampu dilumpuhkan, meskipun HTML, Flashatau kode lainnya yang ada pada browser tersebut dilumpuhkan juga digunakan. XSS eror adalah eroro yang paling umum pada aplikasi Web saat ini dan terjadi dimana saja ketika aplikasi web menggunakan input dari seuatu user pada output akan menghasilkan tanpa validasi atau pengkodean. Kemungkinan suatua situs mengandung XSS eror sangat tinggi. Untuk menemukan eror tersebut tidaklah slit bagi para attacker; ada banyak too gratis yang tersedia yang dapat membantu attacker untuk menemukannya, menciptakan kode berbahaya, dan memasukkannya kedalam situs target. Banyak situs terkemuka mendapat serangan XSS, termasuk Google, Yahoo, Facebook. MySpace, dan MediaWiki. Pada kenyataanya, MediaWiki harus memeperbaiki lebih dari 30 kelemahan XSS untuk melindungi Wikipedia.

Buffer overflow attack terjadi ketika kapasitas data yang dimasukkan ke dalam program lebih besar daripada kapasitas memori (Input buffer) yang tersisa. Overflow input biasanya menimpa instruksi komputer berikutnya, yang menyebabkan sistem crash/rusak. Hacker memanfaatkan buffer overflow tersebut dengan hati-hati menciptakn input sehingga overflow mengandung kode yang memberitahu komputer apa yang harus dilakukan selanjutnya. Kode ini bisa membuka pintu belakang untuk masuk ke dalam sistem, memberikan hacker kontrol penuh terhadap sistem, mengakses data rahasia, menghancurkan atau merusak komponen sistem, sistem operasi menjadi lambat, dan menjalankan sejumlah tindakan yang tidak sesuai lainnya. Buffer overflow eksploitasi dapat terjadi dengan bentuk input apapun, termasuk mail server, database, Web dan FTPS server. Banyak eksploitasi yang ditulis menyebabkan buffer overflows. Worm Code Red menggunakan buffer overflow untuk memanfaatkan suatu lubang di Layanan Informasi Internet Microsoft.

Pada SQL injection (insertion) attack, kode berbahaya dalam bentuk SQL query dimasukkan pada input sehingga dapat dikirimkan dan dijalankan oleh sebuah program aplikasi. Ide tersebut untuk meyakinkan aplikasi untuk menjalankan kode SQL sehingga tidak dimaksudkan untuk mengeksekusi dengan memanfaatkan kerentanan database. Hal tersebut merupaka salah satu kerentanan database yang dapat terjadi ketika salah satu bahasa pemrograman yang terdapat didalam yang lainnya. Suatu injeksi SQL sukses dapat membaca data sensitif pada database: memodifikasi, membuka, menghancurkan atau membatasi ketersediaan data, memungkinkan attacker untuk menjadi database administrator, memalsukan identitas, dan mengeluarkan perintah sistem operasi. Suatu serangan injeksi SQL menyebabkan dampak signifikan yang hanya dibatasi oleh skill dan imajinasi penyerang dan sistem control.

Man-in-the-middle attack (MITM) menempatkan hacker antara klien dan host dan menyadap lalu lintas jaringan antara mereka. Suatu MITM attack sering disebut serangan sesi pembajakan. Serangan MITM digunakan untuk menyerang sistem enkripsi kunci publik di mana informasi sensitif dan berharga lalu lalang. Misalnya, Linda mengendus dan menguping  pada suatu komunikasi jaringan dan mendapati David mengirimkan kunci publik ke Teressa sehingga mereka dapat berkomunikasi dengan aman. Linda mengganti kunci publik manjadi kunci David dan masuk ke dalam komunikasi mereka. Jika Linda dapat berhasil meniru David dan Teressa dengan menyadap dan meneruskan pesan satu sama lain, mereka percaya bahwa mereka sedang berkomunikasi dengan aman. Saat MITM dibangun, hacker dapat membaca dan memodifikasi pesan klien, menyesatkan kedua pihak, memanipulasi transaksi, dan mencuri data rahasia. Untuk mencegah serangan MITM, kebanyakan aturan kriptografi mengesahkan setiap titik akhir komunikasi. Banyak teknik spoofing yang akan dibahas dalam bab ini digunakan dalam serangan MITM.

Masquareding atau impersonation adalah berpura-pura menjadi pengguna yang berwenang untuk mengakses sistem. Hal ini mungkin terjadi ketika pelaku penipuan mengetahui nomor ID dan password pengguna atau menggunakan komputer pengguna setelah dia login masuk (sementara pengguna berada dalam pertemuan atau makan siang).

Piggybacking memiliki beberapa arti:

1.      Pemakaian secara diam – diam jaringan Wi Fi tetangga; hal ini dapat dicegah dengan mengaktifkan fitur keamanan pada di jaringan wireless

2.     Merekam saluran telekomunikasi dan elektronik yang ada pada pengguna yang sah sebelum pengguna masuk kedalam sistem yang aman, pengguna yang sah tidak tahu bahwa dia telah membawa masuk pelaku penipuan kedalam sistem tersebut

3.    orang yang tidak berhak mengikuti orang yang berwenang melalui pintu yang aman, melewati kontrol keamanan fisik keypad, ID, atau scanner identifikasi biometrik

Password cracking adalah menembus pertahanan suatu sistem, mencuri file yang berisi password yang valid, decrypting mereka, dan menggunakan mereka untuk masuk kedalam program, file, dan data. Seorang petugas polisi mencurigai istrinya berselingkuh dan percaya bahwa mereka berkomunikasi melalui e mail. Dia meminta mantan polisi untuk masuk ke akun email istrinya dan mencetak email nya. Hacker menggunakan titik akses wireless untuk masuk kedalam jaringan dan men-download email-nya. Butuh waktu tiga hari untuk memecahkan sandi dan menjawab kecurigaan suaminya.

War dialling adalah pemrograman komputer untuk menghubungi ribuan saluran telepon mencari jaringan modem dial up. Hacker menyusup ke PC yang tersambung  dengan modem dan mengakses jaringan yang terhubung. Nama tersebut diambil dari  dari film War Games. Hal yang lebih problematic saat ini adalah war driving, dimana pelaku berkeliling mencari jaringan wireless yang tidak dilindungi. Satu kelompok peneliti melakukan war rocketing. Mereka menggunakan roket untuk membiarkan titik akses wireless yang tidak terlindung mendekati parasut yang mendeteksi jaringan wireless yang tidak dilindungi di daerah 50 mil persegi.

Phreaking menyerang sistem telepon untuk mendapatkan akses saluran telepon gratis untuk mengirimkan virus dan untuk mengakses, mencuri, dan menghancurkan data. Salah satu perusahaan telepon kehilangan $ 4,5 juta dalam tiga hari ketika petunjuk tentang cara menggunakan saluran telepon secara gratis dipublikasikan di Internet. Phreaker juga membobol sistem pesan suara, seperti yang dialami oleh polisi New York. Hacker mengubah sapaan pesan suara yang mengatakan bahwa polisi New York  sedang minum kopi dan makan donat sehingga terlalu sibuk untuk  menjawab telepon dan untuk menelepon 119 (bukan 911) dalam keadaan darurat. Pemilik dua voice-over-IP (VoIP) perusahaan telepon kecil menyusup kedalam penyedia VoIP yang lebih besar dan mengarahkan lebih dari $ 1 juta panggilan masuk melalui salah satu sistem nya. Untuk menjaga pengalihan panggilan tersebut diketahui, mereka masuk ke dalam sistem perusahaan New York, menyiapkan server, dan membuatnya terlihat seperti panggilan dari banyak pihak ketiga. Hacker lainnya telah membajak panggilan, mengalihkan mereka ke pusat panggilan mereka, dan meminta penelepon untuk mengidentifikasi diri dengan membocorkan informasi rahasia. Untuk melindungi sistem dari phreakers, perusahaan menggunakan firewall suara yang meneliti lalu lintas suara inbound dan outbound, memutuskan kegiatan yang mencurigakan dan memberikan sinyal real-time.

Data Diddling adalah mengubah data sebelum, selama atau setelah data tersebut dimasukkan ke dalam sistem untuk menghapus, mengubah, atau menambah, atau melakukan update data sistem kunci yang salah. Seorang pegawai yang bekerja pada broker Denver mengubah transaksi untuk merekam 1.700 saham industri Loren senilai $ 2,500 sebagai saham pada Lighting Long Island senilai lebih dari $ 25,000

Data leakage (kebocoran data) adalah penyalinan data perusahaan yang tidak sah. Karyawan Jaminan Sosial mencuri 11.000 nomor Jaminan Sosial dan informasi identitas lainnya dan menjualnya kepada pelaku penipuan identitas. Acxiom mengalami kehilangan data saat, lebih dari satu setengah tahun, seseorang menggunakan ftp perusahaan klien untuk mencuri 8,2 GB data. Podslurping menggunakan perangkat kecil dengan kapasitas penyimpanan, seperti Ipod atau drive Flas, untuk men-download data illegal. Ahli keamanan Usher Abe saat ini menciptakan slurp, exe. dan menyalin semua file dokumen dari komputernya dalam 65 detik. Useh saat ini membuat versi programnya untuk audit keamanan yang tidak menyalin file tetapi menghasilkan laporan informasi yang bisa saja dicuri dalam serangan nyata.

Salami teknik (teknik salami) digunakan untuk menggelapkan uang "irisan daging asap" dari akun yang berbeda. Seorang pegawai yang tidak puas memprogram komputer perusahaan tersebut untuk meningkatkan semua biaya produksi dengan sepersekian persen dan menempatkan kelebihan dalam rekening vendor bodoh dibawah kendalinya. Setiap beberapa bulan, biaya penipuan tersebut dinaikkan sepersekian persen lainnya. Karena semua biaya naik secara bersamaan, tidak ada akun yang menarik perhatian akan adanya penipuan tersebut. Penipu tersebut tertangkap ketika seorang kasir gagal mengenali nama penerima pembayaran pada sebuah cek yang sedang berusaha untuk dicairkan oleh penipu tersebut. Skema salami merupaka bagian dari garis plot dalam beberapa film, termasuk Superman III, Hacker, Ruang dan Office.

Espionase (spionase) ekonomi adalah pencurian informasi, rahasia dagang, dan kekayaan intelektual. Kerugian diperkirakan mencapai $ 250.000.000.000 per tahun, dimana kerugian meningkat 323% selama periode satu sampai lima tahun. Hampir 75% dari kerugian adalah untuk seorang karyawan, mantan karyawan , kontraktor, atau pemasok. FI sedang menyelidiki sekitar 800 kejadian espionase ekonomi terpisah pada setiap titik waktu. Reuters Analitik diduga menyusup ke dalam komputer  Blommberg, seorang pesaing, dan mencuri kode yang membantu institusi keuangan menganalisis data pasar saham. Toshiba membayar $ 465.000.000 untuk Lexar Media sebagai kompensasi atas rahasia dagang yang diberikan oleh anggota dewan direksi Lexar.

Pemerasan cyber adalah mengancam untuk merusak/membahayak suatu perusahaan atau orang jika sejumlah tertentu uang tidak dibayarkan. Para pemilik prosesor kartu kredit menerima daftar e-mail kliennya serta nomor dan kartu kredit mereka. Email tersebut meminta untuk membayarka $ 50,000 dalam enam pembayaran, atau data tersebut akan dikirim ke kliennya. Investigasi menunjukkan bahwa sistem mereka telah berhasil ditembus dan data pelanggan telah disalin. Tidak percaya pada kejadian tersebut, pemilik tidak melakukan apa pun. Para pemeras merilis data, ia menghabiskan waktu selama seminggu untuk meyakinkan pelanggannya yang marah. Usahanya itu sia-sia, pelanggannya meninggalkannya, dan dalam waktu enam bulan, ia menutup bisnis nya. Diana DeGarmo, juara kedua American Idol musim ketiga, dikejar oleh penggemar obsesif yang ingin 'menjadi' Diana. Penggemar tersebut masuk ke akun MySpace Diana, mencuri identitasnya, dan mengirim email kepada teman-temannya dan penggemar. Fan tersebut menelepon, email, dan mengirim sms Diana lebih dari seratus kali sehari. Ketika Diana akhirnya bertanya apa yang ia inginkan, ia menjawab bahwa ia ingin $ 1 juta

Cyber ​​bullying menggunakan internet, telepon seluler, atau teknologi komunikasi lainnya untuk mendukung perilaku yang disengaja, berulang, dan bermusuhan yang menyiksa, mengancam, melecehkan, menghina, memalukan, atau merugikan orang lain. Cyber​​-bullying sangat lazim di kalangan anak muda. Penelitian menunjukkan bahwa hampir setengah dari remaja dan praremaja melaporkan beberapa bentuk cyber-bullying. Sexting adalah pengiriman pesan dan gambar secara eksplisit. Satu dari tindakan rendah dari cyber-bullying adalah dengan memposting atau berbagi gambar-gambar dan pesan dengan orang-orang yang tidak ingin untuk melihat atau membaca mereka satu. Siapapun yang terlibat dalam transmisi gambar porno dari seseorang di bawah usia 18 tahun dapat dikenai pasal pornografi anak.

Internet terorisme adalah aksi mengganggu perdagangan elektronik dan merugikan komputer dan komunikasi. Seorang pria Massachusetts menyewa hacker untuk menyerang situs web WeaKnees.com karena WeaKnees  menolak kesepakatan bisnis dengannya. Serangan selama enam-minggu-lamanya menggunakan botnet dari 10.000 komputer yang dibajak dan menyebabkan $ 2 juta kerusakan.

Internet misinformation menggunakan internet untuk menyebarkan informasi palsu atau menyesatkan. McDonald menghabiskan tujuh tahun melawan tuduhan palsu pada Web site. Setelah 313 hari kesaksian dan menghabiskan biaya $ 16 juta,  McDonald menang dan dianugerahi $ 94,000. Sebuah Web site mengejek putusan, yang disebut kampanye 'tak terbendung', dan mendirikan toko dengan nama baru. Bentuk lain dari Internet misinformation ini adalah dengan berpura-pura menjadi orang lain dan memposting pesan web yang merusak reputasi orang yang ditipunya. Bahkan penyusup memasukkan informasi palsu dalam berita yang sah. Seorang pemuda masuk ke halaman berita Yahoo dan mengganti nama seorang hacker yang ditangkap dengan nama Gates.

Internet auction fraud menggunakan situs lelang internet untuk menipu orang lain. Menurut FBI, 45% dari pengaduan yang mereka terima adalah tentang penipuan lelang internet. Internet penipuan lelang dapat terjadi dalam beberapa bentuk. Misalnya, penjual dapat menggunakan identitas palsu atau bermitra dengan seseorang untuk menaikkan harga penawaran. Seseorang dapat memasukkan tawaran yang sangat tinggi untuk memenangkan lelang dan kemudian membatalkan tawarannya, membiarkan pasangannya, yang memiliki tertinggi berikutnya, dan jauh lebih rendah tawaran untuk menang. Penjual gagal untuk memberikan barang dagangan, atau pembeli gagal untuk melakukan pembayaran yang disepakati. Penjual dapat memberikan produk yang lebih rendah atau produk lain yang dijual. Dalam kasus baru-baru ini, tiga dealer seni dihukum karena tawaran casting di lebih dari 1.100 lelang eBay sama lain untuk menaikkan harga marchendise mereka selama periode lima tahun. Banyak konsumen ditipu untuk membayar ribuan dolar lebih daripada mereka yang tidak memiliki tanpa tawaran palsu

Internet pump-and-dump fraud menggunakan Internet untuk memompa harga saham dan kemudian menjualnya. Penipu Pump-dan-dump melakukan tiga hal. Pertama, mereka membeli sejumlah besar saham kecil, harga rendah, saham penny tipis yang diperdagangkan tanpa menaikkan harganya. Kedua, mereka menggunakan email spam, pesan, Tweets, dan posting internet untuk menyebarkan informasi yang sangat meyakinkan namun palsu tentang perusahaan untuk menciptakan hiruk-pikuk pembelian yang mendorong naiknya harga saham. Ketiga, mereka menjual saham kepada investor yang yang tidak curiga pada harga meningkat dan menawarkan keuntungan menjanjikan. Setelah mereka berhenti menggembar-gemborkan saham, harga yang turun, dan investor kehilangan uang mereka. Dalam penipuan baru-baru ini, penipu saham diam-diam diperoleh di 15 saham di perusahaan publik. Mereka menggunakan hacking yang canggih dan teknik penipuan identitas, seperti menginstal keystroke logging-perangkat lunak pada komputer di pusat-pusat bisnis hotel dan kafe internet, untuk mendapatkan akses ke akun broker online. Hacker menjual saham dalam akun tersebut, menggunakan uang tersebut untuk membeli sejumlah besar saham dari 15 perusahaan untuk memompa harga saham dari perusahaan-perusahaan, dan menjual saham mereka untuk 1 keuntungan $ 732,941. Operasi pompa-dan-dump, yang dilakukan dalam beberapa jam menyebabkan perusahaan pialang AS  membayar biaya yang diperkirakan sebesar $ 2 juta.

Web cramming menawarkan Website gratis selama satu bulan, mengembangkan situs berharga, dan memasukkan tagihan telepon pada orang-orang yang menerima tawaran selama berbulan-bulan, apakah mereka ingin terus menggunakan situs web atau tidak. Web cramming berada antara sepuluh besar penipuan onlinedalam beberapa tahun terakhir, dan tidak ada tanda-tanda bahwa hal tersebut akan berakhir. Penegak hukum telah menindak ini selama beberapa tahun tanpa hasil akhir yang jelas.

Pembajakan piranti lunak adalah penyalinan yang tidak sah dari distribusi software yang sah. Pembajakan perangkat lunak biasanya memakai satu dari tiga bentuk. : (1) menjual komputer dengan software pre-loaded ilegal (2) menginstal satu salinan-lisensi pada beberapa mesin, dan (3) Memuat perangkat lunak pada server jaringan dan memungkinkan akses tidak terbatas untuk itu dengan melanggar perjanjian lisensi perangkat lunak.

Rekayasa Sosial

Rekayasa Sosial mengacu pada teknik atau trik psikologis yang digunakan untuk membuat orang untuk mematuhi keinginan pelaku penipuan dalam rangka untuk mendapatkan akses fisik atau logis untuk bangunan, komputer, server, atau jaringan - biasanya untuk mendapatkan informasi yang dibutuhkan untuk akses sistem dengan tujuan untuk mendapatkan data rahasia. Seringkali, para pelaku penipuan memiliki percakapan dengan seseorang untuk mengelabui, berbohong, atau menipu korban. Seringkali pelaku penipuan memiliki informasi, pengetahuan, otoritas, atau keyakinan yang membuatnya tampak seperti pemiliknya.

Membangun kebijakan dan prosedur berikut - dan melatih orang-orang untuk mengikuti mereka - dapat membantu meminimalkan rekayasa sosial:

1.        Jangan biarkan orang mengikuti Anda ke gedung tertutup.

2.        Jangan login untuk orang lain pada komputer, espesially jika Anda memiliki akses administratif.

3.        Jangan memberikan informasi sensitif melalui telepon atau melalui email.

4.        Jangan pernah berbagi password atau user Id.

5.        Hati – hati dengan orang yang tidak anda kenal yang berusaha memperoleh akses melalui anda.

    Pencurian identitas adalah mengambil identitas seseorang, biasanya untuk keuntungan ekonomi, memperoleh dan menggunakan informasi rahasia tersebut secara ilegal, seperti nomor Jaminan Sosial atau rekening bank atau nomor kartu kredit. Pencuri identitas mengosongkan rekening bank, mengajukan permohonan kartu kredit, meninggalkan utang besar, dan mengambil hipotek dan pinjaman. Mereka dengan hati-hati menutupi jejaknya dan mengirimkan semua tagihan dikirim ke alamat  yang dikontrolnya, pencuri identitas tersebut dapat memperpanjang skema ini karena korban tidak akan tahu apa yang terjadi sampai kerusakan yang cukup parah diketahui. Korban juga biasanya dapat membuktikan bahwa mereka tidak bertanggung jawab atas hutang atau dana yang hilang, namun butuh waktu yang cukup lama untuk membersihkan catatan hutang dan memulihkan reputasi.

Pretexting menggunakan skenario asal (dalih) untuk meningkatkan kemungkinan korban membocorkan informasi atau melakukan sesuatu. Pretext lebih dari hanya sekedar kebohongan sederhana, biasanya melibatkan penciptaan legitimasi dalam pikiran target untuk memungkinkan melakukan penipuan. Pretexters melakukan survei keamanan dan melalaikan korban dalam mengungkapkan informasi rahasia dengan mengajukan 10 pertanyaan biasa sebelum mengajukan pertanyaan rahasia. Mereka menghubungi operator dan mengklaim sebagai seorang karyawan yang lupa password. Mereka menelpon pengguna dan memberitahukan bahwa mereka sedang menguji sistem dan membutuhkan password. Mereka mengaku sebagai pembeli, calon karyawan, atau penjual untuk mendapatkan plat wisata dan memperoleh informasi yang dapat membantu mereka masuk ke sistem. Mereka menggunakan alat pengubah suara untuk membuat suara suara laki-laki seperti suara wanita atau menggunakan perangkat spoofing untuk membuat mereka tampak seperti menelpon dari telpon korban yang dimaksud.

Posing (menyamar) adalah menciptakan bisnis yang tampaknya sah (biasanya menjual produk baru dan menarik), mengumpulkan informasi pribadi pada saat melakukan penjualan, dan tidak pernah mengirimkan produk tersebut. Penipu juga membuat situs internet untuk Job list guna  mengumpulkan informasi rahasia.

Phishing adalah mengirim sebuah pesan elektronik seakan – akan pesan tersebut berasal dari perusahaan yang sah, biasanya lembaga keuangan, dan meminta informasi atau verifikasi informasi dan sering memperingatkan dengan beberapa akibat mengerikan jika permintaan tersebut tidak dipenuhi. Penerima juga diminta untuk menanggapi permintaan palsu atau mengunjungi halaman web dan memasukkan data. Pesan ini biasanya berisi link ke halaman web yang tampak sah. Halaman web memiliki logo perusahaan, grafis, nomor telepon, dan link internet yang kelihatannya berasal dari perusahaan targetnya. Pesan tersebut juga meminta semuanya mulai dari alamat rumah uhingga PIN kartu ATM. Phisher menjadi lebih canggih. Penipuan phishing Awal mengirim pesan kepada semua orang. Versi target phishing, yang disebut spear phishinh, ada dimana target diketahui berasal dari perusahaan tertentu.

Carding mengacu pada kegiatan yang dilakukan pada kartu kredit curian, termasuk melakukan pembelian online kecil untuk memastikan apakah kartu tersebut masih berlaku dan membeli dan menjual nomor kartu kredit curian. Skor dari situs Web underground memfasilitasi carding, dengan rating penjualan sama seperti eBay. Cyber​​-kriminal geng menjalankan banyak situs carding.

Pharming adalah mengarahkan lalu lintas situs Web ke situs Web palsu. Jika Anda bisa mengubah nomor perusahaan XYZ dalam buku telepon menjadi nomor telepon Anda, orang yang menghubungi nomor Perusahaan XYZ akan menghubungi Anda sebagai gantinya. Demikian pula, setiap situs web memiliki alamat IP (internet) unik (empat kelompok angka yang dipisahkan oleh tiga titik). Ada Domain Name System yang mengubah domain (situs web) nama ke alamat IP. Pharmers mengubah alamat IP dalam Domain Name System (DNS) ke alamat IP yang mereka kontrol. DNS server yang telah diubah disebut sebagai "diracuni"

Malware juga dapat digunakan untuk mengubah file host komputer (internal DNS) atau alamat IP layanan internet penyedia. Karena PC kebanyakan tidak terkontrol dengan baik, mereka adalah target yang lebih baik untuk pharming daripada server internet. Setelah file-file ini beracun, semua permintaan berikutnya untuk mengunjungi situs web diarahkan ke situs palsu.

Pharming adalah alat rekayasa sosial yang sangat populer karena dua alasan. Pertama, sulit untuk mendeteksi karena browser pengguna menunjukkan situs Web yang benar. Antivirus dan perangkat lunak spyware removal saat ini tidak memiliki perlindungan efektif terhadap pharming. Sebaliknya, rumit teknik pharming anti diperlukan. Kedua adalah kemampuan untuk menargetkan banyak orang sekaligus melalui spoofing domain daripada satu orang pada satu waktu  dengan menggunakan email pishing.

Evil twin adalah jaringan wireless dengan nama yang sama (disebut Service Set Identifier, atau SSID) sebagai titik akses wireless yang sah. Hacker menghasilkan sinyal wireless yang lebih kuat daripada sinyal yang sah atau mengganggu atau menonaktifkan jalur akses yang sah dengan cara melepas sekitarnya, mengarahkan denial-of-service terhadap jaringan tersebut, atau menciptakan gangguan frekuensi radio di sekitarnya. Pengguna tidak menyadari bahwa mereka terhubung ke evil twin. Pelaku kejahatan memantau lalu lintas untuk mencari informasi rahasia. Hacker juga menggunakan evil twin untuk meluncurkan berbagai malware dan menginstal software untuk menyerang komputer lain. Setelah sebuah kedai kopi kecil mengeluarkan iklan adanya internet wirelss gratis, terjadi peningkatan pencurian identitas. Polisi menemukan bahwa seorang pria yang tinggal di samping warung kopi telah mendirikan evil twin dan mencuri informasi rahasia.

Typosquatting, atau pembajakan URL adalah menyiapkan situs web dengan nama sama sehingga pada saat pengguna membuat kesalahan pengetikan ketika memasukkan nama situs Web yang dikirim ke situs yang tidak valid. Misalnya, mengetik goggle.com bukan google.com mungkin mengarahkan ke situs cyber squatter:

1.    menipu pengguna yang menganggap bahwa dia ada pada situs yang benar karena adanya logo yang sama, tata letak situs web, atau konten. Situs-situs ini berisi iklan yang menarik bagi orang yang mencari nama domain yang sebenarnya. Typosquatter juga mungkin menjadi pesaing.

2.    Sangat berbeda dari apa yang diinginkan. Typosquatter itu mengarahkan orang yang mencari situs anak-anak ke situs Web porno.

3.    Mengirimkan malware seperti virus, spyware, dan adware.

Tabnapping, mengubah diam - diam sebuah tab browser yang sudah terbuka. Tabnapping dimulai ketika korban yang tertipu untuk membuka link email atau mengunjungi situs web yang terinfeksi. Situs ini menggunakan JavaScript untuk mengidentifikasi situs yang sering dikunjungi dan diam-diam mengubah label dan isi tab browser yang terbuka, tapi tidak aktif. Ketika korban mengklik pada tab yang telah berubah, situs tersebut menampilkan keterangan bahwa situs tersebut telah habis waktunya. Ketika korban log kembali, user ID dan password yang ditangkap dan diteruskan ke pencuri identitas.

Scavenging atau dumspter diving adalah mendapatkan akses ke informasi rahasia  dengan mencari dokumen dan catatan. Beberapa pencuri identitasmecrai tempat sampah, tempat sampah umum, dan tempat sampah kota untuk menemukan informasi. Oracle Corporation dibuat malau beberapa tahun yang lalu ketika itu investigator yang mereka sewa ditangkap karena memeriksa tempat sampah perusahaan – perusahaan yang disponsori oleh, Microsoft. Para peneliti telah membayar petugas pembersih gedung $ 1,200 untuk sampah tersebut. Dalam contoh lain, Jerry Schneider menemukan panduan komputer Telepon Pasific beroperasi di tempat sampah dalam perjalanan pulang dari sekolah. Seiring waktu, kegiatannya pemulungannya mengakibatkan dia mencuri peralatan elektronik senilai $ 1 juta.

Pada shoulder  surfing, seperti namanya, pelaku penipuan melihat melalui bahu seseorang di tempat umum untuk mendapatkan informasi seperti nomor PIN ATM atau ID dan password pengguna. Penipu juga melalukan surfing jarak jauh menggunakan teropong atau kamera. Di Amerika Selatan, seorang pria menyembunyikan kamera video di semak-semak dan mengarahkannya ke komputer presiden perusahaan, yang terlihat melalui jendela lantai pertama. Suatu keuntungan bisnis yang signifikan hampir jatuh karena informasi mengenai rekaman video tersebut. Shoulder surfers dapat digagalkan dengan menghalangi pandangan surfer ke arah perangkat input.

Pada Lebanese lopping, pelaku penipuan menyisipkan lengan baju ke dalam ATM untuk mencegah ATM menolak kartu tersebut. Ketika jelas bahwa kartu tersebut yang terperangkap, pelaku kejahatan akan mendekati korban dan berpura-pura untuk membantu, menipu orang agar memasukkan PIN lagi, Setelah korban menyerah, pencuri menghilangkan kartu dan PIN untuk menarik uang di ATM sebanyak - banyaknya. Lebanese looping sangat umum dinegara dengan jumlah mesin ATM yang banyak

Skimming adalah gesekan double kartu kredit di terminal sah atau diam-diam menggesekkan kartu kredit di kecil, reader tersembunyi, mengkontrol car reader yang mencatat data kartu kredit untuk digunakan nantinya. Umumnya dilakukan di gerai ritel seperti restoran dan dilakukan oleh karyawan dengan alasan yang sah untuk memiliki kartu korban, Skimming menyebabkan senilai $ 1 miliar per tahun. Seorang karyawan paruh waktu di sebuah pompa bensin melakukan skim kartu dari 80 nasabah, termasuk pemilik, yang merupakan kerabatnya, dan mencuri lebih dari $ 200.000.

Chipping adalah penyamaran sebagai seorang insinyur dan menanam chip kecil yang mencatat data transaksi di pembaca kartu kredit yang sah. Chip ini kemudian dihapus untuk mengakses data yang tercatat di atasnya.

Eavesdropping adalah mendengarkan komunikasi pribadi atau memanfaatkan transmisi data. The equipmet diperlukan untuk mengatur penyadapan pada jalur komunikasi tidak dilindungi yang tersedia di toko-toko elektronik lokal. Suatu penyadapan diduga melibatkan Mark Koenig, seorang konsultan telekomunikasi berusia 28 tahun, dan empat rekannya. Agen federal mengatakan mereka menarik data penting tentang pelanggan Bank of America melaluai saluran telepon dan menggunakannya untuk membuat 5,500 kartu ATM palsu. Koenig dan teman-temannya diduga bermaksud untuk menggunakan kartu tersebut selama akhir pekan untuk menarik uang dari bank di seluruh negeri. Pihak berwenang mendapat informasi  dan mereka ditangkap sebelum mereka bisa menggunakan kartu tersebut.

Malware

Bagian ini menjelaskan malware, yang merupakan perangkat lunak yang dapat digunakan untuk melakukan kejahatan. Sebuah penelitian baru menunjukkan bahwa malware yang menyebar menggunakan pendekatan simultan, termasuk file sharing (digunakan 72% dari serangan), berbagi akses ke file (42%), lampiran email (25%), dan kerentanan akses remote.

Software Spyware diam-diam memonitor dan mengumpulkan informasi pribadi tentang pengguna dan mengirimkannya ke orang lain. Informasi ini dikumpulkan dengan log keystrokes, pemantauan situs web yang dikunjungi dan pemindaian dokumen pada hard drive komputer. Spyware juga dapat membajak browser, menggantikan halaman home komputer dengan halaman pencipta spyware yang ingin Anda kunjungi. Kecuali spyware dihapus, melakan set ulang pada halaman home browser yang berlangsung hanya sampai komputer tersebut di reboot. Spyware juga dapat membajak permintaan pencarian, mengembalikan hasil yang dipilih oleh spyware daripada hasil yang diinginkan. Infeksi spyware, yang biasanya tidak disadari oleh penggunanya, berasal dari berikut ini:

1.     Downloads seperti program file sharing, sistem utilitas, permainan, wallpaper, screensaver, musik, dan video

2.        Situs web yang secara diam-diam men-download spyware. Ini disebut drive by downloading

3.        Seorang hacker menggunakan lubang keamanan pada web dan perangkat lunak lainnya

4.        Malware yang menyamar sebagai software antispyware keamanan

5.        Sebuah worm atau virus

6.  Jaringan wireless publik. Pada Kinko di Manhattan, seorang karyawan mengumpulkan data yang diperlukan untuk membuka rekening bank dan mengajukan permohonan kartu kredit atas nama orang-orang yang menggunakan jaringan wireless Kinko ini

Spyware merupakan hal yang sangat bermasalah bagi perusahaan dengan karyawan yang berkomunikasi atau jarang mengakses jaringan. Spyware pada komputer ini merekam interaksi jaringan pengguna, menyalin data perusahaan, dan memperkenalkan spyware ke seluruh organisasi. Sebuah sumber utama spyware adalah situs dewasa. Komputer mereka yang mengunjungi situs-situs akan terinfeksi , dan ketika mereka masuk ke sistem perusahaan mereka, infeksi tersebut akan masuk kedalam jaringan internal perusahaannya.

Adware adalah spyware yang muncul pada iklan banner di monitor, mengumpulkan informasi tentang pengguna Web surfing dan kebiasaan belanja, dan meneruskannya kepada pencipta adware. Perusahaan adware menagih biaya untuk setiap komputer menampilkan iklannya. Mereka meningkatkan jumlah komputer adware dengan membayar shareware developer untuk mengikat adware dengan perangkat lunak mereka. Hal ini memungkinkan shareware developer untuk menghasilkan uang tanpa menagih perangkat lunak mereka. Salah satu perusahaan yang bergerak di bidang media digital content sharing menawarkan pengguna versi $ 30 atau versi gratis. Perjanjian lisensi untuk perangkat lunak bebas mengungkapkan adware (sehingga membuat legal'spyware itu), namun sebagian besar pengguna tidak membaca perjanjian dan tidak sadar akan diinstal. Perusahaan adware Reputasi mengklaim sensitif atau data mengidentifikasi tidak dikumpulkan. Namun, tidak ada cara bagi pengguna untuk secara efektif mengendalikan atau membatasi data yang dikumpulkan dan ditransmisikan.

sumber : Buku Sistem Informasi Akuntansi, Marshall B. Romney, Paul John Steinbart