.webp)
Penipuan modus baru di Gmail bisa menguras saldo rekening. Fungsi email yang menjadi salah satu cara memverifikasi akun keuangan dimanfaatkan penjahat siber.
Jadi intinya, para hacker ini berusaha mencuri akun Google yang mana berpotensi menguras rekening korban. Bahkan email itu bisa lolos pemeriksaan keamanan Domain Keys Identified Mail (DKIM).
ADVERTISEMENT
SCROLL TO CONTINUE WITH CONTENT
Dikutip dari CNBC Indonesia, Kamis (24/4/2025) dalam laporan Bleeping Computer, pengalaman ini dibagikan seorang pengembang utama Ethereum Name Service (ENS) bernama Nick Johnson yang menjadi korban percobaan serangan ini.
Ia menerima email yang terlihat resmi dari 'no-reply@google.com'. Email tersebut berisi permintaan atas akun Google-nya. Parahnya, email ini lolos verifikasi dan ditempatkan bersamaan dengan peringatan keamanan asli Google, yang membuatnya seolah email asli dan makin sulit dikenali.
Setelah ditelusuri, portal 'dukungan' yang disebutkan dalam email tersebut ternyata dibuat melalui platform Sites Google, bukan domain resmi accounts.google.com. Ini memperkecil kecurigaan karena tetap berada di lingkungan Google.
Para penjahat siber juga menggunakan teknik yang dikenal sebagai DKIM Replay Phishing. Caranya, mereka mendaftarkan domain baru, membuat akun Google dengan alamat seperti me@domain, lalu membuat aplikasi OAuth dengan nama yang menyisipkan pesan phishing.
Ketika Google mengirim notifikasi keamanan ke alamat ini, email tersebut terbaca sah secara teknis, lalu diteruskan kepada calon korban.
Lebih lanjut, DKIM hanya memvalidasi isi pesan dan header, bukan amplop email. Karenanya pesan palsu ini tetap dianggap valid oleh sistem Google dan terlihat meyakinkan di kotak masuk korban.
Akan tetapi, bukan hanya Gmail yang jadi sasaran. Metode serupa pernah digunakan pada PayPal, di mana pelaku memanfaatkan opsi 'gift address' untuk mengirim konfirmasi palsu yang juga lolos pemeriksaan DKIM.
Pakar keamanan dari EasyDMARC menegaskan bahwa metode ini sangat berbahaya karena korban tidak sadar bahwa mereka sedang diarahkan ke situs penipuan yang nyaris identik dengan halaman resmi. Untuk itu imbauan bagi pengguna Gmail dan platform digital lainnya agar tetap waspada.
(mud/mud)
