Jebakan "Siapa Intip Facebook Kamu" Incar Pengguna di Indonesia

KOMPAS.com - “Cari tahu siapa yang mengintip Facebook kamu. Yang melihat Facebookku adalah…,” sebut sebuah posting di wall pengguna Facebook, diikuti deretan nama teman-teman yang dikatakan telah “mengintip” laman Facebook dari pembuat posting yang bersangkutan.

Tawaran itu membuat penasaran. Maklumlah, selama ini Facebook dikenal merahasiakan siapa saja teman  yang sering mengunjungi (mengintip) akun pengguna. Alamat URL menuju sebuah situs bernama “siapalihat.com” yang dicantumkan di posting tadi pun dikunjungi.

Tanpa disadari, pengguna mulai terjebak posting yang sebenarnya disebarkan oleh Spam Bot lewat akun pengguna lain yang sudah dijebak sebelumnya.

Instruksi-instruksi di siapalihat.com, apabila diikuti, akan memasang Spam Bot untuk membajak akun Facebook pengguna dan menyebarkan posting sejenis ke laman teman-taman Facebook, tanpa sepengetahuan pemilik akun. Posting pun tersebar secara berantai melalui pengguna-pengguna lain yang juga terjebak.

Alfons Tanujaya/ Vaksin.com Contoh posting spam yang disebarkan oleh Spam Bot ke teman-teman pengguna di Facebook tanpa disadar oleh pemilik akun.

Iming-iming mengetahui siapa yang mengintip akun Facebook pengguna tak lain merupakan pancingan untuk mengelabui pengguna sehingga jatuh dalam jebakan. Teknik semacam ini dikenal dengan istilah rekayasa sosial (social engineering).

Pengguna Facebook Indonesia diincar

Praktisi keamanan internet dari Vaksincom, Alfons Tanujaya, mengatakan dalam beberapa hari belakangan banyak beredar jebakan Spam Bot yang mengincar pengguna Facebook Indonesia. Dia menduga sang pembuat Spam Bot berasal dari salah satu kota di Tanah Air.

“Saat ini yang jadi sasaran utama adalah pengguna Facebook. Mungkin karena basis penggunanya paling besar dan banyak apps pendukung sehingga banyak celah yang bisa dieksploitasi,” kata Alfons saat dihubungi KompasTekno, Jumat (12/8/2016).

“Apps pendukung” yang dimaksud adalah aplikasi eksternal yang dibuat pihak ketiga serta bisa mengakses data dan hak khusus dari Facebook pengguna.

Alfons Tanujaya/ Vaksin.com Tampilan laman situs Siapalihat yang alamatnya tertera dalam posting yang disebarkan oleh Spam Bot

Aplikasi macam ini rentan memiliki celah keamanan sehingga bisa disusupi Spam Bot untuk menulis dan menyebarkan posting tanpa sepengetahuan pengguna. Alfons mencontohkan aplikasi HTC Sense yang dipakai oleh situs siapalihat.com di atas.

Situs akan meminta pengguna mengunduh HTC Sense, lalu memberikan hak akses untuk posting di Facebook kepada aplikasi tersebut dan menyisipkan Spam Bot melalui barisan kode "Access Token" Facebook yang di-copy paste. Setelahnya, Spam Bot pun siap beraksi.

“HTC Sense itu aplikasi resmi yang sebenarnya tidak bersalah. Tetapi karena dieksploitasi sedemikian rupa jadi bisa memberikan akses autoposting ke Spam Bot,” papar Alfons. Tentu, tidak menutup pula kemungkinan aplikasi lain yang dipakai.

Ujung-ujungnya duit

Untuk apa sang pembuat Spam Bot menyebarkan posting secara berantai di Facebook? Ternyata, ujung-ujungnya duit juga.

Menurut Alfons, posting spam yang disebarkan di Facebook bertujuan mengalihkan pengguna ke situs sang pembuat dengan menyertakan alamat URL ke laman terkait, contohnya seperti siapalihat.com di atas.

Semakin banyak pengguna Facebook yang terkecoh mengunjungi situs tersebut, semakin banyak pula trafik yang datang sehingga pembuat Spam Bot bisa mendatangkan uang dengan memasang lapak iklan Google Ads.

“Situs siapalihat.com itu penuh dengan iklan dan pop up yang kalau di-klik akan memberikan keuntungan finansial bagi pemilik situs,” jelas Alfons. Jadi, situs siapalihat.com memiliki dua peranan. Pertama adalah sebagai perantara untuk menanam Spam Bot di akun pengguna Facebook. Kedua, sebagai tempat untuk menaruh lapak iklan. 

Alfons Tanujaya/ Vaksin.com Situs siapalihat.com menginstruksikan pengguna untuk melakukan copy-paste baris kode Access Token Facebook. Baris kode inilah yang menyebabkan Spam Bot bisa membajak akun pengguna dan menyebarkan spam.

Jebakan Spam Bot dengan rekayasa sosial sendiri sebenarnya sudah lama dipakai dan disebarkan di media sosial. Metode ini masih efektif dipakai menjebak pengguna Facebook yang kurang awas. Siapalihat.com hanya salah satu contoh terbaru yang muncul dalam beberapa hari terakhir.

Supaya terhindar dari jebakan serupa, Alfons menyarankan pengguna Facebook agar jangan mudah percaya dengan iming-iming apapun, khususnya yang menawarkan untuk mengetahui siapa uang mengintip akun Facebook pengguna.

“Karena Facebook tidak memperbolehkan hal ini dan akses informasi ini secara resmi di-blok oleh Facebook,” pungkasnya.

Ketika coba diakses oleh KompasTekno, situs Siapalihat.com sudah tidak bisa dibuka. Tapi tetap ada kemungkinan metode jebakan ini bakal kembali dipakai di kemudian waktu oleh aktor yang sama atau pihak lain. Tak ada salahnya untuk lebih berhati-hati di jejaring sosial.