Tailgating, Physical and Digital Intrusion: Ketika Seseorang Masuk ke Area Terlarang dengan Menumpang Akses Anda

Pernahkah Anda mengalami momen
ketika Anda hendak masuk ke gedung
kantor, pintu sudah terbuka dengan
kartu akses Anda, lalu ada seseorang
di belakang Anda yang ikut
menyelinap masuk?
Dia tidak menggesek kartu. Dia hanya
mengikuti Anda. Anda merasa tidak
enak untuk menutup pintu di depa
n wajahnya. Akhirnya Anda
membiarkannya masuk. Inilah yang
disebut Tailgating.

Tailgating adalah teknik masuk
ke area terlarang dengan cara
menunggu orang yang memiliki
akses, lalu mengikuti di belakangnya.
Bisa fisik, seperti ikut masuk pintu
kantor. Bisa digital, seperti
menumpang sesi login orang lain,
atau menggunakan perangkat yang
sudah login. Pelaku tidak merusak
apa pun. Dia hanya memanfaatkan
kesopanan Anda.

Teknik ini masih berhubungan
dengan Pretexting yang telah
dibahas sebelumnya. Pada Pretexting,
pelaku menggunakan skenario palsu
untuk mendapatkan informasi. Pada
Tailgating, pelaku lebih fokus pada
cara masuk. Pelaku tidak perlu
membuat skenario panjang.
Dia hanya perlu tersenyum,
mengikuti di belakang Anda, dan
Anda yang membukakan pintu.

Eksperimen Ilmiah: Bukti bahwa
Kesopanan dan Kepercayaan
Membuat Orang Membiarkan
Penyusup Masuk

Eksperimen David
Rosenhan (1973):
Being Sane in Insane Places

David Rosenhan, seorang psikolog
dari Stanford University, melakukan
eksperimen yang sangat terkenal
tentang bagaimana konteks dan
penampilan memengaruhi cara
orang menilai. Eksperimen ini tidak
secara langsung tentang tailgating,
tetapi prinsipnya relevan.

Rosenhan dan beberapa rekannya
berpura-pura menjadi pasien yang
mengalami halusinasi.
Mereka mendatangi berbagai rumah
sakit jiwa dan mengaku mendengar
suara-suara. Setelah diterima sebagai
pasien, mereka berhenti
menunjukkan gejala apa pun.
Mereka berperilaku normal.

Hasilnya, staf rumah sakit tetap
memperlakukan mereka sebagai
pasien meskipun mereka tidak
menunjukkan gejala. Mereka tidak
bisa keluar sampai mereka mengaku
bahwa mereka sakit dan menerima
pengobatan. Yang lebih menarik,
para pasien lain justru menyadari
bahwa mereka bukan orang sakit
jiwa. Tetapi staf rumah sakit tidak.

Dialog setelah eksperimen:

Peneliti: “Apakah Anda menyadari
bahwa saya bukan pasien?”

Pasien: “Iya. Anda wartawan ya?
Atau peneliti?”

Peneliti: “Bagaimana Anda tahu?”

Pasien: “Anda tidak seperti orang
sakit. Anda terlalu normal.”

Staf rumah sakit tidak menyadari
hal itu. Mereka sudah memiliki
kerangka berpikir bahwa siapa pun
yang berada di rumah sakit jiwa
adalah pasien. Penampilan dan
konteks sudah cukup untuk membuat
mereka menerima keberadaan orang
asing di area terlarang.

Rosenhan menyimpulkan bahwa
manusia sering kali tidak
memverifikasi identitas orang yang
berada di area tertentu.
Mereka mengandalkan konteks dan
penampilan. Jika seseorang terlihat
seperti seharusnya berada di sana,
mereka tidak akan
mempertanyakannya. Prinsip ini
yang dimanfaatkan oleh Tailgating.
Pelaku terlihat seperti orang yang
seharusnya berada di sana.
Ia mengikuti orang yang memiliki
akses. Ia tersenyum. Ia membawa
barang. Ia tidak mencurigakan.
Dan orang-orang membiarkannya
masuk.

Eksperimen Ross Anderson
(2008): Social Engineering
and Physical Security

Ross Anderson, seorang profesor
keamanan dari University of
Cambridge, melakukan penelitian
tentang bagaimana penyusup dapat
masuk ke gedung kantor tanpa
akses resmi. Ia dan timnya menguji
berbagai teknik infiltrasi fisik
di beberapa perusahaan.

Dalam salah satu pengujian, anggota
tim Anderson berpura-pura menjadi
teknisi yang datang untuk
memperbaiki peralatan.
Mereka mengenakan seragam,
membawa kotak peralatan, dan
membawa surat tugas palsu. Mereka
tidak memiliki kartu akses. Mereka
tidak terdaftar sebagai tamu.

Mereka mendekati pintu masuk
karyawan. Ketika seorang karyawan
membuka pintu dengan kartunya,
mereka mengikuti di belakang
sambil membawa kotak peralatan.

Teknisi: “Permisi, kami teknisi untuk
perbaikan server. Bisa kami masuk?”

Karyawan: “Oh, iya. Silakan.”

Karyawan itu tidak memeriksa
identitas. Ia tidak menelepon bagian
IT untuk memverifikasi. Ia tidak
memeriksa surat tugas. Ia hanya
melihat seragam dan kotak peralatan.
Ia berasumsi bahwa mereka adalah
teknisi yang sah.

Hasilnya, tim Anderson berhasil
masuk ke area server di sebagian
besar perusahaan yang diuji.
Mereka bisa mengakses peralatan
sensitif. Mereka bisa memasang
perangkat pemantauan. Mereka bisa
mengambil data. Semua tanpa akses
resmi.

Dialog setelah pengujian:

Anderson: “Mengapa Anda
membiarkan mereka masuk?”

Karyawan: “Mereka terlihat seperti
teknisi. Mereka membawa
peralatan. Saya pikir mereka
memang ditugaskan.”

Anderson: “Apakah Anda
memverifikasi identitas mereka?”

Karyawan: “Tidak.
Saya tidak menyangka perlu.”

Anderson menyimpulkan bahwa
tailgating fisik sangat efektif karena
manusia mengandalkan penampilan
dan konteks. Mereka tidak
memverifikasi. Mereka tidak
mencurigai. Mereka hanya
merespons. Pelaku tailgating
memanfaatkan ini. Ia tampil
seolah-olah ia adalah bagian dari
lingkungan itu. Ia mengikuti orang
yang memiliki akses. Dan ia masuk.

Eksperimen Check Point
Software (2019):
Digital Tailgating

Check Point Software, sebuah
perusahaan keamanan siber,
melakukan eksperimen tentang
bagaimana tailgating digital bekerja.
Mereka ingin menguji seberapa
mudah seseorang bisa mengakses
sistem perusahaan dengan
menumpang sesi login yang tidak
terkunci.

Dalam eksperimen ini, seorang
karyawan perusahaan berpura-pura
meninggalkan mejanya untuk pergi
ke toilet. Ia membiarkan laptopnya
tetap terbuka dan dalam keadaan
login. Seorang peneliti dari tim
keamanan kemudian duduk di depan
laptop itu dan mulai mengakses
sistem perusahaan.

Peneliti itu mengakses email.
Ia mengakses file perusahaan.
Ia bahkan mengirim email dari akun
karyawan itu. Selama lima menit,
tidak ada satu pun karyawan lain
yang menegurnya. Tidak ada yang
bertanya siapa dia. Tidak ada yang
menyadari bahwa ada orang asing
menggunakan laptop karyawan lain.

Dialog setelah eksperimen:

Peneliti: “Apakah Anda melihat saya
menggunakan laptop itu?”

Karyawan lain: “Iya. Tapi saya pikir
Anda teman dia. Saya tidak mau
ikut campur.”

Peneliti: “Apakah Anda tidak curiga?”

Karyawan lain: “Tidak. Anda terlihat
santai. Seperti orang yang memang
bekerja di sini.”

Check Point menyimpulkan bahwa
tailgating digital sangat mudah
dilakukan ketika sesi login dibiarkan
terbuka. Pelaku tidak perlu meretas.
Ia hanya perlu duduk di depan
perangkat yang sudah login.
Dan orang-orang di sekitarnya tidak
akan mencurigainya karena ia
terlihat seperti bagian dari
lingkungan itu.

Mengapa Tailgating Begitu
Efektif?

Manusia tidak ingin terlihat kasar.
Menutup pintu di depan wajah
orang lain terasa tidak sopan.
Jadi kita memilih untuk mengalah.
Pelaku memanfaatkan itu. Dia tidak
memaksa. Dia hanya berharap kita
tidak tega. Ditambah lagi, jika dia
membawa sesuatu, seperti kotak
atau map, kita semakin merasa
kasihan. Kita semakin tidak tega
untuk menolak.

Tailgating juga memanfaatkan
kepercayaan pada konteks.
Jika seseorang terlihat seperti
seharusnya berada di sana, kita
tidak mempertanyakannya.
Kita berasumsi bahwa ia memiliki
alasan untuk berada di sana.
Kita tidak memverifikasi.
Kita hanya menerima.

Selain itu, tailgating memanfaatkan
keengganan untuk ikut campur.
Ketika kita melihat orang asing
di area terbatas, kita sering berpikir,
“Itu bukan urusan saya.”
Kita tidak ingin menuduh seseorang
yang mungkin tidak bersalah.
Kita tidak ingin membuat keributan.
Jadi kita diam. Dan pelaku masuk.

Tiga Fase Tailgating: Kisah Rina
dan Penyusup di Kantor

Untuk memahami cara kerja teknik ini,
kita akan mengikuti kisah Rina.
Ia bekerja di sebuah gedung
perkantoran yang memiliki akses kartu.

Fase 1: Menunggu Momen yang
Tepat

Seorang pria bernama Doni berdiri
di dekat pintu masuk gedung.
Ia membawa kotak besar yang
bertuliskan “Peralatan IT”. Ia tidak
memiliki kartu akses. Ia tidak
terdaftar sebagai tamu. Ia hanya
menunggu.

Doni melihat Rina berjalan menuju
pintu. Ia memperhatikan bahwa
Rina akan mengeluarkan kartunya.
Doni bersiap.

Fase 2: Mengikuti di Belakang

Rina menggesek kartunya. Pintu
terbuka. Doni langsung mendekat.

Doni: “Permisi, tolong tahan
pintunya ya. Saya bawa peralatan.”

Rina melihat kotak besar yang
dibawa Doni. Ia merasa tidak enak
untuk menutup pintu. Ia menahan
pintu dan membiarkan Doni masuk.

Rina: “Silakan.”

Doni: “Terima kasih banyak.”

Doni masuk ke gedung. Ia berjalan
dengan santai. Ia terlihat seperti
teknisi yang sedang bertugas.
Tidak ada yang mencurigainya.

Fase 3: Mengakses Area
Terlarang

Doni berjalan menuju ruang server.
Ia tahu di mana ruang server karena
ia sudah mempelajari tata letak
gedung dari informasi publik.
Ia masuk ke ruang server.
Ia memasang perangkat kecil
di belakang server. Perangkat itu
akan memungkinkan akses jarak
jauh ke jaringan perusahaan.

Setelah selesai, Doni keluar dari
gedung dengan tenang. Ia tersenyum
kepada resepsionis. Ia melambai.
Ia pergi.

Keesokan harinya, tim IT
menemukan perangkat asing
di ruang server. Mereka melaporkan
kejadian itu. Investigasi
menunjukkan bahwa Doni bukan
teknisi. Ia adalah penyusup yang
dibayar untuk menguji keamanan.
Ia berhasil masuk karena Rina
membiarkannya menumpang akses.
Rina tidak melakukan kesalahan
teknis. Ia hanya bersikap sopan.
Tetapi kesopanan itu dieksploitasi.

Contoh Nyata dengan Dialog
Orisinal

1. Tailgating di Gedung Kantor

Seorang penyusup berpura-pura
menjadi kurir paket. Ia membawa
beberapa kotak. Ia mendekati
pintu masuk karyawan.

Penyusup: “Permisi, paket untuk
lantai tiga. Bisa saya masuk?”

Karyawan: “Biasanya paket ditaruh
di resepsionis.”

Penyusup: “Iya, tapi ini paket besar.
Saya butuh troli. Bisa saya ambil
dulu di dalam?”

Karyawan: “Baiklah. Sini.”

Karyawan membukakan pintu.
Penyusup masuk. Ia berjalan
ke arah troli. Setelah itu,
ia menghilang ke lantai lain.
Ia mengambil dokumen sensitif
dari meja yang tidak terkunci.

2. Tailgating di Area Parkir

Seorang penyusup menunggu
di area parkir karyawan. Ia melihat
sebuah mobil masuk melalui gerbang
yang terbuka dengan kartu.
Ia mengikuti mobil itu masuk
sebelum gerbang menutup.

Penyusup: “Tolong tahan gerbangnya!”

Pengemudi mobil melihat di spion.
Ia merasa tidak enak. Ia menahan
gerbang. Penyusup masuk.
Ia memarkir mobilnya di area
karyawan. Ia kemudian berjalan
ke gedung. Ia masuk melalui pintu
darurat yang tidak terkunci.

3. Digital Tailgating di Kafe

Seorang pelaku duduk di kafe dekat
seorang pekerja remote. Pekerja itu
membuka laptopnya dan login
ke email kantor. Ia kemudian pergi
ke toilet tanpa mengunci layarnya.

Pelaku melihat bahwa laptop itu
masih terbuka. Ia duduk di kursi
yang sama. Ia mengakses email
pekerja itu. Ia mencari informasi
sensitif. Ia mengunduh file.
Ia kemudian menutup browser
dan pergi.

Ketika pekerja itu kembali, ia tidak
menyadari apa pun. Emailnya
masih terbuka. Tidak ada yang
berubah. Tetapi data perusahaan
sudah dicuri.

4. Digital Tailgating di Kantor

Seorang karyawan, Bima, pergi
ke pantry untuk mengambil kopi.
Ia meninggalkan komputernya
dalam keadaan login. Seorang
kolega baru, Doni, melihat
kesempatan itu.

Doni duduk di depan komputer Bima.
Ia membuka email Bima. Ia mencari
informasi tentang proyek yang sedang
ditenderkan. Ia mengirim informasi
itu ke alamat pribadinya. Ia kemudian
menutup email dan kembali ke mejanya.

Bima kembali. Ia tidak menyadari
bahwa ada yang mengakses
komputernya. Doni telah mencuri
informasi rahasia perusahaan
tanpa harus meretas apa pun.

5. Tailgating di Acara
Konferensi

Seorang penyusup mendatangi
acara konferensi. Ia tidak memiliki
badge peserta. Ia berdiri di dekat
pintu masuk ruangan. Ketika peserta
lain membuka pintu dengan badge,
ia mengikuti di belakang.

Penyusup: “Tolong tahan pintunya.”

Peserta: “Silakan.”

Penyusup masuk ke ruangan.
Ia duduk di barisan belakang.
Ia mendengarkan presentasi.
Ia bahkan bertanya dalam sesi tanya
jawab. Tidak ada yang memverifikasi
bahwa ia adalah peserta resmi.
Ia mendapatkan akses ke informasi
yang seharusnya terbatas.

Cara Melindungi Diri dari
Tailgating

Jika Anda ingin melindungi diri dan
lingkungan Anda dari tailgating, ada
beberapa langkah yang bisa
dilakukan.

Pertama, jangan biarkan orang
asing mengikuti Anda masuk
ke area terbatas.
Jika ada yang mengikuti di belakang,
tanyakan dengan sopan,
“Maaf, apakah Anda memiliki kartu
akses?” Jika tidak, arahkan
ke resepsionis. Anda tidak perlu
merasa tidak sopan. Anda sedang
menjaga keamanan.

Kedua, jangan tinggalkan
laptop atau ponsel dalam
keadaan terbuka.
Kunci layar Anda setiap kali
meninggalkan meja, bahkan hanya
untuk sebentar. Gunakan fitur kunci
otomatis setelah beberapa menit
tidak aktif.

Ketiga, pasang verifikasi dua
langkah. Verifikasi dua langkah
membuat akun Anda lebih sulit
diakses, bahkan jika seseorang
mendapatkan kata sandi Anda
atau mengakses sesi Anda.

Keempat, jangan takut terlihat
tidak sopan. Keselamatan Anda
dan keamanan data Anda lebih
penting daripada perasaan tidak
enak. Menutup pintu di depan orang
asing bukanlah tindakan kasar.
Itu tindakan pencegahan.

Kelima, laporkan orang
mencurigakan.
Jika Anda melihat seseorang yang
tidak dikenal berada di area
terbatas tanpa badge atau kartu
akses, laporkan ke keamanan.
Jangan berasumsi bahwa
orang lain sudah menanganinya.

Keenam, verifikasi identitas
tamu. Jika Anda bekerja
di resepsionis atau area penerimaan
tamu, selalu verifikasi identitas
tamu. Tanyakan tujuan kedatangan.
Hubungi orang yang akan ditemui.
Jangan biarkan tamu masuk tanpa
pendampingan.

Ketujuh, latih kesadaran
keamanan. Semakin banyak
orang yang sadar tentang tailgating,
semakin sulit penyusup masuk.
Bagikan informasi ini kepada
rekan kerja dan keluarga.

Tailgating adalah teknik yang
memanfaatkan kesopanan dan
kepercayaan manusia.
Pelaku tidak perlu meretas.
Ia tidak perlu memaksa.
Ia hanya perlu tersenyum,
mengikuti di belakang Anda, dan
Anda yang membukakan pintu.
Kenali polanya. Jangan biarkan
kesopanan Anda dieksploitasi.
Dan ingatlah bahwa keamanan
dimulai dari kewaspadaan kecil,
seperti memastikan pintu tertutup
rapat di belakang Anda.

kalau masih kurang paham ini
versi yang sederhana:

Oke, kita lanjut ke teknik berikutnya.
Namanya Tailgating, Physical
and Digital Intrusion.

Lo pasti pernah ngalamin momen
di mana lo lagi mau masuk
ke gedung kantor, pintunya udah
kebuka pakai kartu lo, terus ada
orang di belakang lo yang ikut nyelip
masuk. Dia nggak ngegesek kartu.
Dia cuma ikut lo. Lo ngerasa nggak
enak buat nutup pintu di depan
mukanya. Akhirnya lo biarin dia
masuk. Nah, itu yang namanya
Tailgating.

Simpelnya, tailgating adalah teknik
masuk ke area terlarang dengan cara
nungguin orang yang punya akses,
terus ikut di belakangnya. Bisa fisik,
kayak ikut masuk pintu kantor.
Bisa digital, kayak nebeng sesi login
orang, atau pake perangkat yang
udah login. Pelaku nggak ngerusak
apa-apa. Dia cuma manfaatin
kesopanan lo.

Ini masih nyambung sama
Pretexting yang barusan kita bahas.
Di situ pelaku pake skenario palsu
buat dapetin info. Kalau tailgating
ini lebih ke cara masuknya. Pelaku
nggak perlu bikin skenario panjang.
Dia cuma perlu senyum, ngikut
di belakang lo, dan lo yang bukain
pintu.

Kenapa ini ampuh? Karena manusia
itu nggak mau keliatan kasar.
Nutup pintu di depan muka orang
itu rasanya nggak sopan. Jadi lo
milih buat ngalah. Pelaku
manfaatin itu. Dia nggak maksa.
Dia cuma berharap lo nggak tega.
Ditambah lagi, kalau dia bawa
sesuatu, kayak boks atau map,
lo makin ngerasa kasian.
Lo makin nggak tega nolak.

Contoh gampangnya gini. Lo lagi
masuk kantor. Ada orang bawa duffel
bag gede, dia bilang, “Tolong tahan
pintunya ya.” Lo tahan. Dia masuk.
Besoknya, ada barang hilang
di lantai lo. Ternyata dia bukan
karyawan di situ. Dia cuma nebeng
masuk.

Contoh digital juga gitu. Lo lagi buka
laptop di kafe. Lo ke toilet sebentar.
Laptop lo masih kebuka. Ada orang
duduk di sebelah lo, pake laptop lo,
atau copy data lo. Dia nggak
ngeretas. Dia cuma nebeng sesi lo
yang belum ketutup.

Cara pakainya, bagi pelaku,
gampang.
Pertama, cari momen pas ada yang
mau masuk.
Kedua, ikut di belakangnya.
Ketiga, bawa barang biar keliatan
sibuk.
Keempat, pake senyum dan nada
sopan. “Tolong tahan pintunya ya,
makasih.” Lo bakal nahan.

Tapi lo nggak perlu jadi pelaku. Lo
perlu tau cara nahan teknik ini.
Pertama, jangan biarin orang asing
ikut masuk area terbatas. Tanya,
“Maaf, kartu aksesnya mana?”
Kalau dia nggak punya, arahin
ke resepsionis.
Kedua, jangan tinggalin laptop atau
ponsel dalam keadaan kebuka.
Kunci layarnya.
Ketiga, pasang verifikasi dua langkah.
Keempat, jangan takut keliatan
nggak sopan. Keselamatan lo lebih
penting daripada perasaan nggak
enak.

Jadi, Tailgating, Physical and
Digital Intrusion itu ibarat lo
lagi buka pintu rumah, terus ada
orang asing ikut masuk di belakang
lo. Lo nggak sadar dia udah ada
di dalem. Padahal lo cuma mau
masuk sendiri. Tapi karena lo
nggak tega nutup pintu, dia ikut
masuk.