Reverse Social Engineering: Ketika Penyerang Menciptakan Masalah Lalu Menawarkan Diri sebagai Solusi

Pernahkah Anda mengalami momen
ketika komputer Anda tiba-tiba terasa
rusak? Tiba-tiba lambat, muncul
pesan error, atau tidak bisa dibuka.
Anda panik. Anda bingung. Anda
mencari siapa yang bisa membantu.
Lalu tiba-tiba, ada seseorang yang
datang dan menawarkan bantuan.
“Wah, sepertinya ada virus.
Sini saya bantu perbaiki.”
Anda langsung merasa lega.
Anda memberikan akses.
Anda berterima kasih. Padahal,
orang itu yang menciptakan
masalahnya sejak awal. Inilah yang
disebut Reverse Social
Engineering.

Reverse Social Engineering adalah
teknik manipulasi di mana pelaku
menciptakan masalah terlebih
dahulu, lalu menawarkan diri
sebagai solusinya. Pelaku tidak
menyerang Anda secara langsung.
Pelaku membuat Anda menyerang
diri Anda sendiri. Pelaku membuat
Anda merasa membutuhkannya.
Dan Anda, karena panik, akan
membuka pintu selebar-lebarnya.

Eksperimen Ilmiah: Bukti bahwa
Kepanikan Membuat Orang
Menyerahkan Akses

Eksperimen Dutton dan
Aron (1974): The Bridge
Experiment

Donald Dutton dan Arthur Aron
dari University of British Columbia
melakukan eksperimen yang sangat
terkenal tentang bagaimana gairah
fisiologis memengaruhi pengambilan
keputusan. Eksperimen ini dikenal
sebagai The Bridge Experiment
 atau The Capilano Bridge
Experiment.

Dalam eksperimen ini, para peneliti
menggunakan dua jembatan
di Vancouver, Kanada.
Jembatan pertama adalah Jembatan
Capilano, sebuah jembatan gantung
yang panjang, sempit, dan
bergoyang. Jembatan itu berada
di ketinggian sekitar 70 meter
di atas sungai berbatu.
Jembatan kedua adalah jembatan
beton yang kokoh, lebar, dan rendah,
hanya beberapa meter di atas sungai
yang tenang.

Seorang aktris muda ditempatkan
di tengah masing-masing jembatan.
Tugasnya adalah mendekati pria
yang sedang melintas dan
mengajukan pertanyaan.
Ia berpura-pura menjadi peneliti
yang sedang melakukan survei.

Aktris: “Permisi, saya sedang
melakukan penelitian. Boleh saya
minta waktu sebentar untuk
mengisi kuesioner?”

Setelah pria itu selesai mengisi
kuesioner, aktris itu memberikan
nomor teleponnya.

Aktris: “Kalau ada pertanyaan,
silakan telepon saya.”

Hasilnya, pria yang ditemui
di Jembatan Capilano jauh lebih
banyak yang menelepon aktris itu
dibandingkan pria yang ditemui
di jembatan beton. Mereka juga
menuliskan cerita yang lebih
dramatis dan emosional dalam
kuesioner. Mereka mengira bahwa
perasaan berdebar dan gugup yang
mereka alami adalah ketertarikan
pada aktris itu. Padahal,
sebenarnya itu adalah respons
tubuh terhadap ketinggian dan
goyangan jembatan.

Dialog setelah eksperimen:

Peneliti: “Mengapa Anda
menelepon aktris itu?”

Partisipan: “Saya merasa tertarik
padanya. Jantung saya berdebar
saat berbicara dengannya.”

Peneliti: “Apakah Anda sadar bahwa
jantung Anda berdebar karena
jembatannya bergoyang?”

Partisipan: “Tidak. Saya pikir
itu karena dia.”

Dutton dan Aron menyimpulkan
bahwa manusia sering salah
mengartikan gairah fisiologis.
Ketika tubuh berada dalam kondisi
terangsang, seperti saat panik atau
tegang, otak mencari penjelasan.
Dan sering kali, penjelasan yang
dipilih adalah yang paling menonjol,
yaitu orang yang ada di depan mata.
Dalam Reverse Social Engineering,
pelaku menciptakan masalah yang
membuat korban panik. Kepanikan
itu membuat tubuh korban terangsang.
Ketika pelaku menawarkan bantuan,
korban mengaitkan rasa lega dan
syukur dengan pelaku. Korban percaya
pada pelaku. Korban menyerahkan
akses.

Eksperimen Loftus dan
Burns (1982):
The Misinformation Effect
in Crisis

Elizabeth Loftus dan Thomas Burns
dari University of Washington
melakukan eksperimen tentang
bagaimana stres dan kepanikan
memengaruhi ingatan dan
pengambilan keputusan. Mereka
ingin menguji apakah orang yang
berada dalam situasi stres lebih
mudah dipengaruhi oleh informasi
yang menyesatkan.

Dalam eksperimen ini, partisipan
dibagi menjadi dua kelompok.
Kelompok pertama diminta
menonton video kekerasan,
seperti perampokan bersenjata.
Kelompok kedua diminta menonton
video non-kekerasan, seperti
pemandangan alam.
Setelah menonton, kedua kelompok
diberi informasi tambahan tentang
video itu. Informasi itu berisi detail
yang sebenarnya tidak ada dalam
video.

Hasilnya, partisipan yang menonton
video kekerasan lebih mudah
menerima informasi palsu itu
sebagai kebenaran. Mereka lebih
yakin bahwa detail yang tidak ada itu
benar-benar ada. Mereka juga lebih
sulit membedakan antara apa yang
benar-benar mereka lihat dan apa
yang disarankan kepada mereka.

Dialog setelah eksperimen:

Peneliti: “Apakah Anda melihat pria

itu membawa pisau?”

Partisipan yang menonton video
kekerasan: “Iya. Saya yakin saya
melihatnya.”

Peneliti: “Sebenarnya di video tidak
ada pisau. Itu hanya informasi yang
saya tambahkan.”

Partisipan: “Serius? Saya pikir saya
melihatnya. Situasinya sangat
menegangkan.”

Loftus menyimpulkan bahwa stres
dan kepanikan mengganggu
kemampuan seseorang untuk
memproses informasi secara akurat.
Orang yang panik lebih mudah
menerima informasi yang
menyesatkan. Mereka juga lebih
mudah menyerahkan kendali kepada
orang yang tampak menawarkan
bantuan. Dalam Reverse Social
Engineering, pelaku menciptakan
masalah yang memicu stres. Korban
menjadi panik. Pelaku menawarkan
bantuan. Korban menerima bantuan
itu tanpa memverifikasi. Korban
menyerahkan akses.

Eksperimen Dror, Peron, Hind,
dan Charlton (2005): Decision
Making Under Pressure

Itiel Dror dan timnya dari University
of Southampton melakukan
eksperimen tentang bagaimana
tekanan dan kepanikan memengaruhi
keputusan para ahli. Mereka ingin
menguji apakah bahkan para
profesional yang terlatih pun bisa
membuat kesalahan ketika berada
di bawah tekanan.

Dalam eksperimen ini, partisipan
adalah ahli sidik jari berpengalaman.
Mereka diminta menganalisis
serangkaian sidik jari dan
mencocokkannya dengan tersangka.
Pada sesi pertama, mereka diminta
menganalisis tanpa tekanan.
Pada sesi kedua, mereka diminta
menganalisis sidik jari yang sama,
tetapi kali ini mereka diberi tahu
bahwa tersangka telah mengaku,
sehingga ada tekanan untuk
mencocokkan. Mereka juga diberi
tahu bahwa kesalahan akan
berdampak besar pada karier
mereka.

Hasilnya, para ahli itu mengubah
keputusan mereka. Sidik jari yang
sebelumnya mereka nilai tidak
cocok, kini mereka nilai cocok.
Mereka dipengaruhi oleh tekanan
dan konteks. Mereka tidak
menyadari bahwa keputusan
mereka telah berubah.

Dialog setelah eksperimen:

Peneliti: “Apakah Anda yakin sidik
jari ini cocok?”

Ahli: “Iya. Saya sudah memeriksany
a dengan teliti.”

Peneliti: “Pada sesi pertama,
Anda mengatakan tidak cocok.”

Ahli: “Benarkah? Saya tidak ingat.
Mungkin saya salah sebelumnya.”

Dror menyimpulkan bahwa tekanan
dan kepanikan dapat mengubah cara
orang memproses informasi, bahkan
pada para ahli. Dalam Reverse Social
Engineering, pelaku menciptakan
masalah yang menimbulkan tekanan.
Korban yang panik menjadi lebih
mudah dipengaruhi.
Pelaku menawarkan bantuan.
Korban menerima tanpa berpikir
kritis. Korban menyerahkan akses.

Mengapa Reverse Social
Engineering Begitu Efektif?

Manusia tidak berpikir jernih saat
panik. Saat ada masalah,
kita mencari solusi cepat.
Siapa saja yang bisa membantu.
Dan begitu ada yang menawarkan
bantuan, kita langsung percaya.
Kita tidak memeriksa motifnya.
Kita hanya merasa bersyukur.
Pelaku memanfaatkan rasa
syukur itu.

Reverse Social Engineering juga
memanfaatkan efek lega.
Ketika seseorang mengalami
ketegangan, lalu ketegangan itu
mereda, muncul perasaan lega
yang sangat kuat. Perasaan lega itu
menciptakan ikatan emosional
dengan orang yang membantu
meredakan ketegangan. Pelaku
menciptakan masalah, lalu
membantu menyelesaikannya.
Korban merasa lega. Korban
merasa berutang. Korban
menyerahkan akses.

Selain itu, pelaku sering tampil
sebagai pahlawan. Ia tidak datang
sebagai penyerang. Ia datang
sebagai penyelamat. Ia tersenyum.
Ia ramah. Ia membantu. Korban
tidak mencurigainya.
Korban melihatnya sebagai orang
baik. Padahal, di balik senyum itu,
ada rencana yang sudah disusun.

Empat Fase Reverse Social
Engineering:
Kisah Rina dan Serangan
di Kantor

Untuk memahami cara kerja teknik
ini, kita akan mengikuti kisah Rina.
Ia bekerja di sebuah perusahaan
yang memiliki sistem email internal.

Fase 1: Menciptakan Masalah

Seorang penyerang bernama Doni
ingin mengakses email perusahaan.
Ia tidak menyerang sistem secara
langsung. Ia terlebih dahulu
mengirim email phishing
ke beberapa karyawan.
Email itu berbunyi:

“Yth. Karyawan, sistem email kami
mendeteksi aktivitas tidak wajar
di akun Anda. Akun Anda akan
dinonaktifkan dalam 24 jam.
Untuk menghindari penonaktifan,
silakan klik tautan berikut dan
login ulang.”

Beberapa karyawan mengklik tautan
itu. Mereka memasukkan kata sandi
mereka. Doni mengumpulkan kata
sandi itu. Tetapi ia tidak langsung
menggunakannya. Ia ingin lebih
banyak akses.

Fase 2: Menunggu Kepanikan

Beberapa jam kemudian, sistem
email perusahaan mulai mengalami
gangguan. Beberapa karyawan tidak
bisa login. Rina termasuk salah
satunya. Ia panik. Ia mencoba login
berulang kali, tetapi gagal.

Rina: “Kenapa email saya tidak bisa
dibuka? Ada apa ini?”

Ia bertanya kepada rekan kerjanya.
Beberapa orang juga mengalami
masalah serupa. Suasana kantor
mulai gaduh.

Fase 3: Menawarkan Diri
sebagai Solusi

Doni, yang saat itu berada
di kantor, mendekati Rina.
Ia memasang wajah prihatin.

Doni: “Rina, saya dengar email
Anda bermasalah. Saya bisa
bantu perbaiki.”

Rina: “Bisa? Bagaimana caranya?”

Doni: “Saya harus mengakses akun
Anda untuk memeriksa
konfigurasinya. Bisa saya minta
kata sandi Anda?”

Rina ragu sejenak. Tetapi ia panik.
Ia ingin emailnya bisa diakses lagi.
Ia melihat Doni sebagai orang yang
menawarkan bantuan. Ia tidak
menyadari bahwa Doni yang
menciptakan masalahnya.

Rina: “Baik. Kata sandi saya adalah…”

Doni mengambil kata sandi itu.
Ia kemudian berpura-pura
memperbaiki sistem.
Ia menggunakan kata sandi itu
untuk mengakses akun Rina.

Fase 4: Eksploitasi dan
Menghilang

Setelah mendapatkan akses, Doni
tidak hanya membaca email Rina.
Ia menggunakan akun Rina untuk
mengirim email ke karyawan lain.
Email itu berisi tautan phishing.
Beberapa karyawan mengklik
tautan itu. Lebih banyak akun
yang diretas.

Doni juga mengakses file perusahaan
yang tersimpan di email Rina.
Ia mengunduh data sensitif.
Ia mengirimkannya ke alamat
pribadinya. Setelah selesai,
ia menghapus jejaknya. Ia menutup
aksesnya. Ia kembali ke mejanya.
Ia tersenyum. Ia merasa puas.

Keesokan harinya, tim IT menemukan
aktivitas mencurigakan.
Mereka melacak sumbernya.
Mereka menemukan bahwa akun
Rina digunakan untuk mengirim
phishing. Rina dipanggil ke ruang IT.
Ia tidak mengerti apa yang terjadi.

Tim IT: “Rina, apakah Anda
memberikan kata sandi Anda
kepada seseorang?”

Rina: “Iya. Doni bilang dia bisa
bantu perbaiki email saya.”

Tim IT: “Doni bukan bagian dari
tim IT. Dia juga bukan karyawan
tetap di sini. Dia hanya kontraktor.”

Rina: “Tapi dia yang menawarkan
bantuan. Saya panik. Saya tidak
berpikir.”

Rina menjadi korban Reverse Social
Engineering. Doni menciptakan
masalah. Rina panik.
Doni menawarkan bantuan.
Rina menyerahkan kata sandi.
Doni mengambil keuntungan.
Dan Rina yang harus menanggung
akibatnya.

Contoh Nyata dengan Dialog
Orisinal

1. Komputer Lambat dan
Teknisi Palsu

Seorang karyawan, Bima, mengalami
masalah pada komputernya.
Komputer itu tiba-tiba lambat dan
sering muncul pesan error.
Bima panik. Ia melaporkan ke tim
IT. Tetapi tim IT sedang sibuk.

Seorang pria yang mengaku sebagai
teknisi dari vendor datang ke meja
Bima.

Teknisi: “Bapak Bima? Saya dengar
komputer Bapak bermasalah. Saya
dari vendor IT. Bisa saya periksa?”

Bima: “Wah, iya. Komputer saya
lambat sekali.”

Teknisi: “Saya perlu menginstal
perangkat lunak diagnostik.
Bisa saya minta akses
administrator?”

Bima memberikan akses. Teknisi itu
memasang perangkat lunak.
Ia berpura-pura memperbaiki.
Setelah selesai, ia pamit. Komputer
Bima menjadi lebih cepat.

Beberapa hari kemudian, Bima
mengetahui bahwa perangkat lunak
yang dipasang teknisi itu adalah
malware. Malware itu mengirim data
perusahaan ke pihak luar. Teknisi itu
bukan dari vendor resmi. Ia adalah
penyerang yang menciptakan
masalah, lalu menawarkan solusi.

2. Rumor di Tempat Kerja

Seorang karyawan, Sari, tiba-tiba
merasa dijauhi oleh rekan-rekannya.
Ia tidak tahu kenapa. Ia merasa ada
yang salah. Ia mulai cemas.

Seorang rekan, Doni, mendekatinya.

Doni: “Sari, saya dengar ada yang
menyebarkan fitnah tentang Anda.
Saya tidak percaya. Saya bisa
bantu klarifikasi.”

Sari: “Fitnah apa?”

Doni: “Katanya Anda tidak loyal.
Tapi saya tahu itu bohong.
Cerita saja, saya akan bantu.”

Sari merasa berterima kasih.
Ia menceritakan semua masalahnya.
Ia menceritakan rahasia-rahasianya.
Ia menceritakan hal-hal yang tidak
ingin ia bagikan.

Doni mendengarkan. Setelah itu,
ia menyebarkan informasi itu
ke orang lain. Ia menambahkan
bumbu. Rumor semakin buruk.
Sari semakin dijauhi. Doni adalah
orang yang menyebarkan rumor
awal. Ia menciptakan masalah,
lalu menawarkan solusi. Sari
terjebak.

3. Penipuan Online

Seorang pengguna internet, Maya,
tiba-tiba menerima pesan bahwa
akun media sosialnya akan
diblokir karena pelanggaran.
Ia panik. Ia tidak merasa
melanggar apa pun.

Seorang pria menghubunginya
melalui pesan langsung.

Pria: “Halo, saya dari tim keamanan.
Saya lihat akun Anda bermasalah.
Saya bisa bantu kembalikan.”

Maya: “Tolong. Saya tidak mau
kehilangan akun saya.”

Pria: “Saya perlu verifikasi.
Kirimkan kode OTP yang masuk
ke ponsel Anda.”

Maya mengirimkan kode OTP.
Akunnya diretas. Pria itu adalah
penyerang yang mengirim pesan
blokir. Ia menciptakan masalah,
lalu menawarkan solusi. Maya
memberikan kode OTP.
Penyerang mengambil alih akun.

4. Serangan di Jaringan Wi-Fi

Seorang pemilik kafe, Pak Doni,
mengalami masalah dengan Wi-Fi.
Jaringan sering terputus.
Pelanggan mengeluh. Pak Doni
panik.

Seorang pelanggan, Raka,
mendekatinya.

Raka: “Pak, sepertinya jaringan Wi-Fi
di sini bermasalah ya. Saya bisa bantu
perbaiki. Saya teknisi jaringan.”

Pak Doni: “Wah, tolong. Pelanggan
saya banyak yang komplain.”

Raka: “Saya perlu akses ke router.
Bisa saya lihat konfigurasinya?”

Pak Doni memberikan akses. Raka
memperbaiki jaringan. Wi-Fi
kembali normal. Pak Doni
berterima kasih.

Beberapa hari kemudian, Pak Doni
mengetahui bahwa Raka
menambahkan perangkat pemantauan
ke jaringan. Raka bisa melihat semua
aktivitas pelanggan. Ia bisa mencuri
data. Raka adalah penyerang yang
menciptakan masalah jaringan.
Ia menawarkan solusi.
Ia mendapatkan akses. Dan Pak
Doni tidak menyadari apa pun.

Cara Melindungi Diri dari
Reverse Social Engineering

Jika Anda ingin melindungi diri dari
Reverse Social Engineering, ada
beberapa langkah yang bisa
dilakukan.

Pertama, jangan langsung
menerima bantuan dari
orang yang tidak Anda kenal.
Jika ada masalah, jangan langsung
menerima bantuan dari orang
yang tiba-tiba muncul. Verifikasi
identitasnya terlebih dahulu.
Tanyakan apakah ia benar-benar
bagian dari tim resmi.

Kedua, periksa sumber
masalahnya. Jangan-jangan
orang yang menawarkan bantuan
adalah orang yang menciptakan
masalah. Jika masalahnya terasa
aneh atau tiba-tiba, curigalah.
Tanyakan apakah orang lain
mengalami masalah yang sama.

Ketiga, verifikasi melalui
saluran resmi. Jika Anda
membutuhkan bantuan teknis,
hubungi tim IT resmi atau
vendor resmi. Jangan menerima
bantuan dari orang yang tidak
Anda hubungi sendiri.

Keempat, jangan memberikan
akses kepada orang yang tidak
Anda percaya. Akses adalah kunci.
Jangan memberikan kata sandi,
akses administrator, atau kode OTP
kepada siapa pun, kecuali Anda
benar-benar yakin bahwa ia berhak.

Kelima, pasang batasan.
Bantuan boleh diterima, tetapi
jangan sampai Anda memberikan
kunci rumah. Anda bisa berterima
kasih tanpa harus menyerahkan
segalanya.

Keenam, tetap tenang.
Panik membuat Anda tidak berpikir
jernih. Jika Anda menghadapi
masalah, tarik napas. Beri jeda.
Jangan terburu-buru mengambil
keputusan.

Ketujuh, laporkan.
Jika Anda mengalami Reverse Social
Engineering, laporkan ke tim
keamanan atau pihak berwenang.
Semakin cepat dilaporkan, semakin
cepat masalahnya ditangani.

Reverse Social Engineering adalah
teknik yang memanfaatkan kepanikan
dan rasa syukur manusia.
Pelaku tidak menyerang. Pelaku
menciptakan masalah. Pelaku
menunggu Anda panik.
Pelaku menawarkan bantuan.
Dan Anda, karena bersyukur,
memberikan apa pun yang diminta.
Kenali polanya. Tetap tenang.
Verifikasi identitas. Dan jangan
biarkan rasa syukur Anda
dieksploitasi oleh orang yang
sebenarnya menciptakan
masalahnya sendiri.

kalau masih kurang paham ini
versi yang sederhana:

Oke, kita lanjut ke teknik berikutnya.
Namanya Reverse Social
Engineering.

Lo pasti pernah ngalamin momen
di mana lo ngerasa komputer lo rusak.
Tiba-tiba lemot, error, atau nggak
bisa dibuka. Lo panik. Lo bingung.
Lo nyari siapa yang bisa bantu. Dan
tiba-tiba, ada orang yang datang,
nawarin bantuan. “Wah, kayaknya
ada virus. Sini gue bantu benerin.”
Lo langsung lega. Lo kasih akses.
Lo berterima kasih. Padahal, orang
itu yang bikin masalahnya dari awal.
Nah, itu yang namanya Reverse
Social Engineering.

Simpelnya, reverse social engineering
adalah teknik di mana pelaku
menciptakan masalah dulu, terus
menawarkan diri sebagai solusinya.
Dia nggak nyerang lo. Dia bikin lo
nyerang diri lo sendiri. Dia bikin lo
ngerasa butuh dia. Dan lo, karena
panik, bakal buka pintu lebar-lebar.

Ini masih nyambung sama
Pretexting dan Tailgating.
Di situ pelaku pake skenario atau
nebeng masuk. Kalau reverse social
engineering ini lebih licik. Dia nggak
masuk diam-diam. Dia bikin lo yang
ngundang dia masuk. Dia jadi
pahlawan, padahal dia penjahatnya.

Kenapa ini ampuh? Karena manusia
itu nggak mikir jernih pas panik.
Pas ada masalah, kita nyari solusi
cepat. Siapa aja yang bisa bantu.
Dan begitu ada yang nawarin
bantuan, kita langsung percaya.
Kita nggak ngecek motifnya.
Kita cuma ngerasa bersyukur.
Pelaku manfaatin rasa syukur itu.

Contoh gampangnya gini. Ada yang
sengaja matiin wifi kantor. Semua
orang panik. Terus dia dateng,
pura-pura benerin. “Oh, ini
settingannya salah.” Dia betulin.
Semua orang berterima kasih.
Padahal dia yang bikin kacau. Dan
sekarang, dia punya akses ke sistem
wifi. Bisa dia pake kapan aja.

Contoh lain. Ada yang nyebar rumor,
“Kayaknya si A lagi ada masalah
sama atasan.” Rumor itu nyebar.
Si A jadi dijauhin. Terus pelaku
dateng ke si A, bilang, “Gue denger
ada yang nyebarin fitnah soal lo.
Sini gue bantu klarifikasi.”
Si A berterima kasih. Dia curhat
semua. Pelaku dapet info. Padahal
dia yang mulai rumor.

Cara pakainya, bagi pelaku, gampang.
Pertama, bikin masalah kecil yang
keliatan gede. Kedua, tunggu sampe
target panik. Ketiga, dateng sebagai
penyelamat. Keempat, minta akses
atau info sebagai imbalan bantuan.
Kelima, setelah dapet, tinggalin
target.

Tapi lo nggak perlu jadi pelaku.
Lo perlu tau cara nahan teknik ini.
Pertama, kalau ada masalah,
jangan langsung nerima bantuan
dari orang yang nggak lo kenal atau
yang tiba-tiba deket. Kedua, cek
dulu sumber masalahnya.
Jangan-jangan orang yang
nawarin bantuan itu juga yang
bikin. Ketiga, verifikasi. Panggil
ahli yang emang resmi. Keempat,
jangan kasih akses ke orang yang
nggak lo percaya. Kelima, pasang
batasan. Bantuan boleh, tapi jangan
sampe lo kasih kunci rumah.

Jadi, Reverse Social Engineering
itu ibarat lo lagi kejebak di lubang.
Terus ada orang yang ngulurin
tangan. Lo pegang. Lo kira dia
nolongin. Tapi pas lo udah di atas,
lo sadar dia yang ngedorong lo
ke lubang. Dan sekarang, dia minta
bayaran.