Episode terbaru podcast Apple @ Work menghadirkan analisis mendalam dari Luke Wescott, pendiri Sublime Security, tentang gelombang serangan callback phishing yang memanfaatkan sistem notifikasi korporat. Wescott, yang sebelumnya memimpin Postini—layanan keamanan email yang diakuisisi Google pada 2007—kini memperingatkan bahwa teknik ini semakin canggih dan sulit dideteksi oleh solusi keamanan tradisional.
Bukan Sekadar Email Palsu, Tapi Manipulasi Psikologis Bertingkat
Callback phishing berbeda dari phishing biasa. Korban tidak langsung diminta mengklik tautan berbahaya, melainkan diarahkan untuk menghubungi nomor telepon tertentu. Saat korban menelepon, penipu yang menyamar sebagai petugas dukungan teknis akan meminta akses jarak jauh ke perangkat atau kredensial login.
“Mereka memanfaatkan rasa urgensi dari notifikasi otomatis—seperti peringatan tagihan atau verifikasi login mencurigakan—untuk membuat korban panik,” jelas Wescott dalam wawancara tersebut. Modus ini sangat efektif di lingkungan enterprise karena karyawan terbiasa menerima puluhan notifikasi sistem setiap hari.
Mengincar Ekosistem Apple di Tempat Kerja
Platform Apple Unified yang diusung Mosyle—sponsor eksklusif podcast Apple @ Work—memang dirancang untuk kemudahan deployment dan manajemen perangkat. Lebih dari 45.000 organisasi telah menggunakan platform ini untuk mengelola jutaan perangkat Apple. Namun, kemudahan ini justru menjadi celah yang dieksploitasi penyerang.
Wescott mencatat bahwa notifikasi otomatis dari sistem MDM (Mobile Device Management) atau aplikasi HR sering kali tidak diverifikasi oleh pengguna. “Karyawan melihat logo Apple, format email yang rapi, dan langsung percaya. Mereka tidak menyadari bahwa notifikasi ‘Verifikasi Akun Apple ID Anda’ bisa berasal dari server palsu,” tambahnya.
Pelajaran dari Postini: Masalah Lama, Wajah Baru
Postini, yang dirintis Wescott pada akhir 1990-an, adalah salah satu pionir keamanan email berbasis cloud. Perusahaan itu mendeteksi pola spam dan phishing sebelum istilah “phishing” populer. Kini, dua dekade kemudian, Wescott melihat pola serangan yang sama tetapi dengan vektor baru: telepon dan integrasi aplikasi.
“Dulu kami harus menyaring jutaan email spam. Sekarang, penyerang menggunakan API resmi dan notifikasi push untuk mengirim pesan yang tampak sah,” ujarnya. Sublime Security, startup yang ia dirikan, fokus pada deteksi anomali dalam komunikasi multi-kanal—email, telepon, dan pesan instan—yang sering terlewat oleh filter tradisional.
Lindungi Diri dari Callback Phishing: Tiga Langkah Kunci
Wescott merekomendasikan tiga langkah untuk organisasi yang menggunakan perangkat Apple: pertama, jangan pernah menghubungi nomor telepon yang tercantum dalam notifikasi mencurigakan—selalu cari nomor resmi dari situs perusahaan. Kedua, aktifkan autentikasi multi-faktor (MFA) di semua akun enterprise. Ketiga, audit kebijakan notifikasi otomatis: pastikan setiap peringatan memiliki jalur verifikasi internal.
“Jika Anda menerima email berisi ‘Akun Anda akan dinonaktifkan, hubungi 0800-XXX’, itu hampir pasti serangan. Perusahaan teknologi tidak pernah meminta Anda menelepon untuk menyelesaikan masalah keamanan,” tegas Wescott.
Dampak di Indonesia: Enterprise dan UKI Perlu Waspada
Meskipun data serangan di Indonesia belum dirilis secara spesifik, tren global menunjukkan bahwa callback phishing meningkat 400% sejak 2023. Untuk perusahaan Indonesia yang mengadopsi ekosistem Apple—dari startup hingga korporasi—ancaman ini nyata. Banyak tim IT lokal masih mengandalkan filter email standar yang tidak dirancang untuk mendeteksi pola serangan telepon.
Mosyle, sebagai platform manajemen perangkat Apple terkemuka, terus memperbarui fitur keamanannya. Namun, Wescott mengingatkan bahwa teknologi saja tidak cukup. “Edukasi pengguna adalah lapisan pertahanan terakhir. Seorang karyawan yang waspada lebih berharga daripada firewall termahal,” pungkasnya.
