Bacotan Online – Pakar keamanan siber dari Sublime Security dan Cofense mencatat peningkatan modus penipuan calendar phishing yang menyusup ke aplikasi kalender digital, khususnya Google Calendar. Pola serangan ini memasukkan jadwal kegiatan atau pengingat palsu langsung ke kalender pengguna tanpa mengharuskan penerima membuka pesan elektronik terlebih dahulu.
Threat detection engineer di Sublime Security, Luke Wescott, memaparkan bahwa pelaku mengirimkan berkas permintaan agenda (calendar request) ke alamat surel pribadi maupun perusahaan sasaran. Fitur sinkronisasi bawaan pada layanan kalender secara otomatis mencantumkan jadwal tersebut ke kalender aktif pengguna tanpa meminta konfirmasi manual di awal.
Manipulasi Jadwal Melalui Teknik Rekayasa Sosial
Efektivitas modus ini memanfaatkan kecenderungan psikologis pengguna dalam mempercayai susunan agenda kerja harian. Pesan penipuan yang masuk ke kotak masuk surat elektronik kerap disaring atau diabaikan pengguna. Namun, saat agenda palsu muncul berdampingan dengan jadwal resmi kantor atau janji pertemuan pribadi, tingkat kewaspadaan korban cenderung menurun.
Wescott menjelaskan bahwa pelaku memanfaatkan kredibilitas kalender untuk mengarahkan pengguna ke tautan manipulasi. Ketika tautan di deskripsi acara dibuka, pengguna dialihkan ke situs tiruan yang menyerupai halaman verifikasi Google, Microsoft, atau PayPal. Serangan ini menyerupai pola rekayasa sosial (social engineering) untuk memancing kredensial dan kata sandi korban.
Manajer analisis intelijen di Cofense, Max Gannon, menambahkan bahwa sebagian pelaku kini memanfaatkan undangan dari platform rapat virtual seperti Zoom. Penggunaan layanan resmi ini menyulitkan sistem pemfilteran otomatis berbasis kecerdasan buatan, mengingat pembatasan menyeluruh berisiko memblokir undangan kerja yang sah.
Langkah Antisipasi dan Penyesuaian Pengaturan Kalender
Varian undangan palsu umumnya memuat pesan pengingat pembayaran fiktif, pemberitahuan pesan suara, atau konfirmasi tagihan bernilai tertentu. Sebagian pelaku bahkan menyusun draf undangan yang mengatasnamakan bagian internal perusahaan agar tampak meyakinkan bagi karyawan.
Untuk menekan risiko peretasan, pengguna disarankan meninjau ulang pengaturan bawaan pada Google Calendar. Langkah mitigasi awal dilakukan dengan mengubah opsi penambahan undangan agar hanya menerima jadwal dari pengirim yang sudah dikenal dalam daftar kontak. Selain itu, pengguna dianjurkan tidak menekan opsi penolakan (decline) pada undangan yang mencurigakan, karena respons tersebut dapat memberi sinyal kepada pelaku bahwa alamat surel berstatus aktif.
Tindakan yang disarankan adalah menghapus agenda mencurigakan secara langsung atau menandainya sebagai spam. Keberadaan undangan palsu pada kalender tidak menandakan bahwa akun telah diretas secara langsung, sehingga pengabaian terhadap tautan dan nomor kontak dalam deskripsi acara sudah cukup untuk mencegah kebocoran data pribadi.
