Kaspersky Ungkap Modus Penipuan Baru Manfaatkan Undangan Tim OpenAI

Perusahaan keamanan siber, Kaspersky mendeteksi modus penipuan baru yang memanfaatkan fitur undangan tim (team invitation) di platform OpenAI. 

Dalam skema ini, penyerang mengirim email spam dari alamat OpenAI yang sah, sehingga tampak meyakinkan dan berpotensi menipu pengguna.

Kaspersky menjelaskan, kampanye penipuan ini dimulai ketika pelaku mendaftarkan akun di platform OpenAI. 

Saat proses pendaftaran, pengguna diminta mengisi nama organisasi. Celah ini dimanfaatkan penyerang dengan menyematkan teks menyesatkan, tautan palsu, atau nomor telepon fiktif langsung ke dalam kolom nama organisasi tersebut.

Setelah organisasi dibuat, pelaku menggunakan fitur “undang tim Anda” untuk memasukkan alamat email target. 

Undangan kemudian dikirim langsung dari alamat OpenAI resmi, sehingga secara teknis terlihat valid dan sulit dibedakan dari email asli.

Dalam temuan Kaspersky, pesan yang dikirim melalui metode ini beragam. Sebagian berisi promosi palsu, termasuk penawaran layanan dewasa. 

Modus lain mengarah pada vishing, yakni pemberitahuan palsu yang mengklaim langganan telah diperbarui dengan nominal besar. 

Korban kemudian diarahkan untuk menghubungi nomor tertentu dengan dalih membatalkan tagihan, yang justru membuka risiko keamanan lanjutan.

Menariknya, teks yang ingin disorot pelaku biasanya tidak selaras dengan struktur email undangan proyek OpenAI. 

Namun, penyerang memanfaatkan asumsi penerima tidak akan mencermati detail tersebut karena email terlihat berasal dari sumber tepercaya.

“Kasus ini menyoroti kerentanan tentang bagaimana fitur platform dapat dimanfaatkan sebagai senjata untuk serangan email rekayasa sosial,” ujar Anna Lazaricheva, analis spam senior Kaspersky. 

Ia menambahkan, penyematan elemen menyesatkan di kolom yang tampak tidak berbahaya bertujuan melewati filter email tradisional dan mengeksploitasi kepercayaan pengguna. 

“Kami mendesak semua pengguna untuk memverifikasi undangan dengan cermat dan menghindari mengklik tautan tanpa pemeriksaan,” katanya.

Sebagai langkah pencegahan, Kaspersky mengimbau pengguna untuk mewaspadai undangan yang tidak diminta, meski terlihat berasal dari sumber tepercaya. 

Pengguna juga disarankan memeriksa URL sebelum mengklik, tidak menghubungi nomor telepon yang tercantum dalam email mencurigakan, serta melaporkan pesan semacam itu ke penyedia platform.

Untuk pengguna korporat, Kaspersky merekomendasikan penggunaan solusi keamanan email dengan mekanisme pertahanan berlapis. 

Sementara bagi pengguna individu, perlindungan anti-phishing berbasis AI dinilai penting untuk meminimalkan risiko serangan siber yang kian beragam.

Temuan ini menjadi pengingat kepercayaan terhadap platform bereputasi sekalipun tetap perlu diimbangi dengan kewaspadaan, terutama ketika undangan atau pesan datang tanpa konteks yang jelas.