Serangan BitB Meningkat, Peretas Gunakan Pop-up Palsu untuk Bobol Akun Facebook

Dalam enam bulan terakhir, pelaku kejahatan siber semakin sering memanfaatkan teknik browser-in-the-browser (BitB) untuk menipu pengguna agar menyerahkan kredensial akun Facebook mereka.

Metode phishing BitB pertama kali diperkenalkan oleh peneliti keamanan mr.d0x pada 2022, sebelum akhirnya diadopsi oleh penjahat siber dalam berbagai serangan terhadap layanan daring, termasuk Facebook dan Steam.

Peneliti keamanan dari Trellix mengungkapkan bahwa akun Facebook yang berhasil dibajak kemudian digunakan untuk menyebarkan penipuan, mencuri data pribadi, hingga melakukan penipuan identitas. Dengan basis pengguna aktif yang melampaui tiga miliar orang, Facebook masih menjadi sasaran empuk bagi para pelaku kejahatan digital.

Dalam skema serangan BitB, korban yang mengunjungi situs web yang dikendalikan penyerang akan disuguhi jendela pop-up palsu berisi formulir login. Jendela tersebut dibuat menggunakan iframe yang meniru tampilan sistem autentikasi resmi, lengkap dengan judul jendela dan URL yang tampak meyakinkan, sehingga sulit dibedakan dari yang asli.

Trellix mencatat bahwa kampanye phishing terbaru menyasar pengguna Facebook dengan menyamar sebagai firma hukum yang mengklaim adanya pelanggaran hak cipta, ancaman penangguhan akun dalam waktu dekat, atau notifikasi keamanan palsu dari Meta terkait aktivitas login mencurigakan.

Untuk mengelabui sistem keamanan dan meningkatkan kesan legitimasi, para penyerang memanfaatkan URL pendek serta halaman CAPTCHA Meta palsu. Pada tahap akhir, korban diarahkan untuk memasukkan detail login Facebook mereka melalui pop-up palsu tersebut.

Selain itu, Trellix juga menemukan banyak halaman phishing yang dihosting di layanan cloud tepercaya seperti Netlify dan Vercel. Halaman-halaman ini meniru portal Pusat Privasi Meta dan mengarahkan pengguna ke formulir banding palsu yang dirancang untuk mengumpulkan informasi pribadi.

Kampanye ini dinilai sebagai evolusi signifikan dibandingkan pola phishing Facebook konvensional yang sebelumnya umum ditemukan.

“Pergeseran kuncinya terletak pada penyalahgunaan infrastruktur tepercaya, memanfaatkan layanan cloud hosting yang sah seperti Netlify dan Vercel, dan URL shortener untuk menerobos filter keamanan tradisional dan memberikan rasa aman palsu pada halaman phishing,” tulis Trellix dalam laporannya.

“Yang paling penting, munculnya teknik Browser-in-the-Browser (BitB) merupakan peningkatan yang signifikan. Dengan membuat jendela pop-up login palsu yang dibuat khusus di dalam browser korban, metode ini memanfaatkan keakraban pengguna dengan alur otentikasi, sehingga pencurian kredensial hampir tidak mungkin dideteksi secara visual.”

Cara Melindungi Diri dari Serangan BitB

Pengguna disarankan untuk selalu mengakses situs resmi dengan mengetikkan alamat URL secara langsung di tab baru ketika menerima peringatan keamanan atau pemberitahuan pelanggaran akun, alih-alih mengklik tautan yang disertakan dalam email atau pesan.

Saat diminta memasukkan kredensial melalui jendela pop-up, pastikan apakah jendela tersebut dapat dipindahkan ke luar area browser. Pop-up berbasis iframe—yang menjadi kunci teknik BitB—tidak dapat dipisahkan dari jendela utama browser.

Sebagai langkah perlindungan tambahan, pengguna juga dianjurkan mengaktifkan autentikasi dua faktor (2FA). Meski tidak sepenuhnya kebal, fitur ini memberikan lapisan keamanan ekstra untuk mencegah pengambilalihan akun, bahkan jika kredensial utama telah bocor.