Belakangan ini dimilis-milis beredar email yang berisikan tentang pencurian account Yahoo, Facebook dan free account lainnya. Sangat kecil kemungkinan untuk mendapatkan account yang hilang tersebut kembali, karena orang yang melakukan pencurian telah mengenal seluk beluk dari situs fasilitator dari account yang akan dicuri. Seperti misalnya menganti pertanyaan untuk recovery password, menganti email, menghapus email aternatif untuk recovery, menganti data-data legal. Sehingga pemilik sah dari account tersebut akan menggalami kesulitan didalam menyelamatkan account mereka.
Adapun trik dari pencurian ini, pada kebanyakan melalui phising, dimana seseorang seolah-oleh mendapatkan pesan dari pihak yahoo/Facebook/account lainnya yang ingin dibajak bahwa mereka harus menganti password karena terjadi sesuatu, dan link untuk pengantian password tersebut akan diarahkan kesebuah situs yang benar-benar menyerupai situs aslinya(jika dilihat link sebenarnya akan diarahkan ke sebuah account yang tidak resmi). Lebih parah lagi jika seseorang melakukan aksinya dari sisi domain juga. Contoh:
- masuk ke www.domainwhitepages.com, whois.net, dll
- lakukan whois pemilik domain www.facebook.com(huruf "o" menggunakan "o" resmi/normal)
- lakukan whois pemilik domain www.faceb00k.com(huruf "o" menggunakan angka 0 (nol) )
- maka akan dilihat kedua domain tersebut pemiliknya berbeda
- andaikan kedua domain tersebut ditulis dengan huruf besar WWW.FACEBOOK.COM dan WWW.FACEB00K.COM, maka akan tidak terlihat perbedaan yang menjolok, terutama jika dimasukkan kedalam link addressnya.
Trik umum lainnya adalah dengan mengirimkan aktif script, virus atau trojan baik melalui situs yang menarik, private message melalui fasilitas chat. Bagi orang yang terkena, maka software/script yang terinstall tersebut akan melakukan key logger, farming terhadap history, mencuri cookies yang memuat info tentang login kita terutama saat kita menyimpan password untuk memudahkan login dan mengirimkan file atau data yang di dapat keorang yang tidak bertanggung jawab tersebut(pemilik virus, trojan).
Dari penggalaman tersebut, trik yang paling aman agar tidak kehilangan account yang dimiliki dengan cara yang paling sederhana adalah:
- menggunakan password yang memiliki panjang lebih dari 12 karakter yang dikombinasikan dengan beberapa huruf, angka, non standard key, huruf besar, huruf kecil dan lebih banyak menggunakan huruf mati. Kalau bisa tidak menggunakan huruf-huruf yang tercantum di dalam kamus, nama-nama umum/keluarga, tanggal lahir dan sejenisnya yang mudah diketahui orang secara umum.
- secara kontinu untuk menganti password, jika kalau password lama pernah dilakukan farming oleh orang yang tidak bertanggung jawab maka password sudah tergantikan sebelum digunakan oleh mereka.
- jangan menyimpan password dengan fasilitas seperti auto login, keep sign ini, auto sign in dan sejenisnya. Lebih baik kita melakukan login secara manual agar kita tetap ingat dengan login dan password. lakukan logoff setelah selesai menggunakan agar terhindar dari tangan orang yang tidak bertanggung jawab.
- gunakan beberapa email account untuk masing-masing jaringan yang kita lakukan, misalnya email A untuk berkomunikasi melalui email, email B untuk chat seperti YM, email C untuk Facebook, email D untuk milis, email E untuk junk mail, sehingga jika terdapat sebuah masalah akan lebih mudah untuk memonitor dan menganalisa. Memang lebih ribet, seperti misalnya saya menggunakan email A untuk Milis, dan teman tersebut berusaha untuk meng-add kita kedalam list Facebook / YM mereka dengan email account tersebut, maka akan tidak akan pernah terpenuhi.
- jika mendapatkan pesan untuk pengantian password atau pengisian informasi dari situs dimana kita terdaftar, maka langkah yang paling aman masuk ke dalam situs tersebut secara langsung mengetik ulang domain tersebut jangan melalui link yang diberikan oleh email tersebut(kasus ini pernah terjadi terhadap situs BCA).
- jangan meng-add seseorang atau situs kedalam list apalagi situs tersebut direkomendasikan oleh orang yang baru kita kenal. Jika orang yang kita kenal merekomendasikan, pastikan bahwa yang merekomendasikan tersebut benar-benar mengirimkan link tersebut bukan script, bot, atau virus yang telah tertularkan didalam rekening teman tersebut.
- jangan menjalankan aplikasi-aplikasi dari situs-situs yang tidak dikenal, jika kita harus sekali untuk membuka alangkah baiknya menggunakan sistem operasi yang dijalankan di dalam virtual mesin (seperti virtualbox, qemu, dll) sehingga jika terdapat script-script jahat kita lebih mudah untuk mengeliminasikan.
- matikan fasilitas script pada browser (javascript, dll) sehingga jika ada situs yang menggunakan aktif script untuk melakukan farming paling tidak kita aman. Jika kita harus masuk kedalam situs tersebut, sebaiknya menggunakan virtual mesin dan melakukan online bookmark untuk situs yang kita anggap penting sehingga masih bisa dibuka dari sistem operasi induk.
- gunakan dns server yang dapat melakukan sortir terhadap situs-situs phising seperti opendns (tidak menjamin sih tapi paling tidak mengeliminasi situs-situs lama), search engine yang dapat merekomendasikan situs berbahaya (jangan malas untuk membaca secara lengkap dari hasil query), tambahkan plug-in browser yang dapat merekomendasikan situs-situs yang berbahaya atau tidak.
- jika harus mendaftarkan email ke situs yang tidak kita kenal, sebaiknya kita sediakan email khusus untuk junk mail/menggunakan temporary mail, karena situs tersebut pasti akan menjual account kita.
- jangan masuk ke situs yang menawarkan gambar-gambar menarik "pornografi" karena mereka sering menggunakan fasilitas ini untuk menginjeksi sistem operasi mangsa.
- jika menggunakan fasilitas umum, usahakan untuk menghapus semua private history dari browser kita, seperti history, cookies, save password, dll.