Peretas Punya Cara Baru Menipu Instagram Untuk Merebut Akun Selebgram

Jika kalian memikirkan cara kerja peretas Instagram, kalian mungkin membayangkan mereka berhasil membobol kata sandi pengguna atau mengakali korban untuk menyerahkan password. Padahal, scammer punya banyak cara meretas akun seseorang. Terkadang mereka cuma perlu meminta Instagram untuk menyerahkan akunnya. Trik ini ternyata lebih efektif, lho.

Scammer melancarkan aksinya dengan membuat perusahaan dan merek dagang palsu guna meyakinkan Instagram kalau mereka adalah pemilik sah nama pengguna suatu akun. Menurut postingan dan bukti proses yang diperoleh staf Motherboard, penipu menggunakan teknik “trademarking” untuk mengakses nama pengguna yang punya daya tarik besar.

Mereka juga bisa menyimpan nama penggunanya sebagai kenangan digital, memamerkan akuisisinya, atau menjualnya dengan keuntungan besar pada komunitas underground yang sedang berkembang.

Instagram mengizinkan pengguna untuk melaporkan nama akun yang dianggap telah melanggar merek dagang mereka. Mari kita ambil contoh @disney. Perusahaan Disney bisa mengajukan pengambilalihan hak milik @disney apabila pemegang akun tersebut tidak memiliki keterkaitan dengan mereka. Apabila disetujui Instagram, akses akunnya akan diserahkan kepada pemegang merek dagang yang asli. Instagram memberi tahu Motherboard bahwa mereka punya tim yang khusus menangani masalah merek dagang dan kekayaan intelektual. Tim akan meninjau kebenaran surat pengajuan itu sebagai bagian dari prosesnya.

Rupanya para scammer bisa lolos dari semua proses verifikasi tersebut.

Seorang narasumber yang ada di komunitas tersebut membagikan tangkapan layar dan video aktivitas mereka kepada kami. Konten ini menunjukkan beberapa percakapan sang penipu. Motherboard merahasiakan identitas narasumber agar dia bisa membicarakan aksinya tanpa perlu takut akan dibalas anggota komunitas lainnya.

Videonya menampilkan percakapan pesan teks yang bergulir di ponsel. Di sana, scammer berbicara dengan seseorang dari tim Facebook Advertiser Support untuk mendapatkan kendali atas nama pengguna suatu akun. Dalam tangkapan layar isi surel, seorang penipu tampaknya berhasil mengambil alih akun setelah mengobrol dengan tim Global Marketing Solutions, bagian yang berfokus pada iklan di Facebook. (Kita semua sudah tahu kalau Facebook memiliki Instagram.)

Agar pembajakannya sukses, sang scammer mendaftarkan merek dagang yang sesuai dengan nama pengguna sasarannya dengan instansi pemerintah terkait. Di Amerika Serikat, merek dagangnya bisa didaftarkan ke Kantor Paten dan Merek Dagang AS dengan bayar beberapa ratus dolar. Setelah terdaftar, pembobol akan memasukkan informasi yang diperlukan ke dalam formulir keluhan merek dagang Instagram. Formulir ini mewajibkan seseorang untuk menyebutkan yurisdiksi tempat pendaftarannya, nomor pendaftaran merek dagang, dan tautan ke pendaftaran itu.

“Terkadang mereka berpura-pura menjadi perusahaan asli. Kadang mereka mendaftarkan perusahaannya secara daring,” kata narasumber kepada Motherboard dalam obrolan online. Akun yang mereka targetkan seringnya adalah kata-kata umum atau nama pengguna dengan dua atau tiga huruf.

Redaksi Motherboard belum bisa menentukan seberapa marak praktik macam ini, tapi prosesnya jelas tidak sebentar jika mengingat pendaftaran merek dagang bisa sampai berbulan-bulan. Motherboard belum melihat adanya dokumen resmi merek dagang yang terkait langsung dengan nama pengguna Instagram, tetapi narasumber, tangkapan layar percakapan di antara scammer, dan postingan pada forum peretas mengonfirmasi bahwa praktiknya sedang berlangsung. Dalam pernyataannya, Instagram memberi tahu Motherboard bahwa mereka “menyadari orang-orang jahat yang berusaha mengambil alih nama pengguna Instagram dengan laporan merek dagang palsu.”

Tonton dokumenter VICE tentang gejala gangguan psikologis yang dialami banyak orang di seluruh dunia, yakni merasa di-stalking lewat gadgetnya:

Beberapa pengguna pada forum OGUsers, yang berfokus pada pencurian dan perdagangan akun Instagram bernilai tinggi, tampak terlibat dalam kegiatan ini.

“Saya berencana mendapatkan merek dagang palsu yang membuatku tampak seperti pemilik sebuah kata agar bisa mendapatkan nama pengguna Instagram,” tulis pengguna pada forum tersebut tahun lalu.

“Butuh orang Inggris yang bisa mengajukan merek dagang dariku,” tulis anggota OGUsers lain tahun lalu. “Bersedia membayar upah + 20% dalam bentuk bitcoin.”

Penyelidikan Motherboard sebelumnya menemukan anggota OGUsers sering menjual nama pengguna dengan mata uang kripto senilai ribuan hingga puluhan ribu dolar, meskipun sebagian besar pembajakan itu mengandalkan kartu SIM. Di sini, peretas memegang kendali nomor telepon korban.

Menurut utas lain di OGUsers, proses pembajakan akun dengan merek dagang butuh waktu beberapa hari sebelum lolos dari sistem Instagram. Tetapi begitu pengalihannya selesai, memiliki akun yang bermerek dagang akan lebih kuat daripada bergantung pada nama pengguna tertentu.

Trademarking bahkan menjadi masalah bagi orang-orang yang ingin meretas akun, karena scammer berusaha memperoleh akunnya kembali.

“Nanti langsung disikat kembali,” tulis satu pengguna OGUser yang menanggapi seseorang yang berusaha mengambil alih sebuah akun yang sudah di-trademark.

Instagram mengaku dalam sebuah pernyataan bahwa scammer mungkin menggunakan trademark palsu untuk mengontrol akun.

“Tim kami mempunyai langkah yang bisa diambil untuk menyelidiki keabsahan laporan [trademark palsu] agar tidak ada nama pengguna yang secara salah berpindah tangan,” ujar juru bicara Instagram kepada Motherboard dalam sebuah email. “Meskipun begitu, penjahat terus mengubah taktik mereka. Itu sebabnya kami terus menggunakan tenaga manusia, teknologi, dan bekerja sama dengan para pakar demi mengamankan komunitas kami.”

Artikel ini pertama kali tayang di Motherboard