Smith menelusuri Reddit dan sumber online lainnya untuk menemukan orang yang melaporkan penipuan dan URL yang digunakan, yang dia kemudian diterbitkan. Beberapa situs web yang menjalankan perangkat Smishing Triad mengumpulkan ribuan informasi pribadi orang per hari, kata Smith. Di antara perincian lainnya, situs web tersebut akan meminta nama, alamat, nomor kartu pembayaran dan kode keamanan, nomor telepon, tanggal lahir, dan situs web bank orang. Tingkat informasi ini dapat memungkinkan penipu melakukan pembelian daring dengan kartu kredit. Smith mengatakan istrinya segera membatalkan kartunya, tetapi menyadari bahwa penipu masih mencoba menggunakannya, misalnya, dengan Uber. Peneliti mengatakan ia akan mengumpulkan data dari situs web dan kembali ke sana beberapa jam kemudian, hanya untuk menemukan ratusan catatan baru.
Peneliti tersebut memberikan rincian tersebut kepada sebuah bank yang telah menghubunginya setelah melihat posting blog awalnya. Smith menolak menyebutkan nama bank tersebut. Ia juga melaporkan insiden tersebut kepada FBI dan kemudian memberikan informasi tersebut kepada United States Postal Inspection Service (USPIS).
Michael Martel, seorang pejabat informasi publik nasional di USPIS, mengatakan bahwa informasi yang diberikan oleh Smith digunakan sebagai bagian dari investigasi USPIS yang sedang berlangsung dan bahwa lembaga tersebut tidak dapat mengomentari rincian spesifik. “USPIS sudah secara aktif mencari informasi jenis ini untuk melindungi rakyat Amerika, mengidentifikasi korban, dan memberikan keadilan kepada aktor jahat di balik semua ini,” kata Martel, mengacu pada saran tentang mendeteksi dan melaporkan penipuan pengiriman paket USPS.
Awalnya, Smith mengatakan, ia khawatir untuk mempublikasikan penelitiannya, karena tindakan “peretasan balik” semacam ini termasuk dalam “area abu-abu”: Tindakan ini mungkin melanggar Undang-Undang Penipuan dan Penyalahgunaan Komputer, undang-undang kejahatan komputer AS yang berlaku luas, tetapi ia melakukannya terhadap penjahat yang berdomisili di luar negeri. Sesuatu yang ia lakukan pastinya bukan yang pertama, atau terakhir, yang melakukan hal ini.
Beberapa Cabang
Triad Smishing sangat produktif. Selain menggunakan layanan pos sebagai umpan untuk penipuan mereka, kelompok berbahasa Mandarin ini telah menargetkan perbankan daring, e-commerce, dan sistem pembayaran di AS, Eropa, India, Pakistan, dan Uni Emirat Arab, menurut Shawn Loveland, kepala operasi Resecurity, yang secara konsisten melacak kelompok tersebut.
Triad Smishing mengirimkan antara 50.000 hingga 100.000 pesan setiap harinya, menurut Penelitian ResecurityPesan penipuannya dikirim menggunakan SMS atau iMessage Apple, yang terakhir dienkripsi. Loveland mengatakan Triad terdiri dari dua kelompok berbeda—tim kecil yang dipimpin oleh seorang peretas Tiongkok yang membuat, menjual, dan memelihara perangkat smishing, dan kelompok kedua yang membeli perangkat penipuan tersebut. (Pintu belakang dalam perangkat tersebut memungkinkan pembuatnya mengakses detail administrator yang menggunakan perangkat tersebut, kata Smith dalam sebuah pernyataan. postingan blog.)
“Ini sangat matang,” kata Loveland tentang operasi tersebut. Kelompok tersebut menjual perangkat penipuan di Telegram dengan biaya berlangganan $200 per bulan, dan ini dapat disesuaikan untuk menunjukkan kepada organisasi yang ingin ditiru oleh para penipu. “Pelaku utamanya adalah orang Tiongkok yang berkomunikasi dalam bahasa Tiongkok,” kata Loveland. “Mereka tampaknya tidak meretas situs web atau pengguna berbahasa Tiongkok.” (Dalam komunikasi dengan kontak utama di Telegram, orang tersebut mengaku kepada Smith bahwa mereka adalah mahasiswa ilmu komputer.)
Biaya berlangganan bulanan yang relatif rendah untuk perangkat smishing berarti sangat mungkin, dengan banyaknya detail kartu kredit yang dikumpulkan oleh penipu, mereka yang menggunakannya memperoleh keuntungan yang signifikan. Loveland mengatakan bahwa menggunakan pesan teks yang langsung mengirimkan pemberitahuan kepada orang lain adalah cara phishing yang lebih langsung dan lebih berhasil, dibandingkan dengan mengirim email yang menyertakan tautan berbahaya.
Akibatnya, smishing telah menjadi peningkatan dalam beberapa tahun terakhirNamun, ada beberapa tanda yang bisa dijadikan petunjuk: Jika Anda menerima pesan dari nomor atau email yang tidak Anda kenal, jika pesan tersebut berisi tautan yang bisa diklik, atau jika pesan tersebut meminta Anda melakukan sesuatu dengan segera, Anda harus curiga.
