Nak beli pelan internet untuk bercuti, imbas kod QR dan terus guna. Itulah antara tarikan eSIM. Cuma, kod pengaktifan dan akaun telco itu perlu dijaga sama cermat dengan akaun penting yang lain.
Dalam laporan Bernama pada 14 Oktober, penyelidik keselamatan siber mengingatkan pengguna tentang laman palsu, penyamaran sebagai penyedia eSIM dan cubaan mengambil alih nombor telefon. Masalahnya bukan semata-mata pada cip dalam telefon, tetapi pada cara penjenayah memperdaya pemilik akaun.
Bagi orang yang sedang sibuk merancang perjalanan, amaran ini ada kaitan terus dengan urusan harian. Nombor yang sama mungkin digunakan untuk menerima kod pengesahan, menghubungi keluarga dan mengurus akaun lain.
Kod QR itu untuk mengaktifkan pelan, bukan untuk dikongsi
Menurut Bernama, eSIM membolehkan perkhidmatan mudah alih diaktifkan secara digital pada peranti yang serasi. Sesetengah telefon boleh menyimpan lebih daripada satu profil, jadi pengguna boleh mengurus pelan berlainan tanpa bertukar kad fizikal.
Dr Zubaile Abdullah dari UTHM menjelaskan bahawa pengambilalihan akaun telco boleh membuka ruang kepada penyalahgunaan proses penggantian eSIM. Jika berjaya, penjenayah mungkin memindahkan nombor mangsa ke peranti mereka sendiri.
Beliau turut menegaskan bahawa eSIM tidak dengan sendirinya mendedahkan telefon kepada perisian hasad. Tumpuan pengguna patut diberikan kepada pengesahan identiti dan keselamatan akaun. Jangan serahkan OTP kepada orang yang mendakwa mewakili telco, dan semak dengan telco jika talian tiba-tiba hilang tanpa sebab yang jelas.
Mesej nampak biasa, permintaannya pula pelik
Panduan Suruhanjaya Perdagangan Persekutuan AS, atau FTC, menerangkan bagaimana pancingan data bermula dengan e-mel atau mesej yang kelihatan datang daripada syarikat dikenali. Tujuannya ialah mendapatkan kata laluan, nombor akaun atau maklumat peribadi.
Ada mesej mendakwa berlaku cubaan log masuk yang mencurigakan. Ada yang mengatakan pembayaran bermasalah, menghantar invois yang tidak dikenali atau meminta pengguna mengesahkan semula butiran akaun. Cerita yang digunakan boleh berubah mengikut isu semasa.
Nama syarikat dan logo sahaja tidak cukup untuk mengesahkan pengirim. FTC menunjukkan bahawa e-mel palsu juga boleh menggunakan logo sebenar dan memberi alasan kononnya akaun ditahan kerana masalah bil.
Jadi, apabila mesej meminta anda membuka pautan untuk menyelesaikan masalah, semak permintaannya melalui saluran berasingan. Jangan biarkan rupa mesej yang kemas menggantikan semakan siapa sebenarnya yang menghantarnya.
Ada akaun dengan syarikat itu pun masih kena semak
Panduan FTC mencadangkan satu soalan awal: adakah anda mempunyai akaun dengan syarikat tersebut atau mengenali orang yang menghubungi anda? Jika tidak, mesej itu mungkin cubaan pancingan data.
Jika memang ada akaun pun, langkah seterusnya ialah menghubungi syarikat melalui nombor atau laman yang diketahui sah. Maklumat hubungan dalam mesej mencurigakan itu sendiri tidak sesuai dijadikan pengesahan.
Ini mudah terlepas pandang apabila kita memang sedang menunggu maklumat pengaktifan. Menjangkakan sebuah mesej tidak menjadikan setiap mesej yang masuk sebahagian daripada urusan sebenar. Buka semula aplikasi atau laman rasmi yang biasa digunakan untuk menyemak status.
FTC turut mengingatkan bahawa pautan dan lampiran boleh memasang perisian berbahaya. Jangan muat turun sesuatu hanya kerana mesej itu mendakwa ia diperlukan untuk menyelesaikan masalah akaun. Semak dahulu dengan penyedia perkhidmatan melalui saluran yang sah.
Kata laluan kuat masih perlukan lapisan kedua
Dalam panduan berasingan, FTC menerangkan bahawa kata laluan boleh dicuri melalui pancingan data, diperoleh daripada kebocoran data atau diteka menggunakan percubaan automatik. Kata laluan yang panjang tidak membantu jika kita sendiri menyerahkannya pada laman palsu.
Pengesahan dua faktor menambah satu lagi keperluan ketika log masuk. Selain kata laluan, pengguna perlu mengesahkan akses dengan faktor lain, misalnya kod daripada aplikasi pengesah atau kunci keselamatan.
FTC membezakan kod melalui mesej atau e-mel, aplikasi pengesah dan kunci keselamatan sebagai pilihan yang mempunyai cara penggunaan berlainan. Jika perkhidmatan menyokongnya, panduan itu mengesyorkan aplikasi pengesah atau kunci keselamatan kerana pilihan tersebut lebih selamat berbanding kod mesej.
Untuk akaun yang penting, semak pilihan keselamatan yang betul-betul disediakan oleh perkhidmatan itu. Jangan anggap semua aplikasi menggunakan tetapan atau kaedah pemulihan yang sama. Pengesahan tambahan perlu diaktifkan dalam akaun sebenar, bukannya melalui pautan daripada orang yang tidak dikenali.
Kenal beza tiga perkara yang diminta
Kata laluan digunakan untuk membuktikan akses kepada akaun. Kod pengesahan pula menambah langkah bagi log masuk atau urusan tertentu. Kod pengaktifan eSIM berkaitan pemasangan profil perkhidmatan mudah alih.
Ketiga-tiganya boleh muncul dalam urusan digital, tetapi tujuannya berlainan. Permintaan untuk menyerahkan salah satunya kepada orang lain perlu diperiksa mengikut urusan sebenar yang sedang dibuat. Jangan menganggap semua kod yang diterima boleh dibaca kuat-kuat kepada pemanggil.
Panduan FTC tentang pengesahan dua faktor menekankan bahawa kod digunakan untuk mengesahkan akses anda. Laporan Bernama pula mengingatkan supaya kod QR pengaktifan eSIM tidak dikongsi dengan pihak ketiga. Lebih mudah menjaga maklumat ini apabila kita tahu apa yang sedang diaktifkan dan untuk siapa.
Jangan tinggal akaun e-mel tanpa perlindungan
Jika kod pengesahan dihantar melalui e-mel, FTC mengesyorkan supaya akaun e-mel itu sendiri menggunakan kata laluan kuat dan pengesahan dua faktor. Kod yang selamat dihantar pun boleh terdedah jika peti masuk sudah diambil alih.
Panduan sama turut mengingatkan tentang pilihan mengingati peranti selepas log masuk. Gunakan pilihan itu pada peranti sendiri sahaja, bukannya komputer awam. Tetapan yang memudahkan kita masuk semula boleh memberi kesan berbeza apabila komputer itu dikongsi dengan orang lain.
Kemas kini dan sandaran juga ada gunanya
FTC menyarankan kemas kini automatik bagi perisian keselamatan komputer dan sistem telefon, kerana kemas kini boleh membawa perlindungan terhadap ancaman baharu. Penapis spam membantu menapis mesej, tetapi penjenayah terus menukar taktik untuk melepasi penapis tersebut.
Simpan sandaran data penting pada storan berasingan atau perkhidmatan awan yang sesuai. Sandaran tidak mengesahkan bahawa sesuatu mesej itu selamat. Fungsinya ialah membantu menjaga data apabila peranti atau fail menghadapi masalah.
Jika pautan atau lampiran yang dibuka dipercayai memasang perisian berbahaya, panduan FTC menyarankan kemas kini perisian keselamatan, jalankan imbasan dan buang perkara yang dikenal pasti sebagai ancaman. Dapatkan bantuan melalui penyedia yang dipercayai jika tidak pasti tentang langkah pemulihan.
Untuk urusan eSIM sendiri, rujuk telco melalui saluran rasmi apabila pengaktifan atau nombor telefon bermasalah. Kemudahan digital memang boleh menjimatkan masa sebelum bercuti. Biarlah masa yang dijimatkan itu datang daripada proses yang betul, bukannya dengan melangkau semakan apabila seseorang meminta kod atau akses kepada akaun.
Sources & further reading
Prepared with AI assistance from linked reporting. The cover is an AI-generated editorial illustration. Spotted something we should correct?