Sistem layanan pelanggan Zendesk baru-baru ini menjadi sasaran peretasan yang memicu kampanye spam massal lintas berbagai perusahaan besar. Peretas memanfaatkan fitur tiket dukungan yang dapat diajukan oleh pengguna tidak terverifikasi untuk mengirimkan ribuan email spam ke kotak masuk resmi pelanggan dari berbagai industri.
Dalam skema ini, peretas membuat tiket palsu dalam jumlah besar menggunakan daftar alamat email yang diperoleh, sehingga sistem Zendesk otomatis mengirim email konfirmasi ke pengguna tanpa penyaringan ketat. Akibatnya, beragam perusahaan besar terkena dampak, termasuk Discord, Tinder, Riot Games, Dropbox, CD Projekt, NordVPN, hingga instansi pemerintah Tennessee.
Cara Peretas Memanfaatkan Celah Zendesk
Fitur Zendesk untuk mengajukan tiket tanpa verifikasi didesain untuk kemudahan pengguna, tetapi juga membuka celah keamanan. Peretas memanfaatkan mekanisme ini dengan langkah berikut:
- Mengumpulkan alamat email target secara masif.
- Membuat tiket dukungan palsu dengan berbagai subjek provokatif.
- Memaksa sistem mengirim email konfirmasi otomatis ke semua alamat tersebut.
Email yang dikirim tampak meyakinkan karena berasal langsung dari domain Zendesk yang sah. Hal ini menyebabkan sebagian besar filter spam gagal mengenali dan memblokir pesan tersebut, sehingga masuk langsung ke kotak masuk penerima.
Dampak dan Isi Kampanye Spam
Kampanye spam ini mulai terdeteksi sejak 18 Januari dan menimbulkan keheranan karena tidak mengandung malware atau tautan phishing berbahaya. Isi email hanya berupa pesan palsu yang mengatasnamakan permintaan bantuan atau instruksi penindakan hukum, dengan subjek yang kontroversial dan sering memancing reaksi.
Beberapa contoh subjek email yang disebarkan antara lain:
- “FREE DISCORD NITRO!!”
- “TAKE DOWN ORDER NOW FROM CD Projekt”
- “LEGAL NOTICE FROM ISRAEL FOR koei Tecmo”
- “TAKE DOWN NOW ORDER FROM Israel FOR Square Enix”
Pesan ini tidak bertujuan mencuri data, tetapi lebih untuk membanjiri kotak masuk pengguna dengan pesan yang membingungkan dan mengganggu aktivitas sehari-hari.
Respons Zendesk terhadap Insiden
Zendesk merespons insiden ini dengan cepat dan proaktif. Perusahaan meningkatkan pengawasan terhadap aktivitas tiket dukungan dan menerapkan fitur keamanan baru yang mampu mendeteksi pola perilaku tidak wajar lebih awal. Dalam pernyataan resmi, Zendesk menegaskan langkah-langkah ini bertujuan menghentikan praktik penyalahgunaan platform, serta melindungi pengguna dan integritas sistem dukungan pelanggan mereka.
“Kami telah memperkenalkan fitur keamanan baru untuk mengatasi relay spam, termasuk pemantauan yang ditingkatkan dan batasan yang dirancang untuk mendeteksi aktivitas tidak biasa dan menghentikannya lebih cepat,” kata Zendesk kepada BleepingComputer. “Kami terus berupaya meningkatkan perlindungan demi menjaga kepercayaan pengguna kami.”
Daftar Perusahaan Besar yang Terdampak
Beberapa nama perusahaan dan instansi yang terkena dampak cukup luas, antara lain:
- Discord
- Tinder
- Riot Games
- Dropbox
- CD Projekt
- NordVPN
- Departemen Tenaga Kerja Tennessee
- Departemen Pendapatan Tennessee
Fenomena ini menunjukkan bahwa risiko keamanan pada platform layanan dukungan pelanggan dapat berdampak luas, termasuk organisasi dari sektor swasta dan pemerintahan.
Pelajaran dan Pencegahan untuk Masa Depan
Insiden ini menjadi peringatan bahwa fitur kemudahan akses dalam layanan digital sering kali berpotensi membuka celah bagi pelaku kejahatan siber. Perusahaan teknologi perlu memastikan protokol verifikasi yang ketat dan mekanisme deteksi dini kekurangan keamanan pada platform mereka.
Pengguna juga disarankan untuk tetap waspada menerima email dari sistem dukungan resmi meskipun tampak berasal dari sumber sah. Memeriksa konteks dan validitas pesan sangat penting untuk menghindari jebakan sosial engineering yang berkembang.
Zendesk kini berfokus memperbaiki keamanan sistemnya agar tidak terjadi kasus serupa di kemudian hari. Mereka juga menegaskan komitmen untuk terus memantau dan meningkatkan sistem demi mengantisipasi ancaman baru yang mungkin muncul.
Dengan langkah teknis dan kewaspadaan pengguna, risiko penyalahgunaan platform layanan dapat diminimalkan, sehingga pengalaman berinteraksi dengan layanan pelanggan tetap aman dan terpercaya.
