Apa Itu Phishing?

Phishing adalah bentuk penipuan digital yang dilakukan dengan menyamar sebagai pihak terpercaya. Pelaku biasanya mengirim email, pesan singkat, atau tautan palsu untuk mencuri informasi penting.

Data yang menjadi target dapat berupa:

• Username dan password.
• Kode OTP.
• Informasi rekening perusahaan.
• Data pelanggan.
• Dokumen internal.
• Akses ke sistem dan aplikasi bisnis.

Menurut NIST, phishing dapat dilakukan melalui email, pesan teks, media sosial, maupun saluran komunikasi lainnya. Tujuannya adalah membuat korban membuka tautan berbahaya, mengunduh file, atau memberikan informasi sensitif. <Cite refs={[“turn0search0″,”turn0search3”]}/>

Bagaimana Phishing Menyerang Perusahaan?

Serangan phishing biasanya memanfaatkan kepercayaan dan kelengahan manusia. Pelaku dapat menyamar sebagai direktur, vendor, bank, rekan kerja, atau penyedia layanan digital.

Sebagai contoh, seorang karyawan menerima email yang terlihat berasal dari direktur perusahaan. Email tersebut meminta karyawan segera mengirimkan dokumen atau melakukan transfer dana.

Karena pesan menggunakan nama dan gaya komunikasi yang familiar, karyawan mungkin langsung mengikuti instruksi. Padahal, email tersebut berasal dari pelaku kejahatan siber.

Selain melalui email, phishing juga dapat dilakukan melalui:

• WhatsApp atau SMS.
• Pesan media sosial.
• Panggilan telepon.
• Website login palsu.
• Lampiran dokumen berbahaya.
• QR code yang mengarah ke situs palsu.

Ciri-Ciri Phishing yang Perlu Diwaspadai

Tidak semua pesan mencurigakan terlihat buruk. Saat ini, pelaku dapat membuat pesan yang lebih rapi dan meyakinkan. Bahkan, teknologi AI dapat digunakan untuk menyusun pesan phishing yang tampak profesional. <Cite refs={[“turn0search0″,”turn0search13”]}/>

Berikut beberapa ciri yang perlu diperhatikan.

1. Menggunakan Bahasa Mendesak

Pesan phishing sering meminta korban bertindak segera. Contohnya, “akun akan ditutup dalam 10 menit” atau “segera lakukan pembayaran hari ini”.

Tekanan waktu dibuat agar korban tidak sempat melakukan verifikasi.

2. Meminta Data Sensitif

Waspadai pesan yang meminta password, OTP, PIN, nomor rekening, atau informasi pribadi. Perusahaan sebaiknya tidak memberikan data penting melalui tautan atau kanal yang belum diverifikasi.

3. Alamat Pengirim Tidak Wajar

Periksa alamat email secara teliti. Nama pengirim bisa terlihat benar, tetapi alamat sebenarnya mungkin menggunakan domain yang berbeda.

4. Tautan Mengarah ke Website Palsu

Arahkan kursor ke tautan sebelum membukanya. Jika alamat website terlihat aneh, terlalu panjang, atau tidak sesuai dengan domain resmi, jangan membukanya.

5. Lampiran Tidak Terduga

File dengan ekstensi tertentu, seperti .exe atau dokumen yang meminta pengaktifan macro, perlu diperiksa dengan hati-hati. Lampiran berbahaya dapat digunakan untuk memasang malware. <Cite ref=”turn0search12″/>

6. Permintaan Transfer atau Perubahan Rekening

Instruksi pembayaran yang tidak biasa harus diverifikasi melalui saluran lain. Jangan hanya membalas email yang sama.

Dampak Phishing bagi Perusahaan

Serangan phishing tidak hanya merugikan satu akun. Jika akun yang diserang memiliki akses luas, dampaknya dapat meluas ke seluruh organisasi.

Beberapa dampak yang mungkin terjadi adalah:

• Pencurian data pelanggan.
• Kebocoran dokumen internal.
• Pengambilalihan akun email.
• Penipuan pembayaran.
• Penyebaran malware atau ransomware.
• Gangguan operasional.
• Kerugian finansial.
• Menurunnya kepercayaan pelanggan.
• Kerusakan reputasi perusahaan.

Data perusahaan yang bocor juga dapat dimanfaatkan untuk serangan lanjutan. Oleh karena itu, phishing perlu dipandang sebagai risiko bisnis, bukan hanya masalah teknis.

Cara Melindungi Data Perusahaan dari Phishing

1. Tingkatkan Kesadaran Karyawan

Karyawan merupakan bagian penting dari sistem pertahanan perusahaan. Berikan pelatihan rutin mengenai cara mengenali pesan mencurigakan dan melaporkan insiden.

Pelatihan sebaiknya menggunakan contoh yang dekat dengan pekerjaan sehari-hari. Misalnya, email invoice palsu, permintaan data karyawan, atau pesan yang mengatasnamakan pimpinan.

2. Aktifkan Multi-Factor Authentication

Multi-Factor Authentication atau MFA menambahkan lapisan verifikasi selain password. Dengan begitu, password yang berhasil dicuri tidak otomatis memberikan akses penuh kepada pelaku.

NIST dan CISA merekomendasikan penggunaan MFA, terutama untuk email, penyimpanan file, akses jarak jauh, serta akun administrator. Jika tersedia, perusahaan sebaiknya mempertimbangkan metode MFA yang tahan terhadap phishing. <Cite refs={[“turn0search1″,”turn0search2”]}/>

3. Gunakan Password yang Unik dan Kuat

Setiap akun sebaiknya menggunakan password yang berbeda. Hindari penggunaan password yang sama untuk email kantor, media sosial, dan layanan lainnya.

Perusahaan juga dapat menggunakan password manager untuk membantu membuat dan menyimpan password secara aman.

4. Terapkan Verifikasi Dua Arah

Permintaan yang berkaitan dengan uang, data sensitif, atau perubahan akses harus diverifikasi melalui kanal lain.

Contohnya:

• Hubungi pengirim melalui nomor resmi.
• Konfirmasi langsung kepada atasan.
• Periksa informasi melalui website resmi.
• Gunakan prosedur persetujuan internal.

Langkah sederhana ini dapat mengurangi risiko penipuan yang mengatasnamakan pimpinan atau vendor.

5. Perbarui Sistem dan Aplikasi

Sistem operasi, aplikasi, browser, dan perangkat keamanan perlu diperbarui secara berkala. Pembaruan membantu menutup celah keamanan yang dapat dimanfaatkan oleh pelaku.

Selain itu, perusahaan perlu memasang antivirus dan mengaktifkan penyaringan email untuk mengurangi pesan berbahaya yang masuk ke inbox. <Cite refs={[“turn0search0″,”turn0search12”]}/>

6. Batasi Hak Akses

Tidak semua karyawan membutuhkan akses ke seluruh data perusahaan. Terapkan prinsip akses berdasarkan kebutuhan pekerjaan.

Akses administrator juga sebaiknya diberikan hanya kepada pihak yang benar-benar memerlukannya. Jika karyawan pindah posisi atau keluar dari perusahaan, hak akses harus segera ditinjau dan dicabut bila diperlukan. <Cite ref=”turn0search1″/>

7. Lakukan Backup Data

Backup membantu perusahaan memulihkan data ketika terjadi serangan, kerusakan sistem, atau kehilangan akses.

Pastikan backup dilakukan secara rutin. Selain itu, lakukan pengujian pemulihan agar perusahaan mengetahui apakah data benar-benar dapat digunakan kembali.

8. Siapkan Prosedur Pelaporan Insiden

Karyawan perlu mengetahui apa yang harus dilakukan ketika menerima atau terlanjur membuka pesan phishing.

Prosedur pelaporan dapat mencakup:

1. Jangan melanjutkan interaksi dengan pelaku.
2. Jangan membuka tautan atau lampiran tambahan.
3. Segera laporkan kepada tim IT atau keamanan.
4. Ganti password akun yang terdampak.
5. Putuskan akses perangkat jika terdapat indikasi malware.
6. Dokumentasikan waktu dan bentuk serangan.
7. Ikuti prosedur tanggap insiden perusahaan.

NIST menyarankan agar organisasi segera memberi tahu pihak yang bertanggung jawab, mengganti password terdampak, dan memantau akun yang berpotensi disalahgunakan. <Cite ref=”turn0search0″/>

Contoh Kebijakan Anti-Phishing di Perusahaan

Perusahaan dapat membuat aturan sederhana seperti berikut:

• Karyawan dilarang membagikan password dan OTP.
• Setiap permintaan transfer wajib diverifikasi.
• Tautan mencurigakan harus dilaporkan kepada IT.
• Penggunaan MFA diwajibkan untuk akun penting.
• Lampiran dari pengirim tidak dikenal harus diperiksa.
• Data pelanggan hanya boleh diakses sesuai kebutuhan kerja.
• Pelatihan keamanan digital dilakukan secara berkala.
• Insiden keamanan tidak boleh disembunyikan atau ditunda pelaporannya.

Kebijakan tersebut perlu disosialisasikan dengan bahasa yang mudah dipahami. Tujuannya bukan menyalahkan karyawan, melainkan membangun budaya keamanan bersama.

Kesimpulan

Phishing adalah salah satu ancaman siber yang memanfaatkan kepercayaan manusia untuk mencuri data atau mengambil alih akun. Serangan ini dapat muncul melalui email, pesan singkat, media sosial, telepon, maupun website palsu.

Perusahaan dapat mengurangi risikonya melalui pelatihan karyawan, penggunaan MFA, password yang kuat, pembaruan sistem, pembatasan akses, backup data, dan prosedur pelaporan insiden.

Dengan demikian, perlindungan data perusahaan tidak hanya bergantung pada teknologi. Kesadaran dan kebiasaan setiap karyawan juga menjadi bagian penting dari keamanan siber.

Siap Meningkatkan Kompetensi Digital?

Ancaman phishing terus berkembang seiring meningkatnya penggunaan teknologi digital dalam pekerjaan. Karena itu, perusahaan perlu membekali karyawan dengan pemahaman keamanan data, literasi digital, dan keterampilan menghadapi risiko siber.

Ingin mengetahui program pelatihan dan sertifikasi yang sesuai dengan kebutuhan perusahaan Anda?

Hubungi IBLU Academy sekarang untuk mendapatkan informasi program, jadwal, dan pilihan pelatihan yang tersedia.