Serangan Email pada Perusahaan: Jenis dan Cara Mencegahnya

Serangan email perusahaan adalah upaya penjahat siber memanfaatkan kotak masuk karyawan untuk mencuri data, menipu pembayaran, atau menanam malware ke jaringan organisasi. Email tetap menjadi pintu masuk favorit karena hampir semua karyawan memakainya setiap hari dan satu klik yang keliru sudah cukup. Artikel ini membahas jenis serangannya, penyebab organisasi mudah tertipu, dan cara mencegahnya.

Mengapa Email Perusahaan Menjadi Sasaran Utama?

Ada tiga alasan sederhana. Pertama, alamat email karyawan mudah ditemukan lewat situs perusahaan, media sosial, dan hasil kebocoran data. Kedua, email memungkinkan penyerang menyamar sebagai atasan, vendor, atau bank dengan biaya sangat rendah. Ketiga, keputusan penting seperti persetujuan pembayaran sering kali berlangsung lewat email, sehingga satu pesan palsu yang meyakinkan dapat berujung kerugian besar.

Faktor penyebab di sisi organisasi biasanya berulang: karyawan belum terlatih mengenali penipuan, filter email dan autentikasi domain belum dikonfigurasi dengan baik, akun email hanya dilindungi kata sandi, dan tidak ada prosedur verifikasi untuk permintaan keuangan yang tidak biasa.

Jenis-Jenis Serangan Email pada Perusahaan

Phishing massal

Pesan umum yang menyamar sebagai layanan tepercaya, misalnya bank, layanan pengiriman, atau tim IT, dengan tautan ke halaman login palsu. Tujuannya mengumpulkan kata sandi atau data kartu. Pengenalan cirinya dibahas di artikel ciri-ciri phishing.

Spear phishing

Versi yang ditargetkan. Penyerang meriset korban tertentu, misalnya staf keuangan atau direktur, lalu menulis pesan yang menyebut proyek, nama rekan, atau vendor yang benar-benar ada. Karena terasa personal, tingkat keberhasilannya lebih tinggi.

Business Email Compromise (BEC)

Penyerang meniru atau mengambil alih akun eksekutif maupun vendor untuk meminta transfer dana, perubahan nomor rekening, atau data rahasia. BEC sering tidak memakai lampiran atau tautan berbahaya sama sekali, sehingga lolos dari banyak filter. FBI melalui laporan IC3 tahun 2024 mencatat kerugian BEC sekitar 2,77 miliar dolar AS, dari total kerugian kejahatan siber yang dilaporkan sebesar 16,6 miliar dolar AS, menurut ringkasan CyberScoop atas laporan tersebut.

Lampiran dan tautan berisi malware

Dokumen, arsip, atau tautan unduhan yang memasang malware saat dibuka. Jalur ini sering dipakai untuk menyebarkan ransomware ke seluruh jaringan.

Spoofing dan pembajakan akun

Spoofing memalsukan alamat pengirim agar tampak berasal dari domain perusahaan sendiri atau domain mitra. Pembajakan akun lebih berbahaya karena pesan dikirim dari akun asli yang sudah dikuasai, sering untuk membalas percakapan yang sedang berjalan.

Cara Mencegah Serangan Email pada Perusahaan

Perlindungan yang efektif menggabungkan teknologi, proses, dan kesadaran karyawan. Satu lapisan saja tidak cukup.

Lapisan teknis

• Autentikasi domain. NCSC Inggris merekomendasikan SPF (daftar server pengirim yang sah), DKIM (tanda tangan kriptografis pada email keluar), dan DMARC (kebijakan penanganan email yang gagal pemeriksaan, plus laporan). Ketiganya mempersulit pemalsuan domain Anda. Lindungi semua domain, termasuk yang dipakai bersama penyedia email cloud.
• Filter email. Gunakan penyaring spam, pemindai lampiran, dan pengecekan tautan, serta beri label jelas pada email dari luar organisasi.
• Autentikasi multi-faktor. Aktifkan di semua akun email agar kata sandi yang tercuri saja tidak cukup. Panduannya ada di artikel autentikasi dua faktor.
• Pembaruan dan perlindungan endpoint. Pasang pembaruan klien email dan sistem operasi, serta gunakan perangkat lunak keamanan di setiap perangkat.

Lapisan proses

• Wajibkan verifikasi di luar email, misalnya menelepon ke nomor yang sudah tercatat, untuk setiap permintaan transfer dana atau perubahan rekening.
• Terapkan persetujuan ganda untuk pembayaran di atas batas tertentu.
• Sediakan satu cara mudah bagi karyawan untuk melaporkan email mencurigakan, dan tanggapi laporan itu dengan cepat.

Lapisan manusia

CISA menyarankan untuk mewaspadai bahasa yang mendesak atau mengancam, permintaan data pribadi atau keuangan, tautan singkat yang tidak dikenal, serta alamat pengirim atau tautan yang sedikit berbeda dari aslinya. CISA juga mengingatkan bahwa tata bahasa yang sempurna tidak lagi menjadi bukti pesan itu aman, karena kecerdasan buatan bisa menghasilkan pesan yang rapi. Jika pesan tampak sah, hubungi pengirimnya lewat situs resmi atau kontak yang sudah Anda ketahui, bukan lewat tautan atau nomor di dalam pesan. Program rutin seperti yang dijelaskan di artikel security awareness training untuk karyawan membantu kebiasaan ini bertahan.

Apa yang Harus Dilakukan Jika Karyawan Terlanjur Mengklik?

1. Laporkan segera ke tim IT atau keamanan, tanpa rasa takut disalahkan, karena kecepatan pelaporan menentukan besarnya dampak.
2. Putuskan perangkat dari jaringan bila ada lampiran yang dibuka.
3. Ganti kata sandi akun yang mungkin terpengaruh dan cabut sesi login aktif.
4. Periksa aturan penerusan email dan aktivitas login yang mencurigakan pada akun tersebut.
5. Jika ada transfer uang, hubungi bank secepat mungkin dan laporkan ke pihak berwenang.

Baca juga: Penipuan Kartu Kredit Online: Modus dan Cara Melindungi Diri.

Pertanyaan yang Sering Diajukan

Apa perbedaan phishing dan spear phishing?

Phishing dikirim ke banyak orang dengan pesan umum, sedangkan spear phishing disusun khusus untuk satu target atau kelompok kecil berdasarkan riset tentang mereka. Karena itu spear phishing lebih sulit dikenali.

Apa itu BEC dan mengapa berbahaya?

BEC adalah penipuan dengan meniru atau membajak akun eksekutif atau vendor untuk meminta uang atau data. Berbahaya karena biasanya tidak mengandung malware, sehingga tidak tertangkap filter, dan karena kerugiannya langsung berupa uang.

Apakah DMARC cukup untuk menghentikan phishing?

Tidak. DMARC mencegah orang lain memalsukan domain Anda, tetapi tidak menghentikan email dari domain lain yang sengaja dibuat mirip. Ia perlu dikombinasikan dengan filter, autentikasi multi-faktor, dan pelatihan.

Bagaimana cara menguji kesiapan karyawan?

Simulasi phishing yang dirancang bersama manajemen dan dikomunikasikan dengan jelas dapat mengukur kesadaran karyawan. Lakukan hanya pada organisasi Anda sendiri dengan persetujuan tertulis.

Kesimpulan

Serangan email pada perusahaan berhasil bukan karena teknologinya canggih, tetapi karena memanfaatkan kepercayaan dan rutinitas. Autentikasi domain, autentikasi multi-faktor, prosedur verifikasi pembayaran, dan karyawan yang terlatih adalah kombinasi yang paling berpengaruh. Untuk membangun kebiasaan itu di tim Anda, Linuxhackingid menawarkan pelatihan keamanan siber untuk perusahaan.

Referensi: NCSC, Email security and anti-spoofing, CISA, Recognize and Report Phishing, dan CyberScoop, 10 key numbers from the 2024 FBI IC3 report.