Cara Mencegah Serangan Phishing untuk Individu dan Perusahaan

Cara mencegah phishing tidak bergantung pada satu aplikasi ajaib, melainkan pada kebiasaan memeriksa sebelum bertindak dan lapisan teknis yang membuat satu kesalahan klik tidak berujung bencana. Individu dan perusahaan menghadapi penipuan yang sama, tetapi taruhan dan kontrol yang tersedia berbeda. Artikel ini memisahkan keduanya, dengan rujukan pada panduan resmi CISA, NSA, FBI, dan MS-ISAC.

Mengapa Pencegahan Phishing Tidak Cukup Mengandalkan Kewaspadaan?

Kewaspadaan penting, tetapi pelaku terus memperbaiki pesannya dan mengincar kanal yang membuat orang lengah. Menurut Verizon Data Breach Investigations Report 2026, unsur manusia hadir dalam 62 persen pelanggaran data, dan dalam simulasi phishing, tingkat klik median pada kanal seluler seperti pesan suara dan teks 40 persen lebih tinggi daripada email. Karena itu, pertahanan yang baik memadukan kebiasaan pengguna dengan kontrol teknis. Untuk mengenali tandanya lebih dulu, baca apa itu phishing dan ciri-cirinya.

Cara Mencegah Phishing untuk Individu

Verifikasi lewat jalur resmi, bukan lewat pesan

Panduan CISA menyarankan memverifikasi pihak yang mengaku dari sebuah organisasi dengan menghubungi organisasi itu langsung, memakai kontak yang Anda ketahui dari sumber terpercaya, bukan dari pesan yang mencurigakan. Jika ada pesan yang mengaku dari bank, kurir, atau kantor pajak, buka aplikasi resminya atau ketik sendiri alamat situsnya.

Jangan membagikan kode dan data sensitif

Kode OTP, PIN, dan kata sandi tidak pernah diminta oleh layanan yang sah lewat chat, SMS, atau telepon. Anggap setiap permintaan semacam itu sebagai tanda bahaya, seberapa pun mendesak nadanya.

Periksa tautan dan pengirim

Perhatikan ejaan domain, tanda yang diganti, dan akhiran yang tidak lazim. Pada ponsel, tekan lama sebuah tautan untuk melihat tujuan sebenarnya. Jika ragu, jangan klik.

Perkuat akun supaya satu kebocoran tidak fatal

• Gunakan kata sandi unik untuk setiap akun lewat password manager. Pengelola kata sandi yang baik tidak mengisi otomatis di domain yang berbeda, sehingga ikut membantu mengenali situs tiruan.
• Aktifkan autentikasi dua faktor, dan bila tersedia, pilih passkey atau kunci keamanan fisik yang lebih tahan phishing.
• Perbarui sistem operasi, browser, dan aplikasi, serta aktifkan fitur anti-phishing bawaan browser dan email.

Laporkan, jangan hanya menghapus

Pesan phishing yang dihapus diam-diam akan terus menjebak orang lain. Laporkan pesan atau akun penipu ke platform tempat Anda menerimanya, dan laporkan halaman tiruan ke Google Safe Browsing. Jika ada uang yang sudah keluar, segera hubungi bank dan ajukan laporan ke Indonesia Anti-Scam Centre milik OJK bersama laporan polisi, dengan bukti transfer dan tangkapan layar yang sudah disiapkan.

Cara Mencegah Serangan Phishing di Perusahaan

Dokumen Phishing Guidance: Stopping the Attack Cycle at Phase One dari CISA, NSA, FBI, dan MS-ISAC memberi daftar kontrol yang bisa dijadikan acuan.

Kontrol teknis

• Autentikasi email dengan SPF, DKIM, dan DMARC. Panduan itu merekomendasikan mengaktifkan DMARC untuk email masuk dan menetapkan kebijakan reject untuk email keluar, agar pihak lain tidak mudah menyamar sebagai domain Anda.
• MFA tahan phishing. CISA menyebut FIDO atau MFA berbasis PKI sebagai bentuk yang tahan phishing. Bila organisasi masih memakai notifikasi push, aktifkan number matching, dan hindari mengandalkan SMS atau suara. Utamakan akun administrator dan akun dengan akses data luas.
• Single sign-on. Login terpusat dapat mengurangi peluang pengguna ditipu agar menyerahkan kredensial, apalagi bila digabung dengan MFA, sekaligus memberi jejak audit.
• Pemantauan dan penyaringan. Pantau lalu lintas email dan pesan internal, serta pakai penyaringan DNS agar pengguna tidak diarahkan ke situs berbahaya.
• Kunci dan batasi akun. Tinjau pengaturan penguncian dan peringatan MFA, lalu catat percobaan login yang ditolak.

Proses bisnis

• Tetapkan verifikasi di luar jalur email untuk permintaan transfer dan perubahan rekening vendor, misalnya panggilan balik ke nomor yang sudah tercatat. Ini menutup celah penipuan yang meniru atasan atau pemasok.
• Terapkan prinsip hak akses minimum agar akun yang berhasil dicuri hanya membuka sebagian kecil sistem.
• Sediakan cara mudah melaporkan email mencurigakan dan tanggapi laporan dengan cepat. Karyawan yang melapor perlu diapresiasi, bukan disalahkan.

Pelatihan dan simulasi

CISA merekomendasikan pelatihan rutin tentang cara mengenali email dan tautan mencurigakan, serta pentingnya melaporkan bila sudah terlanjur membuka. Dokumen yang sama menyarankan program antiphishing standar dengan tinjauan tahunan. Gunakan simulasi sebagai alat belajar, dengan umpan balik yang membangun, bukan sebagai ajang menghukum. Pembahasan program ini ada di artikel security awareness training untuk karyawan.

Rencana tanggap insiden

Siapkan rencana tertulis: siapa yang dihubungi, bagaimana akun dikunci, dan bagaimana bukti diamankan. Ancaman email lain yang lazim dibahas di serangan email pada perusahaan.

Ringkasan Cara Mencegah Phishing

1. Verifikasi lewat kanal resmi sebelum bertindak.
2. Jangan pernah membagikan OTP, PIN, atau kata sandi.
3. Gunakan kata sandi unik dan autentikasi berlapis, idealnya yang tahan phishing.
4. Perusahaan: aktifkan SPF, DKIM, DMARC, penyaringan, dan pemantauan.
5. Latih pengguna dan permudah pelaporan.
6. Siapkan rencana tanggap insiden.

Pertanyaan yang Sering Diajukan

Apakah antivirus cukup untuk mencegah phishing?

Tidak cukup. Antivirus membantu menahan malware, tetapi phishing sering hanya meminta Anda mengetik kredensial di halaman tiruan. Kebiasaan verifikasi dan autentikasi berlapis tetap diperlukan.

Apakah autentikasi dua faktor membuat saya kebal phishing?

Tidak sepenuhnya. CISA mencatat bahwa bentuk MFA yang lemah, seperti kode SMS atau push tanpa number matching, masih bisa ditembus lewat penipuan. FIDO atau PKI dinilai lebih tahan phishing.

Apa langkah pertama yang harus dilakukan karyawan jika salah klik?

Hentikan interaksi, jangan menunggu untuk melapor kepada tim IT atau keamanan, dan ganti kata sandi yang mungkin terpapar. Melapor cepat memperkecil dampak.

Apakah simulasi phishing efektif?

Simulasi berguna untuk mengukur kesadaran dan melatih pelaporan jika dipadukan dengan pelatihan dan kontrol teknis. Hasilnya sebaiknya tidak dijadikan satu-satunya ukuran keamanan.

Kesimpulan

Mencegah phishing berarti membuat kesalahan manusia yang wajar tidak lagi berakibat fatal: verifikasi sebelum bertindak, akun yang kuat, kontrol email, dan budaya pelaporan yang sehat. Linuxhackingid menyediakan pelatihan keamanan untuk tim dan perusahaan yang bisa menjadi titik awal membangun kebiasaan tersebut. Panduan CISA, NSA, FBI, dan MS-ISAC layak dibaca langsung oleh tim IT Anda.