Social Engineering: Pengertian, Teknik, dan Cara Mencegahnya

Social engineering atau rekayasa sosial adalah teknik manipulasi psikologis untuk membuat orang membocorkan informasi, memberi akses, atau melakukan tindakan yang merugikan dirinya sendiri. Pelaku tidak menembus sistem; mereka membujuk manusia yang memegang kuncinya. Artikel ini menjelaskan pengertian, tahapan, teknik yang umum, serta cara mencegahnya bagi individu dan organisasi.

Apa Itu Social Engineering?

Glosarium NIST mendefinisikan social engineering sebagai upaya menipu seseorang agar mengungkapkan informasi, misalnya kata sandi, yang dapat dipakai untuk menyerang sistem atau jaringan. Dalam rumusan yang lebih luas, ini adalah tindakan menipu individu untuk membuka informasi sensitif, mendapat akses tidak sah, atau melakukan penipuan dengan membangun kedekatan dan kepercayaan.

Alasan pelaku memilih jalur ini sederhana: mengelabui orang sering lebih mudah dan murah daripada menemukan celah teknis. Firewall yang rapi tidak membantu bila seseorang dengan sukarela memberikan kata sandi kepada penelepon yang terdengar meyakinkan.

Tahapan Serangan Social Engineering

Meski bentuknya beragam, polanya biasanya mengikuti empat tahap.

1. Pengumpulan informasi. Pelaku mempelajari target dari media sosial, situs perusahaan, profil profesional, atau data yang bocor.
2. Membangun kepercayaan. Pelaku menyamar sebagai pihak yang dikenal atau berwenang, seperti rekan kerja, vendor, petugas bank, atau atasan, memakai detail yang tadi dikumpulkan.
3. Eksploitasi. Korban dibujuk memberi kredensial, menyetujui pembayaran, membuka lampiran, atau membukakan akses fisik.
4. Menghapus jejak. Pelaku memakai hasil tipuan dan berusaha agar korban tidak segera sadar.

Teknik Social Engineering yang Paling Umum

• Phishing, smishing, dan vishing. Penipuan lewat email, pesan teks, dan telepon yang menyamar sebagai pihak tepercaya. Dasar-dasarnya dibahas di artikel apa itu phishing.
• Pretexting. Pelaku membangun cerita karangan yang meyakinkan agar korban memberi informasi atau melakukan sesuatu. Verizon mendefinisikannya sebagai taktik membangun hubungan tepercaya lewat skenario rekaan, sering melalui suara tetapi juga lewat email atau pesan teks.
• Baiting. Memancing dengan sesuatu yang tampak berguna atau menarik, misalnya file gratis atau perangkat penyimpanan yang ditinggalkan di tempat umum.
• Quid pro quo. Menawarkan imbalan atau bantuan, seperti dukungan teknis palsu, dengan ganti akses atau informasi.
• Tailgating. Mengikuti orang berwenang masuk ke area terbatas dengan alasan lupa kartu akses atau berpura-pura karyawan atau kurir.
• Scareware. Peringatan palsu tentang virus atau masalah perangkat yang menakut-nakuti korban agar mengunduh atau membeli perangkat lunak berbahaya.
• Business email compromise. Menyamar sebagai atasan atau pemasok untuk meminta transfer atau perubahan rekening.

Mengapa teknik ini berhasil?

Pelaku memanfaatkan dorongan yang wajar: rasa hormat pada otoritas, ingin membantu, takut kena masalah, penasaran, dan terburu-buru. Pesan yang membuat Anda merasa harus bertindak sekarang sering kali justru tanda yang paling jelas.

Seberapa Serius Ancaman Social Engineering?

Verizon Data Breach Investigations Report 2026 menempatkan social engineering sebagai pola pelanggaran tersering ketiga, yaitu 16 persen dari seluruh pelanggaran, dan unsur manusia hadir dalam 62 persen pelanggaran. Pretexting sebagai vektor akses awal pada serangan ransomware dan pemerasan makin umum, mencapai 6 persen dari semua pelanggaran, sementara phishing tetap 16 persen. Laporan itu juga mencatat bahwa dalam simulasi phishing, tingkat klik median di kanal seluler seperti suara dan pesan teks 40 persen lebih tinggi daripada email.

Dari sisi kerugian, laporan tahunan FBI IC3 untuk 2025 mencatat kerugian akibat business email compromise sekitar US$3,05 miliar, kategori kerugian terbesar kedua setelah penipuan investasi. Angka ini hanya pengaduan yang masuk ke IC3 dan tidak menggambarkan seluruh dunia.

Cara Mencegah Social Engineering

Untuk individu

• Verifikasi identitas lewat kanal resmi yang Anda temukan sendiri, bukan lewat nomor atau tautan dari pesan yang meminta.
• Jangan membagikan kata sandi, OTP, atau PIN kepada siapa pun, termasuk yang mengaku petugas resmi.
• Batasi informasi pribadi yang terbuka di media sosial, karena itu bahan untuk pesan yang dipersonalisasi.
• Aktifkan autentikasi dua faktor agar kata sandi yang bocor tidak langsung membuka akun.
• Berhenti sejenak ketika pesan menuntut tindakan cepat, rahasia, atau di luar kebiasaan.

Untuk organisasi

• Terapkan prosedur verifikasi di luar jalur permintaan untuk transfer, perubahan rekening, dan reset akses.
• Kendalikan akses fisik: tanda pengenal, pendamping tamu, dan budaya menegur orang tak dikenal secara sopan.
• Berikan pelatihan berkala yang memakai skenario nyata, seperti di artikel security awareness training untuk karyawan.
• Terapkan hak akses minimum dan kontrol email, seperti dibahas di cara mencegah serangan phishing.
• Buat jalur pelaporan yang mudah dan bebas stigma, dan siapkan rencana penanganan insiden.

Penilaian kerentanan manusia bisa diuji lewat simulasi yang disepakati dan sah, misalnya dalam program penetration testing dengan lingkup dan izin tertulis dari organisasi. Jangan menguji teknik ini pada orang atau organisasi lain tanpa izin, karena penipuan dan akses tanpa hak dapat dipidana.

Baca juga: Seberapa Realistis Dunia Hacking di Serial Mr. Robot?.

Pertanyaan yang Sering Diajukan

Apa bedanya social engineering dengan phishing?

Social engineering adalah payung besar untuk semua manipulasi manusia. Phishing adalah salah satu bentuknya, yaitu penipuan lewat pesan atau situs tiruan. Pretexting, baiting, dan tailgating adalah bentuk lain.

Apakah social engineering selalu terjadi secara daring?

Tidak. Bentuk fisik seperti tailgating terjadi di kantor atau apartemen, dan telepon masih menjadi kanal yang sering dipakai untuk pretexting.

Bagaimana mengenali upaya social engineering lewat telepon?

Waspadai penelepon yang menekan Anda agar cepat, meminta data sensitif, atau melarang Anda menutup dan menelepon balik. Akhiri panggilan, lalu hubungi organisasi itu lewat nomor resmi yang Anda cari sendiri.

Bisakah teknologi saja menghentikannya?

Tidak. Filter email, MFA, dan pemantauan membantu, tetapi serangan ini menyasar keputusan manusia. Pelatihan, prosedur verifikasi, dan budaya pelaporan tetap diperlukan.

Kesimpulan

Social engineering berhasil karena mengeksploitasi kepercayaan, bukan kelemahan perangkat lunak, sehingga pertahanannya harus mencakup kebiasaan verifikasi, prosedur yang jelas, dan kontrol teknis. Jika Anda ingin tim memahami taktik ini dan melatih respons yang tepat, Linuxhackingid menyediakan pelatihan keamanan siber untuk tim dan perusahaan. Rujukan utama artikel ini adalah glosarium NIST, Verizon DBIR 2026, dan laporan FBI IC3 2025.