Serangan Phishing: Cara Kerjanya & Cara Mencegahnya
Pelajari apa itu serangan phishing, taktik umum yang digunakan oleh penipu, dan langkah-langkah yang dapat Anda ambil untuk mengenali dan menghindari ancaman online yang menipu ini.
Michael GargiuloBottom Line: Phishing adalah salah satu vektor serangan siber paling luas, menggunakan email palsu, panggilan, dan situs web untuk mencuri kredensial. Pertahanan yang efektif memerlukan kombinasi alat keamanan dengan kewaspadaan berkelanjutan dan budaya skeptisisme terhadap komunikasi yang tidak diminta.
Penjahat siber terus menyempurnakan taktik mereka untuk mencuri informasi pribadi dan mengkompromikan sistem. Phishing tetap menjadi senjata paling efektif mereka. Internet Crime Complaint Center FBI melaporkan lebih dari 300.000 keluhan phishing pada tahun 2022, dengan kerugian melebihi $52 juta.
Serangan ini menggunakan email palsu, panggilan telepon, pesan teks, dan situs web untuk membodohi orang agar memberikan kredensial. Memahami cara setiap jenis bekerja adalah langkah pertama menuju membangun pertahanan yang nyata.
| Jenis Phishing | Metode | Target Utama |
|---|---|---|
| Email phishing | Email palsu massal yang meniru merek tepercaya | Audiens luas — kredensial, informasi pembayaran |
| Spear phishing | Email yang dipersonalisasi menggunakan detail yang diketahui tentang korban | Individu atau organisasi tertentu |
| Vishing | Panggilan suara yang menyamar sebagai bank atau dukungan teknis | Informasi keuangan, akses akun |
| Smishing | Pesan SMS palsu dengan tautan berbahaya | Pengguna mobile, penipuan pengiriman/paket |
| Whaling | Serangan yang sangat tertarget pada eksekutif atau C-suite | Transfer kawat, data perusahaan sensitif |
| Pharming | Mengarahkan ulang URL yang sah ke situs palsu secara diam-diam | Kredensial login dalam skala besar |
| Clone phishing | Menduplikasi email asli dengan tautan berbahaya yang ditukar | Korban yang mempercayai pengirim asli |
Cara Mendeteksi Percobaan Phishing
Pesan phishing berbagi tanda merah umum. Mengenalinya dengan cepat mencegah pencurian kredensial dan infeksi malware.
Periksa alamat pengirim. Penyerang sering menyamar nama tampilan tetapi menggunakan domain yang salah eja. Email dari “support@amaz0n-security.com” bukan dari Amazon. Arahkan kursor ke bidang pengirim untuk mengungkapkan alamat sebenarnya.
Cari urgensi dan ancaman. Pesan yang menyatakan “Akun Anda akan dikunci dalam 24 jam” memberikan tekanan untuk bertindak tanpa berpikir. Perusahaan yang sah jarang memberlakukan batas waktu tiba-tiba melalui email.
Periksa tautan sebelum mengklik. Arahkan kursor ke tautan apa pun untuk melihat pratinjau URL tujuan. Jika teks tautan mengatakan “bankofamerica.com” tetapi URL menunjuk ke “boa-secure-login.xyz,” tutup pesan segera.
Perhatikan kesalahan tata bahasa dan pemformatan. Organisasi profesional mengoreksi komunikasi mereka. Kesalahan ketik, spasi aneh, dan logo yang tidak konsisten menandakan pesan yang curang.
Tip: Sebelum memasukkan kredensial di mana pun, verifikasi URL secara manual. Jangan klik tautan di email. Ketikkan alamat langsung ke browser Anda atau gunakan bookmark yang disimpan. Bank dan layanan yang sah tidak akan pernah meminta kata sandi Anda melalui email atau telepon.
Praktik Pencegahan yang Benar-benar Berfungsi
Deteksi saja tidak cukup. Organisasi dan individu memerlukan pertahanan berlapis untuk memblokir percobaan phishing sebelum mencapai kotak masuk.
Aktifkan autentikasi multi-faktor (MFA). MFA memblokir 99,9% serangan kompromi akun otomatis, menurut Microsoft. Bahkan jika penyerang mencuri kata sandi Anda, mereka tidak dapat mengakses akun Anda tanpa faktor kedua.
Implementasikan protokol autentikasi email. Konfigurasikan catatan SPF, DKIM, dan DMARC untuk domain Anda. Protokol ini memverifikasi bahwa email yang masuk benar-benar berasal dari pengirim yang diklaim. DMARC saja mengurangi spoofing domain hingga 90%.
Jalankan pelatihan kesadaran keamanan setiap tiga bulan. Pelatihan tahunan tidak cukup sering. Organisasi yang melatih karyawan setiap 90 hari melihat tingkat klik phishing turun dari 30% menjadi di bawah 5% dalam 12 bulan.
Gunakan filter DNS dan proxy web. Alat ini memblokir akses ke domain phishing yang diketahui secara real-time. Layanan seperti Cisco Umbrella dan Cloudflare Gateway mempertahankan database jutaan URL berbahaya.
Luncurkan tombol laporan phishing. Beri karyawan opsi satu klik untuk melaporkan email yang mencurigakan. Ini memberi tim keamanan Anda intelijen ancaman real-time yang spesifik untuk organisasi Anda.
Langkah Respons Phishing Ketika Serangan Berhasil
Bahkan pertahanan terbaik pun terkadang gagal. Rencana respons insiden yang jelas membatasi kerusakan dan mempercepat pemulihan.
Isolasi akun yang terkena dampak segera. Atur ulang kata sandi yang dikompromikan dan batalkan sesi aktif. Jika MFA tidak diaktifkan, aktifkan sekarang.
Beri tahu tim keamanan Anda dalam 15 menit. Pelaporan cepat memberi responden waktu untuk memblokir infrastruktur penyerang sebelum menyebar ke akun lain.
Pindai malware. Jika korban mengklik tautan atau mengunduh lampiran, jalankan pemindaian endpoint lengkap. Karantina perangkat dari jaringan sampai pemindaian selesai.
Dokumentasikan semuanya. Catat header email phishing, URL, stempel waktu, dan tindakan apa pun yang diambil. Bukti ini mendukung penyelidikan forensik dan pelaporan peraturan.
Berkomunikasi dengan pihak yang terkena dampak. Jika data pelanggan terekspos, beri tahu individu yang terdampak sesuai dengan hukum notifikasi pelanggaran yurisdiksi Anda. Transparansi melestarikan kepercayaan.
Versi Akhir
Phishing tetap menjadi salah satu ancaman paling persisten dalam keamanan siber. Penyerang beradaptasi dengan cepat, bergerak dari email ke SMS ke panggilan suara saat pertahanan membaik di saluran apa pun.
Keterampilan deteksi, kontrol teknis berlapis, dan pelatihan teratur membentuk fondasi pertahanan yang efektif. Protokol autentikasi email seperti DMARC menghentikan spoofing domain. Autentikasi multi-faktor menetralisir kredensial yang dicuri. Pelatihan triwulanan menjaga kesadaran phishing tetap tajam di seluruh organisasi Anda.
Rencana respons insiden yang kuat memastikan bahwa ketika serangan lolos, tim Anda menahan kerusakan dalam hitungan menit daripada hari. Dokumentasikan prosedur respons Anda, tetapkan peran yang jelas, dan lakukan latihan secara teratur.
Pertahanan phishing bukan proyek satu kali. Hal ini memerlukan perhatian berkelanjutan, alat yang diperbarui, dan budaya yang sadar keamanan di setiap tingkat organisasi Anda.
Pertanyaan Umum Tentang Phishing
Apa itu phishing dan bagaimana penyerang benar-benar melakukannya?
Phishing bekerja dengan menyamar sebagai pengirim terpercaya melalui email, panggilan, pesan teks, atau situs web palsu untuk membodohi korban agar memberikan kredensial atau uang. Internet Crime Complaint Center FBI mencatat lebih dari 300.000 keluhan phishing pada tahun 2022 saja, dengan kerugian melebihi $52 juta. Penyerang mengandalkan urgensi, domain yang dispoofing, dan peniruan merek daripada exploit teknis untuk berhasil.
Apa perbedaan antara email phishing, spear phishing, dan whaling?
Email phishing mengirim email merek palsu massal ke audiens luas mencari kredensial atau informasi pembayaran, sementara spear phishing mempersonalisasi pesan menggunakan detail yang diketahui tentang target tertentu. Whaling berjalan lebih jauh, menargetkan eksekutif dan C-suite secara khusus untuk mengotorisasi transfer kawat atau membocorkan data perusahaan sensitif. Semakin tertarget serangannya, semakin meyakinkan dan mahal biasanya hasilnya.
Apa itu vishing dan smishing, dan bagaimana mereka berbeda dari email phishing?
Vishing menggunakan panggilan suara yang menyamar sebagai bank atau dukungan teknis untuk mengekstrak informasi keuangan dan akses akun, sementara smishing mengirim pesan SMS palsu dengan tautan berbahaya, sering menyamar sebagai notifikasi pengiriman atau paket. Keduanya melewati email sepenuhnya, memungkinkan mereka melewati protokol autentikasi email seperti DMARC dan memanfaatkan keketatan yang diasosiasikan orang dengan panggilan telepon dan teks.
Apa itu pharming dan mengapa lebih sulit ditangkap daripada email palsu?
Pharming mengarahkan ulang URL yang sah ke situs palsu secara diam-diam, tanpa email atau tautan yang mencurigakan diperlukan, sehingga korban mendarat di halaman login yang dispoofing bahkan setelah mengetikkan alamat yang benar sendiri. Ini menargetkan kredensial login dalam skala besar daripada satu korban sekaligus, dan tidak ada umpan yang jelas seperti urgensi atau domain yang salah eja untuk diketahui.
Apa itu clone phishing?
Clone phishing menduplikasi email nyata yang sebelumnya dikirim dan menukar tautan berbahaya, mengandalkan fakta bahwa korban sudah mempercayai pengirim asli dan pesan. Karena salinan terlihat hampir identik dengan sesuatu yang sah yang sudah diterima oleh penerima, ia melewati skeptisisme yang biasanya dipicu email yang dingin dan tidak terduga.
Apa saja tanda-tanda yang terlihat jelas dari email phishing?
Empat tanda merah mengungkapkan sebagian besar email phishing. Periksa alamat pengirim untuk domain yang salah eja seperti “amaz0n-security.com,” perhatikan urgensi seperti “akun Anda akan dikunci dalam 24 jam,” arahkan kursor ke tautan untuk melihat pratinjau URL tujuan yang sebenarnya, dan pindai kesalahan tata bahasa atau pemformatan yang biasanya dihindari organisasi profesional.
Bagaimana autentikasi multi-faktor menghentikan serangan phishing agar tidak berhasil?
Autentikasi multi-faktor memblokir 99,9% serangan kompromi akun otomatis, menurut Microsoft, karena kata sandi yang dicuri saja tidak cukup untuk masuk tanpa faktor kedua. Bahkan jika email phishing berhasil mengumpulkan kredensial Anda, MFA menghentikan penyerang di layar login, menjadikannya salah satu pertahanan dengan dampak tertinggi yang tersedia.
Apa itu SPF, DKIM, dan DMARC, dan apakah saya memerlukan ketiganya?
SPF, DKIM, dan DMARC adalah protokol autentikasi email yang dikonfigurasi di tingkat domain yang memverifikasi email masuk benar-benar berasal dari pengirim yang diklaim. Ya, mereka bekerja bersama daripada sebagai alternatif, dan DMARC saja mengurangi spoofing domain hingga 90%. Tanpa ketiganya dikonfigurasi, penyerang dapat menypoofing domain Anda untuk menargetkan karyawan atau pelanggan Anda sendiri.
Seberapa sering pelatihan kesadaran keamanan harus terjadi untuk benar-benar mengurangi risiko?
Pelatihan triwulanan, bukan tahunan, adalah yang menggerakkan jarum. Organisasi yang melatih karyawan setiap 90 hari melihat tingkat klik phishing turun dari 30% menjadi di bawah 5% dalam 12 bulan. Sesi tahunan meninggalkan celah yang terlalu besar untuk kebiasaan memudar, jadi ritme 90 hari adalah yang menghasilkan hasil yang terukur.
Alat apa yang memblokir situs phishing sebelum karyawan dapat mengkliknya?
Filter DNS dan proxy web memblokir akses ke domain phishing yang diketahui secara real-time, menggunakan layanan seperti Cisco Umbrella dan Cloudflare Gateway yang mempertahankan database jutaan URL berbahaya. Memasangkan itu dengan tombol laporan phishing satu klik memungkinkan karyawan menandai email yang mencurigakan secara instan, memberi tim keamanan Anda intelijen ancaman real-time yang spesifik untuk organisasi Anda.
Apa yang harus saya lakukan terlebih dahulu jika saya mengklik tautan phishing atau memasukkan kata sandi saya?
Isolasi akun segera: atur ulang kata sandi yang dikompromikan dan batalkan semua sesi aktif, lalu aktifkan MFA jika belum aktif. Jalankan pemindaian endpoint penuh untuk malware jika Anda mengklik tautan atau mengunduh lampiran, dan karantina perangkat dari jaringan sampai pemindaian selesai.
Seberapa cepat sebuah perusahaan harus melaporkan insiden phishing secara internal?
Beri tahu tim keamanan Anda dalam 15 menit dari kecurigaan kompromi. Kecepatan itu memberi responden waktu untuk memblokir infrastruktur penyerang sebelum menyebar ke akun lain. Pelaporan internal yang cepat adalah salah satu kontrol dalam respons insiden di mana menit, bukan jam atau hari, secara terukur mengubah hasil.
Apa yang termasuk dalam rencana respons insiden yang baik setelah kredensial dicuri?
Rencana respons phishing yang solid mendokumentasikan semuanya: header email phishing, URL, stempel waktu, dan setiap tindakan yang diambil, yang mendukung penyelidikan forensik dan pelaporan peraturan. Ia juga mengisolasi akun yang terkena dampak, memindai perangkat untuk malware, dan memberitahu individu yang terdampak sesuai dengan hukum notifikasi pelanggaran yurisdiksi Anda jika data pelanggan terekspos.