Serangan phishing yang berhasil dapat menimbulkan konsekuensi fatal: Penipu dapat mencuri identitas(jendela baru), menguras akun bank, atau menyerang dengan ransomware. Bagi pelaku bisnis, hal ini juga dapat berarti hilangnya kekayaan intelektual, kepercayaan pelanggan, dan reputasi.

Pada tahun 2025, Internet Crime Complaint Center FBI(jendela baru) menerima lebih dari 1 juta keluhan tentang kejahatan internet, dengan kerugian yang dilaporkan mencapai hampir $21 miliar. Phishing dan spoofing adalah jenis kejahatan yang paling banyak dilaporkan, dengan lebih dari 190.000 keluhan pada tahun tersebut.

Dengan miliaran email phishing yang dikirim setiap hari, phishing merupakan salah satu cara utama penipu daring menyerang individu dan organisasi.

Berikut penjelasan mengenai apa itu phishing, cara kerjanya, dan cara melindungi diri dari serangan phishing.

Tombol Dapatkan Proton Mail

Apa itu phishing?

Phishing adalah penipuan daring ketika penyerang mengirimkan pesan palsu (biasanya melalui email) untuk mengelabui agar memberikan informasi sensitif (seperti rincian masuk atau kartu kredit) atau mengunduh malware(jendela baru) di perangkat.

Pesan tersebut tampak berasal dari sumber tepercaya, seperti bank, penyedia layanan email, atau layanan populer seperti Amazon, Venmo, PayPal, atau Facebook. Namun, tujuannya adalah mengelabui untuk melakukan salah satu hal berikut:

  • Memasukkan rincian pribadi di situs web yang tampak sah tetapi sebenarnya mencuri data
  • Mengklik tautan ke situs web berbahaya atau mengunduh lampiran terinfeksi yang menginstal malware di komputer, tablet, atau ponsel
  • Membalas pesan untuk memberikan data pribadi yang sensitif melalui email

Sebagai salah satu bentuk rekayasa sosial(jendela baru), pesan phishing sering kali menciptakan rasa urgensi atau kegembiraan untuk mendorong respons tanpa berpikir panjang.

Bagaimana cara kerja phishing?

Biasanya, pesan phishing berisi permintaan mendesak, ancaman, atau hadiah yang meminta tindakan segera. Misalnya, pesan tersebut mungkin mengklaim bahwa akun Amazon telah “ditangguhkan” dan rincian akun perlu “dikonfirmasi” untuk mengaktifkannya kembali.

Dalam email phishing ini, yang tampak seperti dari layanan pengiriman UPS, penerima diminta untuk mengklik tautan guna membayar “biaya pengiriman” dan memberikan rincian pribadi. Jika tidak dilakukan, “paket” tidak akan diterima.

Contoh email phishing yang berpura-pura dari UPS
Contoh email phishing

Namun, periksa baris Dari pada email, dan akan terlihat bahwa email tersebut tidak asli. Nama tampilan menunjukkan UPS tetapi alamat email berikutnya (@bmwsetkani.cz) jelas tidak ada hubungannya dengan UPS. Lagipula, tidak ada pesanan pengiriman UPS yang dilakukan.

Mengklik tautan tersebut dapat mengarah ke situs web palsu yang meminta untuk memasukkan rincian kartu kredit, alamat rumah, atau data sensitif lainnya. Email tersebut juga bisa menyertakan lampiran tak dikenal yang secara otomatis menginstal malware di perangkat saat diunduh.

Lihat cara mengenali email phishing di bawah ini untuk tanda-tanda phishing lainnya.

Jenis-jenis serangan phishing

Penipu dapat mengirimkan pesan phishing melalui SMS, media sosial, atau panggilan telepon, tetapi sebagian besar serangan phishing dilakukan melalui email.

Phishing email

Penyerang mengirimkan email massal yang tampak berasal dari organisasi nyata untuk mengelabui agar bersedia mengungkapkan informasi pribadi. Biasanya, penipu bertujuan untuk mencuri rincian masuk akun, rincian bank atau kartu kredit, atau informasi yang dapat mengidentifikasi secara pribadi untuk digunakan dalam pencurian identitas(jendela baru).

Email phishing biasanya bersifat umum dan dikirim secara massal sebagai email spam. Semakin banyak dikirim, semakin besar peluang untuk “menjebak” seseorang.

Spear phishing

Email spear phishing biasanya dikirim ke orang-orang tertentu dalam suatu organisasi, sering kali mereka yang memiliki hak akses khusus. Tujuannya adalah untuk mencuri informasi sensitif seperti rincian masuk atau menginfeksi perangkat korban dengan malware untuk mengumpulkan data rahasia.

Pesan sering kali dipersonalisasi dan tampak berasal dari pengirim yang dipercayai target, sehingga memudahkan mereka untuk lengah. Sebagai contoh, penipu yang menyamar sebagai akuntan perusahaan dapat mengirim email kepada asisten akuntan untuk meminta pembayaran mendesak kepada vendor palsu.

Spear phishing adalah salah satu metode utama dari kompromi email bisnis (BEC)(jendela baru).

Whale phishing (whaling)

Seperti spear phishing, whaling adalah serangan yang dipersonalisasi, tetapi targetnya adalah manajemen puncak, seperti CEO. Dengan menargetkan manajemen tingkat C, penipu berharap mendapatkan informasi yang lebih berharga atau akses ke akun keuangan.

Sama halnya dengan spear phishing, target dapat dengan mudah menjadi korban karena pesan tersebut mungkin sangat dipersonalisasi dan meyakinkan — tampaknya berasal dari seseorang yang mereka percayai.

Vishing dan smishing

Vishing adalah sejenis phishing yang menggunakan panggilan telepon atau pesan suara palsu. Penipu yang berpura-pura dari perusahaan resmi akan menelepon (baik orang sungguhan atau robocall) dan meminta informasi pribadi.

Misalnya, mereka menelepon dari “penyedia broadband” dan mengatakan ada masalah pada akun. Mereka mungkin meminta nama, nomor Jaminan Sosial, atau informasi kartu kredit untuk “menyelesaikan masalah tersebut”.

Smishing hanyalah phishing yang menggunakan SMS alih-alih email. Seperti email phishing, SMS tersebut mungkin berisi tautan berbahaya ke situs web palsu yang digunakan untuk mencuri data pribadi. Atau tautan tersebut dapat mengunduh malware ke perangkat.

Angler phishing (media sosial)

Angler phishing terjadi ketika penipu menyiapkan akun media sosial yang berpura-pura menjadi agen layanan pelanggan perusahaan. Dengan mencegat keluhan atau pertanyaan pelanggan di media sosial, mereka dapat meminta korban memberikan rincian pribadi untuk “menyelidiki masalah tersebut”.

Metode lainnya adalah membuat situs web palsu yang menyerupai halaman masuk media sosial. Penipu juga dapat mengirimkan email phishing yang tampaknya berasal dari jaringan sosial untuk meminta memperbarui atau mengonfirmasi rincian pribadi.

Penipuan email penyimpanan cloud

Penipuan email penyimpanan cloud meniru layanan seperti Google Drive, Dropbox, atau Microsoft OneDrive dengan peringatan bahwa penyimpanan penuh atau akan segera kedaluwarsa. Pesan tersebut mendesak untuk segera mengklik tautan guna meningkatkan paket atau memverifikasi akun — atau menghadapi risiko kehilangan file.

Mengklik tautan biasanya mengarah ke halaman masuk atau pembayaran palsu yang dirancang untuk mencuri kredensial atau rincian kartu kredit. Jika benar-benar khawatir tentang penyimpanan, buka langsung situs web layanan dengan mengetikkan alamat ke peramban, atau masuk menggunakan aplikasi resmi. Jangan pernah mengeklik tautan di dalam email.

Cara mengenali email phishing

Meskipun beberapa email phishing terlihat seperti berasal dari sumber resmi, banyak di antaranya yang mengandung tanda-tanda jelas bahwa email tersebut palsu.

Waspadai tanda-tanda peringatan berikut. Jika menemukan salah satunya dalam pesan, kemungkinan besar itu adalah upaya phishing:

Contoh email phishing yang berpura-pura berasal dari PayPal yang menunjukkan tanda-tanda peringatan phishing
Tanda-tanda peringatan phishing

1. Alamat pengirim tidak resmi:

Pengirim di kolom Dari adalah security@paypal.com, tetapi alamat email berikut sebenarnya adalah . Alamat tidak resmi @paypat483576.com alih-alih @paypal.com adalah tanda kuat bahwa pesan tersebut palsu.

2. Sapaan umum

Meskipun email resmi biasanya menyapa dengan nama, seperti “Halo Alice” atau “Halo Bob Jones”, penipu sering kali memulai dengan sapaan umum seperti “Pelanggan yang Terhormat” atau “Halo” yang diikuti dengan alamat email. Atau mereka mungkin tidak menggunakan sapaan sama sekali.

3. Permintaan mendesak, ancaman, atau hadiah

Email phishing sering kali berpura-pura bahwa akun telah disusupi. Mereka meminta untuk mengambil tindakan segera guna “memverifikasi” atau “mengonfirmasi” rincian pribadi, atau akun akan ditangguhkan atau ditutup.

Yang lain melaporkan kejutan yang menyenangkan: “pengembalian pajak”, “kemenangan lotre”, atau “penawaran spesial” yang hanya tersedia dalam waktu terbatas. Atau pria atau wanita menawan secara acak di situs dewasa palsu tiba-tiba memilih sebagai pasangan.

4. Kesalahan tata bahasa atau ejaan

Penipu tidak selalu merupakan penulis yang baik, jadi waspadai kesalahan. Di sini terdapat huruf kapital sederhana “We” di tengah kalimat, atau nama perusahaan yang salah eja: “Pay-pal” alih-alih “PayPal”.

5. Tautan, tombol, atau lampiran yang tidak diinginkan

Pesan phishing sering kali mengundang untuk mengklik tombol atau tautan guna memasukkan informasi pribadi atau melakukan pembayaran. Jika menggunakan komputer, arahkan kursor mouse ke atas tautan (jangan diklik!), dan akan terlihat bahwa URL (https://www.flyt.it) berbeda dari tautan (https://www.paypal.com).

Atau pesan mungkin berisi lampiran, seperti faktur palsu, yang mengandung malware yang menginfeksi komputer saat mengunduhnya.

Ingat bahwa beberapa email phishing mungkin terlihat sepenuhnya normal; satu-satunya petunjuk adalah niat yang mencurigakan.

Sebagai contoh, seandainya bertindak sebagai akuntan perusahaan dan “atasan Sally” (seorang penipu) mengirimkan email untuk melakukan transfer kawat mendesak ke akun bank yang tidak dikenal. Email tersebut terlihat seperti dari Sally, tetapi apakah dia akan melakukan hal itu? Apakah itu gaya menulisnya? Jika ragu, hubungi atau kirimkan pesan teks kepadanya.

Tiga langkah untuk memeriksa phishing

Semua hal di atas adalah indikasi jelas adanya phishing, tetapi tidak semua email penipuan mudah dikenali.

Oleh karena itu, disarankan untuk mengambil langkah-langkah berikut saat menerima email yang berisi tombol, tautan, lampiran, atau permintaan rincian pribadi, terutama jika mendesak tindakan segera:

Tiga langkah untuk memeriksa phishing saat menerima email mencurigakan
Tiga langkah untuk memeriksa phishing

Ingat bahwa hanya penipu yang menghubungi secara tiba-tiba dan mendesak untuk segera mengambil tindakan. Dan perusahaan resmi tidak akan meminta informasi sensitif melalui email.

Jika khawatir tentang pesan “mendesak” dari bank, misalnya, masuk ke akun atau hubungi bank secara langsung untuk memastikannya. Namun, jangan gunakan rincian kontak atau tautan masuk yang ada dalam pesan tersebut.

Cara mencegah serangan phishing

Waspada terhadap tanda-tanda phishing hanyalah salah satu cara untuk melindungi diri. Berikut cara memperkecil risiko phishing di semua perangkat:

1. Amankan email

Gunakan penyedia layanan email aman dengan filter spam cerdas, seperti Proton Mail. Proton Mail secara otomatis memfilter spam ke dalam folder spam dan dilengkapi dengan perlindungan phishing tingkat lanjut PhishGuard yang menandai potensi serangan phishing.

Peringatan spanduk merah Proton Mail bahwa email ini telah ditandai sebagai upaya phishing
Peringatan phishing Proton Mail

Sangat mudah untuk melaporkan upaya phishing di aplikasi web dan seluler Proton Mail.

Jangan mengklik tautan atau mengunduh lampiran dalam email, pesan teks, atau media sosial dari pengirim yang tidak dikenal.

Jika menggunakan komputer, arahkan kursor mouse ke atas (jangan diklik!) suatu tautan untuk memeriksa URL tujuan. Dalam email phishing UPS palsu ini, URL (https://zpr.io/xxx) jelas tidak ada hubungannya dengan UPS.

Menunjukkan cara mengarahkan kursor mouse ke atas tautan di dalam email untuk memeriksa apakah URL tujuan asli
Arahkan kursor ke atas tautan untuk memeriksanya

Dengan Proton Mail, fitur konfirmasi tautan dapat digunakan untuk memeriksa keaslian tautan email, seperti yang satu ini dari eBay UK (ebay.co.uk).

Fitur konfirmasi tautan Proton Mail, yang memungkinkan pemeriksaan tautan dalam email untuk mendeteksi tanda-tanda phishing
Konfirmasi tautan Proton Mail

3. Jangan tanggapi spam

Jangan buka pesan spam atau menanggapinya dengan cara apa pun. Dengan membalas email spam atau SMS (misalnya, menekan berhenti berlangganan atau mengirim pesan teks STOP), hal itu hanya akan memberi tahu pengirim spam bahwa alamat email atau nomor telepon aktif. Hapus pesan tersebut.

Membuka email juga dapat memungkinkan pelacak email untuk melacak di seluruh web. Gunakan Proton Mail dengan perlindungan pelacakan yang ditingkatkan untuk memblokir pelacak.

Tombol buat Akun Proton gratis

4. Instal perangkat lunak antivirus

Perangkat lunak antivirus atau keamanan internet mungkin menyertakan filter spam untuk memblokir potensi email phishing, dan banyak langganan mencakup perangkat desktop serta seluler. Pastikan perangkat lunak tersebut berasal dari merek tepercaya dan diperbarui dengan definisi virus serta malware terbaru.

Jika tidak sengaja mengeklik tautan phishing dan mengunduh malware, perangkat lunak keamanan mungkin akan mendeteksi dan menonaktifkannya.

5. Selalu perbarui perangkat

Selalu perbarui sistem operasi, peramban, plugin peramban, dan aplikasi lainnya pada komputer atau ponsel ke versi terbaru dengan patch keamanan.

Langkah ini dapat melindungi dari phishing yang mengeksploitasi kerentanan sistem operasi.

6. Gunakan kata sandi yang kuat dan 2FA

Pastikan untuk menggunakan kata sandi yang kuat dan unik di semua akun daring. Direkomendasikan menggunakan pengelola kata sandi sumber terbuka yang andal untuk membantu membuat dan mengingat kata sandi yang kuat.

Dan aktifkan autentikasi dua faktor (2FA) di mana pun memungkinkan. Dengan begitu, jika nama pengguna atau kata sandi terungkap melalui phishing, penipu tidak akan dapat mengakses akun.

7. Cadangkan data

Buat cadangan data secara berkala, termasuk cadangan luring. Dengan begitu, data selalu dapat dipulihkan jika perangkat terinfeksi ransomware atau malware lain yang menyebabkan hilangnya data.

Lindungi bisnis dari phishing

Bisnis di AS mengalami kerugian lebih dari $2,7 miar akibat kompromi email bisnis(jendela baru) pada tahun 2022. Dari perusahaan di Inggris Raya yang melaporkan serangan siber pada tahun yang sama, 83% menyatakan serangan tersebut berupa phishing(jendela baru).

Terkena serangan phishing dapat mengakibatkan pembobolan data atau serangan ransomware. Selain kerugian finansial dan data, hal itu dapat merusak merek dan kepercayaan pelanggan.

Jadi, jika menjalankan bisnis, mengambil langkah pencegahan terhadap phishing sangat penting bagi keamanan siber. Berikut cara memperkecil risiko phishing bagi bisnis:

Aktifkan filter spam dan phishing

Pastikan untuk mengaktifkan filter spam dan phishing di email dan perangkat lunak keamanan internet.

Daftar Proton for Business untuk mendapatkan Proton Mail dengan filter spam otomatis dan perlindungan phishing tingkat lanjut PhishGuard yang diaktifkan secara bawaan. Proton Mail juga menyertakan anti-spoofing untuk domain khusus guna mencegah penipu menggunakan domain perusahaan untuk serangan spam atau phishing.

Latih tim

Adakan pelatihan kesadaran phishing secara berkala bagi karyawan agar mereka tahu cara mendeteksi phishing. Jika memiliki sumber daya IT, email simulasi phishing dapat dikirimkan kepada mereka untuk memberikan pengalaman praktis. Mudahkan mereka untuk melaporkan phishing yang dicurigai.

Terapkan kata sandi yang kuat dan 2FA

Pastikan sistem IT mewajibkan kata sandi yang kuat dan 2FA di semua perangkat tim. Jika ada rincian masuk tim yang terungkap melalui phishing, 2FA akan memberikan lini pertahanan ekstra.

Dapatkan antivirus korporat

Jika memiliki anggota tim lebih dari beberapa orang, pertimbangkan untuk menggunakan perangkat lunak keamanan siber perusahaan. Solusi antivirus korporat mencakup monitoring ancaman waktu nyata yang berfokus pada endpoint security(jendela baru) untuk seluruh jaringan, bukan hanya perangkat individu.

Lindungi data penting

Enkripsi data bisnis untuk perlindungan diri. Pertimbangkan Proton for Business, yang mengamankan email, kalender, dan penyimpanan daring dengan enkripsi end-to-end. Tidak ada yang bisa mengakses data selain pihak yang diberikan wewenang, bahkan jika file terekspos dalam pembobolan data.

Cadangkan data

Buat cadangan informasi penting perusahaan secara berkala, termasuk cadangan luring. Dengan begitu, jika upaya phishing yang berhasil menyebabkan hilangnya data, informasi selalu dapat dipulihkan.

Tetap aman dari phishing

Mulai dari spam massal hingga whaling yang tertarget, phishing tetap menjadi salah satu cara utama penipu melakukan penipuan daring, dan semua orang menjadi target.

Karena phishing mengandalkan kesalahan manusia, kewaspadaan adalah pertahanan terbaik. Jika menerima pesan dengan tanda-tanda phishing, jangan buka atau tanggapi. Hapus pesan tersebut.

Namun, semua orang bisa melakukan kesalahan, dan bahkan pakar keamanan IT yang berpengalaman pun terkadang bisa terkena phishing. Oleh karena itu, langkah-langkah untuk mengurangi risiko perlu dilakukan.

Proton Mail dirancang untuk memberikan peluang terbaik dalam melawan phishing, termasuk:

Jadi, waspadalah terhadap pesan mencurigakan, dapatkan Proton Mail, dan tetap aman!