AI membuat serangan phishing makin canggih: Apa yang dapat dilakukan bisnis untuk mengatasinya?

Serangan phishing AI mengubah salah satu aturan tertua dalam kesadaran keamanan: tata bahasa yang buruk tidak lagi menjadi tanda bahaya yang dapat diandalkan.

Selama bertahun-tahun, karyawan diajarkan untuk mencari susunan kata yang janggal, format yang aneh, kesalahan ejaan, dan sapaan umum. Petunjuk-petunjuk ini masih penting, tetapi tidak dapat mendeteksi serangan phishing bertenaga AI.

AI generatif dapat membantu penyerang menulis pesan yang dipersonalisasi dalam hitungan detik. AI dapat meniru gaya bahasa perusahaan, merangkum informasi publik tentang seorang karyawan, mengubah instruksi singkat menjadi permintaan faktur yang meyakinkan, atau melokalkan penipuan agar terdengar alami dalam bahasa target apa pun.

Namun, ini bukan ancaman yang sepenuhnya baru. Ini adalah peningkatan level phishing dengan penulisan yang lebih baik, persiapan yang lebih cepat, dan peniruan identitas yang lebih meyakinkan. Phishing masih bertujuan untuk membuat seseorang mengeklik, membagikan kredensial, menyetujui pembayaran, membuka file, atau memindahkan percakapan ke kanal yang dikendalikan penyerang. AI hanya membuat manipulasi tersebut menjadi lebih meyakinkan dan lebih mudah diskalakan.

Di dalam bisnis, tim perlu membangun kebiasaan baru. Kami akan menjelaskan hal-hal yang perlu diperhatikan dan cara membangun perlindungan phishing serta pembobolan data yang lebih baik di dalam jaringan bisnis Anda.

Apa perbedaan serangan phishing AI?

Email phishing buatan AI terlihat seperti pekerjaan asli

Bentuk baru rekayasa sosial AI

Mengapa UKM makin rentan terpapar

Cara mengadaptasi pelatihan phishing Anda terhadap serangan berbasis AI

Hal berbeda yang perlu dilakukan bisnis

Bagaimana Proton Pass for Business membantu mengurangi risiko kredensial

Apa perbedaan serangan phishing AI?

Sebelum adanya AI generatif, phishing memerlukan lebih banyak upaya manual. Penyerang harus meriset target, menulis salinan yang meyakinkan, menyesuaikan nada bahasa, dan terkadang menerjemahkan pesan untuk pasar yang berbeda. AI generatif menurunkan hambatan masuk ini secara signifikan.

Laporan National Cyber Security Centre Inggris tentang dampak AI terhadap ancaman siber(jendela baru) dari sekarang hingga 2027 mencatat bahwa AI hampir pasti akan membuat bagian-bagian intrusi siber menjadi lebih efektif dan efisien, sehingga meningkatkan frekuensi dan intensitas ancaman siber. Laporan tersebut juga mencatat bahwa pelaku ancaman telah menggunakan AI untuk meningkatkan taktik yang ada, termasuk rekayasa sosial.

Penyerang kini dapat menghasilkan pesan serangan phishing yang terlihat lebih alami dan lebih spesifik. Email penipuan dapat merujuk ke pemasok asli, postingan LinkedIn terbaru, jabatan pekerjaan, acara regional, atau nama proyek internal. Sekalipun penyerang memiliki informasi yang terbatas, AI dapat mengisi kekosongan tersebut dengan bahasa yang terdengar masuk akal.

Tanda-tanda peringatan serangan phishing tetap sama. Tautan mencurigakan, permintaan mendesak, lampiran tak terduga, dan domain pengirim yang aneh tetap penting. Namun, kontennya sendiri tidak lagi cukup untuk membongkar serangan tersebut.

Serangan phishing tradisional	Serangan phishing bertenaga AI
Sering kali terdapat kesalahan ketik, tata bahasa yang janggal, atau sapaan umum	Dapat menggunakan tulisan yang rapi dan alami dengan nada bahasa yang tepat
Biasanya mengandalkan pesan yang luas dan umum	Dapat menyertakan rincian pribadi, konteks perusahaan, atau referensi vendor
Sebagian besar muncul sebagai email yang mencurigakan	Dapat menggabungkan email, kloning suara, faktur palsu, dan video deepfake

Email phishing buatan AI terlihat seperti pekerjaan asli

Serangan phishing selalu berkisar dari yang sederhana hingga yang sangat canggih, tetapi AI generatif menurunkan keahlian dan waktu yang dibutuhkan untuk menghasilkan pesan yang fasih, terstruktur dengan baik, dan ditulis dalam bahasa yang terdengar profesional.

Panduan phishing(jendela baru) dari NCSC mencatat bahwa kampanye phishing mungkin mencoba mencuri informasi sensitif seperti kata sandi, atau menipu orang agar mentransfer uang. Panduan ini juga menjelaskan bahwa kampanye yang lebih tertarget menggunakan informasi tentang karyawan atau perusahaan untuk membuat pesan terasa lebih realistis. AI mempermudah pelaksanaan hal tersebut dalam skala besar.

Pertahanan terhadap serangan phishing modern memerlukan kontrol berlapis alih-alih satu filter saja: autentikasi multifaktor (MFA) untuk mengurangi ancaman dari kredensial yang dicuri, proses komunikasi terverifikasi untuk permintaan penting, serta pelatihan karyawan guna mengenali rekayasa sosial sebelum kredensial diserahkan.

Pengelolaan kredensial yang aman juga merupakan aspek kunci pertahanan Anda. Pengelola kata sandi bisnis seperti Proton Pass for Business memudahkan pembuatan kata sandi yang kuat dan unik untuk setiap akun. Anda juga dapat memantau keterpaparan di dalam jaringan bisnis Anda, sehingga meskipun seorang anggota tim teperdaya oleh satu pesan, kredensial mereka tidak dapat membuka lebih dari satu akun.

Bagi karyawan, kesadaran phishing perlu berkembang untuk mendeteksi ancaman baru bertenaga AI ini. Hal ini memerlukan pengajuan tiga pertanyaan pada diri sendiri:

• Apakah email ini terlihat palsu?
• Apakah permintaan ini masuk akal?
• Apakah saya sudah memverifikasinya atau dapatkah saya memverifikasinya melalui kanal tepercaya?

Memeriksa lebih dari sekadar ejaan dan format email serta melihat konteks yang lebih luas saat email tersebut dikirimkan dapat sangat membantu. Email yang tampak rapi tetap bisa menjadi upaya phishing jika meminta kredensial, mengubah rincian pembayaran, menciptakan urgensi yang tidak biasa, atau mendorong seseorang keluar dari prosedur normal.

Bentuk baru rekayasa sosial AI

Phishing AI tidak terbatas pada email. Penyerang kini dapat menggunakan AI untuk menggabungkan teks, suara, gambar, dan video menjadi satu cerita yang meyakinkan.

Spear phishing buatan AI

Spear phishing berhasil karena pesan ditargetkan kepada orang yang menerimanya. AI membuat penargetan menjadi lebih mudah: Penyerang tidak perlu lagi menghabiskan banyak waktu untuk menulis dari awal atau menyesuaikan nada bahasa untuk setiap target. Mereka dapat menggunakan informasi publik, data yang bocor, atau kotak masuk yang disusupi untuk membuat pesan yang tampak sah.

Hal itu bisa berupa pembaruan kontrak yang tiba di saat yang tepat, file kandidat yang dikirim ke HR, permintaan vendor yang menggunakan bahasa yang familier, atau instruksi pembayaran yang sesuai dengan ritme kerja keuangan normal. Bahayanya bukanlah kesempurnaan, melainkan kemasukakalan. Pesan spear phishing hanya perlu terasa cukup relevan agar seseorang membuka file, menyetujui permintaan, atau memasukkan kredensial mereka sebelum sempat memverifikasinya.

Kloning suara dan vishing

Vishing, atau voice phishing, makin meyakinkan seiring meningkatnya kualitas audio buatan AI. Internet Crime Complaint Center FBI memperingatkan pada tahun 2025(jendela baru) tentang pelaku kejahatan yang menggunakan pesan teks dan pesan suara buatan AI untuk meniru pejabat senior AS. Peringatan tersebut menjelaskan bahwa vishing dapat menyertakan suara buatan AI dan menyarankan untuk memverifikasi penelepon melalui rincian kontak yang diidentifikasi secara independen.

Data Breach Observatory 2026 Proton juga menyoroti peningkatan kampanye vishing, termasuk serangan terkoordinasi yang menyebabkan pembobolan berskala besar dan mengekspos puluhan juta catatan. Laporan yang sama menemukan bahwa kata sandi muncul dalam 47% insiden yang dilacak, menunjukkan alasan mengapa rekayasa sosial dan perlindungan kredensial berkaitan sangat erat.

Phishing deepfake dalam panggilan video

Phishing deepfake juga dapat terjadi melalui video. Pada tahun 2024, seorang pekerja keuangan di Hong Kong dilaporkan tertipu hingga mentransfer sekitar $25 juta(jendela baru) setelah penipu menggunakan video deepfake untuk meniru rekan kerja senior dalam rapat video.

Melihat wajah yang familier dalam panggilan tidak lagi cukup untuk menyetujui permintaan yang sensitif. Pembayaran dalam jumlah besar, berbagi kredensial, perubahan akses, dan permintaan yang tidak biasa tetap memerlukan langkah verifikasi terpisah melalui kanal tepercaya.

Faktur palsu buatan AI

Penipuan faktur jauh lebih mudah dengan AI. Faktur palsu dapat menggunakan bahasa yang rapi, syarat pembayaran yang realistis, nama pemasok yang familier, dan penjelasan yang masuk akal untuk perubahan rincian bank. Jika penyerang memiliki akses ke kotak masuk yang dibobol atau informasi vendor yang bocor, permintaan tersebut bahkan dapat terlihat makin meyakinkan.

Faktur yang tampak rapi seharusnya tidak cukup untuk memindahkan uang. Jika rincian bank telah diubah, waktunya terasa tidak biasa, atau pesan tersebut meminta seseorang untuk melewati alur persetujuan normal, permintaan tersebut perlu diperiksa melalui kanal tepercaya sebelum dibayarkan.

Mengapa UKM semakin rentan

AI telah mengubah aspek ekonomi phishing dengan menurunkan biaya penargetan. Dulu, serangan yang sangat dipersonalisasi lebih cenderung berfokus pada perusahaan besar karena membutuhkan lebih banyak waktu untuk persiapan. AI mempermudah pembuatan pesan yang ditargetkan untuk bisnis yang lebih kecil. Penyerang dapat menghasilkan lebih banyak varian, menguji lebih banyak sudut pandang, dan menyesuaikan pesan dengan cepat tanpa mengeluarkan waktu atau tenaga yang sama.

Bisnis yang lebih kecil menarik karena uang, akses, dan pengambilan keputusan sering kali terkonsentrasi pada lebih sedikit orang. Satu orang mungkin menyetujui faktur, mengelola hubungan vendor, dan memegang akses ke beberapa alat bisnis. Saat proses berjalan informal, satu permintaan meyakinkan yang dihasilkan AI dapat menjangkau alur kerja pembayaran, akun bersama, data pelanggan, atau sistem admin sebelum ada orang yang sempat mempertanyakannya.

Risiko ini juga terlihat dalam data pembobolan. Laporan Proton Data Breach Observatory yang sama menemukan bahwa UKM menyumbang 63% dari pembobolan yang dilacak sejak Januari 2025 dan terpengaruh secara tidak proporsional oleh insiden kritis yang melibatkan data sensitif seperti data autentikasi, pengidentifikasi pribadi, atau rincian keuangan.

AI membantu penyerang mengeksploitasi kelemahan yang sudah dimiliki bisnis kecil: kata sandi yang digunakan ulang, berbagi kredensial secara informal, proses persetujuan yang lemah, dan pelatihan yang masih berasumsi bahwa penipuan akan terlihat jelas.

Cara menyesuaikan pelatihan phishing Anda dengan serangan berbasis AI

Untuk memerangi serangan phishing AI dengan benar, kesadaran keamanan Anda memerlukan pertimbangan lebih dari sekadar memeriksa kesalahan ketik. Karyawan perlu belajar cara memverifikasi permintaan, bukan hanya menilai pesannya.

Tolok ukur dasar yang dibutuhkan pelatihan Anda sederhana: Jika suatu permintaan tidak biasa, sensitif, atau mendesak, verifikasi sebelum bertindak:

1. Berhenti sejenak sebelum membalas, jangan merespons pada utas email yang sama.
2. Abaikan rincian kontak di dalam pesan, jangan pernah gunakan nomor telepon, tautan, atau alamat balasan yang disediakan.
3. Jangan menganggap panggilan suara atau video sebagai bukti, karena suara yang familier dalam panggilan atau wajah yang familier di layar keduanya dapat dibuat oleh AI.
4. Hubungi orang tersebut melalui kanal yang sudah Anda percayai, direktori internal, catatan vendor yang tersimpan, atau metode kontak yang diverifikasi sebelumnya.
5. Konfirmasikan permintaannya, bukan hanya pengirimnya; tanyakan apakah pembayaran, perubahan akses, atau permintaan file tersebut benar-benar nyata.

Pelatihan juga harus berfokus untuk membantu anggota tim mengenali momen ketika phishing AI paling mungkin berhasil:

• Perubahan rincian pembayaran
• Permintaan kata sandi, kode pemulihan, atau persetujuan MFA
• Permintaan berbagi file yang mendesak
• Perintah masuk yang tidak biasa
• Perubahan portal vendor
• Permintaan eksekutif yang mengabaikan proses normal
• Undangan untuk memindahkan percakapan ke aplikasi perpesanan pribadi

Panduan Proton untuk membangun budaya keamanan siber bisnis kecil di tempat kerja adalah sumber daya yang bermanfaat dan tepat waktu untuk menjadikan perilaku keamanan sebagai bagian dari pekerjaan sehari-hari.

Apa yang perlu dilakukan bisnis secara berbeda

Phishing berbasis AI mengubah standar verifikasi. Jika pesannya terlihat asli, prosesnya harus mampu menangkap hal yang tidak lagi langsung terlihat jelas.

Gunakan verifikasi out-of-band

Saat sebuah permintaan melibatkan uang, kredensial, file sensitif, atau akses istimewa, balasannya tidak boleh tetap berada di dalam utas yang sama yang menciptakan risiko tersebut. Tim membutuhkan jalur kedua untuk mengonfirmasi apakah permintaan itu nyata.

Itu bisa berarti menelepon pemasok menggunakan nomor yang sudah tersimpan di catatan vendor, memeriksa permintaan eksekutif melalui kanal internal, atau mengonfirmasi perubahan akses dengan pemilik proyek. Kuncinya adalah menggunakan rincian kontak yang sudah dipercayai bisnis, bukan nomor telepon, tautan, atau jalur balasan yang disediakan dalam pesan yang mencurigakan.

Wajibkan persetujuan multi-orang

Tindakan berisiko tinggi sebaiknya tidak bergantung pada penilaian satu orang saja. Perubahan pembayaran, transfer besar, rincian bank vendor baru, pemberian akses istimewa, dan ekspor data massal harus memerlukan persetujuan kedua untuk mengurangi kerentanan.

Satu pesan yang tampak mendesak tidak perlu mengacaukan pekerjaan normal. Persetujuan kedua memberikan tim titik jeda sebelum uang ditransfer, akses diberikan, atau data sensitif keluar dari bisnis.

Lindungi kredensial sebelum menjadi sasaran

Phishing AI sering kali berakhir di tempat yang sama dengan phishing tradisional: kredensial. Penyerang menginginkan kata sandi, token sesi, persetujuan MFA, atau akses ke akun yang membuka pintu ke sistem lain.

Cost of a Data Breach Report 2025(jendela baru) dari IBM merekomendasikan penguatan keamanan identitas dan penerapan metode autentikasi yang tahan phishing untuk mengurangi risiko penyalahgunaan kredensial. Laporan tersebut juga mencatat rata-rata biaya pembobolan global sebesar $4,4 juta, menunjukkan mengapa kontrol identitas dan akses memiliki konsekuensi finansial, bukan hanya teknis.

Pembatasan dampak adalah kunci bagi UKM. AI mungkin membuat pesan pertama lebih sulit dideteksi, tetapi bisnis masih dapat mengontrol apa yang terjadi setelah suatu kesalahan. Kata sandi yang kuat dan unik, MFA, berbagi secara aman, akses admin yang terbatas, serta offboarding yang konsisten mengurangi kemungkinan bahwa satu akun yang disusupi berubah menjadi akses ke seluruh email, alat keuangan, penyimpanan cloud perusahaan, atau sistem bisnis lainnya.

Cara Proton Pass for Business membantu mengurangi risiko kredensial

Kebijakan kata sandi organisasi Anda harus mengendalikan kebiasaan kredensial sebelum karyawan menjadi sasaran. Batasi penggunaan ulang kata sandi di berbagai akun bisnis, gunakan brankas kata sandi terenkripsi, jauhkan akses sensitif dari peramban, spreadsheet, dan utas obrolan, serta sediakan opsi berbagi yang aman. Langkah-langkah tersebut memberi tim cara yang terkontrol untuk memberikan atau menghapus akses tanpa mencari-cari di pesan atau dokumen lama.

Pengelola kata sandi bisnis seperti Proton Pass for Business membatasi seberapa besar kerusakan yang dapat ditimbulkan oleh serangan phishing. Saat kredensial unik, terenkripsi, dan dikelola secara terpusat, satu pesan yang berhasil hanya mengompromikan satu akun, alih-alih membuka jalur ke seluruh email, alat keuangan, dan penyimpanan cloud. Solusi ini bekerja berdampingan dengan pelatihan kesadaran, pemfilteran email, dan kontrol pembayaran, bukan menggantikannya.

Proton Pass for Business juga membantu tim membuat kata sandi yang kuat, menggunakan isi otomatis, dan mengelola kredensial melalui kontrol admin terpusat. Kata sandi yang unik, autentikasi yang kuat, berbagi kredensial yang aman, dan akses terkontrol membuat satu upaya phishing yang berhasil lebih sulit menyebar ke seluruh bisnis.

Lindungi tim Anda dari phishing berbasis AI dengan pengelola kata sandi bisnis.