Business email compromise: Cara melindungi organisasi Anda dari CEO fraud

Business email compromise (BEC) adalah kategori kejahatan finansial tersendiri, bukan varian phishing yang kebetulan menargetkan para eksekutif. Phishing berhasil dengan memancing seseorang untuk mengeklik sesuatu yang tidak seharusnya. Business email compromise berhasil tanpa mekanisme tersebut: seluruh serangannya adalah email yang diriset dengan matang dan meminta orang tertentu untuk melakukan sesuatu yang tampak wajar dalam hari kerja biasa. Insiden terbesar bahkan dapat memindahkan nominal enam digit dalam satu transfer, dan saat ada yang menyadarinya, uang tersebut biasanya sudah keluar dari negara tersebut.

Tidak ada sinyal yang biasanya dicari oleh filter phishing atau karyawan yang terlatih dengan baik terdeteksi. Itulah yang membedakan business email compromise dari phishing biasa, dan alasan mengapa kesadaran phishing umum tidak dapat berbuat banyak untuk menghentikannya. Kami akan menunjukkan cara mengenali business email compromise dan melindungi organisasi Anda.

Apa itu business email compromise?

Business email compromise adalah serangan terarah saat penjahat menyamar sebagai seseorang yang dipercaya oleh target, biasanya eksekutif senior, pemasok, atau rekan kerja internal, dan meminta transfer kawat, perubahan rincian pembayaran, atau kredensial sensitif.

Biasanya tidak ada malware(jendela baru) dan tautan berbahaya yang terlibat. Yang bervariasi adalah cara identitas pengirim dipalsukan, dan penyerang memiliki lebih banyak opsi daripada yang dibayangkan kebanyakan orang:

• Domain mirip: penyerang mendaftarkan domain yang hampir identik dengan yang asli, mengganti satu huruf atau menambahkan tanda hubung, dan berharap tidak ada yang membaca alamatnya secara teliti.
• Spoofing nama tampilan: nama tampilan “dari” diatur agar cocok dengan orang tepercaya — “John Smith” — sementara alamat sebenarnya adalah sesuatu yang tidak terkait. Banyak klien email seluler hanya menampilkan nama tampilan secara bawaan, sehingga alamat sebenarnya tidak pernah muncul di layar.
• Spoofing header: SMTP, protokol yang mengirimkan email, tidak memverifikasi header “Dari” dengan sendirinya, sehingga penyerang dapat mengirim pesan yang mengaku berasal dari alamat asli tanpa pernah mengendalikannya. Apakah pesan tersebut sampai di kotak masuk bergantung pada pemeriksaan autentikasi domain penerima.
• Manipulasi balas ke: alamat “Dari” yang terlihat tampak sah, tetapi alamat Balas Ke yang berbeda diatur di baliknya, sehingga saat target menekan balas, percakapan diam-diam dialihkan ke penyerang.
• Kompromi akun: penyerang mendapatkan akses ke akun email asli dan mengirimkan permintaan dari dalamnya.

Yang terakhir dari jenis ini, kompromi akun, adalah yang paling sulit dideteksi karena secara teknis tidak ada yang salah dengan email tersebut. Email tersebut berasal dari alamat asli, di domain email khusus asli, dan bahkan mungkin melanjutkan utas yang pernah dilihat target sebelumnya.

Cara kerja strategi business email compromise

Serangan business email compromise dirancang, bukan diimprovisasi, dan persiapannya biasanya merupakan bagian di mana sebagian besar upaya pelaku kejahatan dicurahkan.

Riset

Semuanya dimulai dengan pengintaian: profil LinkedIn mengungkapkan siapa yang memegang jabatan apa dan siapa melapor kepada siapa, siaran pers perusahaan mengumumkan merger, putaran pendanaan, atau hubungan pemasok baru, dan balasan di luar kantor dapat memberikan satu rincian yang paling dibutuhkan penyerang, yaitu konfirmasi bahwa eksekutif asli sedang tidak dapat dihubungi saat ini.

Memilih target

Dari sana, penyerang beralih ke pemilihan target. Tidak semua karyawan berguna bagi upaya business email compromise; targetnya harus seseorang yang memiliki wewenang untuk benar-benar memindahkan uang atau mengubah rincian pembayaran, yang biasanya mempersempit pilihan ke bagian keuangan, utang usaha, HR, atau penggajian.

Penyamaran dimulai

Setelah target dan narasi yang masuk akal dipilih, penyamaran pun dilakukan, baik melalui domain mirip yang dipalsukan maupun kotak surat yang benar-benar dikompromikan, disesuaikan dengan nada, tanda tangan, dan tingkat formalitas yang akan digunakan oleh pengirim asli.

Kontak dilakukan

Penyerang berinteraksi dengan seseorang di dalam bisnis, membuat permintaan atau tuntutan yang mendesak. Ini bisa berupa akuisisi yang harus ditutup hari ini, auditor yang membutuhkan angka-angka tersebut segera, atau rekan kerja yang terdampar dan tidak dapat dihubungi melalui telepon.

Biasanya, permintaannya berupa transfer kawat, perubahan rincian bank, atau permintaan kredensial masuk, yang dibingkai sebagai sesuatu yang memang harus dilakukan, bukan sesuatu yang perlu dipertanyakan.

Empat skenario umum business email compromise

Berikut beberapa taktik business email compromise paling umum yang digunakan penyerang.

CEO fraud

Sebuah email tampak berasal dari CEO, direktur utama, atau pemimpin senior lainnya, meminta anggota tim keuangan untuk memproses pembayaran yang mendesak dan sering kali bersifat rahasia. Jabatan tinggi pengirim yang tampak melakukan sebagian besar tugas di sini, karena sedikit karyawan yang merasa nyaman untuk mempertanyakan permintaan yang tampaknya datang dari pimpinan.

Penipuan faktur

Pemasok yang sudah bekerja sama dengan bisnis tampak memberitahukan perubahan rincian bank, biasanya diatur waktunya tepat sebelum faktur asli jatuh tempo. Karena hubungan bisnis asli dan pembayaran asli sudah ada sebelumnya, versi ini sering kali menjadi yang paling sulit dideteksi oleh tim keuangan, dan menyumbang beberapa kerugian tunggal terbesar yang dilaporkan bisnis.

Pengalihan penggajian

Email yang menyamar sebagai karyawan, atau terkadang HR itu sendiri, meminta bagian penggajian untuk memperbarui rincian bank sebelum putaran pembayaran gaji berikutnya. Permintaan ini cukup kecil dan biasa sehingga jarang diperiksa ulang, dan itulah alasan mengapa cara ini berhasil.

Peniruan dukungan IT

Pesan yang menyamar sebagai bagian TI internal atau helpdesk meminta karyawan untuk mengonfirmasi kata sandi atau menyetujui permintaan masuk sebelum pembaruan sistem. Tidak seperti tiga skenario lainnya, skenario ini tidak mengincar uang secara langsung. Skenario ini mengincar kredensial yang membuat bentuk business email compromise lainnya lebih mudah dijalankan.

Berapa kerugian nyata akibat business email compromise

Kerugian akibat business email compromise dilaporkan secara berbeda dari penipuan kartu biasa, yang menjadi salah satu alasan mengapa skala masalah ini mudah diremehkan. Internet Crime Complaint Center FBI mencatat kerugian akibat business email compromise sebesar $2,77 miliar(jendela baru) di 21.442 insiden yang dilaporkan pada tahun 2024, dan total penghitungan penipuan ini menempatkan kerugian global di atas $55 miliar(jendela baru) selama dekade terakhir. Namun, angka rata-rata menyembunyikan cerita sebenarnya. Kasus-kasus yang menjadi tajuk utama menunjukkan besarnya dana yang dapat dipindahkan oleh satu email yang dirancang dengan matang.

Antara tahun 2013 dan 2015, seorang penipu asal Lituania menagih Facebook dan Google dengan total gabungan $121 juta(jendela baru) menggunakan faktur palsu dari perusahaan yang menyamar sebagai Quanta Computer, pemasok perangkat keras yang benar-benar digunakan oleh kedua perusahaan tersebut. Karena faktur tersebut sesuai dengan hubungan bisnis yang sudah ada, tim akuntansi membayarnya, dan terus membayarnya selama dua tahun.

Pada tahun 2016, pemasok kedirgantaraan asal Austria, FACC, terkena dampak email yang menyamar sebagai CEO-nya saat itu, meminta transfer sekitar €50 juta(jendela baru) untuk proyek akuisisi fiktif, dalih yang persis seperti yang dijelaskan di awal artikel ini. Perusahaan berhasil menghentikan sebagian dari transfer setelah menemukan penipuan tersebut, tetapi sisanya tidak pernah dipulihkan.

Kasus-kasus ini menggambarkan kategori kejahatan yang berbeda perilakunya dari sebagian besar statistik phishing. Phishing diukur berdasarkan volume: jutaan email yang hampir identik, sebagian besar tertangkap oleh filter sebelum ada yang melihatnya.

Business email compromise diukur dalam insiden individu, masing-masing dibangun di sekitar satu target dan satu pembayaran, serta masing-masing mampu menimbulkan lebih banyak kerusakan dalam satu sore daripada seribu email phishing yang diblokir.

Setiap organisasi yang pernah memindahkan uang melalui transfer kawat atau mengubah rincian bank pemasok di masa lalu harus memperlakukan ini sebagai risiko finansial nyata dan melaporkan dugaan insiden ke pusat pelaporan penipuan nasional mereka, seperti IC3 FBI di Amerika Serikat, Action Fraud di Inggris, dan padanannya di tempat lain.

Kontrol yang benar-benar menghentikan business email compromise

Karena business email compromise melewati tanda bahaya teknis yang menjadi dasar pelatihan phishing, kontrol yang menghentikannya pun tampak berbeda. Kesadaran memang membantu, tetapi pertahanan yang benar-benar bertahan bersifat prosedural dan teknis, bukan sekadar masalah karyawan membaca email dengan lebih cermat.

Otorisasi ganda

Otorisasi ganda pada setiap pembayaran di atas ambang batas yang ditentukan harus bersifat wajib, bukan sekadar formalitas saat seseorang ingat untuk memintanya. Persetujuan satu orang tidak boleh cukup untuk memindahkan sejumlah uang yang signifikan, terlepas dari seberapa senior atau mendesaknya permintaan tersebut.

Verifikasi panggilan balik

Verifikasi panggilan balik menutup celah yang tidak dapat diatasi oleh email saja. Setiap permintaan untuk mengubah rincian bank atau mencairkan pembayaran harus dikonfirmasi melalui telepon, menggunakan nomor yang sudah tercatat di file, dan jangan pernah menggunakan nomor yang diberikan di dalam email itu sendiri, karena nomor yang diberikan oleh penyerang hanya akan menghubungkan kembali target ke penyerang.

Tinjau prosedur persetujuan pembayaran

Meninjau prosedur persetujuan pembayaran secara berkala juga membantu mengurangi risiko business email compromise dari waktu ke waktu. Seiring berkembangnya bisnis, pengecualian sementara dan pintasan informal sering kali menjadi bagian dari operasi sehari-hari tanpa ada yang mempertanyakan apakah hal tersebut masih sesuai. Meninjau siapa yang dapat mengotorisasi pembayaran, bagaimana perubahan rincian bank disetujui, dan transaksi mana yang memerlukan verifikasi tambahan membantu memastikan kontrol finansial tetap sesuai dengan tingkat risiko organisasi saat ini. Bahkan prosedur yang dirancang dengan baik pun akan kehilangan efektivitasnya jika tidak ditinjau kembali seiring perkembangan bisnis.

Autentikasi email

Autentikasi email teknis adalah komponen utama dari keamanan email dan sangat penting di sini dibandingkan pada sebagian besar phishing, karena business email compromise sering kali mengandalkan spoofing domain organisasi itu sendiri untuk meniru para eksekutifnya.

DMARC, yang bekerja bersama SPF dan DKIM, memberi tahu server surat penerima tindakan apa yang harus dilakukan terhadap pesan yang gagal diautentikasi terhadap domain Anda, sehingga penyerang jauh lebih sulit untuk mengirim email yang tampak berasal dari CEO Anda sendiri.

Budaya keamanan yang terbuka

Semua ini tidak akan berjalan tanpa adanya norma budaya yang mendasarinya: Berhenti sejenak dan memverifikasi permintaan selalu dapat diterima, terlepas dari siapa pun yang tampak memintanya. Karyawan yang takut terlihat menghalangi atau tidak memercayai figur senior adalah sasaran empuk yang dirancang untuk diincar oleh upaya kompromi email bisnis, dan rasa takut tersebut hanya akan hilang jika jajaran pimpinan menegaskan berulang kali bahwa mempertanyakan permintaan yang tidak biasa adalah hal yang diharapkan, bukan bentuk ketidaksetiaan.

Cara mengenali tanda-tanda peringatan dari upaya kompromi email bisnis

Kompromi email bisnis jarang menampakkan diri melalui tanda-tanda peringatan teknis yang jelas. Email tersebut mungkin berasal dari alamat yang familier, merujuk pada proyek nyata, dan menggunakan bahasa yang sesuai dengan percakapan sebelumnya. Itulah sebabnya konteks di sekitar permintaan sering kali lebih penting daripada email itu sendiri.

Beberapa pola muncul berulang kali dalam penyelidikan kompromi email bisnis. Permintaan yang mengabaikan prosedur persetujuan normal harus selalu dipertanyakan. Begitu pula instruksi tak terduga untuk merahasiakan pembayaran, perubahan rincian rekening bank pemasok sesaat sebelum tanggal jatuh tempo tagihan, atau permintaan yang datang saat seorang eksekutif senior sedang bepergian dan sulit dihubungi. Penyerang sengaja memilih situasi ketika karyawan cenderung tidak memverifikasi permintaan melalui kanal lain.

Perubahan kecil dalam gaya komunikasi juga dapat memberikan petunjuk. Seorang eksekutif yang biasanya mendelegasikan persetujuan keuangan mungkin tiba-tiba meminta pembayaran secara pribadi. Pemasok yang biasanya berkomunikasi melalui manajer akun mungkin mengirimkan instruksi perbankan dari kontak yang berbeda. Tidak ada satu pun dari tanda-tanda ini yang secara langsung membuktikan adanya serangan, tetapi tanda-tanda tersebut harus mendorong verifikasi tambahan sebelum uang dipindahkan atau rincian akun diubah.

Pendekatan paling aman adalah memperlakukan permintaan finansial yang tidak biasa sebagai pengecualian proses bisnis, bukan situasi yang memerlukan keputusan mendesak. Panggilan telepon singkat menggunakan nomor tepercaya, atau konfirmasi melalui kanal komunikasi internal yang sudah ada, dapat mencegah kerugian yang memerlukan waktu berminggu-minggu atau berbulan-bulan untuk dipulihkan.

Bagaimana kredensial mempermudah kompromi email bisnis?

Tidak semua upaya kompromi email bisnis bergantung pada domain tiruan (spoofed). Terkadang, hal itu dimulai dari akun email yang memang telah disusupi, di mana penyerang hanya perlu masuk menggunakan kata sandi yang telah terekspos di tempat lain.

Setelah berada di dalam, mereka tidak perlu memalsukan apa pun. Mereka dapat membaca utas lama, mencocokkan nada serta pemformatan secara persis, dan mengirimkan permintaan penipuan dari alamat yang lolos dari setiap pemeriksaan autentikasi, karena itu memang akun asli milik pengirim.

Di sinilah higienitas kata sandi dan pencegahan kompromi email bisnis saling bersinggungan langsung. Data Breach Observatory dari Proton melacak seberapa sering kredensial bisnis muncul dalam kumpulan data kriminal jauh sebelum ada orang di perusahaan yang terdampak menyadarinya, dan kompromi akun adalah dampak nyata yang dimungkinkan oleh data tersebut.

Email bisnis yang aman, kata sandi unik pada setiap akun, yang dikombinasikan dengan autentikasi multifaktor (MFA), berarti kata sandi yang bocor dari satu pembobolan tidak dapat digunakan kembali untuk masuk ke kotak surat dan melancarkan upaya kompromi email bisnis dari dalam.

Pengelola kata sandi bisnis seperti Proton Pass for Business menjadikan standar ini realistis untuk dipertahankan di seluruh organisasi, alih-alih bergantung pada masing-masing karyawan yang harus mengingat untuk tidak menggunakan ulang kata sandi. Ketika kredensial dibuat dan tersimpan dengan benar, kerentanan terhadap pembobolan data dan pengambilalihan akun dapat dikurangi secara signifikan.

Lindungi akun bisnis Anda dari kompromi dengan pengelola kata sandi bisnis yang aman.