Skema phishing telah berkembang menjadi operasi canggih yang merugikan bisnis. Dalam beberapa kasus, pelaku phishing meniru identitas CEO. Dalam kasus lain, mereka membuat permintaan faktur palsu. Menurut laporan IBM tahun 2025, phishing merugikan perusahaan rata-rata $4,4 juta per serangan(jendela baru).
Namun, ada cara untuk mencegah serangan berbiaya tinggi ini, dan ini dimulai dari karyawan. Investigasi baru-baru ini oleh Verizon menemukan bahwa 8% karyawan bertanggung jawab atas 80% serangan phishing yang luar biasa banyak(jendela baru). Seiring kemajuan teknologi yang lebih cepat dari sebelumnya, penjahat siber menggunakan cara-cara baru untuk mengeksploitasi perilaku manusia, alih-alih pelindung keamanan, untuk membobol sistem data.
Dalam artikel ini, disediakan tanda-tanda peringatan phishing, contoh serangan phishing yang perlu diwaspadai, dan 10 praktik bisnis terbaik yang dapat diterapkan untuk mencegah serangan phishing merugikan bisnis.
Apa itu phishing?
Phishing adalah bentuk kejahatan siber yang dirancang untuk mengelabui orang, sering kali karyawan, agar mengungkapkan informasi pribadi atau sensitif dengan menyamar sebagai entitas tepercaya. Namun, phishing tidak hanya terjadi di email dan situs web palsu lagi. Alih-alih meretas perangkat lunak organisasi, yang membutuhkan tingkat keterampilan teknis yang lebih tinggi, pelaku phishing mengeksploitasi psikologi dan kesalahan manusia menggunakan alat yang manipulatif secara emosional seperti persuasi, urgensi, dan otoritas untuk membuat korban menyerahkan materi sensitif dengan mudah.
Sebagai contoh, seorang karyawan dapat menerima email yang tampaknya berasal dari CEO mereka, pemasok, atau penyedia layanan terkenal. Pesan tersebut kemungkinan akan memperingatkan tentang pembobolan keamanan, faktur yang terlewat, atau upaya masuk yang mencurigakan, dan mendesak penerima untuk segera bertindak. Saat penerima mengeklik tautan tersemat atau membalas email dengan informasi sensitif mereka (seperti kredensial masuk atau informasi akun rahasia), penyerang dapat memperoleh akses ke seluruh jaringan sistem internal bisnis.
Jenis umum serangan phishing
Ada banyak jenis serangan phishing yang dapat mengakibatkan penipuan atau pembobolan data. Berikut adalah jenis yang paling umum:
- Email phishing: Pesan palsu dari eksekutif perusahaan atau vendor B2B yang meminta kredensial masuk karyawan, yang kemudian memungkinkan penyerang mengakses sistem data perusahaan.
- Smishing: Phishing melalui pesan SMS atau aplikasi perpesanan teks, seperti WhatsApp.
- Vishing: Penipuan video atau audio yang berpura-pura menjadi figur otoritas, seperti CEO atau perwakilan bank.
- Quishing: Phishing melalui kode QR palsu yang mengarahkan korban ke tautan penipuan.
Tanda-tanda phishing yang perlu diwaspadai
Ragu bagaimana membedakan antara email asli dan penipuan? Berikut adalah cara utama untuk mengetahui bahwa email yang dihadapi adalah email phishing, bukan email asli:
- Alamat pengirim email yang mencurigakan atau tidak cocok.
- Bahasa yang mendesak atau menimbulkan ketakutan.
- Permintaan data sensitif.
- Kesalahan ejaan, kesalahan tata bahasa, nada yang tidak biasa, atau dalam kasus AI, tidak ada kesalahan sama sekali dan nada yang terasa janggal atau kaku.
- Tautan yang mengarah ke situs web yang tidak cocok dengan domain situs web resmi.
- Permintaan kredensial masuk atau informasi keuangan pribadi.
Strategi pencegahan dan praktik terbaik phishing
Bisnis dan karyawan dapat dipastikan tetap selangkah lebih maju dari pelaku phishing dengan mengambil tindakan. Berikut adalah praktik terbaik yang perlu diikuti:
- Latih karyawan untuk mengidentifikasi upaya phishing dan dorong tim untuk melaporkan semua kemungkinan serangan phishing, meskipun tidak yakin bahwa pesan tersebut palsu.
- Terapkan penyaringan email yang kuat dan alat anti-phishing. Mulailah dengan beralih ke penyedia email yang mengutamakan privasi seperti Proton Mail, yang memiliki filter spam cerdas dan PhishGuard bawaan untuk menandai potensi serangan phishing.
- Aktifkan autentikasi dua faktor (2FA) menggunakan Proton Authenticator untuk memberikan lapisan perlindungan tambahan bagi akun daring pribadi dan karyawan.
- Perbarui sistem operasi secara berkala dan peramban untuk memastikan peretas dan pelaku phishing tidak dapat mengakses data melalui bug pada perangkat lunak.
- Verifikasi semua permintaan untuk transaksi keuangan atau perubahan data.
- Lakukan latihan simulasi phishing seperti yang telah dikumpulkan di blog ini.
- Terapkan kebijakan pengelolaan kata sandi yang kuat dan gunakan pengelola kata sandi untuk keamanan tambahan.
- Pantau internet secara berkala untuk mewaspadai domain spoofing atau pelaku phishing yang meniru merek sendiri.
- Terapkan enkripsi data end-to-end dan gunakan VPN.
- Miliki rencana respons insiden yang jelas untuk serangan phishing dan pastikan karyawan tahu cara melaporkan serangan dengan benar.
Contoh nyata serangan phishing
Phishing terus berkembang karena mengeksploitasi mata rantai terlemah dalam keamanan siber: manusia. Berikut adalah beberapa contoh nyata berprofil tinggi:
- Contoh 1: Serangan phishing menargetkan (jendela baru)karyawan University of California(jendela baru) dengan mengirimkan email palsu untuk mencuri kredensial dan mengubah informasi setoran langsung secara ilegal. Penyerang juga mencuri nama pengguna dan kata sandi(jendela baru) melalui situs web palsu yang terlihat tepercaya dan menyamar sebagai pusat bantuan melalui panggilan telepon dan pesan teks.
- Contoh 2: Serangan phishing menargetkan karyawan di Numotion(jendela baru), penyedia kursi roda, yang mengeksploitasi catatan hampir 500.000 orang. Pembobolan tersebut mengungkap nama, tanggal lahir, rekam medis, informasi keuangan, dan dalam beberapa kasus nomor Jaminan Sosial. Numotion menghadapi beberapa gugatan hukum karena gagal mengamankan informasi sensitif.
- Contoh 3: Di Jepang, penipuan phishing massal penipuan(jendela baru) mengirimkan lebih dari 580 juta email palsu yang meniru Amazon, PayPal, Apple, dan merek tepercaya lainnya dalam upaya untuk mencuri data pembayaran(jendela baru).
Jaga data tetap aman dengan Proton
Meskipun perusahaan berinvestasi besar-besaran dalam sistem keamanan, satu klik saja oleh karyawan yang menjadi sasaran penipuan phishing dapat membuat pelindung keamanan tidak berguna dalam hitungan detik.
Hasilnya? Kerugian finansial yang sangat besar dan pembobolan data yang membutuhkan waktu berbulan-bulan untuk pulih. Di sektor B2B, phishing juga dapat mengikis kepercayaan antara mitra dan klien, serta membahayakan hubungan jangka panjang.
Dengan rangkaian aplikasi yang mengutamakan privasi dari Proton, bisnis dan karyawan dapat tetap berada di depan para pelaku phishing dan peretas setiap saat.
Siap memberikan alat yang dibutuhkan karyawan untuk meraih kesuksesan? Pelajari solusi terenkripsi Proton agar dapat mulai melindungi bisnis hari ini.
