Phishing tetap menjadi salah satu cara paling umum bagi penyerang untuk mendapatkan akses ke jaringan bisnis. Metode ini meniru komunikasi bisnis sehari-hari yang sah, menjadikannya teknik ideal untuk mengumpulkan informasi bisnis yang berharga tanpa disadari. Dalam laporan Cyber Security Breaches Survey 2025 pemerintah Inggris, phishing adalah jenis pembobolan atau serangan paling umum yang dilaporkan oleh bisnis yang mengidentifikasi insiden, memengaruhi 85% di antaranya dan setara dengan 37% dari semua bisnis secara keseluruhan.a

Pelatihan kesadaran harus menjadi mandat bisnis, bukan hanya tugas kepatuhan. Satu upaya phishing yang berhasil dapat mengekspos kredensial, memberikan akses ke sistem internal, dan menciptakan masalah yang menyebar jauh melampaui satu kotak masuk karyawan.

Masalahnya adalah banyak organisasi masih mengandalkan upaya kesadaran satu kali saja, meskipun phishing terus berubah. Program yang lebih efektif dapat memberikan latihan berulang kepada karyawan, kebiasaan pelaporan yang lebih jelas, dan kontrol pendukung yang mengurangi dampak kesalahan.

Seperti apa phishing dalam konteks bisnisa

Phishing bisnis telah berkembang melampaui email palsu yang jelas-jelas penuh dengan kesalahan ejaan. Dalam praktiknya, karyawan jauh lebih mungkin menemui upaya yang terlihat realistis seperti:

  • Perintah verifikasi akun
  • Notifikasi dokumen bersama
  • Halaman login untuk platform bisnis umum
  • Persetujuan faktur
  • Pembaruan SDM
  • Pesan dari pemasok tepercaya atau eksekutif internal.a

Jika anggota tim merespons, penyerang kemudian dapat menggunakan informasi yang mereka kumpulkan tentang karyawan atau perusahaan untuk membuat pesan lebih persuasif dan realistis, terutama dalam kampanye yang lebih bertarget.

Spear phishing, peniruan identitas eksekutif, dan pemanenan kredensial

Pelatihan kesadaran phishing perlu mempersiapkan tim untuk beberapa pola sekaligus. Spear phishing adalah salah satu variasi phishing yang paling umum. Alih-alih mengirimkan pesan generik ke ribuan penerima, penyerang menyesuaikan email untuk peran, proyek, rekan kerja, atau hubungan pemasok tertentu.a

Pesan tersebut terasa masuk akal karena dibuat seputar sesuatu yang secara realistis diharapkan untuk dilihat oleh karyawan. Penargetan jenis ini sering kali dibuat lebih meyakinkan oleh informasi yang dikumpulkan dari situs web perusahaan, profil publik, atau sumber daring lainnya.

Variasi phishing lainnya adalah peniruan identitas eksekutif, terkadang disebut sebagai penipuan CEO. Di sini, penyerang meniru pemimpin senior atau pemangku kepentingan penting untuk menciptakan urgensi seputar pembayaran, file, atau permintaan kredensial, menekan staf untuk mentransfer uang atau informasi kecuali proses verifikasi normal diikuti.

Pola ketiga adalah pemanenan kredensial. Dalam serangan ini, karyawan diarahkan ke halaman login palsu yang dirancang untuk menangkap nama pengguna, kata sandi, dan terkadang bahkan kode one-time password (OTP).a

Pelatihan phishing harus mencerminkan alur kerja bisnis yang nyata daripada memberikan saran umum. Banyak halaman phishing dibuat menyerupai alat yang sudah digunakan karyawan setiap hari.a

Mengapa pesan bisnis rutin begitu efektif

Phishing tetap efektif dalam organisasi karena sering kali menyatu dengan operasi sehari-hari. Perintah login palsu hanya perlu terasa familier cukup lama bagi seseorang untuk bertindak secara autopilot. Hal yang sama berlaku untuk pesan pemasok, notifikasi dokumen bersama, atau permintaan internal yang mendesak.

Itulah mengapa pelatihan tidak boleh hanya fokus pada kata-kata mencurigakan atau tata bahasa yang buruk. Karyawan juga perlu memahami bagaimana penyerang mengeksploitasi cara kerja normal. Pikirkan tentang bagaimana organisasi beroperasi dan bagaimana membantu staf mengenali permintaan yang berada di luar proses normal, terutama ketika uang, kredensial, atau informasi sensitif terlibat.

Contoh pembobolan baru-baru inia

Pelaporan pembobolan baru-baru ini memperkuat poin bahwa phishing di dalam bisnis sekarang jauh melampaui penipuan kotak masuk sederhana.a

Menurut Data Breach Observatory Proton, perusahaan kartu ucapan Hallmark Cards ditargetkan oleh kelompok peretas pemerasan kriminal yang dikenal sebagai ShinyHunters. Kelompok tersebut memperoleh catatan milik Hallmark Cards dari Salesforce dan memberikan tenggat waktu pemerasan kepada bisnis tersebut. Pada akhirnya, kelompok tersebut membocorkan 2,8 juta catatan unik.

ShinyHunters sangat produktif, menargetkan banyak bisnis profil tinggi dalam beberapa bulan terakhir. Pada Januari 2026, merek pakaian Canada Goose dikaitkan dengan pembobolan sekitar 600.000 catatan pelanggan. Data tersebut berasal dari pembobolan pihak ketiga yang terjadi pada Agustus 2025.

Contoh-contoh ini berguna karena menunjukkan seperti apa phishing dalam pengaturan bisnis sekarang: bukan hanya penipuan kotak masuk, tetapi serangan yang ditujukan pada kontraktor, sistem identitas, akses internal, dan hubungan kepercayaan yang diandalkan organisasi setiap hari.

Mengapa kesadaran saja tidak cukup

Kesadaran phishing itu penting, tetapi tidak cukup jika berdiri sendiri. Karyawan tidak melakukan kesalahan hanya karena mereka kekurangan informasi. Mereka juga melakukannya karena sibuk, terganggu, di bawah tekanan, atau bergerak cepat melalui alur kerja di mana pesan phishing dapat dengan mudah dianggap sah pada pandangan pertama.

Itulah mengapa pelatihan tidak boleh dibangun di atas gagasan bahwa setiap karyawan dapat mengenali setiap upaya phishing. Organisasi tidak dapat mengandalkan deteksi pengguna saja. Beberapa serangan akan tetap lolos, yang berarti kontrol teknis, proses yang jelas, dan edukasi pengguna perlu bekerja sama.

Program pelatihan kesadaran phishing yang lebih kuat dibangun di atas kenyataan tersebut. Program ini membantu karyawan mengenali tanda-peringatan umum, jeda ketika ada yang terasa janggal, melaporkan dengan cepat, dan bekerja di dalam sistem yang membuat satu kesalahan lebih mudah dibatasi. Ini juga terhubung secara alami dengan kesiapan insiden.

Jika seseorang mengeklik tautan berbahaya atau membagikan kredensial, organisasi memerlukan jalur respons yang cepat dan jelas. Pelatihan menjadi jauh lebih efektif ketika karyawan tahu apa yang terjadi setelah laporan dibuat dan peran apa yang mereka mainkan. Panduan Proton tentang respons insiden dapat membantu organisasi menyusun rencana.a

Seperti apa program pelatihan kesadaran phishing yang efektif?

Program pelatihan kesadaran phishing yang efektif tidak dibangun di sekitar sesi tahunan tunggal dan beberapa contoh usang. Program ini berkelanjutan, praktis, dan dirancang di sekitar cara orang bekerja secara nyata. Ini berarti penguatan rutin, skenario realistis, dan masukan yang membantu karyawan membangun penilaian yang lebih baik dari waktu ke waktu.

Dalam praktiknya, kesadaran phishing harus muncul di lebih dari satu momen. Ini harus menjadi bagian dari orientasi, pelatihan penyegaran, pengingat berbasis skenario singkat, dan tinjauan insiden, bukan sesuatu yang dilihat karyawan sekali lalu dilupakan. Ini juga perlu mencerminkan paparan yang nyata.a

Seseorang yang berurusan dengan faktur, dukungan eksekutif, komunikasi pemasok, akses istimewa, atau catatan sensitif kemungkinan besar akan menghadapi berbagai jenis tekanan phishing daripada seseorang dalam alur kerja berisiko lebih rendah. Panduan phishing NCSC mencerminkan kenyataan tersebut dengan mencatat bahwa staf dengan akses ke informasi sensitif, aset keuangan, atau sistem TI mungkin ditargetkan secara lebih gencar.

Praktik juga perlu digunakan dengan baik. Simulasi phishing bisa berguna, tetapi tidak ketika itu berubah menjadi latihan saling menyalahkan. Simulasi yang ditangani dengan buruk dapat merusak kepercayaan dan menyurutkan semangat orang untuk melaporkan kesalahan jika mereka merasa dijebak alih-alih didukung.a

Program yang lebih kuat menggunakan simulasi dengan hati-hati, memberikan masukan segera, dan meningkatkan kesulitan secara bertahap. Ini tidak mencoba membouten bahwa karyawan mudah dibodohi, melainkan membantu mereka membangun pengenalan pola, kebiasaan melaporkan, dan lebih percaya diri dalam situasi nyata.

Lima bendera merah phishing yang masih dilewatkan oleh karyawan

Banyak karyawan mengetahui tanda peringatan klasik, tetapi mereka masih melewatkan isyarat halus yang terjadi dalam serangan bisnis yang nyata. Pelatihan kesadaran phishing jauh lebih berguna ketika mengajarkan orang cara mengenali pola yang sesuai dengan pekerjaan sehari-hari mereka.

1. Pesan yang cocok dengan alur kerja, tetapi mengubah saluran atau urgensi

Email phishing yang paling efektif sama sekali tidak terlihat acak. Email tersebut menyerupai permintaan faktur, dokumen bersama, pembaruan gaji, atau notifikasi masuk yang diharapkan diterima oleh karyawan.a

Yang berubah adalah urgensi, kerahasiaan, atau prosesnya. Penyerang ingin target melewati pemeriksaan normal. Panduan NCSC secara khusus memperingatkan bahwa penyerang mengeksploitasi proses dan permintaan bisnis, termasuk permintaan informasi atau pembayaran yang tidak sah.

2. Nama pengirim yang tepercaya menyembunyikan domain buruk atau sumber palsu

Karyawan sering kali fokus pada nama tampilan dan bukan alamat lengkap, jalur balasan, atau domain. Itu adalah salah satu alasan mengapa kontrol anti-spoofing penting, tetapi pelatihan masih perlu mengajarkan orang untuk memperlambat ritme kerja ketika merek atau rekan kerja yang familier tampak sedikit “aneh”.a

NCSC menyarankan organisasi untuk mempersulit spoofing email melalui kontrol seperti Domain-based Message Authentication, Reporting, and Conformance (DMARC), Sender Policy Framework (SPF), dan DomainKeys Identified Mail (DKIM). Bersama-sama, pemeriksaan autentikasi email ini membantu sistem penerima memverifikasi apakah suatu pesan benar-benar berasal dari domain yang diklaimnya.

3. Halaman login yang terlihat cukup normal

Halaman pemanenan kredensial tidak perlu terlihat sempurna. Halaman tersebut hanya perlu terasa familier cukup lama bagi karyawan untuk memasukkan nama pengguna dan kata sandi. Dalam praktiknya, petunjuk terbesar mungkin adalah konteks daripada desain: mengapa permintaan masuk ini muncul sekarang, dan mengapa melalui rute ini?a

4. Permintaan yang menuntut kecepatan daripada verifikasi

Peniruan identitas eksekutif, penipuan faktur, dan penipuan pemasok sering kali bersandar pada urgensi. Pesan dibuat sedemikian rupa agar verifikasi terasa tidak nyaman atau tidak loyal. Pelatihan phishing yang kuat harus mengajarkan bahwa urgensi yang tidak terduga bukan sekadar bahasa yang mencurigakan; ini adalah sinyal untuk beralih dari mode respons email ke mode verifikasi.

5. Situasi di mana pelaporan terasa memalukan

Salah satu tanda peringatan yang paling sering diabaikan adalah masalah internal daripada teknis: karyawan melihat sesuatu yang aneh, tetapi ragu untuk melaporkannya karena tidak yakin, terlalu sibuk, atau khawatir terlihat ceroboh.

NCSC memperingatkan agar tidak menegur pengguna yang kesulitan mengenali phishing karena takut akan pembalasan yang menekan pelaporan. Oleh karena itu, program yang sehat mengajarkan karyawan bahwa menyampaikan kekhawatiran lebih awal berguna bahkan jika pesan tersebut ternyata tidak berbahaya.

Apa yang terjadi ketika pelatihan gagal

Ketika pelatihan phishing gagal, kerusakan sering kali diukur dalam bentuk kredensial sebelum diukur di tempat lain. Pengguna memasukkan kata sandi ke dalam portal palsu, menyetujui perintah yang tidak terduga, atau membagikan rincian login melalui permintaan yang terlihat seperti internal yang meyakinkan. Sejak saat itu, masalahnya tidak lagi hanya tentang satu keputusan kotak masuk. Masalah ini menjadi masalah kontrol akses.

Koneksi antara phishing and kebersihan kata sandi menjadi sangat penting. Jika kata sandi yang sama digunakan kembali di beberapa layanan, satu kredensial yang dikompromikan dapat menjadi rute ke dalam email, alat SaaS, platform cloud, atau sistem admin. Jika login bersama masih ditangani melalui metode informal atau tidak terkontrol, akuntabilitas akan turun lebih jauh lagi.

Laporan Data Breach Observatory Proton mencatat bahwa nama dan email muncul dalam 9 dari 10 pembobolan, bahwa 72% pembobolan berisi data kontak, dan 49% mencakup kata sandi. Itu berarti penyerang sering kali memiliki materi mentah yang tepat yang mereka butuhkan untuk membuat phishing lebih meyakinkan dan untuk mengeksploitasi penggunaan kembali kata sandi ketika mereka berhasil.

Contoh pembobolan baru-baru ini menunjukkan poin yang sama dari sudut pandang lain. Dalam pelaporan pembobolan Proton, insiden terkait phishing pada tahun 2026 tidak berhenti pada tautan yang diklik; insiden tersebut menjadi akses jaringan, paparan internal, dan insiden bisnis yang lebih luas. Itulah mengapa pencegahan serangan phishing tidak dapat mengandalkan pengenalan karyawan saja. Hal ini juga harus mengurangi seberapa jauh kredensial yang dicuri dapat berjalan setelah satu akun dikompromikan.

Kata sandi unik untuk setiap layanan adalah salah satu kontrol paling sederhana dan bernilai paling tinggi di sini. Kata sandi ini tidak menghentikan upaya phishing, tetapi membantu membatasi dampak yang ditimbulkan. Jika satu kata sandi dicuri, kata sandi tersebut tidak boleh membuka lima sistem lainnya.

Sebuah pengelola kata sandi bisnis yang aman mendukung strategi budaya keamanan. Proton Pass for Business dirancang untuk membantu tim menghasilkan dan menyimpan kata sandi yang kuat dan unik untuk setiap layanan, mengurangi kemungkinan satu peristiwa phishing yang berhasil merembet ke seluruh organisasi.

Model praktis untuk pelatihan phishing bagi karyawan

Tempat terbaik untuk memulai bukanlah dengan materi pelatihan generik, melainkan dengan cara kerja organisasi secara nyata.

Fokus pertama pada skenario phishing yang kemungkinan besar dihadapi karyawan: perintah masuk, peniruan identitas pemasok, persetujuan pembayaran, notifikasi dokumen bersama, permintaan eksekutif, atau serangan penyedia identitas. Pelatihan menjadi jauh lebih berguna ketika orang dapat mengenali realitas kerja mereka sendiri di dalamnya.

Pelaporan juga harus sederhana dan aman. Panduan phishing dari NCSC menjelaskan bahwa organisasi harus membantu pengguna mengidentifikasi dan melaporkan pesan phishing yang dicurigai, sementara Situs Web Pelaporan Penipuan(jendela baru) menyediakan rute pelaporan resmi Inggris Raya untuk phishing dan kejahatan siber. Karyawan harus mengetahui tempat melapor secara internal, apa yang harus disertakan, dan apa yang harus segera dilakukan jika mengeklik tautan, memasukkan kredensial, atau menyetujui akses.

Pelatihan harus didukung oleh kontrol yang mengurangi dampak kesalahan. Hal itu mencakup pemfilteran email, perlindungan anti-spoofing, alur masuk yang aman, 2FA, dan kebersihan kata sandi yang lebih kuat. Panduan bisnis Proton tentang pencegahan serangan phishing juga menunjukkan pentingnya kanal pelaporan yang jelas, latihan berulang, dan monitoring kredensial yang terekspos.

Terakhir, ukur lebih dari sekadar klik. Tingkat klik simulasi bisa berguna, tetapi tingkat pelaporan, waktu untuk melapor, pola kegagalan berulang, dan insiden terkait kredensial sering kali memberikan gambaran yang lebih jelas tentang apakah ketahanan meningkat. NCSC juga merekomendasikan untuk memikirkan matang-matang tentang metrik phishing agar organisasi tidak malah menghambat pelaporan yang aman.

Deteksi yang sempurna tidaklah mungkin, tetapi respons yang lebih kuat sangat mungkin

Pelatihan kesadaran phishing paling efektif jika melampaui gagasan bahwa karyawan harus mampu mengenali setiap serangan dengan sempurna. Tujuan yang lebih realistis adalah membangun tim yang dapat mengenali tanda peringatan yang familier, melaporkan kekhawatiran dengan cepat, dan merespons dengan cara yang mencegah satu kesalahan berkembang menjadi insiden yang lebih luas.

Hal itu membutuhkan lebih dari sekadar informasi. Dibutuhkan latihan berulang, contoh yang mencerminkan peran dan alur kerja yang sebenarnya, serta proses yang jelas yang dapat diandalkan oleh karyawan saat ada sesuatu yang terasa salah. Diperlukan juga kontrol yang mengurangi dampak pencurian kredensial saat upaya phishing berhasil. Oleh karena itu, pelatihan phishing untuk karyawan berfungsi paling baik sebagai bagian dari budaya keamanan yang lebih luas, bukan sebagai latihan kesadaran yang berdiri sendiri.

Organisasi yang berhasil mengurangi risiko phishing cenderung menggabungkan elemen-elemen yang sama: pelatihan praktis, kebiasaan pelaporan yang jelas, kesiapan insiden yang lebih kuat, dan kebersihan kredensial yang lebih ketat. Sumber daya Proton tentang serangan phishing dan respons insiden semuanya memperkuat prinsip yang sama: kesadaran jauh lebih efektif jika didukung oleh sistem yang membuat upaya mengompromikan lebih mudah dikendalikan.