Vishing, atau voice phishing, adalah jenis serangan phishing yang dilakukan melalui telepon atau pesan suara – ini bisa berupa pesan suara, panggilan video, atau panggilan telepon. Ini digunakan terhadap bisnis dan individu untuk mencuri data dan uang, atau meluncurkan penipuan lebih lanjut.

Suara seseorang tidak lagi dapat dipercaya. Dan dengan kloning suara AI, penyerang dapat meniru anggota keluarga atau teman dekat dengan mudah, terdengar cukup dikenal sehingga tidak menimbulkan kecurigaan.

Kloning suara AI membuatnya semakin penting bagi bisnis untuk memperkuat pertahanan terhadap penipuan vishing. Suara palsu yang meyakinkan dapat digunakan untuk meniru eksekutif, karyawan, pemasok, atau pelanggan, sehingga meningkatkan risiko pembayaran penipuan, pencurian kredensial, pengambilalihan akun, pembobolan data, dan gangguan pada operasi internal.

Karena serangan ini dapat mengeksploitasi proses bisnis normal dan hubungan tepercaya, organisasi membutuhkan prosedur verifikasi yang tidak bergantung pada apakah penelepon terdengar dikenal atau meyakinkan.

Apa itu vishing?

Vishing adalah jenis phishing yang dilakukan melalui telepon atau melalui pesan suara. Penipu meniru orang atau organisasi tepercaya, seperti bank, pemberi kerja, lembaga pemerintah, atau anggota keluarga, untuk menipu korban agar membagikan informasi sensitif, mengirim uang, atau mengambil tindakan lain.

Nama ini berasal dari “voice” + “phishing.” Ini berkaitan erat dengan smishing, yang menggunakan SMS atau pesan teks alih-alih panggilan suara untuk melakukan penipuan serupa.

Saat ini, vishing juga dapat melibatkan kloning suara AI, yang memungkinkan penipu meniru suara orang sungguhan dan membuat panggilan terdengar lebih meyakinkan.

Bagaimana cara kerja vishing?

Vishing biasanya bekerja dengan menggabungkan peniruan identitas, rekayasa sosial, dan urgensi. Ini mengandalkan tekanan dari percakapan langsung untuk mendorong seseorang bertindak sebelum sempat memverifikasi permintaan. Penelepon mungkin berpura-pura dari IT dan meminta untuk mengonfirmasi masuk, menyamar sebagai karyawan bank yang memeriksa transaksi mencurigakan, atau meniru eksekutif senior yang secara mendesak membutuhkan persetujuan pembayaran.

Tidak seperti email phishing, mungkin tidak ada tautan mencurigakan, lampiran, atau alamat pengirim yang tidak dikenal untuk diperiksa. Penelepon mungkin terdengar tenang, meyakinkan, atau bahkan dikenal, terutama jika kloning suara AI terlibat.

Tujuannya biasanya untuk membujuk korban agar mengungkapkan kredensial atau kode satu kali, menyetujui transfer, mengatur ulang akses akun, atau mengabaikan proses keamanan normal. Dalam pengaturan bisnis, hal itu bisa berarti menipu staf keuangan agar mengotorisasi pembayaran, meniru dukungan IT untuk mengumpulkan rincian masuk, atau meyakinkan karyawan untuk memberi penyerang akses ke akun perusahaan.

AI membuat vishing lebih sulit dideteksi

Penipuan vishing tradisional sering kali ketahuan melalui skrip yang buruk, ancaman yang jelas, pusat panggilan yang bising, atau penelepon yang tidak terdengar meyakinkan. Beberapa masih begitu. Namun bisnis tidak lagi dapat memperlakukan kualitas suara, rasa percaya diri, atau keakraban sebagai tanda terpercaya bahwa panggilan itu asli.

Kloning suara AI memungkinkan untuk meniru orang sungguhan dengan cukup mirip untuk membuat permintaan yang meyakinkan. Penyerang dapat menggabungkan suara kloning dengan spoofing ID penelepon dan rincian pribadi yang dikumpulkan dari LinkedIn, situs web perusahaan, wawancara publik, media sosial, atau pembobolan data sebelumnya.

Hal itu membuat suara yang dikenal sangat berisiko sebagai sinyal kepercayaan. Orang secara alami menilai penelepon berdasarkan nada, rasa percaya diri, keraguan, atau apakah suaranya terdengar seperti seseorang yang mereka kenal. AI dapat mereproduksi banyak petunjuk tersebut, membuat eksekutif, rekan kerja, vendor, atau karyawan IT yang ditiru terdengar tenang, terburu-buru, otoritatif, atau khawatir.

Pada tahun 2025, FBI memperingatkan(jendela baru) bahwa pelaku kejahatan menggunakan smishing dan pesan suara buatan AI untuk meniru pejabat senior AS, membangun kepercayaan, dan mencoba mendapatkan akses ke akun pribadi.

Bagi bisnis, penyerang tidak membutuhkan peniruan yang sempurna. Mereka hanya membutuhkan panggilan yang cukup meyakinkan untuk memicu tindakan, seperti menyetujui pembayaran, membagikan kode verifikasi, mengatur ulang kata sandi, atau mengubah akses akun.

Itulah mengapa permintaan sensitif harus diverifikasi melalui kanal tepercaya lain, bahkan ketika penelepon terdengar persis seperti seseorang yang dikenal karyawan.

Contoh umum vishing yang menargetkan bisnis

Vishing bekerja paling baik ketika permintaan terasa masuk akal. Penyerang sering kali memilih skenario yang sesuai dengan rutinitas bisnis normal, lalu menambahkan urgensi. Berikut adalah contoh umum vishing:

Peniruan dukungan IT

Salah satu skenario umum adalah peniruan dukungan IT. Seorang karyawan menerima panggilan dari seseorang yang mengaku dari helpdesk perusahaan, penyedia perangkat lunak, atau tim keamanan. Penelepon mungkin mengatakan ada isu masuk, perbarui mendesak, aktivitas mencurigakan, atau migrasi yang mengharuskan karyawan mengonfirmasi kredensial atau membacakan kode satu kali.

Peniruan identitas keuangan

Peniruan identitas keuangan adalah pola berisiko tinggi lainnya. Penelepon berpura-pura menjadi CEO, CFO, manajer senior, atau pemasok tepercaya yang meminta pembayaran diproses dengan cepat. Tekanan tersebut dapat dikemas sebagai rahasia, sensitif waktu, atau terhubung dengan kesepakatan, faktur, isu pajak, atau masalah vendor.

Panggilan penipuan bank

Panggilan penipuan bank juga umum terjadi. Penelepon mengaku dari bank perusahaan dan memperingatkan tentang transaksi mencurigakan. Karyawan diminta untuk mengonfirmasi rincian, menyetujui langkah keamanan, memindahkan uang, atau memberikan informasi yang memungkinkan penyerang mengakses akun nanti.

Peniruan identitas pemerintah

Peniruan identitas pemerintah juga dapat memengaruhi bisnis. Panggilan yang melibatkan His Majesty’s Revenue and Customs (HMRC), otoritas pajak Inggris Raya, cukup umum sehingga HMRC menyediakan jalur khusus untuk melaporkan panggilan telepon mencurigakan(jendela baru). Penelepon dapat menyebutkan tenggat waktu pajak, PPN, penggajian, denda, pengembalian dana, atau penyelidikan untuk menciptakan urgensi.

Peniruan pemasok dan pelanggan

Ada juga panggilan peniruan pemasok dan pelanggan. Penjahat mungkin berpura-pura menjadi vendor yang mengubah rincian pembayaran, klien yang meminta akses ke portal, atau mitra yang meminta tautan dokumen. Panggilan tersebut mungkin tidak langsung meminta uang. Itu mungkin hanya bertujuan untuk mengumpulkan informasi untuk serangan nanti.

Koneksi kredensial

Vishing sering kali berakhir pada kredensial, bahkan ketika dimulai sebagai percakapan. Penyerang mungkin langsung meminta kata sandi, tetapi banyak upaya vishing yang lebih halus. Penelepon dapat meminta karyawan untuk mengonfirmasi nama pengguna, membacakan kode verifikasi, menyetujui petunjuk autentikasi dua faktor (2FA), atau masuk ke portal palsu saat penelepon tetap terhubung.

Setelah kredensial terekspos, kerugian tergantung pada apa yang dapat dibuka oleh kredensial tersebut. Kata sandi yang digunakan kembali dapat memberi penyerang akses ke lebih dari satu layanan, misalnya. Penggunaan masuk bersama dapat menyulitkan untuk mengetahui siapa yang menggunakan akun, dan persyaratan 2FA yang hilang dapat membuat kata sandi menjadi satu-satunya penghalang. Akun dengan izin berlebih dapat mengubah satu panggilan sukses menjadi akses yang lebih luas.

Higiene kredensial adalah bagian penting dari pencegahan serangan vishing. Kata sandi yang unik untuk setiap layanan membatasi sejauh mana kata sandi yang dicuri dapat meluas. Pengelola kata sandi bisnis mengurangi kebutuhan karyawan untuk mengingat atau menggunakan kembali kata sandi, dan pembuat kata sandi bawaan⁠ mempermudah pembuatan kata sandi yang kuat dan unik untuk setiap akun. Berbagi secara aman menjaga kredensial tetap di luar panggilan, obrolan, dan dokumen. 2FA menambahkan penghalang lain saat kata sandi dikompromikan.

Mengapa data yang terekspos membuat vishing lebih meyakinkan

Panggilan vishing lebih persuasif ketika penyerang sudah mengetahui sesuatu tentang bisnis tersebut. Informasi itu mungkin berasal dari sumber publik: jabatan, pemasok, eksekutif, struktur perusahaan, siaran pers, postingan media sosial, video konferensi, podcast, atau profil karyawan.

Informasi itu juga dapat berasal dari data yang bocor atau dicuri, termasuk alamat email, nomor telepon, rincian akun, kredensial yang terekspos, atau dokumen internal.

Data Breach Observatory kami⁠ menampilkan bagaimana data yang terekspos dapat menciptakan risiko di luar pembobolan asli. Penjahat hanya membutuhkan nomor telepon, jabatan, nama vendor, dan kata sandi lama untuk terlihat kredibel.

Karyawan mungkin telah menggunakan kembali rincian di tempat lain, pemasok mungkin telah dikompromikan, atau penyerang dapat menggabungkan beberapa sumber publik dan bocor untuk membangun cerita yang meyakinkan. Dalam praktiknya, bisnis harus memperlakukan data yang terekspos sebagai bahan bakar untuk penipuan di masa mendatang. Semakin banyak yang diketahui penyerang, semakin tidak acak panggilan itu terdengar.

Cara memverifikasi panggilan mencurigakan

Jika curiga, akhiri panggilan dan verifikasi sendiri apakah permintaan tersebut asli. Vishing bergantung pada upaya membuat Anda tetap terhubung, mendorong untuk menjawab sekarang dan bertindak sekarang. Verifikasi hanya berhasil ketika karyawan dapat mengambil jeda, meninggalkan tekanan itu, dan kembali melalui kanal yang sudah dipercayai bisnis.

Untuk permintaan apa pun yang melibatkan kredensial, pembayaran, kode 2FA, akses jarak jauh, rincian bank, pemulihan akun, atau perubahan izin, akhiri panggilan dan periksa permintaan secara terpisah. Itu bisa berarti menelepon kembali orang tersebut menggunakan direktori perusahaan, menghubungi bank melalui nomor di situs web resminya, membuka tiket IT internal, atau memeriksa rincian pemasok yang tersimpan dalam catatan perusahaan.

Nomor panggilan balik tidak boleh berasal dari penelepon. ID penelepon juga tidak cukup, karena nomor dapat di-spoofing. Tujuannya adalah untuk kembali ke sumber tepercaya, alih-alih melanjutkan percakapan yang mungkin dikendalikan penyerang.

Eksekutif, pemasok, bank, dan tim IT yang sah harus mengharapkan verifikasi untuk permintaan sensitif. Penelepon yang menjadi agresif, menuntut kerahasiaan, atau menolak panggilan balik memberi karyawan alasan untuk berhenti, bukan alasan untuk bertindak lebih cepat.

Membangun kesadaran vishing di seputar taktik, bukan skrip

Pelatihan kesadaran untuk vishing tidak boleh hanya mengajarkan orang untuk mengenali daftar frasa penipuan. Skrip berubah dengan cepat. Pola manipulasi lebih stabil.

Karyawan harus belajar mengenali taktik di balik panggilan tersebut, bukan hanya skrip. Mereka juga membutuhkan taktik sendiri yang dapat diandalkan ketika tidak yakin:

  • Jika penelepon membuat mereka merasa terburu-buru, cemas, atau bertanggung jawab untuk segera memperbaiki sesuatu, itu adalah taktik, bukan bukti urgensi. Penelepon mungkin mengaku sebagai eksekutif senior, penyelidik penipuan bank, otoritas pajak, pemasok, atau anggota tim keamanan. Ceritanya bisa berubah, tetapi tekanannya sering kali terlihat serupa: bertindak sekarang, jaga kerahasiaan ini, percayai wewenang saya, dan abaikan pemeriksaan biasa.
  • Pelatihan juga perlu mencakup kloning suara AI. Pesannya harus jelas tanpa menimbulkan kepanikan: suara yang dikenal tidak cukup untuk mengotorisasi tindakan berisiko. Karyawan harus diajari bahwa mereka berhak untuk jeda. Jika penelepon meminta pembayaran, kredensial, kode, perubahan akses, atau solusi sementara yang mendesak, tanggapan yang aman adalah menghentikan percakapan, meminta waktu beberapa menit, dan memverifikasi permintaan melalui nomor yang dikenal atau kanal tepercaya lainnya.
  • Frasa aman, aturan panggilan balik, atau alur kerja persetujuan tertulis lebih tepercaya daripada mencoba menilai apakah suara seseorang terdengar “aneh.” Tidak ada permintaan mendesak yang sah yang akan gagal karena penundaan singkat yang digunakan untuk verifikasi.

Hal yang harus dilakukan setelah panggilan yang dicurigai vishing

Dugaan penipuan phishing telepon harus dilaporkan dengan cepat, bahkan ketika tidak ada uang yang dikirim dan tidak ada kata sandi yang dibagikan. Kejadian yang hampir berdampak ini berguna karena menunjukkan karyawan, pemasok, atau proses mana yang mungkin ditargetkan penyerang.

Langkah pertama adalah mencatat rinciannya:

  • Waktu panggilan
  • Nomor yang ditampilkan
  • Klaim penelepon
  • Tindakan yang diminta
  • Nama yang disebutkan
  • Sistem yang terlibat
  • Apakah ada informasi yang dibagikan.

Pastikan nomor yang diberikan oleh penelepon tidak dihubungi lagi.

Jika kredensial, kode satu kali, rincian pembayaran, atau akses jarak jauh dibagikan, perlakukan sebagai hal mendesak:

  • Atur ulang kata sandi yang terdampak
  • Cabut sesi jika memungkinkan
  • Tinjau aktivitas akun
  • Terapkan 2FA
  • Periksa apakah kata sandi yang sama digunakan di tempat lain.

Cara Proton Pass for Business membantu mengurangi risiko kredensial

Vishing adalah serangan terhadap manusia, tetapi kerugiannya sering kali bergantung pada kontrol kredensial seperti kata sandi, akses bersama, dan perlindungan akun. Pengelola kata sandi bisnis seperti Proton Pass for Business membantu tim mengurangi risiko bahwa satu panggilan yang berhasil berujung pada akses yang lebih luas.

Karyawan dapat membuat kata sandi yang kuat dan unik untuk setiap layanan melalui pembuat kata sandi bawaan Proton Pass⁠, menyimpannya dalam brankas terenkripsi, menggunakan isi otomatis, membagikan kredensial secara aman, mengelola Kunci sandi, dan menggunakan autentikasi dua faktor bawaan.

Ini berharga untuk perlindungan vishing, karena meskipun penyerang mendapatkan kata sandi Anda selama panggilan, mereka tetap tidak dapat masuk ke akun tanpa faktor kedua. Proton Pass juga mencakup Pass Monitor dengan Monitoring Dark Web, yang memberi tahu jika email Anda muncul dalam pembobolan data yang diketahui, sehingga Anda tahu kapan kredensial mungkin sudah dikompromikan.

Proton Pass juga memberi bisnis opsi bawaan yang lebih aman untuk akses sehari-hari. Ketika karyawan memiliki cara yang disetujui untuk menyimpan dan membagikan kredensial, penelepon yang meminta mereka membacakan kata sandi atau mengirim akses melalui obrolan akan langsung terasa tidak biasa.

Buat permintaan suara dapat diverifikasi secara bawaan

Vishing berhasil karena suara terasa langsung dan pribadi. Penelepon bisa terdengar percaya diri, dikenal, sangat membantu, atau otoritatif. Kloning suara AI membuat kepercayaan itu semakin tidak dapat diandalkan. Bisnis memerlukan kebiasaan verifikasi yang tidak bergantung pada seberapa meyakinkannya suara penelepon.

Aturan paling penting itu sederhana: jangan bagikan kredensial dalam panggilan, jangan setujui pembayaran yang tidak biasa dari permintaan telepon saja, dan jangan percayai ID penelepon sebagai bukti identitas. Tutup telepon, verifikasi melalui kanal tepercaya yang diketahui, dan catat apa pun yang mencurigakan.

Bagi UKM, prosesnya bisa tetap sederhana. Permintaan sensitif harus memiliki aturan panggilan balik, pembayaran dan perubahan akses harus memerlukan konfirmasi melalui kanal lain, dan karyawan harus mengetahui taktik wewenang dan urgensi yang membuat vishing meyakinkan. Kredensial juga harus tetap berada di dalam pengelola kata sandi bisnis, di mana kata sandi bersifat unik, dibagikan secara aman, dan lebih mudah diputar jika ada panggilan yang berujung pada pendedahan.

Voice phishing akan terus berkembang, terutama saat AI membuat peniruan identitas semakin murah dan semakin meyakinkan. Pertahanannya adalah membuat setiap permintaan sensitif dapat diverifikasi sebelum siapa pun bertindak.

Lindungi kredensial bisnis Anda dari voice phishing dengan pengelola kata sandi bisnis⁠.