Pengelabuan dan rekayasa sosial: kenali tekanannya, lalu verifikasi

Apa perbedaan antara pengelabuan dan rekayasa sosial?

Rekayasa sosial adalah segala upaya memanipulasi seseorang agar menyerahkan informasi, uang, atau akses, dan pengelabuan adalah bentuk yang paling umum, disampaikan melalui email atau situs web palsu. CISA juga menyebut bentuk pengelabuan melalui suara, vishing, dan melalui pesan teks, smishing.

Bayangkan sebuah firma arsitektur fiktif beranggotakan 30 orang, Calloway Partners. Pada suatu hari Selasa, asisten keuangan bernama Leah menerima tiga hal. Email dari 'direktur utama' yang dikirim pada 7.58am: 'Leah, saya rapat seharian, tolong bayar pemasok di lampiran hari ini, ada detail rekening bank baru, rahasiakan ini di antara kita'. Pesan singkat: 'Paket Anda tertahan, bayar biaya pengiriman ulang £1.45 di sini'. Dan telepon dari seseorang yang mengaku berasal dari penyedia layanan TI firma tersebut dan meminta Leah membacakan kode enam digit yang baru saja dikirimkannya 'untuk memperbaiki kotak masuk Anda'. Ketiganya tampak berbeda. Namun, trik yang digunakan sama.

Taktik tekanan apa yang digunakan pesan phishing?

Pesan phishing menggunakan lima taktik tekanan yang umum, yang menurut NCSC meliputi otoritas, urgensi, emosi, kelangkaan, dan peristiwa terkini. Mengenali taktiknya lebih andal daripada mencari salah ketik.

Bagaimana AI mengubah praktik pengelabuan?

AI telah membuat pesan pengelabuan lebih rapi, sehingga ejaan dan tata bahasa yang baik tidak lagi membuktikan bahwa sebuah pesan itu asli. Panduan CISA kini menyatakan hal ini secara langsung. Penyerang juga dapat menulis dengan gaya rekan kerja, menyesuaikan pesan dengan pekerjaan Anda, atau meniru suara yang Anda kenal dalam panggilan. Karena itu, daftar pemeriksaan lama yang berfokus pada kesalahan ejaan dan sapaan janggal menjadi kurang berguna, sementara verifikasi atas permintaan itu sendiri menjadi lebih penting. Permintaan untuk mentransfer uang, mengubah detail rekening bank, membagikan kode, atau melewati prosedur normal harus diverifikasi, seberapa pun meyakinkan kedengarannya.

Bagaimana cara memverifikasi pesan mencurigakan langkah demi langkah?

Anda memverifikasi pesan mencurigakan melalui jalur di luar pesan tersebut: jangan pernah menggunakan tautan, nomor telepon, atau alamat balasan yang tercantum di dalamnya. Hubungi orang atau organisasi tersebut melalui informasi kontak yang sudah Anda percayai.

Seperti apa respons yang lemah dan yang baik?

Respons yang lemah memercayai apa yang tampak di permukaan. Leah melihat nama direktur utama, membalas untuk menanyakan apakah pembayarannya benar-benar mendesak, mendapat jawaban cepat 'ya, tolong lakukan sekarang' dari alamat palsu yang sama, lalu membayar. Ia mengabaikan pesan teks itu, tetapi karena ingin membantu, ia membacakan kode kepada penelepon, yang menggunakannya untuk masuk ke kotak email Leah.

Respons yang baik memeriksa permintaan tersebut. Leah menyadari adanya gabungan unsur otoritas, urgensi, dan kerahasiaan, lalu menelepon nomor ponsel direktur utama dari daftar staf; ternyata ia tidak mengirim apa pun. Leah menghapus pesan teks tentang paket tanpa mengetuk tautannya. Ia memberi tahu penelepon bahwa ia akan menelepon balik penyedia layanan TI, menutup telepon, lalu menghubungi penyedia tersebut melalui nomor dalam kontrak perusahaan; ternyata mereka tidak menelepon. Ia melaporkan ketiganya kepada bagian TI dan meneruskan email ke alamat pelaporan. Tidak ada pembayaran yang dilakukan dan tidak ada kode yang dibagikan.

Apa yang harus Anda lakukan jika sudah mengeklik atau membalas?

Jika Anda sudah mengeklik, membalas, atau membagikan sesuatu, segera beri tahu kontak TI Anda, karena tindakan cepat membatasi kerusakan dan tidak seorang pun seharusnya disalahkan karena melapor. Dari perangkat lain, ubah kata sandi setiap akun yang detailnya telah Anda masukkan, lalu aktifkan autentikasi multifaktor. Jika melibatkan uang atau detail rekening bank, segera hubungi bank Anda menggunakan nomor di situs web bank atau pada kartu Anda.

Apa saja kesalahan umum terkait pengelabuan?

Kesalahan paling umum adalah membalas pesan mencurigakan untuk memeriksa keasliannya, yang hanya berarti meminta konfirmasi dari penyerang. Kesalahan lainnya: memercayai nama tampilan atau identitas penelepon, mengandalkan kesalahan ejaan sebagai penanda, mengeklik tautan berhenti berlangganan, membacakan kode sekali pakai, dan memilih diam setelah melakukan kesalahan karena malu.

Di bagian mana pelajaran ini berada di Tosheo.ai?

Pelajaran ini berada dalam kategori Keamanan Siber dan kursus keamanan siber. Di Tosheo.ai, tugas praktik memberi Anda sekumpulan pesan fiktif, meminta Anda menyebutkan taktik dalam setiap pesan, menulis langkah verifikasi, dan menyusun laporan, lalu panduan penilaian menunjukkan tanda peringatan yang Anda lewatkan. Ini adalah pelatihan kesadaran untuk staf dan manajer, bukan kursus teknis keamanan surel.

Sumber dan cakupan

NCSC, cara mengenali email, pesan teks, atau panggilan penipuan (diperiksa 19 October 2026) ↗

NCSC, melaporkan email penipuan (diperiksa 19 October 2026) ↗

CISA, mengenali dan melaporkan pengelabuan (diperiksa 19 October 2026) ↗

CISA, menghindari rekayasa sosial dan serangan pengelabuan (diperiksa 19 October 2026) ↗