Cara Mengenali Email Phishing: Tanda-Tanda yang Benar-Benar Penting

Berikut contoh rekaan yang ditulis khusus untuk artikel ini. Alamatnya tidak bisa dihubungi, dan contoh ini ditampilkan hanya agar Anda bisa berlatih membacanya.

Contoh pesan phishing, bukan yang asli
From: "Dukungan Kotak Surat" <helpdesk@mail-storage-notice.example>
Subject: Kotak surat Anda 98% penuh, pesan sedang ditahan

Pengguna yang terhormat, 14 pesan masuk tidak dapat dikirim karena penyimpanan Anda penuh. Verifikasi akun Anda dalam 24 jam untuk melepaskannya dan menghindari penangguhan.
[Lepaskan pesan saya]

Yang membongkarnya adalah domain pengirim yang bukan milik pihak mana pun yang berurusan dengan Anda, sapaan yang tidak tahu nama Anda, tenggat waktu yang disertai ancaman, dan tombol yang menyuruh Anda masuk ke akun. Tidak ada yang salah eja di sini, dan itu lazim sekarang. Anda mengenali email phishing dengan memeriksa alamat pengirim yang sebenarnya, membaca ke mana tautan benar-benar mengarah, mencurigai permintaan tak terduga untuk kata sandi, uang, atau membuka file, dan mengonfirmasi hal penting lewat jalur yang sudah Anda percaya, bukan lewat pesan itu sendiri.

Phishing adalah pesan yang menyamar sebagai orang atau organisasi tepercaya agar Anda menyerahkan kredensial, membayar uang, memasang malware, atau membocorkan informasi yang berguna untuk serangan berikutnya. Saran yang berpusat pada tata bahasa buruk dan logo kikuk sudah ketinggalan zaman, karena meniru desain sebuah merek itu mudah dan alat terjemahan serta penulisan tersedia untuk siapa saja. Yang tetap bisa diandalkan adalah apa yang diminta pesan itu dari Anda, dan apa kata bukti teknis tentang asalnya.

Sinyal mana yang layak Anda perhatikan

Tanda bahaya tidak semuanya sama bobotnya. Peringkat ini adalah penilaian berdasarkan cara kerja serangan, bukan statistik hasil pengukuran, tetapi ia menunjukkan ke mana sebaiknya Anda mengarahkan perhatian dalam beberapa detik yang ada.

Sinyal	Seberapa banyak yang diungkapkannya	Alasan
Tautan menuju domain yang bukan milik organisasi yang diklaim	Sangat tinggi	Ketidakcocokan adalah inti dari phishing kredensial
Email meminta kata sandi, kode sekali pakai, atau nomor kartu lengkap	Sangat tinggi	Layanan yang sah tidak mengumpulkan hal ini lewat email
Rincian pembayaran diubah "mendesak" lewat email	Sangat tinggi	Pola baku penipuan email bisnis
Domain pengirim tidak cocok dengan organisasinya	Tinggi	Pengirim mirip-mirip dan email gratisan itu umum
Arsip, file HTML, atau dokumen makro yang tak terduga	Tinggi	Cara umum untuk mengirim malware atau halaman login palsu
DMARC gagal untuk domain yang diklaim	Tinggi	Bukti kuat pemalsuan, meski lolos tidak membuktikan banyak
Desakan waktu atau ancaman yang kuat	Sedang	Umum dalam phishing, tetapi peringatan keamanan sungguhan juga bisa mendesak
Sapaan generik	Sedang	Dipakai kampanye massal, sedangkan yang terarah memakai nama Anda
Kesalahan ejaan dan tata bahasa	Rendah sampai sedang	Phishing modern sering rapi, dan email asli pun ada salah ketiknya
Logo atau tata letak tampak janggal	Rendah	Menyalin desain sebuah merek hanya butuh beberapa menit

Perhatikan bahwa bagian atas tabel membahas tujuan dan permintaan, sedangkan bagian bawah membahas tampilan. Perubahan cara berpikir yang paling berguna adalah berhenti bertanya "apakah ini tampak asli?" dan mulai bertanya "apa yang diinginkannya dari saya, dan bagaimana saya bisa memeriksanya tanpa memakai pesan ini?"

Membaca tautan dengan benar

Jika Anda hanya mempelajari satu keterampilan teknis dari artikel ini, pilihlah yang ini, karena teks tautan yang terlihat dan tujuan sebenarnya sama sekali terpisah. Tombol bertuliskan "Masuk ke akun Anda" bisa mengarah ke mana saja. Di komputer, arahkan kursor ke tautan tanpa mengeklik dan baca alamat yang muncul di bilah status atau tooltip. Di ponsel, tekan dan tahan tautan untuk melihat pratinjaunya, lalu batalkan.

Kebanyakan orang membaca alamat web dari kiri, dan penyerang memanfaatkan hal itu. Kepemilikan ditentukan di ujung kanan nama host: domain terdaftar beserta akhirannya, tepat sebelum garis miring tunggal pertama. Semua yang ada di sebelah kirinya adalah subdomain yang bisa diatur pemiliknya dengan teks apa pun. Semua yang ada setelah garis miring adalah path, dan itu pun bisa berisi apa saja. Perhatikan empat contoh ini, yang kedua, ketiga, dan keempat adalah rekaan:

• https://accounts.google.com/signin milik Google, karena domainnya adalah google.com.
• https://accounts.google.com.secure-login.example/signin milik secure-login.example. Nama mereknya hanya subdomain.
• https://secure-login.example/accounts.google.com/ juga milik secure-login.example, dengan nama merek di path.
• https://www.paypal.com@203.0.113.7/ memakai trik lama. Semua yang ada sebelum @ dianggap nama pengguna, dan tujuan sebenarnya adalah alamat IP setelahnya.

Beberapa pola tautan lain seharusnya membuat Anda melambat. Pemendek URL terasa janggal dalam pesan dari merek besar, yang tak punya alasan menyembunyikan domainnya sendiri. Tautan ke pembuat formulir atau layanan berbagi file yang menyuruh Anda "login untuk melihat dokumen" adalah favorit, karena halaman phishing sering dihosting di platform cloud yang sah. Jadi nama hosting tepercaya di alamat tidak berarti halamannya aman. Pertanyaannya adalah apakah domain itu milik organisasi yang Anda kira sedang berurusan dengan Anda.

Ikon gembok pun tidak membantu ke arah mana pun. HTTPS hanya memberi tahu bahwa koneksinya terenkripsi, dan sertifikat gratis tersedia untuk semua orang, termasuk penjahat. Halaman bank palsu dengan gembok adalah koneksi terenkripsi ke seorang pencuri.

Waspadai juga tiruan internasional. Domain bisa memakai karakter dari alfabet lain yang tampak identik dengan huruf Latin, misalnya "а" Sirilik sebagai ganti "a" Latin. Peramban sering menampilkannya dalam bentuk sandi yang diawali xn--, dan melihat awalan itu di tempat Anda mengharapkan merek yang dikenal adalah petunjuk yang berguna.

Membaca pengirim

Aplikasi email menampilkan nama tampilan dengan huruf besar dan sering menyembunyikan alamatnya, padahal nama tampilan adalah teks bebas yang dipilih pengirim. Pesan yang menampilkan "Tim Akun Microsoft" bisa datang dari domain yang tak berkaitan atau dari kotak surat acak yang diretas. Di komputer, arahkan kursor ke nama itu atau klik. Di ponsel, ketuk untuk memperluas. Lalu lihat bagian setelah @, dengan mengingat pola-pola berikut (domain di sini hanya ilustrasi):

• Karakter yang ditukar, seperti rn menggantikan m, atau angka 1 menggantikan huruf l.
• Kata tambahan, seperti netflix-billing.example. Merek jarang memakai varian bergaris hubung dari namanya untuk email akun.
• Akhiran yang berbeda, seperti yourbank.co padahal Anda mengharapkan yourbank.com.
• Kotak surat konsumen gratisan yang mengaku sebagai bank, firma hukum, atau direktur utama Anda.

Lalu periksa alamat balasan. Sebuah pesan bisa menampilkan baris From yang meyakinkan dan mengatur Reply-To ke kotak surat penyerang, sehingga jawaban Anda terkirim ke tempat lain. Banyak aplikasi menampilkan tujuannya saat Anda menekan Balas, jadi lihatlah sebelum mengirim.

Pemeriksaan pengirim punya batas yang jelas: ia tidak berkata apa-apa tentang akun yang dibajak. Jika kotak surat rekan kerja atau pemasok yang asli telah diambil alih, alamatnya akan sempurna. Dalam kasus itu, permintaannya sendiri adalah satu-satunya sinyal Anda, yang membawa kita ke poin berikutnya.

Permintaan yang tak dibuat pengirim jujur lewat email

Sebagian permintaan mencurigakan sebagus apa pun bagian pesan lainnya. Kata sandi atau PIN Anda. Kode sekali pakai yang baru saja Anda terima lewat SMS atau aplikasi. Nomor kartu lengkap beserta kode keamanannya. Pembayaran lewat kartu hadiah atau kripto, atau transfer ke rekening baru. Akses jarak jauh ke komputer Anda untuk masalah yang tak pernah Anda laporkan. File rahasia atau data karyawan yang dikirim ke alamat luar "untuk audit".

Permintaan kode sekali pakai perlu dipahami, karena terasa begitu tidak berbahaya. Penyerang yang sudah memegang kata sandi Anda memicu proses login, yang mengirimkan kode asli dari layanan asli kepada Anda. Lalu mereka mengirim pesan, berpura-pura sebagai dukungan pelanggan, dan meminta Anda "mengonfirmasi" kode itu. Siapa pun yang meminta kode yang Anda terima sedang mencoba masuk sebagai Anda.

Lembaga pemerintah juga sering dijadikan kedok. IRS di Amerika Serikat, misalnya, menyatakan tidak memulai kontak dengan wajib pajak lewat email untuk meminta informasi pribadi atau keuangan, dan banyak otoritas pajak di tempat lain menerbitkan peringatan serupa. Jika Anda mengira pengembalian dana atau denda itu mungkin nyata, ketik sendiri alamat lembaganya dan masuk di sana.

Mengapa orang yang berhati-hati tetap tertipu

Phishing menyasar perilaku lebih daripada perangkat lunak. Pesan yang dibuat dengan baik bertujuan memicu reaksi emosional yang cepat agar Anda bertindak dulu dan berpikir belakangan. Desakan waktu adalah tuas yang paling jelas ("akun ditutup dalam 24 jam"), bersama rasa takut ("login tidak biasa", "tindakan hukum menunggu"), dan otoritas, dengan direktur utama, bank, atau dukungan TI sebagai pengirim yang diklaim. Imbalan dan rasa penasaran juga berhasil, lewat pengembalian dana, hadiah, dan "lihat siapa yang melihat profil Anda". Lalu ada sikap suka menolong, seperti saat rekan kerja mendesak meminta sebuah file ditinjau.

Rutinitas mungkin yang terkuat. Faktur, pemberitahuan pengiriman, atau dokumen bersama palsu terlihat seperti puluhan yang asli yang Anda tangani tiap minggu, dan Anda paling kurang waspada pada hal-hal yang dikerjakan secara otomatis. Karena itu tujuannya bukan mencurigai setiap email, yang tak sanggup dijalani siapa pun. Tujuannya adalah menyadari saat sebuah pesan meminta sesuatu yang sensitif, dan pada saat itu beralih dari bereaksi menjadi memeriksa.

Jenis-jenis serangan, dan apa yang diubah masing-masing

Namanya kurang penting dibanding mengetahui apa yang diubah tiap varian pada saran di atas. Sebagian di antaranya mengalahkan pemeriksaan yang biasa.

Jenis	Apa itu	Apa yang berubah bagi Anda
Phishing massal	Pesan generik ke daftar yang sangat besar, seperti kotak surat penuh atau paket tertahan	Jenis yang paling mudah ditangkap, karena jarang cocok dengan hidup Anda
Spear phishing	Disesuaikan untuk Anda, memakai nama dan detail dari media sosial atau data kebocoran	Detail pribadi tidak membuktikan apa-apa
Whaling	Spear phishing yang menyasar eksekutif atau orang yang memegang uang	Jabatan tinggi menjadikan Anda sasaran
Business email compromise	Menyamar atau mengambil alih eksekutif, pemasok, atau rekan kerja untuk mengalihkan uang	Sering tanpa tautan dan tanpa lampiran, sehingga pemindai tidak melihat apa-apa
Clone phishing	Email asli sebelumnya disalin dan dikirim ulang dengan tautan atau file yang ditukar	Isi yang familier bukan bukti
Thread hijacking	Membalas di dalam percakapan nyata dari kotak surat yang diretas	Pemeriksaan pengirim lolos
Quishing	Kode QR menggantikan tautan	Memindahkan Anda ke ponsel, jauh dari perlindungan desktop dan pemindai tautan
Consent phishing	Aplikasi berbahaya meminta akses lewat layar "Izinkan" yang asli	Tidak ada kata sandi yang dicuri, dan halaman login-nya asli
Callback phishing	Faktur atau perpanjangan palsu mencantumkan nomor telepon untuk dihubungi	Tidak ada yang bisa diklik, dan penipuannya terjadi saat panggilan
Device code phishing	Anda diminta memasukkan kode di halaman login asli, yang mengotorisasi perangkat penyerang	Pemeriksaan domain lolos, jadi permintaan yang tak terduga itulah petunjuknya

Tiga yang terakhir layak mendapat satu kalimat saran praktis. Baca daftar izin pada layar "Izinkan akses" apa pun, dan tolak jika aplikasi tak dikenal ingin membaca email Anda. Jangan pernah menelepon nomor yang tercetak pada faktur tak terduga. Dan jangan pernah memasukkan kode di halaman login hanya karena seseorang di email atau obrolan menyuruh Anda, kecuali Anda sendiri yang memulai proses itu di perangkat yang ada di depan Anda.

Contoh pesan, dengan anotasi

Semua yang berikut adalah contoh rekaan berdasarkan pola yang terdokumentasi luas. Nama dan domainnya fiktif.

Contoh: dokumen bersama

Hanya contoh
From: "Jordan (via Docs)" <jordan.m@partnerfirm-mail.example>
Subject: Jordan membagikan "Jadwal Pembayaran Q3" kepada Anda

Buka di Docs

Ini meniru pemberitahuan berbagi, tetapi pengirimnya alamat luar yang tidak Anda kenal, dan tombolnya menuju halaman yang meminta kata sandi email Anda, sering dengan deretan logo penyedia layanan. Pemberitahuan asli datang dari domain platform itu sendiri dan terbuka dalam sesi yang sudah Anda masuki. Jika Anda mengenal seorang Jordan, tanyakan padanya. Apa pun yang terjadi, jangan ketik kata sandi Anda di halaman yang Anda capai dari email "file bersama".

Contoh: rekening bank baru pemasok

Hanya contoh
From: "Piutang Usaha" <ar@supplier-co.example>
Subject: RE: Faktur 4471

Harap dicatat bahwa rincian bank kami berubah karena audit. Mohon gunakan rincian rekening baru terlampir untuk pembayaran ini dan selanjutnya. Pembayaran sudah jatuh tempo, jadi mohon diproses hari ini.

Mungkin tidak ada tautan di sini, dan ini bisa datang dari kotak surat pemasok yang asli dan telah diretas di dalam percakapan yang nyata. Semua pemeriksaan teknis mungkin lolos. Tanda bahayanya adalah permintaannya: perubahan rincian pembayaran lewat email, disertai desakan. Telepon pemasok di nomor yang sudah Anda simpan, bukan nomor di email atau tanda tangannya, sebelum membayar apa pun. Jika uang sudah terkirim, segera hubungi bank Anda dan tanyakan soal penarikan kembali pembayaran, dan di Amerika Serikat laporkan di ic3.gov.

Contoh: biaya paket

Hanya contoh
Subject: Paket Anda tertahan: biaya bea cukai belum dibayar

Kami sudah mencoba mengantarkan paket Anda. Diperlukan biaya kecil untuk menjadwalkan ulang. Bayar sekarang agar tidak dikembalikan ke pengirim.

Jumlah yang kecil menurunkan kewaspadaan Anda, dan tujuannya adalah data kartu lengkap Anda, yang kemudian bisa dipakai untuk penipuan lebih besar. Lacak kiriman dengan nomor di halaman pesanan resmi toko atau di aplikasi resmi kurir.

Contoh: eksekutif yang "sedang rapat"

Hanya contoh
From: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Subject: minta tolong sebentar

Apakah Anda tersedia? Saya butuh Anda mengurus sesuatu secara diam-diam untuk klien. Saya sedang rapat, jadi hanya lewat email.

Kotak surat pribadi, permintaan untuk merahasiakan, dan "hanya lewat email" bersama-sama membentuk polanya, dan lanjutannya biasanya meminta kode kartu hadiah atau transfer. Pesan itu sendiri tidak berisi apa pun untuk dipindai. Hubungi eksekutif tersebut lewat direktori perusahaan, obrolan, atau telepon, dan beri tahu bagian TI.

Contoh: kode QR

Hanya contoh
Subject: Diperlukan pembaruan autentikasi multifaktor

Pengaturan MFA Anda kedaluwarsa hari ini. Pindai kode QR di bawah dengan ponsel Anda untuk mendaftar ulang.

Pengaturan multifaktor tidak kedaluwarsa lewat email. Kode itu memindahkan Anda ke ponsel, tempat alamat lebih sulit diperiksa dan perlindungan perusahaan mungkin tidak berlaku. Jangan dipindai. Tanyakan ke bagian TI, atau lihat langsung pengaturan keamanan akun Anda.

Contoh: pengembalian pajak

Hanya contoh
Subject: Anda berhak atas pengembalian pajak

Setelah perhitungan tahunan atas aktivitas Anda, Anda berhak menerima pengembalian dana. Kirim formulirnya dalam 48 jam.

Hadiah yang tak terduga ditambah formulir yang meminta data identitas dan kartu. Buka portal resmi pemerintah dengan mengetik alamatnya, atau hubungi nomor lembaga yang dipublikasikan.

Contoh: peringatan akun yang sebagian benar

Hanya contoh
From: "Keamanan Akun" <no-reply@secure-acct-center.example>
Subject: Perlu tindakan: aktivitas login tidak biasa

Kami mendeteksi percobaan login dari perangkat baru. Agar akun Anda tetap aktif, verifikasi identitas Anda dalam 24 jam. [Verifikasi sekarang]

Layanan sungguhan memang mengirim peringatan login, jadi kategori ini memerlukan kehati-hatian lebih daripada yang lain. Di sini domainnya generik dan pesan itu bahkan tidak menyebut nama layanannya. Jangan menalar dari dalam email. Buka aplikasi layanan itu atau ketik alamatnya, dan lihat halaman aktivitas terbaru. Jika tidak ada yang tercantum di sana, emailnya palsu. Kebiasaan ini juga berlaku untuk peringatan asli, karena akan muncul di sana juga.

Memeriksa header saat Anda tidak yakin

Header menyimpan bukti teknis tentang asal sebuah pesan. Di Gmail, buka menu tiga titik dan pilih Tampilkan asli, yang juga memberi ringkasan singkat di bagian atas. Di Outlook versi web, gunakan Lihat, Lihat sumber pesan. Di Apple Mail, gunakan Tampilan, Pesan, Semua Header.

Tiga standar ada di balik hasil yang akan Anda lihat. SPF memungkinkan sebuah domain mempublikasikan server mana yang boleh mengirim emailnya, dan penerima mencocokkan server pengirim dengan daftar itu. DKIM menambahkan tanda tangan kriptografis, diperiksa dengan kunci publik di DNS domain penanda tangan, yang menunjukkan bahwa bagian yang ditandatangani tidak diubah dan bahwa domain itu bertanggung jawab. DMARC mengikat keduanya ke domain pada baris From yang terlihat, sifat yang disebut keselarasan, dan memberi tahu penerima apa yang harus dilakukan jika gagal: tidak ada, karantina, atau tolak. Sejak 2024, Google dan Yahoo mewajibkan pengirim massal mempublikasikan catatan DMARC, yang membuat hasil-hasil ini lebih sering muncul.

Cari baris yang diawali Authentication-Results:. Bunyinya mungkin seperti ini, dalam contoh fiktif:

Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example

Di sini semua pemeriksaan lolos dan semua domain selaras. Pesan palsu mungkin menampilkan dmarc=fail, atau lolos untuk domain yang sama sekali berbeda dari yang ada di baris From. Tabel ini membahas cara menafsirkan temuan Anda.

Hasil	Artinya	Bukan artinya
DMARC lolos untuk domain asli merek itu	Dikirim oleh atau atas nama domain tersebut	Tidak menyingkirkan kemungkinan akun yang diretas di perusahaan itu
DMARC lolos untuk domain tiruan	Penyerang memiliki domain itu dan mengaturnya dengan benar	Pesannya tidak aman, dan ini umum dalam phishing
DMARC gagal untuk domain merek itu	Tanda kuat pemalsuan, atau penerusan yang merusak pemeriksaan	Milis dan penerusan kadang merusak email asli
Tidak ada catatan DMARC	Domain belum mempublikasikan kebijakan	Sendirian tidak membuktikan apa-apa, tetapi memalsukan domain itu lebih mudah

Pelajarannya, autentikasi menunjukkan siapa yang mengirim pesan, dan kejujuran adalah urusan lain. Email dengan hasil sempurna dari bank-resolution-center.example tetap phishing. Pemeriksaan gabungan yang Anda inginkan adalah bahwa domain yang terautentikasi memang organisasi yang Anda kira.

Baris Received: mencatat tiap server di sepanjang rute, dengan yang terbaru di atas. Baris itu bisa menunjukkan bahwa email "bank lokal" bermula dari server yang tak berkaitan, tetapi apa pun di bawah titik tempat penyedia Anda sendiri menerima pesan bisa dipalsukan, jadi percayai hanya entri yang ditambahkan server penyedia Anda. Bagi kebanyakan orang, baris autentikasi dan pemeriksaan domain sudah cukup.

Lampiran dan gambar dalam email phishing

Lampiran mengirimkan malware atau mengarah ke halaman login palsu. Format yang paling perlu diwaspadai adalah arsip dan image disk seperti .zip, .rar, .7z, .iso, dan .img, file HTML yang membuka halaman login palsu lokal, dokumen Office yang menyuruh Anda "Enable Content" atau "Enable Editing", ekstensi ganda seperti invoice.pdf.exe, skrip dan pintasan seperti .js, .vbs, .lnk, dan .bat, serta PDF yang hanya berisi tombol atau kode QR. Panduan keamanan lampiran kami menjelaskan cara menilai tiap jenis dan cara membuka file yang meragukan dengan risiko lebih kecil.

Gambar lebih senyap. Gambar jarak jauh bisa memberi tahu pengirim bahwa alamat Anda aktif, dan begitulah daftar alamat "terverifikasi" dibuat. Kami menjelaskan cara kerjanya, dan pengaturan mana yang menghentikannya, dalam artikel kami tentang piksel pelacak email. Itu alasan kecil untuk mengatur aplikasi email Anda agar bertanya sebelum menampilkan gambar eksternal.

Ekstra hati-hati di ponsel

Ponsel mempersulit semua ini. Layarnya kecil, alamat disembunyikan secara bawaan, dan pratinjau tautan butuh tekan lama. Beberapa kebiasaan bisa menutupi kekurangan itu. Ketuk nama pengirim untuk menampilkan alamatnya sebelum memercayai sebuah pesan. Tekan dan tahan tautan, jangan sekadar mengetuk. Untuk bank, toko, dan jejaring sosial, buka aplikasi resminya daripada mengikuti apa pun di email. Curigai kode QR di email secara khusus, karena Anda memindainya dengan perangkat yang sama yang sedang Anda pakai membaca. Jika kamera Anda menampilkan pratinjau alamat sebelum membukanya, bacalah seperti Anda membaca tautan lain.

Trik yang sama juga datang lewat SMS dan aplikasi pesan, biasanya disebut smishing, dan telepon bisa menyusul sebuah email agar lebih meyakinkan, yang disebut vishing. Penelepon yang menyebut email yang baru Anda terima belum mengonfirmasi apa pun, karena bisa saja ia yang mengirimnya. Tutup telepon dan hubungi nomor yang sudah Anda miliki.

Yang perlu dilakukan pada pesan mencurigakan

1. Jangan klik, unduh, pindai kode, atau balas. Membalas untuk bertanya "apakah ini asli?" sampai ke penyerang, yang akan menjawab ya.
2. Periksa alamat pengirim dan tujuan tautan seperti dijelaskan di atas.
3. Verifikasi secara mandiri. Buka aplikasi resmi atau ketik alamatnya. Telepon nomor di balik kartu Anda, di faktur yang sudah Anda pegang, atau di direktori perusahaan.
4. Laporkan ke penyedia Anda. Di Gmail, menu tiga titik punya Laporkan phishing. Di Outlook, cari di bawah Laporkan untuk Laporkan phishing. Di tempat kerja, gunakan tombol lapor atau ikuti petunjuk tim keamanan Anda, dan jangan meneruskan pesan itu ke rekan untuk bertanya, karena itu menyebarkan umpannya.
5. Laporkan ke organisasi yang ditiru jika mereka mempublikasikan alamat phishing di halaman keamanannya. Apple, misalnya, memakai reportphishing@apple.com.
6. Gunakan layanan pelaporan publik jika ada. Di Inggris, National Cyber Security Centre menerima email terusan di report@phishing.gov.uk. Di Amerika Serikat, FTC menerima laporan di reportfraud.ftc.gov. Anti-Phishing Working Group menerima pesan terusan di reportphishing@apwg.org. Negara lain menjalankan layanan serupa, biasanya lewat lembaga perlindungan konsumen atau kejahatan siber.
7. Hapus setelah dilaporkan.

Jika Anda sudah mengeklik

Mengeklik itu umum dan biasanya bisa diperbaiki. Jangan biarkan rasa malu menunda Anda, karena kecepatan paling membantu di sini. Temukan kasus di bawah yang cocok dengan yang terjadi.

Anda mengeklik dan tidak memasukkan apa pun

Tutup tab dan jangan unduh apa pun yang ditawarkan halaman itu. Pastikan peramban dan sistem Anda mutakhir, dan jalankan pemindaian keamanan jika ada yang terunduh sendiri. Bersiaplah menerima lebih banyak pesan, karena klik itu mungkin sudah mengonfirmasi bahwa alamat Anda dibaca. Dalam kebanyakan kasus, urusannya selesai di sini.

Anda memasukkan kata sandi

1. Buka situs aslinya dengan mengetik alamatnya, dan ganti kata sandi sekarang.
2. Ganti di tempat lain yang memakai kata sandi sama atau serupa. Jika kata sandi yang dicuri adalah untuk email Anda, anggap ini mendesak, karena email bisa mereset semua yang lain.
3. Keluar dari sesi lainnya. Di akun Google, Anda bisa meninjau Perangkat Anda di halaman keamanan dan mengeluarkan perangkat yang tidak Anda kenali, dan rincian Aktivitas akun terakhir di bagian bawah kotak masuk Gmail menunjukkan akses terbaru. Layanan lain punya kontrol serupa.
4. Aktifkan autentikasi dua faktor, sebaiknya dengan passkey, kunci keamanan, atau aplikasi autentikator.
5. Cari perubahan yang mungkin dibuat penyerang: email dan nomor telepon pemulihan, aturan penerusan dan filter, aplikasi terhubung, perangkat tak dikenal.
6. Untuk akun kerja, segera beri tahu bagian TI. Penyerang sering memakai kotak surat yang diretas untuk mem-phishing rekan Anda dalam hitungan jam.

Panduan kami tentang yang perlu dilakukan setelah kebocoran data membahas pembersihan kata sandi lebih dalam, karena langkahnya tumpang tindih.

Anda memasukkan kode atau menyetujui permintaan

Anggaplah penyerang mungkin memegang sesi yang aktif. Ganti kata sandi, keluarkan semua sesi, tinjau pengaturan keamanan, dan beri tahu TI untuk akun kerja. Perangkat "adversary-in-the-middle" modern meneruskan login Anda ke situs asli saat Anda mengetiknya dan menangkap cookie sesi yang dihasilkan. Inilah sebabnya kode sekali pakai saja tidak menghentikan mereka.

Anda memasukkan data pembayaran

Segera hubungi bank atau penerbit kartu Anda, dengan nomor yang tertera di kartu. Minta mereka memblokir kartu dan memantau penipuan, dan tinjau laporan transaksi Anda selama beberapa minggu berikutnya. Jika Anda juga memasukkan data identitas, periksa apa yang ditawarkan negara Anda. Di Amerika Serikat, IdentityTheft.gov memberi rencana pemulihan, dan pembekuan kredit tersedia dari biro kredit.

Anda membuka lampiran atau mengaktifkan makro

Putuskan perangkat dari jaringan jika Anda curiga ada malware, jalankan pemindaian penuh, dan di tempat kerja hubungi TI sebelum melakukan hal lain. Ganti kata sandi penting dari perangkat lain yang bersih.

Anda memberi akses kepada sebuah aplikasi

Buka pengaturan keamanan akun Anda, temukan daftar aplikasi pihak ketiga yang punya akses, dan hapus yang tak dikenal. Mengganti kata sandi saja mungkin tidak memutus aplikasi yang sudah diberi akses, jadi penghapusan didahulukan. Lalu ganti kata sandi sebagai pencegahan dan periksa aturan kotak surat Anda.

Menyiapkan agar satu kesalahan lebih murah akibatnya

Anda tidak akan menangkap semuanya setiap saat, apalagi di hari yang buruk. Pengaturan bawaan yang baik membuat satu kekeliruan merusak lebih sedikit, dan sebagian di antaranya ikut membantu mengenali.

Yang terkuat adalah passkey dan kunci keamanan perangkat keras. CISA, lembaga keamanan siber AS, menyebut autentikasi multifaktor tahan phishing sebagai standar emas, dan menamai FIDO serta WebAuthn sebagai bentuknya yang tersedia luas. Kredensial itu terikat ke domain asli, sehingga tidak akan berfungsi di situs palsu, bahkan salinan yang sempurna. Aplikasi autentikator menghentikan sebagian besar serangan yang hanya menyasar kata sandi tetapi lebih lemah terhadap penerusan langsung, jadi itu langkah yang bagus dan bukan yang terakhir. Jika bank atau penyedia email Anda menawarkan passkey, mengaktifkannya mungkin hal paling berharga yang bisa Anda lakukan setelah membaca artikel ini.

Pengelola kata sandi memberi pemeriksaan kedua yang lebih senyap. Ia menyimpan domain persis untuk tiap kata sandi. Ketika Anda tiba di halaman tiruan dan ia tidak menawarkan login tersimpan, kesunyian itu adalah peringatan, dan ini menangkap halaman yang tampak sempurna sampai ke piksel. Jangan menimpanya dengan menyalin dan menempel kata sandi. Ada satu catatan kecil: pengelola kata sandi kadang gagal mengenali situs asli yang mengganti domain login-nya. Jadi kesunyian itu berarti "berhenti dan buka situs dengan mengetik alamatnya", bukan "ini pasti palsu".

Pertahanan	Fungsinya	Usaha
Passkey atau kunci perangkat keras	Menghentikan phishing kredensial dan penerusan langsung, karena kredensial terikat ke domain asli	Rendah sampai sedang
Pengelola kata sandi dengan isi otomatis	Menolak mengisi di domain palsu dan mencegah pemakaian ulang	Rendah setelah disiapkan
Aplikasi autentikator	Menghentikan sebagian besar serangan yang hanya menyasar kata sandi	Rendah
Perlindungan peramban	Safe Browsing Chrome dan SmartScreen Edge memperingatkan banyak halaman berbahaya yang dikenal	Biasanya sudah aktif
Pembaruan perangkat lunak	Menutup celah yang dipakai file dan halaman berbahaya	Rendah
Ekstensi file yang terlihat	Membongkar trik ekstensi ganda	Satu pengaturan
Bertanya sebelum memuat gambar jarak jauh	Menghentikan banyak piksel yang mengonfirmasi alamat Anda	Satu pengaturan
Aturan telepon balik tertulis untuk perubahan pembayaran	Menghentikan sebagian besar penipuan faktur, bagaimanapun tampilan emailnya	Perubahan proses
Membatasi ke mana alamat asli Anda pergi	Lebih sedikit daftar dan kebocoran yang memuatnya	Sebuah kebiasaan

Bagi bisnis, aturan telepon balik adalah yang perlu ditulis. Panduan FBI tentang kompromi email dan saran industri perbankan sepakat pada hal pokoknya: konfirmasi setiap perubahan instruksi pembayaran di luar email, dengan nomor yang sudah Anda miliki. Cara ini berhasil karena tidak bergantung pada siapa pun yang menemukan sesuatu, dan memberi staf junior alasan untuk berkata "saya harus menelepon dulu" kepada orang yang tampak seperti atasannya.

Menjauhkan alamat utama Anda dari daftar

Pelaku phishing mengirim ke alamat yang mereka beli, kumpulkan, atau tarik dari data kebocoran. Setiap kali Anda memberikan alamat asli ke situs yang kurang tepercaya, ada kemungkinan alamat itu berakhir di salah satu daftar tersebut. Memakai alamat terpisah untuk pendaftaran sekali pakai mengurangi seberapa sering kotak masuk utama Anda disasar, dan juga membuat email yang tersisa lebih mudah dinilai, karena pesan tentang bank Anda yang tiba di alamat yang hanya Anda berikan kepada bank itu lebih bermakna.

Kotak masuk sementara adalah salah satu pilihan untuk tingkat terendah, bila ketentuan situsnya mengizinkan. Dengan VookMail, sebuah alamat siap saat halaman dimuat, tanpa registrasi atau kata sandi. Anda bisa menekan Baru untuk mengetik nama pengguna dan memilih dari lebih dari 30 domain, atau menekan tombol Acak berwarna kuning untuk alamat acak, yang merupakan pilihan lebih aman karena siapa pun yang tahu atau menebak sebuah alamat bisa membuka kotak masuknya. Pesan dan lampiran dihapus setelah sekitar sehari, jadi jika alamat itu kelak menerima phishing, ia mendarat di tempat yang terputus dari bank, pekerjaan, dan akun utama Anda.

Ini cocok untuk mengunduh sumber daya, satu pertanyaan di forum, atau menguji formulir milik Anda sendiri. Ini tidak cocok untuk akun yang perlu Anda pertahankan atau pulihkan, dan jangan pernah untuk akun perbankan, pemerintah, layanan kesehatan, pekerjaan, atau media sosial utama. FAQ membahas penggunaan yang pantas, dan kebijakan privasi menjelaskan cara penanganan email masuk.

Tanda bahaya berlaku di kotak masuk mana pun, termasuk yang sekali pakai. Bahkan, alamat sementara menawarkan uji yang praktis: jika sebuah pesan di sana menyuruh Anda login ke bank atau akun email asli Anda, hampir pasti itu phishing, karena Anda tak pernah memberi layanan-layanan itu alamat tersebut.

Keyakinan keliru yang menguntungkan penyerang

• "Ada gemboknya." Itu berarti terenkripsi, bukan jujur.
• "Logo dan namanya benar." Keduanya sangat mudah disalin.
• "Tata bahasanya sempurna." Banyak kampanye kini ditulis dengan baik.
• "Saya akan telepon nomor di email itu saja." Nomor itu bisa langsung tersambung ke penyerang.
• "Datang dari alamat asli rekan saya." Akun bisa diambil alih, jadi permintaannya tetap perlu diperiksa.
• "Saya sudah mengeklik, tetapi memberi tahu TI memalukan." Diam memberi penyerang lebih banyak waktu, dan biasanya itu pilihan yang paling mahal.
• "Saya tidak punya apa pun yang layak dicuri." Kotak surat Anda bisa mereset akun lain Anda dan bisa dipakai untuk mem-phishing kontak Anda.

Daftar periksa untuk pesan di depan Anda

Ketika sebuah email meminta Anda melakukan sesuatu, pertanyaan-pertanyaan ini memakan waktu kurang dari semenit. Jika ada jawaban yang mengkhawatirkan, berhenti dan verifikasi lewat jalur lain.

1. Apakah saya memang mengharapkan ini?
2. Apakah alamat pengirim yang sebenarnya milik organisasi yang diklaimnya?
3. Ke mana tautannya benar-benar mengarah, dengan membaca domain dari kanan?
4. Apakah ia meminta kata sandi, kode, pembayaran, atau file?
5. Apakah ia mendorong desakan, rasa takut, kerahasiaan, atau imbalan?
6. Apakah ada lampiran, kode QR, atau perintah "aktifkan konten" yang tak terduga?
7. Apakah pengelola kata sandi saya mengenali halaman login itu?
8. Bisakah saya memeriksanya dengan membuka aplikasi atau menelepon nomor yang dikenal?

Pertanyaan yang sering diajukan tentang phishing

Bisakah saya diretas hanya dengan membuka email phishing?

Dengan aplikasi email yang mutakhir, membuka pesan umumnya berisiko rendah. Bahayanya datang dari mengeklik tautan, memasukkan kredensial, membuka lampiran, mengaktifkan makro, atau membalas dengan informasi. Membuka pesan bisa mengonfirmasi bahwa alamat Anda aktif jika gambar dimuat, yang menjadi salah satu alasan untuk memblokir gambar jarak jauh.

Mengapa email phishing lolos dari filter spam?

Penyerang mendaftarkan domain baru, mengirim dari akun sah yang diretas, menghosting halaman di layanan cloud tepercaya, dan terus mengubah kata-katanya. Sebagian phishing bahkan lolos SPF, DKIM, dan DMARC karena berasal dari domain yang benar-benar dikendalikan penyerang.

Apakah email phishing selalu penuh kesalahan?

Tidak. Banyak yang ditulis dengan baik dan tampak identik dengan email merek asli. Curahkan perhatian Anda pada sinyal teknis dan pada apa yang diminta.

Perusahaan asli mengirimi saya tautan yang menyuruh saya login. Apakah itu selalu phishing?

Tidak. Perusahaan memang mengirim tautan yang sah, dan loginnya bisa saja asli. Kebiasaan yang aman berlaku untuk kedua kasus: tinggalkan emailnya, buka layanan itu sendiri, dan periksa apakah ada yang perlu perhatian Anda. Paling-paling Anda kehilangan beberapa detik.

Apakah alamat sekali pakai melindungi saya dari phishing?

Ia mengurangi paparan. Phishing yang ditujukan ke alamat itu masuk ke kotak masuk yang tak terhubung dengan akun asli Anda dan dihapus setelah sekitar sehari. Ia tidak berbuat apa-apa untuk email yang sampai ke kotak masuk utama Anda, jadi pemeriksaan di atas tetap berlaku di sana.