Apa Itu Phishing? Jenis, Contoh & Cara Mencegahnya di Perusahaan

Virtuenet Prasetia
14 Jul
7 menit membaca

Anda menerima email "dari bank" yang meminta verifikasi akun mendesak, atau pesan WhatsApp "dari kurir" berisi link resi paket yang tidak Anda pesan. Phishing adalah teknik rekayasa sosial yang menyamar sebagai pihak tepercaya untuk memancing Anda memberikan kredensial, data pribadi, atau uang secara sukarela. Serangan ini menyasar siapa saja, dari staf baru sampai direksi, dan tetap menjadi salah satu pintu masuk paling umum bagi insiden keamanan siber perusahaan. Artikel ini membahas definisi, cara kerja, enam jenis phishing yang paling sering ditemui, tanda-tandanya, contoh skenario umum di tempat kerja, serta strategi pencegahan berlapis yang menggabungkan awareness karyawan, MFA, dan kontrol teknis.

Apa Itu Phishing? Definisi dan Kenapa Serangan Ini Efektif

Secara sederhana, phishing adalah serangan rekayasa sosial (social engineering) di mana pelaku menyamar sebagai pihak tepercaya, misalnya bank, vendor, atasan, atau instansi resmi. Tujuannya memancing korban membuka link berbahaya, mengunduh lampiran, atau menyerahkan informasi sensitif secara sukarela. Istilah ini berasal dari kata "fishing", karena pelaku menebar umpan massal dan menunggu korban yang tersangkut. Target datanya bervariasi, mulai dari kata sandi dan OTP sampai akses langsung ke sistem internal perusahaan.

Yang membuat phishing efektif bukan kecanggihan teknis, melainkan manipulasi psikologis: rasa urgensi, rasa takut, rasa ingin tahu, atau otoritas atasan yang membuat korban bertindak cepat tanpa berpikir panjang. Kombinasi ini membuat phishing bertahan sebagai salah satu vektor serangan siber paling sering dipakai, baik terhadap individu maupun organisasi besar. Untuk gambaran proteksi siber yang lebih menyeluruh, baca panduan keamanan siber perusahaan.

Cara Kerja Phishing: Tahapan Umum Serangan

Sebagian besar serangan phishing, apa pun medianya, mengikuti pola yang serupa:

Riset target: mengumpulkan info dari LinkedIn, struktur organisasi, atau vendor terkait korban.
Pembuatan umpan: menyiapkan email, pesan, situs, atau kode QR palsu yang meniru tampilan resmi.
Pengiriman: menyebar umpan lewat email, SMS, telepon, atau media cetak.
Eksploitasi: korban mengklik link atau mengikuti instruksi, kredensial atau dana pun berpindah tangan.
Monetisasi: data atau akses yang didapat dijual atau langsung dipakai mencuri dana.

Rantai ini bisa selesai hitungan menit jika korban tidak sempat memverifikasi keaslian pesan.

Jenis-Jenis Phishing yang Perlu Anda Kenali

Phishing berkembang jauh dari sekadar email mencurigakan. Berikut enam jenis paling umum ditemui di lingkungan kerja saat ini.

Email Phishing

Bentuk paling klasik dan paling besar volumenya. Pelaku mengirim email massal yang menyamar sebagai bank, layanan cloud, atau mitra bisnis, biasanya berisi link ke halaman login palsu atau lampiran berbahaya. Volume email phishing global tetap tinggi tiap kuartal, sehingga filter email saja sering tidak cukup.

Spear Phishing

Menyasar individu atau kelompok kecil tertentu. Pelaku meriset target lebih dulu, misalnya nama atasan atau proyek yang sedang berjalan, agar pesannya terasa personal dan sulit dikenali dibanding email phishing generik.

Whaling

Bentuk spear phishing yang menyasar direksi, CFO, atau pemilik bisnis. Pelaku menyamar sebagai eksekutif lain untuk meminta transfer dana mendesak atau data finansial sensitif. Karena melibatkan wewenang persetujuan besar, satu email whaling yang berhasil berdampak jauh lebih besar dibanding phishing biasa.

Smishing (Phishing Lewat SMS)

Memakai SMS atau WhatsApp, biasanya menyamar sebagai kurir, bank, atau layanan pemerintah, dengan pesan pendek dan mendesak berisi link singkat yang sulit diverifikasi lewat layar ponsel. Orang cenderung lebih percaya pesan pribadi dibanding email, sehingga smishing kerap lebih berhasil dari perkiraan.

Vishing (Phishing Lewat Telepon)

Dilakukan lewat panggilan telepon, baik oleh manusia langsung maupun rekaman suara otomatis. Pelaku menyamar sebagai staf bank atau dukungan teknis untuk memancing korban menyebutkan OTP atau transfer sendiri. Vishing sering dikombinasikan dengan email atau SMS sebelumnya agar korban merasa panggilan itu sudah "terverifikasi".

QR Code Phishing (Quishing)

Jenis phishing terbaru yang memanfaatkan kode QR untuk mengarahkan korban ke situs berbahaya, biasanya ditempel di poster parkir, menu restoran palsu, atau disisipkan dalam email. Karena kode QR tak terbaca manusia sebelum dipindai, korban sering tidak sadar ke mana link itu mengarah. Laporan APWG mencatat lonjakan kode QR berbahaya, salah satu vendor keamanan bahkan mengidentifikasi lebih dari 1,7 juta kode QR mencurigakan dalam enam bulan.

Jenis Phishing	Media Utama	Target Umum	Ciri Khas
Email Phishing	Email massal	Publik luas, karyawan umum	Volume besar, kurang personal
Spear Phishing	Email tertarget	Individu atau tim tertentu	Personalisasi tinggi berdasarkan riset
Whaling	Email tertarget	Direksi, CFO, pemilik bisnis	Menyamar eksekutif, minta transfer dana
Smishing	SMS, WhatsApp	Pengguna ponsel umum	Pesan pendek, mendesak, link singkat
Vishing	Panggilan telepon	Karyawan, nasabah	Interaksi suara langsung, minta OTP
Quishing	Kode QR	Pengguna di ruang publik/email	Link tersembunyi di balik kode QR

Tanda-Tanda Umum Pesan Phishing

Meski taktiknya terus berkembang, sebagian besar pesan phishing masih menyisakan tanda yang bisa dikenali dengan teliti.

Alamat pengirim mirip tapi tidak identik dengan domain resmi.
Nada pesan mendesak atau menjanjikan sesuatu terlalu bagus untuk jadi kenyataan.
Link yang tampil di teks berbeda dari alamat sebenarnya saat kursor diarahkan ke atasnya.
Permintaan data sensitif seperti kata sandi atau OTP lewat kanal tidak biasa.
Kesalahan tata bahasa atau logo yang tampak sedikit berbeda dari aslinya.
Lampiran file berekstensi mencurigakan atau permintaan mengaktifkan macro.

Satu tanda saja belum tentu berarti phishing, tapi kombinasi beberapa tanda sekaligus layak dicurigai dan diverifikasi lebih dulu.

Contoh Skenario Phishing yang Umum Terjadi di Perusahaan

Skenario berikut bersifat umum sebagai ilustrasi, bukan kutipan dari insiden spesifik mana pun.

Faktur palsu dari "vendor". Tim finance menerima faktur dengan rekening tujuan sedikit berbeda dari vendor asli, dikirim sebelum jadwal pembayaran rutin.
Reset password mendesak. Karyawan menerima email mengatasnamakan tim IT yang meminta login ulang lewat link mirip portal perusahaan.
Permintaan transfer dari "atasan". Staf finance menerima pesan seolah dari direksi, meminta transfer dana cepat untuk keperluan mendesak dan rahasia.
Notifikasi paket palsu. Karyawan menerima SMS soal paket tertahan yang meminta pembayaran kecil lewat link, padahal tidak menunggu kiriman apa pun.
Kode QR di parkiran atau acara. Kode QR yang ditempel menggantikan kode resmi mengarahkan korban ke halaman pembayaran palsu.

Dampak Phishing bagi Bisnis Anda

Ketika phishing berhasil, dampaknya jarang berhenti di satu titik. Kerugian finansial langsung, seperti dana yang ditransfer ke rekening palsu, biasanya paling terlihat. OJK dan Indonesia Anti-Scam Centre mencatat total kerugian akibat penipuan transaksi keuangan mencapai Rp9,1 triliun sepanjang 2024 hingga Januari 2026, dengan rekayasa sosial seperti phishing sebagai salah satu modus utamanya.

Di luar kerugian langsung, kredensial yang dicuri lewat phishing sering jadi pintu masuk insiden lebih besar, seperti pencurian data pelanggan. BSSN mencatat serangan siber terhadap Indonesia melonjak signifikan sepanjang 2025, dengan phishing tetap diwaspadai lembaga keuangan seperti Indodax. Dampak lain yang sering terlewat: waktu pemulihan, biaya investigasi, dan hilangnya kepercayaan pelanggan.

Bagi direksi dan pemilik bisnis, risiko phishing bukan sekadar urusan tim IT. Keputusan soal anggaran keamanan dan budaya kewaspadaan karyawan berada di level kebijakan perusahaan, seperti dibahas lebih detail di keamanan data untuk direksi.

Cara Mencegah Phishing di Perusahaan: Pendekatan Berlapis

Tidak ada satu kontrol tunggal yang bisa menghentikan semua serangan phishing. Pendekatan paling realistis menggabungkan tiga lapisan yang saling menutupi kelemahan satu sama lain.

Lapisan 1: Awareness dan Pelatihan Karyawan

Karyawan yang terlatih mengenali tanda-tanda phishing adalah lapisan pertahanan pertama yang paling murah dan paling sering diabaikan. Lakukan simulasi phishing berkala, bukan hanya sekali saat onboarding, agar kewaspadaan tetap terjaga. Pastikan juga ada jalur pelaporan yang mudah diakses agar karyawan yang ragu bisa langsung bertanya ke tim IT.

Lapisan 2: MFA dan Kontrol Identitas

Bahkan karyawan paling waspada bisa suatu saat terkecoh. Di sinilah multi-factor authentication (MFA) berperan sebagai jaring pengaman, karena kata sandi yang bocor saja tidak cukup membobol akun jika ada faktor verifikasi kedua. Microsoft mencatat MFA dapat memblokir lebih dari 99% percobaan pengambilalihan akun otomatis, menjadikannya kontrol dengan rasio biaya-manfaat terbaik. Kombinasi MFA dengan SSO (Single Sign-On) juga mempermudah tim IT mencabut akses terpusat begitu ada indikasi kompromi.

Lapisan 3: Kontrol Teknis di Jaringan dan Endpoint

Lapisan terakhir adalah kontrol teknis yang bekerja di latar belakang tanpa bergantung pada kewaspadaan manusia: filter email, pemblokiran domain mencurigakan, web protection, dan endpoint security. Pendekatan ini sejalan dengan prinsip zero-trust security, di mana setiap permintaan akses tetap diverifikasi, bukan otomatis dipercaya. Semakin banyak titik verifikasi otomatis yang terpasang, semakin kecil ruang gerak pelaku meski satu lapisan sempat ditembus.

Lapisan Pertahanan	Fokus Utama	Contoh Kontrol
Awareness Karyawan	Mengenali dan melaporkan pesan mencurigakan	Simulasi phishing, pelatihan berkala, jalur pelaporan
MFA dan Identitas	Mencegah kredensial curian jadi akses penuh	MFA, SSO, dynamic role management
Kontrol Teknis	Memblokir ancaman sebelum menjangkau pengguna	Web protection, filter email, endpoint security, DLP

FAQ

Apa bedanya phishing dan spear phishing?

Phishing dikirim massal tanpa personalisasi. Spear phishing menyasar individu atau kelompok kecil lewat riset mendalam sehingga pesannya terasa personal dan meyakinkan.

Apakah phishing hanya terjadi lewat email?

Tidak. Phishing juga terjadi lewat SMS (smishing), telepon (vishing), dan kode QR (quishing), atau media apa pun yang bisa dipakai menyamar sebagai pihak tepercaya.

Apakah MFA saja sudah cukup untuk mencegah phishing?

MFA sangat efektif mengurangi risiko, tapi bukan solusi tunggal. Phishing tingkat lanjut yang mencuri sesi login bisa melewati MFA tertentu, sehingga tetap perlu kombinasi awareness dan kontrol teknis.

Apa yang harus dilakukan jika sudah terlanjur mengklik link phishing?

Segera ganti kata sandi akun terdampak dan aktifkan MFA. Laporkan ke tim IT agar akses mencurigakan cepat diblokir, lalu pantau akun untuk aktivitas tidak wajar beberapa hari ke depan.

Kesimpulan

Phishing adalah ancaman yang bertahan bukan karena canggih secara teknis, tapi karena konsisten memanfaatkan kelengahan manusia. Enam jenisnya, dari email phishing sampai quishing, terus berevolusi mengikuti kanal komunikasi yang paling sering dipakai korban. Pertahanan yang benar-benar tangguh datang dari kombinasi tiga lapisan: karyawan terlatih, kontrol identitas seperti MFA, dan sistem teknis yang bekerja otomatis di latar belakang. Semakin awal ketiga lapisan ini dibangun, semakin kecil peluang satu pesan palsu berhasil menembus perusahaan Anda.

Perkuat Pertahanan Phishing dengan SealSuite

Pelatihan karyawan mengurangi risiko, tapi kontrol teknis tetap dibutuhkan sebagai jaring pengaman saat manusia lengah. SealSuite adalah platform IT governance & security berarsitektur zero-trust dengan modul Identity & Access (SSO, MFA, dynamic role management) sehingga kredensial bocor tidak otomatis berarti akses penuh, ditambah modul SaaS/Cloud security (secure application gateway, web DLP) untuk memblokir situs phishing dan kebocoran data lewat aplikasi cloud yang tidak terpantau. Dengan 1.000+ template integrasi siap pakai dan klien enterprise seperti Tokopedia serta Xiaomi yang tercantum di situs SealSuite, platform ini bisa diterapkan tanpa membangun semuanya dari nol.

Hubungi tim Virtuenet via WhatsApp atau virtuenet.id/contact untuk konsultasi dan demo gratis.

Referensi

Wartaekonomi (BSSN & Indodax) - https://wartaekonomi.co.id/amp/read614980/bssn-catat-55-miliar-serangan-siber-indodax-ingatkan-bahaya-phishing
APWG Phishing Activity Trends Report Q1 2025 (AccessNewswire) - https://www.accessnewswire.com/newsroom/en/computers-technology-and-internet/apwg-q1-report-rising-waves-of-qr-code-attacks-driving-users-to-p-1045273
Microsoft Security Blog - https://www.microsoft.com/en-us/security/blog/2019/08/20/one-simple-action-you-can-take-to-prevent-99-9-percent-of-account-attacks/
SealSuite - https://www.sealsuite.com/