Mengeliminir Serangan BEC di Perusahaan

Mengeliminir Serangan BEC di Perusahaan – Dalam skema kejahatan Business Email Compromise (BEC), peretas menyamar atau mengambil alih identitas tepercaya untuk mengelabui korban agar mengirimkan uang, kredensial akun, atau informasi sensitif ke pihak yang tidak berwenang.

Serangan jenis ini sangat sulit dideteksi karena peretas dapat mengompromikan kotak masuk (inbox) atau nomor telepon yang sah, memalsukan alamat email (spoofing), hingga meniru domain web untuk memberikan kesan bahwa mereka berkomunikasi dari bisnis resmi. Alhasil, serangan BEC tidak selalu melibatkan link phishing atau lampiran berkas berbahaya.

Baca juga: Bahaya Salin Tempel Perintah

Apa Itu Business Email Compromise?

Contoh klasik penipuan BEC adalah email mendesak yang seolah-olah dikirim oleh CEO perusahaan kepada seorang karyawan. Email tersebut meminta penanganan masalah darurat, seperti mengirimkan pembayaran ke pemasok (vendor) atau membagikan data rahasia untuk presentasi mendatang.

Namun, itu hanyalah salah satu jenis serangan. BEC sangat sulit dilawan karena peretas tidak harus mengikuti jalur teknis tertentu; mereka dapat membajak saluran komunikasi resmi perusahaan melalui berbagai cara yang sangat halus.

Pada intinya, penipuan BEC melibatkan penyamaran identitas bisnis yang dipercaya untuk mengalihkan pembayaran atau informasi sensitif ke tangan peretas melalui berbagai metode, tidak terbatas pada serangan phishing atau whaling konvensional.

Perbedaan BEC dengan Serangan Social Engineering Lainnya

Serangan BEC bahkan dapat terjadi tanpa keahlian siber tingkat tinggi dari peretas. Sebagai contoh, peretas cukup membuat alamat email gratis menggunakan nama salah satu eksekutif perusahaan, lalu meyakinkan korban untuk berkomunikasi melalui akun tersebut.

Meski demikian, serangan BEC juga bisa dimulai dari link phishing, email teks biasa, pesan SMS, hingga penggunaan platform pengubah suara dan video berbasis kecerdasan buatan (deepfake) untuk menyamar sebagai eksekutif secara real-time.

Berikut adalah korelasi antara istilah kejahatan siber yang sering digunakan dalam skema BEC:

BEC (Business Email Compromise): Penyamaran identitas bisnis tepercaya untuk melakukan penipuan atau pencurian data. Ini merupakan bentuk penipuan secara keseluruhan.
Phising: Komunikasi manipulatif untuk memicu aksi tidak aman dari korban. Berfungsi sebagai metode masuk atau bagian dari BEC.
Email Account Compromise (EAC): Pengambilalihan akun email resmi secara tidak sah. Membikin permintaan BEC terlihat sangat autentik.
Spoofing / Lookalike Domain: Pemalsuan alamat atau pembuat domain yang sangat mirip dengan identitas asli. Salah satu metode penyamaran peretas.
Video & Audio Impersonation: Penyamaran komunikasi suara atau video secara palsu. Berfungsi sebagai metode masuk atau penguat keyakinan korban.

Bagaimana Serangan BEC Bekerja?

Banyak serangan siber yang sukses berawal dari social engineering (rekayasa sosial). Meyakinkan seseorang untuk memberikan akses atau menyetujui transaksi jauh lebih cepat dan mudah dibanding mengeksploitasi kerentanan teknis sistem.

Secara bertahap, berikut adalah alur kerja peretas dalam menjalankan serangan BEC:

Pengumpulan Informasi (Reconnaissance): Peretas mengidentifikasi target seperti eksekutif, staf keuangan, vendor, serta siklus transaksi pembayaran.
Akses atau Penyamaran: Peretas mengompromikan kotak masuk email, memalsukan alamat (spoofing), atau mendaftarkan domain tiruan (lookalike domain).
Membangun Konteks: Peretas mempelajari gaya bahasa target, jadwal transaksi rutin, atau isu terkini perusahaan (seperti akuisisi).
Perubahan Rincian (The Change): Peretas memasukkan informasi rekening bank baru, instruksi transfer, atau pengalihan pembayaran gaji.
Penekanan (Pressure): Peretas menyuntikkan rasa mendesak, kerahasiaan, atau wewenang agar korban mengabaikan prosedur verifikasi standar.
Pencucian Dana (Transfer & Movement): Peretas mengalihkan dana curian melalui beberapa rekening hingga siap dicairkan.

Jenis-Jenis Serangan BEC yang Paling Umum

Penipuan Vendor / Faktur (Vendor or Invoice Fraud): Peretas menyamar atau mengompromikan email vendor resmi untuk mengubah rincian rekening pembayaran pada faktur (invoice) asli.
Penyamaran Eksekutif (CEO Fraud): Peretas menyamar sebagai pimpinan senior yang meminta bantuan mendesak untuk pembelian, kredensial akun, atau data perusahaan.
Pengalihan Gaji (Payroll Diversion): Menyasar tim HRD atau payroll dengan meminta pengalihan rekening gaji karyawan ke rekening peretas.
Penipuan Kuasa Hukum / Properti: Terjadi saat transaksi besar perusahaan (seperti akuisisi bisnis atau pembelian aset). Peretas menyamar sebagai pengacara atau eksekutif untuk mengubah instruksi pembayaran.
Penipuan Kartu Hadiah (Gift-Card Fraud): Karyawan dibujuk untuk membeli kartu hadiah (gift card) menggunakan akun perusahaan dan mengirimkan kodenya ke peretas.
Pencurian Data (Data-Request Fraud): Permintaan palsu untuk mendapatkan data pajak, penggajian, atau informasi pribadi karyawan demi kejahatan lanjutan.

Seberapa Besar Skala Ancaman BEC?

Dampak kerugian akibat BEC tidak boleh diremehkan. Berdasarkan laporan Internet Crime Complaint Center (IC3) milik FBI pada tahun 2025, penipuan BEC menjadi penyumbang kerugian terbesar kedua setelah penipuan investasi, dengan nilai kerugian yang dilaporkan mencapai lebih dari $3 miliar USD (hanya di wilayah AS berdasarkan aduan sukarela).

Dalam rentang tiga tahun (2023 hingga 2025), angka kerugian tahunan akibat BEC secara konsisten berada di kisaran $2,77 miliar hingga $3 miliar USD.

Peran AI dalam Mempertajam Penyamaran Identitas

Kehadiran kecerdasan buatan (Artificial Intelligence) telah mengubah lanskap serangan siber. Pada laporan IC3, tercatat lebih dari 22.000 aduan dengan total kerugian mencapai $893 juta USD.

Yang melibatkan penggunaan teknologi AI, mulai dari penyusunan bahasa email yang sangat formal hingga kloning suara (voice cloning). AI memungkinkan peretas mengotomatiskan dan meningkatkan skala penipuan mereka.

Mengapa Satu Lapisan Keamanan Saja Tidak Cukup?

Karena BEC dapat terjadi tanpa adanya peretasan sistem secara teknis, tidak ada satu pun teknologi yang mampu mencegah semua bentuk BEC.

Kontrol keamanan teknis beserta keterbatasannya dapat dirangkum sebagai berikut:

SPF, DKIM, dan DMARC: Membantu mengatasi pemalsuan domain (spoofing). Namun, tidak bisa mengatasi akun email resmi yang sudah diambil alih (compromised mailbox).
Penyaring Email (Email Filtering): Membantu memblokir konten berbahaya dan pola mencurigakan. Namun, tidak bisa mendeteksi semua permintaan rekayasa sosial berbasis teks polos.
MFA (Otentikasi Multi-Faktor): Membantu mencegah pengambilalihan akun. Namun, tidak bisa memvalidasi proses bisnis atau transaksi yang dipalsukan.
Pelatihan Kesadaran (Awareness Training): Membantu karyawan mengenali dan melaporkan ancaman. Namun, tidak menjamin manusia bebas dari kesalahan saat dihadapkan pada teknik rekayasa sosial yang halus.

Satu Aturan Emas untuk Mengurangi Risiko BEC

Serangan BEC selalu memanfaatkan rasa mendesak agar korban tidak sempat berpikir jernih. Oleh karena itu, aturan paling krusial untuk menghadapi permintaan perubahan transaksi atau pembayaran tiba-tiba adalah:

“Verifikasi Perubahan Data, Bukan Hanya Pesannya”

Artinya, sebelum memproses perubahan rekening atau pembayaran, selalu konfirmasi ulang instruksi tersebut melalui saluran komunikasi terpisah menggunakan data kontak yang tersimpan di sistem tepercaya (misalnya menghubungi nomor telepon resmi vendor yang terdaftar di situs web resmi, bukan nomor telepon yang tertera pada email atau faktur baru tersebut).

Langkah Penting yang Harus Dilakukan Perusahaan

Verifikasi Independen: Telpon pihak terkait secara langsung saat menerima perubahan rincian rekening pembayaran.
Tetapkan Batas Transaksi: Terapkan batasan nominal harian serta skema dual authorization (persetujuan ganda) untuk transaksi bernominal besar.
Aktifkan MFA: Gunakan otentikasi multi-faktor berbasis aplikasi otentikator atau hardware token.
Pantau Aktivitas Mencurigakan: Lakukan pemantauan pada log sign-in, aturan pembelokan email (mail forwarding), dan hak akses akun.
Buat Jalur Pelaporan Sederhana: Pastikan seluruh karyawan mengetahui ke mana harus melapor jika menerima permintaan mencurigakan dari pihak yang mengaku sebagai eksekutif.

Apa yang Harus Done Jika Terjadi Transfer Penipuan BEC? Jika Anda atau perusahaan menjadi korban penipuan BEC:

Segera Hubungi Bank: Minta pembatalan/penarikan pembayaran (payment recall) serta tanyakan prosedur Letter of Indemnity atau Hold Harmless Letter.
Laporkan ke Pihak Berwajib: Buat laporan resmi ke kepolisian atau lembaga penegak hukum siber terkait.
Amankan Akun: Lakukan reset password, cabut sesi aktif, dan periksa aturan pembelokan (forwarding rules) di email.
Simpan Bukti: Simpan seluruh bukti pesan, header email lengkap, serta log transaksi untuk proses investigasi dan klaim asuransi.