Jangan Asal Klik! 9 Risiko Keamanan Digital

Jangan Asal Klik! 9 Risiko Keamanan Digital – Ancaman siber semakin sulit dikenali karena tidak selalu datang dalam bentuk malware atau email mencurigakan.

Penyerang kini memanfaatkan aktivitas sehari-hari, mulai dari mencari perangkat lunak melalui:

Mesin pencari.
Memindai kode QR.
Mengikuti proses verifikasi palsu.
Hingga menggunakan jaringan Wi-Fi publik.

Bahkan, kebiasaan yang tampak sepele dapat membuka peluang bagi pencurian kredensial dan pengambilalihan akun.

Survei menunjukkan bahwa phising dan rekayasa sosial menjadi tantangan terbesar dalam meningkatkan kesadaran keamanan siber bagi 39,1% responden.

Angka tersebut tidak terpaut jauh dari risiko penggunaan AI tanpa pengawasan dan pembagian data yang tidak aman, yang dipilih oleh 38,2% responden.

Sementara itu, kelelahan mengikuti pelatihan keamanan dan lemahnya tindak lanjut memperoleh 13,5%, sedangkan akses pihak ketiga dan kontraktor mencapai 9,2%.

Temuan tersebut memperlihatkan bahwa tantangan keamanan siber tidak hanya berkaitan dengan teknologi, tetapi juga perilaku pengguna dan cara organisasi mengelola akses. Berikut sembilan kebiasaan yang perlu diterapkan untuk mengurangi risiko serangan.

1. Jangan Menganggap AI Aman dengan Sendirinya

Penggunaan AI di lingkungan perusahaan semakin luas, termasuk model yang dapat menjalankan tugas secara otomatis atau berinteraksi dengan berbagai sistem. Namun, kecanggihan model tidak menjamin keamanannya.

Model AI dapat disalahgunakan, dimanipulasi melalui prompt injection, atau menjadi jalur kebocoran informasi apabila diberikan akses terlalu luas. Risiko juga dapat muncul dari kode, data pelatihan, plugin, API, maupun aplikasi yang terhubung dengan model tersebut.

Organisasi perlu membatasi informasi dan sistem yang dapat diakses AI, menerapkan hak akses minimum, memisahkan lingkungan kerja AI dari sistem kritis, serta memantau aktivitasnya. Untuk tindakan yang berdampak besar, seperti transaksi keuangan, perubahan sistem, atau akses data pelanggan, pengawasan manusia tetap diperlukan.

2. Waspadai Serangan ClickFix

ClickFix merupakan teknik serangan yang memanfaatkan instruksi palsu untuk membuat korban menjalankan perintah berbahaya secara sukarela.

Biasanya, korban diarahkan ke situs yang telah disusupi atau halaman palsu yang menyerupai CAPTCHA, halaman rapat daring, maupun pesan kesalahan pada peramban.

Korban kemudian diminta membuka alat sistem seperti Run di Windows, PowerShell, Terminal, atau Command Prompt, lalu menempelkan perintah yang sebelumnya telah disalin ke clipboard.

Ketika perintah dijalankan, perangkat dapat terinfeksi atau memberikan akses kepada penyerang. Karena itu, pengguna perlu memahami satu aturan penting: CAPTCHA, situs web, maupun platform rapat yang sah tidak seharusnya meminta pengguna menjalankan skrip melalui alat sistem operasi.

Jika menemukan instruksi semacam ini, hentikan proses dan laporkan kepada tim TI. Jangan mencoba memperbaiki masalah dengan menjalankan perintah yang diberikan situs tidak dikenal.

3. Jangan Langsung Memercayai Iklan Media Sosial

Iklan di media sosial tidak selalu berasal dari pengiklan yang dapat dipercaya. Penyerang dapat memanfaatkan iklan berbayar untuk menyebarkan tautan ke situs palsu, halaman phishing, atau unduhan berbahaya.

Penelitian Gen Digital yang dikutip dalam artikel sumber menyebutkan bahwa sekitar 31% iklan di Instagram dan Facebook mengarah ke penipuan, halaman phishing, atau malware. Angka ini menjadi pengingat bahwa tampilan profesional dan keberadaan iklan di platform populer bukan jaminan keamanan.

Hindari mengeklik iklan secara langsung untuk melakukan pembelian, masuk ke akun, atau memberikan informasi pembayaran.

Jika menemukan penawaran menarik, kunjungi situs resmi perusahaan dengan mengetik alamatnya secara manual atau menggunakan tautan yang telah disimpan. Periksa kembali nama domain sebelum memasukkan kredensial maupun informasi kartu pembayaran.

4. Lindungi Keluarga dari Rekayasa Sosial

Ancaman terhadap organisasi tidak selalu berhenti pada karyawan atau perangkat kantor. Keluarga eksekutif dan individu yang memiliki akses penting juga dapat menjadi sasaran penyerang.

Laporan Semperis 2026 Ransomware Risk Report yang dikutip sumber menyebutkan bahwa 37% serangan melibatkan ancaman terhadap teman atau keluarga karyawan.

Penyerang dapat mengumpulkan informasi dari media sosial, data publik, maupun kebocoran sebelumnya untuk memetakan hubungan pribadi dan menyusun skenario penipuan yang lebih meyakinkan.

Organisasi perlu memperluas edukasi keamanan kepada eksekutif dan keluarga mereka. Batasi informasi pribadi yang dipublikasikan, gunakan kata sandi unik, aktifkan autentikasi multifaktor, dan amankan jaringan rumah serta perangkat yang terhubung.

Keluarga juga perlu memahami modus penyamaran identitas dan pesan mendesak yang meminta uang atau informasi sensitif.

5. Perkuat Perlindungan bagi Eksekutif dan Pengguna dengan Hak Akses Tinggi

Eksekutif, pimpinan keuangan, administrator, dan asisten pribadi sering memiliki akses ke informasi penting atau kewenangan untuk menyetujui transaksi. Kondisi ini membuat mereka menjadi sasaran menarik untuk phishing, penipuan melalui penyamaran identitas, business email compromise (BEC), dan pencurian data.

Perlindungan terhadap kelompok ini tidak cukup hanya mengandalkan pelatihan umum. Organisasi perlu menerapkan autentikasi multifaktor yang tahan phishing, membatasi hak akses istimewa, dan menyediakan perangkat khusus yang lebih terkontrol untuk aktivitas sensitif.

Akses administrator sebaiknya diberikan hanya ketika dibutuhkan, bukan terus-menerus tersedia. Pemantauan email dan aktivitas berbagi data juga perlu diperkuat untuk mendeteksi penerusan pesan, pengiriman berkas, atau akses yang tidak biasa.

Baca juga: BlackLotus Bobol Sistem Windows 11

6. Kenali Dark Patterns dan Permintaan Izin yang Mencurigakan

Dark patterns adalah teknik desain antarmuka yang sengaja memengaruhi pengguna agar mengambil keputusan tertentu, misalnya menekan tombol persetujuan, membagikan data, atau mengaktifkan izin yang sebenarnya tidak diperlukan.

Contohnya adalah tombol “Terima Semua” yang dibuat lebih menonjol, pilihan penolakan yang disembunyikan, atau pop-up yang menyulitkan pengguna untuk menutupnya. Kebiasaan mengeklik tanpa membaca dapat membuat pengguna terbiasa mengabaikan peringatan dan memberikan izin secara refleks.

Dalam lingkungan kerja, perilaku tersebut dapat meningkatkan risiko ketika pengguna menghadapi halaman login palsu, permintaan izin aplikasi yang tidak wajar, atau permintaan informasi sensitif.

Periksa pengaturan privasi dan pembagian data secara manual. Jangan membuat akun pada layanan yang tidak pernah diminta atau disetujui organisasi hanya karena menerima tautan melalui email. Akun tidak resmi dapat menjadi shadow account yang tidak terpantau oleh tim TI.

7. Amankan Seluruh Proses Login, Bukan Hanya Kata Sandi

Kata sandi bukan satu-satunya bagian yang dapat diserang dalam proses autentikasi. Penyerang juga dapat memanfaatkan kode QR login palsu (quishing), membanjiri korban dengan permintaan persetujuan MFA (push fatigue), mencuri token sesi (session hijacking), atau mengambil alih nomor telepon melalui SIM swapping.

Organisasi perlu beralih ke metode autentikasi yang lebih tahan phishing, seperti passkey dan kunci keamanan FIDO2. Jika belum memungkinkan, beberapa langkah berikut dapat diterapkan:

Aktifkan pencocokan nomor (number matching) untuk autentikasi berbasis notifikasi.
Kurangi penggunaan SMS sebagai metode autentikasi jika tersedia alternatif yang lebih aman.
Batasi permintaan persetujuan MFA berulang.
Perpendek masa berlaku sesi untuk aplikasi berisiko tinggi.
Batasi akses sistem sensitif hanya dari perangkat yang dikelola organisasi.
Minta autentikasi ulang ketika kondisi keamanan perangkat berubah.

Pengguna juga harus menghindari pemindaian kode QR login dari sumber yang tidak terverifikasi dan tidak menyetujui permintaan MFA yang tidak mereka lakukan sendiri.

8. Jangan Sembarangan Menggunakan Wi-Fi Publik

Jaringan Wi-Fi gratis di pusat perbelanjaan, hotel, bandara, kafe, atau fasilitas olahraga dapat dimanfaatkan untuk menjebak pengguna. Penyerang bisa membuat jaringan palsu dengan nama yang menyerupai jaringan resmi sehingga korban tanpa sadar terhubung ke jaringan yang salah.

Risiko ini semakin besar ketika pengguna mengakses email perusahaan, sistem administrasi, atau layanan keuangan melalui jaringan yang tidak diketahui keamanannya.

Sebelum terhubung, pastikan nama jaringan Wi-Fi melalui petugas atau informasi resmi lokasi. Matikan fitur koneksi otomatis agar perangkat tidak tersambung ke jaringan yang namanya mirip. Untuk aktivitas sensitif, gunakan koneksi pribadi atau metode akses jarak jauh yang telah disetujui perusahaan. Hotspot pribadi juga dapat menjadi alternatif jika dikonfigurasi dengan kata sandi yang kuat.

9. Jangan Langsung Memercayai Hasil Pencarian

Hasil pencarian di internet tidak selalu mengarah ke situs resmi. Melalui teknik SEO poisoning, penyerang dapat memanipulasi peringkat pencarian atau menyusupi situs sehingga halaman berbahaya muncul di posisi teratas.

Pengguna yang mencari perangkat lunak, halaman login, atau situs mitra bisnis dapat diarahkan ke situs tiruan yang dirancang untuk mencuri kredensial atau mendistribusikan malware.

Sebelum mengeklik hasil pencarian, periksa alamat URL dengan teliti. Waspadai salah eja, tambahan kata yang tidak biasa, ekstensi domain mencurigakan, atau nama merek yang sedikit berbeda. Setelah membuka halaman, berhati-hatilah jika situs langsung meminta unduhan, menampilkan pengalihan berulang, atau meminta kredensial tanpa alasan yang jelas.

Untuk layanan penting, gunakan alamat situs yang telah disimpan sebagai bookmark atau ketik sendiri alamat resminya. Jika terlanjur mengunduh berkas mencurigakan atau memasukkan kredensial di situs palsu, segera laporkan kepada tim TI agar perangkat dapat diperiksa dan akses terkait diamankan.

Kesadaran Keamanan Harus Menjadi Kebiasaan

Kesembilan risiko tersebut memiliki pola yang sama: penyerang memanfaatkan kemudahan, kepercayaan, dan kebiasaan pengguna untuk melewati perlindungan teknis. Serangan dapat bermula dari iklan, hasil pencarian, wawancara kerja palsu, jaringan Wi-Fi, hingga permintaan autentikasi yang tampak biasa.

Karena itu, edukasi keamanan siber tidak seharusnya hanya dilakukan setahun sekali. Organisasi perlu membangun kebiasaan untuk memverifikasi sumber, membatasi akses, mengenali permintaan yang tidak wajar, serta segera melaporkan aktivitas mencurigakan.

Teknologi keamanan tetap penting, tetapi efektivitasnya juga bergantung pada perilaku orang yang menggunakannya. Ketika kebiasaan aman didukung oleh pengaturan sistem dan kontrol akses yang tepat, peluang penyerang untuk memanfaatkan kelengahan pengguna dapat dikurangi.

Baca artikel lainnya: