Kisi-kisi Email Spoofing – :: DigitalMania ::

Kisi-kisi Email Spoofing – Mengenali dan Mencegah Serangan Email Spoofing masih menjadi salah satu sarana komunikasi utama dalam aktivitas bisnis. Namun, kepercayaan terhadap email juga dimanfaatkan penjahat siber untuk menjalankan penipuan.

Salah satu teknik yang sering digunakan adalah email spoofing, yaitu pemalsuan informasi pengirim agar pesan terlihat berasal dari individu atau organisasi yang sah, padahal dikirim oleh pihak lain.

Dengan menyamarkan alamat pengirim, penyerang dapat membuat email palsu seolah-olah berasal dari perusahaan, bank, pemasok, atau bahkan pimpinan organisasi. Pesan tersebut kemudian digunakan untuk menjalankan phishing, penipuan transaksi keuangan, pencurian kredensial, hingga distribusi malware.

Kemajuan kecerdasan buatan (AI) turut meningkatkan risiko ini. Penyerang dapat memanfaatkan AI untuk menyusun pesan yang lebih personal, meniru gaya komunikasi perusahaan, serta membuat tampilan email yang semakin meyakinkan. Akibatnya, penerima semakin sulit membedakan komunikasi asli dan pesan yang telah dimanipulasi.

Bagaimana Email Spoofing Bekerja?

Email spoofing dapat terjadi karena protokol pengiriman email yang digunakan sejak awal, yaitu Simple Mail Transfer Protocol (SMTP), tidak dirancang dengan mekanisme verifikasi identitas pengirim yang kuat.

Artinya, server pengirim dapat mencantumkan alamat tertentu sebagai pengirim tanpa harus membuktikan bahwa server tersebut memang berwenang menggunakan domain bersangkutan.

Untuk memahami teknik ini, perlu diketahui bahwa setiap email memiliki dua informasi alamat pengirim yang berbeda:

Envelope sender (MAIL FROM): Alamat yang digunakan server email untuk mengatur pengiriman pesan dan menangani pesan yang gagal terkirim. Informasi ini biasanya tidak terlihat langsung oleh penerima.
Header From: Alamat pengirim yang ditampilkan pada kotak masuk penerima. Bagian ini merupakan informasi dalam header email dan dapat dipalsukan jika tidak ada mekanisme autentikasi yang memadai.

Sebagai contoh, penyerang dapat mengirim email melalui server yang tidak berkaitan dengan perusahaan, tetapi mengatur bagian Header From agar menampilkan billing@perusahaan.com. Penerima pun dapat melihat pesan tersebut seolah-olah berasal dari bagian penagihan perusahaan.

Dalam skenario ini, penyerang tidak harus membobol akun email perusahaan atau mencuri kata sandi karyawan. Mereka cukup memalsukan informasi pengirim ketika menyusun pesan.

Organisasi yang domainnya disalahgunakan terkadang baru menyadari kejadian tersebut setelah menerima keluhan pelanggan mengenai tagihan palsu, laporan email mencurigakan, atau notifikasi kegagalan pengiriman pesan yang sebenarnya tidak pernah mereka kirim.

Cara Mengenali Email Spoofing

Email spoofing dapat terlihat meyakinkan pada tampilan kotak masuk. Karena itu, pemeriksaan informasi header email dapat membantu memastikan apakah pesan telah melewati proses autentikasi pengirim.

Salah satu informasi yang perlu diperiksa adalah bagian Authentication-Results, yang biasanya menunjukkan hasil validasi SPF, DKIM, dan DMARC.

Beberapa indikator yang perlu diperhatikan antara lain:

1. SPF, DKIM, atau DMARC menunjukkan status fail.

Hasil ini dapat menandakan bahwa pesan tidak memenuhi persyaratan autentikasi domain. Namun, kegagalan salah satu pemeriksaan tidak selalu berarti email tersebut palsu karena konfigurasi atau proses penerusan email juga dapat memengaruhi hasilnya.

2. Alamat Return-Path berbeda dari Header From.

Perbedaan ini dapat menjadi petunjuk, tetapi tidak otomatis membuktikan spoofing karena layanan pengiriman email yang sah juga dapat menggunakan alamat berbeda.

3. Server pengirim tidak berkaitan dengan organisasi yang diklaim.

Informasi pada header Received dapat membantu menelusuri jalur pengiriman dan mengidentifikasi infrastruktur yang digunakan.

Di Gmail, pengguna dapat membuka email, memilih menu tiga titik, lalu memilih “Show original” untuk melihat header dan hasil autentikasinya. Di Outlook, informasi tersebut dapat diperiksa melalui File, Properties, kemudian Internet headers.

Tiga Lapisan Autentikasi Email

Organisasi dapat mengurangi risiko pemalsuan domain dengan menerapkan tiga mekanisme autentikasi email, yaitu SPF, DKIM, dan DMARC. Ketiganya bekerja secara saling melengkapi.

1. SPF (Sender Policy Framework)

SPF merupakan mekanisme autentikasi yang menggunakan catatan DNS untuk menentukan server mana saja yang diizinkan mengirim email atas nama suatu domain.

Ketika email diterima, server penerima memeriksa catatan SPF domain pengirim untuk memastikan apakah alamat IP server pengirim termasuk dalam daftar yang diizinkan.

Contoh catatan SPF:

v=spf1 ip4:203.0.113.10 ip4:198.51.100.20 -all

Contoh tersebut memberikan izin kepada dua alamat IPv4 untuk mengirim email atas nama domain. Sementara itu, -all menunjukkan bahwa server lain yang tidak tercantum tidak diizinkan.

Beberapa mekanisme yang umum digunakan dalam catatan SPF adalah:

ip4: Mengizinkan alamat IPv4 tertentu.
ip6: Mengizinkan alamat IPv6 tertentu.
a: Mengizinkan alamat IP yang tercantum pada DNS A record domain.
mx: Mengizinkan server yang tercantum dalam MX record.
include: Mengizinkan layanan pengiriman email pihak ketiga.
all: Menentukan kebijakan untuk server yang tidak memenuhi ketentuan sebelumnya.

Meskipun penting, SPF memiliki keterbatasan. Mekanisme ini memvalidasi envelope sender, bukan secara langsung alamat Header From yang terlihat oleh penerima. Akibatnya, email masih dapat lolos pemeriksaan SPF tetapi menampilkan alamat pengirim palsu.

SPF juga dapat bermasalah ketika email diteruskan melalui server lain yang tidak tercantum dalam catatan otorisasi. Selain itu, standar SPF membatasi jumlah DNS lookup hingga 10 kali. Jika terlalu banyak layanan pihak ketiga dimasukkan melalui mekanisme include, pemeriksaan SPF dapat gagal.

Karena itu, SPF tidak seharusnya digunakan sebagai satu-satunya perlindungan terhadap email spoofing.

Baca juga: Menghadapi Email Bombing

2. DKIM (DomainKeys Identified Mail)

DKIM menggunakan tanda tangan digital berbasis kriptografi untuk membantu memverifikasi keaslian dan integritas email.

Ketika email dikirim, server pengirim menambahkan tanda tangan digital pada header pesan menggunakan kunci privat milik domain. Server penerima kemudian mengambil kunci publik yang dipublikasikan melalui DNS untuk memeriksa tanda tangan tersebut.

Jika validasi berhasil, penerima memperoleh indikasi bahwa bagian pesan yang ditandatangani tidak mengalami perubahan selama pengiriman dan tanda tangan tersebut sesuai dengan kunci publik domain.

Berbeda dari SPF, tanda tangan DKIM tetap melekat pada email ketika pesan diteruskan, sehingga mekanisme ini dapat membantu mempertahankan autentikasi dalam proses penerusan.

Organisasi perlu mengaktifkan DKIM melalui penyedia layanan email yang digunakan, kemudian memublikasikan kunci publik pada DNS. Penggunaan kunci minimal 2048 bit dan rotasi kunci secara berkala juga merupakan praktik yang disarankan.

3. DMARC

DMARC (Domain-based Message Authentication, Reporting, and Conformance) melengkapi SPF dan DKIM dengan mengatur bagaimana server penerima menangani email yang tidak memenuhi persyaratan autentikasi domain.

Hal penting yang ditambahkan DMARC adalah alignment, yaitu kesesuaian antara domain pada Header From dengan domain yang divalidasi melalui SPF atau DKIM. Mekanisme ini membantu mencegah penyerang menggunakan domain perusahaan pada alamat pengirim yang terlihat oleh penerima.

Pemilik domain dapat menentukan salah satu dari tiga kebijakan DMARC:

p=none: Memantau hasil autentikasi tanpa meminta server penerima mengambil tindakan khusus berdasarkan kebijakan DMARC.
p=quarantine: Meminta email yang gagal memenuhi persyaratan ditempatkan di karantina, misalnya folder spam.
p=reject: Meminta server penerima menolak email yang gagal memenuhi persyaratan DMARC.

Contoh catatan DMARC:

v=DMARC1; p=none; rua=mailto:dmarc-reports@perusahaan.com

Konfigurasi tersebut menggunakan kebijakan pemantauan dan mengirim laporan agregat ke alamat yang ditentukan. Laporan ini membantu administrator mengetahui server mana saja yang mengirim email menggunakan domain organisasi serta mengidentifikasi potensi penyalahgunaan.

Penerapan DMARC sebaiknya dilakukan secara bertahap:

Mulai dengan kebijakan p=none untuk memantau aktivitas pengiriman email.
Analisis laporan selama beberapa minggu untuk mengidentifikasi seluruh layanan yang mengirim email atas nama domain perusahaan.
Pastikan semua pengirim resmi telah dikonfigurasi dengan SPF dan DKIM serta memenuhi persyaratan alignment.
Terapkan kebijakan p=quarantine secara bertahap sambil memantau dampaknya terhadap email yang sah.
Setelah konfigurasi dipastikan benar, tingkatkan kebijakan menjadi p=reject.

Penerapan kebijakan penolakan tanpa pemeriksaan terlebih dahulu dapat menyebabkan email resmi perusahaan ikut ditolak.

Sebaliknya, domain yang terus menggunakan p=none hanya memperoleh visibilitas melalui pemantauan, tetapi belum menerapkan tindakan penolakan terhadap email yang gagal memenuhi persyaratan DMARC.

BIMI: Membantu Penerima Mengenali Identitas Merek

Selain autentikasi teknis, organisasi juga dapat menggunakan BIMI (Brand Indicators for Message Identification) untuk membantu penerima mengenali identitas visual pengirim.

BIMI memungkinkan logo resmi organisasi ditampilkan di samping email pada layanan penyedia email yang mendukungnya. Dengan demikian, penerima memperoleh petunjuk visual tambahan mengenai identitas merek yang mengirimkan pesan.

Penerapan BIMI membutuhkan konfigurasi SPF dan DKIM yang benar serta kebijakan DMARC yang sudah berada pada tahap penegakan, yaitu p=quarantine atau p=reject.

Organisasi juga perlu menyiapkan logo dalam format SVG yang memenuhi persyaratan BIMI. Pada penyedia email tertentu, sertifikat seperti Verified Mark Certificate (VMC) atau sertifikat lain yang diakui dalam ekosistem BIMI mungkin diperlukan.

Namun, BIMI bukan pengganti SPF, DKIM, atau DMARC. Mekanisme ini merupakan lapisan identifikasi visual tambahan setelah autentikasi domain diterapkan dengan benar.

Perlindungan Domain Berbeda dari Perlindungan Kotak Masuk

Penerapan SPF, DKIM, dan DMARC membantu mencegah pihak lain menyalahgunakan domain organisasi untuk mengirim email palsu. Namun, mekanisme tersebut tidak otomatis melindungi karyawan dari email spoofing yang menggunakan domain milik pihak lain.

Penyerang masih dapat mengirim email menggunakan domain tiruan, domain yang menyerupai mitra bisnis, atau alamat pengirim dengan nama tampilan yang meniru pimpinan perusahaan.

Karena itu, organisasi perlu menerapkan perlindungan tambahan pada email masuk, seperti:

Memeriksa hasil SPF, DKIM, dan DMARC pada setiap email yang diterima.
Mendeteksi domain tiruan dan penyamaran nama pengirim (display-name impersonation).
Memeriksa tautan dan lampiran untuk menemukan konten berbahaya.
Mengarantina pesan mencurigakan sebelum diterima pengguna.
Memberikan edukasi agar karyawan tidak langsung memercayai nama pengirim atau tampilan email.

Teknologi Harus Disertai Edukasi Pengguna

Email spoofing memanfaatkan kelemahan dalam proses autentikasi pengirim dan kepercayaan penerima terhadap identitas yang ditampilkan. SPF, DKIM, dan DMARC dapat membantu organisasi mengurangi penyalahgunaan domain, sedangkan BIMI memberikan petunjuk visual tambahan kepada penerima.

Namun, perlindungan tersebut perlu diterapkan dengan benar dan tidak dapat menggantikan kewaspadaan pengguna. Karyawan tetap perlu memeriksa alamat pengirim, memastikan keaslian permintaan pembayaran, serta mengonfirmasi instruksi sensitif melalui saluran komunikasi lain yang tepercaya.

Organisasi sebaiknya memulai dengan menginventarisasi seluruh layanan pengiriman email, mengaktifkan SPF dan DKIM, memantau laporan DMARC, kemudian menerapkan kebijakan penegakan secara bertahap. Dengan kombinasi autentikasi teknis, pemantauan, dan edukasi yang berkelanjutan, risiko penyalahgunaan identitas email dapat ditekan.

Baca artikel lainnya: