Modus Email Phising Terbaru 2026 –

Modus Email Phising Terbaru 2026 – Email masih menjadi salah satu sarana komunikasi utama dalam aktivitas bisnis. Yang menjadi jangkar dalam aktivtas sehari-hari sebuah perusahaan.

Mulai dari pengiriman faktur, permintaan persetujuan dokumen, pemberitahuan penggajian, hingga komunikasi dengan mitra, hampir seluruh proses kerja bergantung pada pertukaran email. Ketergantungan ini menjadikan email sebagai sasaran yang menarik bagi penjahat siber.

Perkembangan terbaru menunjukkan bahwa serangan email phising tidak sekadar mengandalkan pesan dengan tata bahasa buruk atau alamat pengirim yang terlihat mencurigakan.

Penyerang semakin mampu meniru komunikasi bisnis yang lazim, menggunakan lampiran yang tampak resmi, serta memanfaatkan layanan tepercaya untuk membuat pesan berbahaya terlihat meyakinkan.

Email Bisnis Menjadi Umpan yang Efektif

Salah satu temuan penting dalam laporan tersebut adalah sekitar 129 juta pesan berbahaya yang memalsukan domain pengirim dari layanan bisnis yang dikenal. Layanan seperti DocuSign, Adobe, SurveyMonkey, dan Barracuda termasuk merek yang ditiru dalam kampanye tersebut.

Penyerang memanfaatkan kebiasaan karyawan menerima email untuk menandatangani dokumen, memeriksa faktur, atau mengisi survei. Pesan dibuat seolah-olah berasal dari layanan yang memang biasa digunakan dalam pekerjaan.

Pendekatan ini efektif karena penerima cenderung lebih percaya pada komunikasi yang berkaitan dengan aktivitas rutin. Email berisi permintaan meninjau dokumen atau menyelesaikan pembayaran mungkin tidak langsung dianggap mencurigakan, terutama ketika tampilannya menyerupai pemberitahuan resmi.

Temuan lain yang perlu diperhatikan adalah sebagian pesan berbahaya tetap terkirim karena adanya pengecualian pengamanan pada tingkat organisasi atau pengguna.

Dalam beberapa kasus, pengaturan tersebut mengesampingkan perlindungan meskipun pesan telah gagal melewati pemeriksaan autentikasi dan teridentifikasi sebagai berbahaya.

Hal ini menjadi pengingat bahwa sistem keamanan email tidak hanya perlu memiliki kemampuan deteksi, tetapi juga harus dikonfigurasi secara tepat. Pengecualian yang terlalu luas dapat membuka celah yang justru dimanfaatkan penyerang.

Baca juga: Pengkhianatan Kotak Masuk

Teknik Email Phising yang Berkembang Sepanjang 2026

Perubahan teknik serangan memperlihatkan bahwa penyerang terus mencari cara untuk melewati pemeriksaan keamanan dan memanfaatkan kepercayaan penerima. Beberapa metode berikut menjadi perhatian dalam pemantauan terkini.

1. Memalsukan identitas pengirim layanan bisnis

Dalam teknik ini, penyerang membuat email seolah-olah dikirim oleh layanan bisnis yang sah. Pesan dapat berisi pemberitahuan dokumen yang menunggu tanda tangan, faktur yang harus diperiksa, atau permintaan untuk meninjau informasi tertentu.

peneliti mencatat sekitar 129 juta pesan yang memalsukan domain layanan bisnis selama kuartal III 2026. DocuSign menjadi merek yang paling sering ditiru pada September, mencakup 29% dari total aktivitas pemalsuan yang diamati pada bulan tersebut.

Teknik ini menunjukkan bahwa nama merek dan tampilan email saja tidak cukup untuk membuktikan keaslian pengirim. Penerima perlu memeriksa alamat pengirim secara menyeluruh dan memastikan permintaan yang diterima memang sesuai dengan aktivitas bisnis yang sedang berlangsung.

2. Menyembunyikan tautan berbahaya dalam lampiran

Penyerang juga memanfaatkan lampiran untuk menyembunyikan alamat situs berbahaya. Salah satu contohnya adalah penggunaan kode QR dalam dokumen PDF atau Word.

Dalam kampanye yang diamati pada Agustus 2026, penyerang mengirim email bertema peninjauan gaji kepada karyawan sejumlah organisasi hukum. Lampirannya berupa dokumen Word yang menampilkan identitas perusahaan dan informasi mengenai penyesuaian kompensasi.

Di dalam dokumen tersebut terdapat kode QR yang diklaim mengarah ke rincian gaji terbaru. Ketika dipindai, kode tersebut justru mengarahkan korban ke halaman login palsu yang meniru layanan penyimpanan dokumen.

Teknik ini membuat tautan berbahaya tidak terlihat langsung dalam isi email. Pemeriksaan keamanan yang hanya berfokus pada teks dan URL di badan pesan berpotensi melewatkan ancaman yang disisipkan dalam gambar atau dokumen.

peneliti mengidentifikasi kampanye tersebut menargetkan lebih dari 10.000 pengguna di lebih dari 4.800 organisasi. Kasus ini memperlihatkan bahwa dokumen yang tampak berkaitan dengan urusan internal perusahaan dapat digunakan sebagai sarana pencurian kredensial.

3. Memanfaatkan lampiran SVG dan halaman CAPTCHA

Format lampiran yang digunakan dalam email berbahaya juga mengalami perubahan. Para peneliti mengamati peningkatan kembali serangan yang menggunakan halaman CAPTCHA sebagai bagian dari proses penipuan.

CAPTCHA biasanya digunakan untuk membedakan pengguna manusia dari program otomatis. Namun, penyerang dapat menyalahgunakan mekanisme tersebut dengan meminta korban menyelesaikan pemeriksaan sebelum diarahkan ke halaman login palsu.

Salah satu perkembangan yang menonjol adalah peningkatan penggunaan lampiran SVG. Format SVG merupakan gambar berbasis vektor yang dapat memuat elemen aktif tertentu. Dalam kampanye yang diamati, lampiran SVG digunakan sebagai bagian dari rangkaian pengalihan menuju halaman berbahaya.

Pada September 2026, peneliti mendeteksi sekitar 3,1 juta serangan phising yang menggunakan mekanisme CAPTCHA, hampir dua kali lipat dibandingkan volume pada Juli. SVG menyumbang sekitar 49% dari serangan CAPTCHA tersebut pada September.

Pelajarannya, pengguna tidak boleh menganggap lampiran gambar atau dokumen sebagai berkas yang otomatis aman. Jenis dan ekstensi berkas perlu diperiksa, terutama jika pesan tidak diharapkan atau meminta penerima melakukan tindakan tertentu.

4. Menyamar sebagai bagian dari komunikasi penggajian dan pembelian

Urusan gaji dan transaksi pembelian merupakan tema yang efektif digunakan untuk memancing perhatian karyawan. Pesan mengenai daftar penggajian, pesanan pembelian, atau faktur sering kali dianggap penting karena berkaitan langsung dengan tanggung jawab pekerjaan.

Pada September 2026, peneliti mengamati kampanye email yang menargetkan lebih dari 56.000 pengguna di lebih dari 8.100 organisasi. Pesan menggunakan dua tema utama, yaitu pesanan pembelian dan penggajian.

Lampirannya disamarkan sebagai dokumen PDF atau XML, padahal berisi arsip yang dapat mengekstrak skrip atau program berbahaya. Salah satu rangkaian serangan tersebut mengarah pada Agent Tesla, malware yang dapat digunakan untuk mencuri kredensial dan informasi dari perangkat korban.

Kasus ini memperlihatkan bahwa penyerang tidak selalu menggunakan pesan yang dramatis. Email singkat yang menyerupai percakapan bisnis biasa justru dapat menjadi sarana penyebaran ancaman.

5. Mencuri token autentikasi, bukan hanya kata sandi

Pencurian kredensial tetap menjadi tujuan utama banyak kampanye email phising. Namun, penyerang kini juga berusaha memperoleh token autentikasi yang digunakan untuk mempertahankan sesi login.

Dalam salah satu kampanye yang diamati pada Agustus 2026, korban diarahkan melalui kode QR menuju halaman yang meniru portal login layanan peneliti. Halaman tersebut meminta korban memasukkan kode perangkat pada portal autentikasi resmi.

Jika korban menyelesaikan proses tersebut, penyerang dapat memperoleh token sesi yang memungkinkan akses ke akun peneliti 365 korban. Dengan demikian, penyerang tidak harus mengetahui kata sandi secara langsung untuk memperoleh akses ke akun.

Teknik ini penting diperhatikan karena autentikasi multifaktor (MFA) saja tidak selalu cukup apabila pengguna diarahkan untuk menyetujui proses autentikasi yang sebenarnya dimulai oleh penyerang.

Organisasi perlu mempertimbangkan metode autentikasi yang lebih tahan terhadap phising, seperti passkey atau kunci keamanan berbasis FIDO2.

Mengapa Email Phising Semakin Sulit Dikenali?

Ada beberapa faktor yang membuat email phising semakin meyakinkan.

Penyerang memanfaatkan konteks pekerjaan yang benar-benar dikenal penerima. Permintaan meninjau dokumen, memeriksa faktur, atau memperbarui informasi penggajian terasa wajar karena merupakan bagian dari kegiatan sehari-hari.
Penggunaan layanan dan infrastruktur yang sah dapat membuat pesan lebih sulit dibedakan dari komunikasi normal. Penyerang dapat menyalahgunakan layanan pengalihan URL, platform penyimpanan berkas, atau layanan pengiriman email untuk menyamarkan tujuan sebenarnya.
Otomatisasi dan kecerdasan buatan dapat membantu penyerang menyusun pesan yang lebih rapi dan relevan. Tata bahasa yang baik, identitas visual yang menyerupai perusahaan, serta penggunaan nama dan informasi penerima membuat pemeriksaan berdasarkan tampilan pesan saja semakin tidak memadai.
Pencurian tidak selalu berhenti pada kata sandi. Token sesi, aturan penerusan email, dan akses ke kotak masuk dapat menjadi sasaran berikutnya. Jika akun email perusahaan berhasil diambil alih, penyerang berpotensi membaca komunikasi internal, mencari informasi transaksi, atau menyalahgunakan identitas pemilik akun.

Cara Mengurangi Risiko Email phising

Menghadapi perubahan teknik tersebut, organisasi dan pengguna perlu menerapkan perlindungan berlapis. Beberapa langkah berikut dapat membantu mengurangi risiko.

1. Periksa alamat pengirim secara menyeluruh

Jangan hanya memperhatikan nama yang muncul pada kolom pengirim. Periksa alamat email lengkap dan domainnya. Jika pesan mengaku berasal dari mitra bisnis atau layanan resmi, bandingkan dengan alamat yang tercantum pada komunikasi sebelumnya atau situs resminya.

2. Verifikasi permintaan yang berkaitan dengan uang dan data penting

Permintaan perubahan rekening pembayaran, pengiriman dokumen sensitif, atau pembaruan informasi penggajian harus dikonfirmasi melalui saluran komunikasi lain yang sudah dikenal. Jangan menggunakan nomor telepon atau tautan yang hanya tercantum dalam email mencurigakan.

3. Berhati-hati terhadap lampiran

Jangan langsung membuka lampiran hanya karena nama berkasnya terlihat resmi. Perhatikan ekstensi berkas, sumber pengiriman, dan kesesuaian dokumen dengan konteks pekerjaan.

Organisasi sebaiknya menerapkan pemeriksaan lampiran secara otomatis, termasuk analisis perilaku terhadap berkas yang mencurigakan.

4. Jangan memindai kode QR dalam dokumen tanpa verifikasi

Jika dokumen email meminta pemindaian kode QR untuk membuka informasi gaji, faktur, atau dokumen perusahaan, pastikan permintaan tersebut benar-benar berasal dari pihak yang berwenang. Periksa alamat tujuan sebelum memasukkan informasi akun.

5. Gunakan MFA yang tahan terhadap phising

Aktifkan autentikasi multifaktor untuk akun email dan layanan bisnis. Untuk akun penting, organisasi sebaiknya mempertimbangkan passkey atau kunci keamanan fisik yang menggunakan standar FIDO2. Hindari menyetujui permintaan autentikasi yang tidak dimulai sendiri.

6. Terapkan autentikasi email dengan benar

Organisasi perlu mengonfigurasi SPF, DKIM, dan DMARC untuk membantu memverifikasi identitas domain pengirim dan mengurangi penyalahgunaan domain.

Namun, mekanisme ini bukan jaminan bahwa semua email berbahaya dapat dihentikan. Kasus pemalsuan identitas layanan bisnis menunjukkan pentingnya pemeriksaan tambahan terhadap isi pesan, reputasi pengirim, dan konteks komunikasi.

7. Pantau aktivitas akun email

Administrator perlu memantau login dari lokasi atau perangkat yang tidak biasa, perubahan aturan penerusan email, serta aktivitas pengiriman pesan dalam jumlah tidak wajar. Perubahan aturan kotak masuk yang tidak dikenal dapat menjadi indikasi bahwa akun telah diambil alih.

8. Laporkan email mencurigakan

Karyawan perlu mengetahui prosedur pelaporan email mencurigakan kepada tim TI atau keamanan informasi. Pesan yang dilaporkan dapat diperiksa dan, jika terbukti berbahaya, dihapus dari kotak masuk pengguna lain sebelum semakin banyak korban terpapar.

Keamanan Kolaboratif

Email phising terus berkembang dengan memanfaatkan kebiasaan komunikasi bisnis, identitas layanan yang dikenal, dan lampiran yang terlihat biasa. Data memperlihatkan bahwa aktivitas tersebut tetap tinggi, sementara teknik yang digunakan semakin beragam.

Pencurian kredensial masih menjadi tujuan utama. Namun, ancaman tidak lagi terbatas pada pengambilan kata sandi. Token autentikasi, akses ke kotak masuk, dan informasi transaksi juga dapat menjadi sasaran penyerang.

Karena itu, keamanan email tidak dapat hanya mengandalkan kemampuan pengguna mengenali pesan mencurigakan. Organisasi perlu menggabungkan autentikasi email, perlindungan lampiran dan tautan, MFA yang tahan terhadap phising, pemantauan akun, serta prosedur verifikasi transaksi.

Hal terpenting yang perlu dipahami adalah bahwa email yang terlihat profesional belum tentu berasal dari pihak yang benar. Setiap permintaan untuk membuka dokumen, memasukkan kredensial, atau mengubah informasi penting harus diverifikasi sebelum ditindaklanjuti.

Baca artikel lainnya: