4.1 Apa Itu Phishing?

Phishing adalah upaya menipu seseorang untuk memperoleh informasi atau membuat korban melakukan tindakan tertentu dengan menggunakan pesan, website, atau komunikasi yang dibuat seolah-olah berasal dari pihak yang terpercaya.

Dalam konteks keamanan akun, tujuan phishing sering kali adalah mendapatkan:

• username;
• password;
• OTP;
• kode MFA;
• session atau authentication information;
• informasi pribadi.

Phishing dapat dilakukan melalui:

• email;
• website palsu;
• SMS;
• aplikasi pesan;
• media sosial;
• telepon;
• komunikasi internal yang telah dipalsukan.

4.2 Bagaimana Phishing Menyerang Akun?

Serangan phishing biasanya menggunakan kombinasi social engineering dan halaman atau komunikasi palsu.

Contoh alurnya:

Phishing Email
      ↓
Fake Password Reset
      ↓
Fake Login Page
      ↓
User Enters Credential
      ↓
Credential Captured
      ↓
Attacker Attempts Login

Serangan tidak selalu menggunakan website palsu. Penyerang juga dapat mencoba membuat korban memberikan informasi secara langsung.

Contohnya:

“Kami dari IT Support. Akun Anda bermasalah. Mohon kirimkan OTP untuk proses verifikasi.”

Pesan tersebut harus diperlakukan sebagai aktivitas mencurigakan.

4.3 Mengenali Fake Password Reset

Salah satu bentuk phishing yang sering digunakan adalah fake password reset.

Contohnya Anda menerima email:

Your password will expire today. Click here to reset your password.

Email tersebut kemudian mengarahkan Anda ke halaman login.

Secara visual, halaman tersebut mungkin terlihat seperti sistem resmi:

Company Logo
-------------------------
Username
Password

[ Sign In ]

Forgot Password?
-------------------------

Namun halaman tersebut sebenarnya dapat dikendalikan oleh penyerang.

Jika credential dimasukkan:

Username + Password
        ↓
Fake Website
        ↓
Credential Captured

4.4 Periksa Sebelum Login

Jangan hanya melihat tampilan website.

Periksa beberapa indikator:

1. Alamat Website

Perhatikan domain secara teliti.

Misalnya organisasi menggunakan:

https://login.company.com

sedangkan link phishing mengarah ke:

https://login-company.example.com

Tampilan dapat dibuat mirip, tetapi domainnya berbeda.

2. Urgency

Waspadai pesan yang menggunakan tekanan seperti:

• “Akun akan segera dinonaktifkan.”
• “Anda harus melakukan verifikasi sekarang.”
• “Password akan expired dalam 1 jam.”
• “Segera klik untuk menghindari pemblokiran.”

Urgency sering digunakan agar korban tidak sempat melakukan verifikasi.

3. Permintaan Credential

Berhati-hatilah ketika pesan meminta:

• password;
• OTP;
• MFA approval;
• recovery code;
• security key;
• informasi sensitif lainnya.

4. Pengirim

Jangan hanya memperhatikan nama pengirim.

Periksa alamat email sebenarnya dan konteks komunikasinya.

4.5 Credential Theft

Credential theft adalah tindakan memperoleh credential pengguna secara tidak sah.

Credential yang dicuri dapat berupa:

• username;
• password;
• OTP;
• session token;
• API key;
• recovery code;
• authentication information lainnya.

Credential theft dapat terjadi melalui:

Phishing
   ↓
Fake Login
   ↓
Credential Theft

atau:

Malware
   ↓
Credential Extraction
   ↓
Credential Theft

atau:

Password Reuse
   ↓
Credential Leak
   ↓
Credential Stuffing
   ↓
Account Compromise

4.6 Credential ≠ Authorization

Ini merupakan konsep penting dalam keamanan akun.

Memiliki credential seseorang tidak berarti seseorang memiliki kewenangan untuk menggunakan credential tersebut.

Contohnya:

Seorang karyawan mendapatkan password akun rekannya.

Meskipun password tersebut valid, bukan berarti karyawan tersebut memiliki hak untuk menggunakan akun tersebut.

Credential
    ≠
Authorization

Credential digunakan untuk autentikasi.

Authorization menentukan tindakan dan resource yang boleh diakses.

4.7 Perspektif UU ITE

Phishing dan credential theft dapat berkaitan dengan penggunaan sistem elektronik serta akses terhadap sistem yang dilakukan tanpa kewenangan.

Dalam perspektif UU ITE, perlu dibedakan antara:

• komunikasi elektronik biasa;
• penipuan atau manipulasi untuk memperoleh credential;
• penggunaan credential untuk mengakses sistem;
• akses terhadap sistem elektronik tanpa hak atau melampaui kewenangan.

Tidak setiap email mencurigakan otomatis merupakan pelanggaran UU ITE. Konsekuensi hukumnya bergantung pada perbuatan, tujuan, cara, serta unsur hukum yang terpenuhi.

Bagi pengguna, prinsip yang harus diterapkan adalah:

Jangan memberikan credential atau melakukan akses berdasarkan permintaan yang tidak dapat diverifikasi.

4.8 Perspektif UU PDP

Phishing juga memiliki hubungan langsung dengan perlindungan data pribadi.

Credential yang berhasil dicuri dapat digunakan untuk membuka akun yang menyimpan atau memproses data pribadi.

Contohnya:

Phishing
    ↓
Password Dicuri
    ↓
Account Takeover
    ↓
Email / Application
    ↓
Personal Data
    ↓
Potential Data Exposure

Karena itu, keamanan credential merupakan salah satu lapisan penting dalam mengurangi risiko akses tidak sah terhadap data pribadi.

Dalam perspektif UU PDP, organisasi perlu menjaga keamanan pemrosesan data pribadi dengan langkah yang sesuai terhadap risiko yang dihadapi.

Pengguna membantu perlindungan tersebut dengan tidak memberikan credential dan segera melaporkan indikasi phishing.

4.9 Contoh Skenario

Anda menerima email:

Subject: Urgent — Your Account Will Be Suspended

Isi email mengatakan:

“Your account requires immediate verification. Click the link below to prevent account suspension.”

Anda kemudian melihat tombol:

[ Verify Account ]

Sebelum mengklik, lakukan pemeriksaan:

Pertanyaan 1

Apakah Anda memang sedang menunggu proses verifikasi akun?

Pertanyaan 2

Apakah pengirim menggunakan alamat resmi?

Pertanyaan 3

Ke mana link tersebut mengarah?

Pertanyaan 4

Apakah organisasi biasanya meminta verifikasi dengan cara tersebut?

Pertanyaan 5

Apakah terdapat prosedur alternatif untuk melakukan verifikasi melalui portal resmi?

Jika terdapat keraguan:

Jangan klik link tersebut.

Buka website resmi organisasi secara manual atau gunakan prosedur verifikasi yang telah ditentukan.

4.10 Jika Terlanjur Memasukkan Password

Jika Anda menyadari bahwa password telah dimasukkan ke website phishing, segera lakukan tindakan.

Langkah 1 — Ubah Password

Gunakan perangkat dan jalur yang terpercaya untuk mengganti password.

Langkah 2 — Periksa MFA

Pastikan MFA masih aktif dan tidak ada perubahan yang tidak Anda lakukan.

Langkah 3 — Periksa Active Sessions

Jika sistem menyediakan fitur tersebut, keluarkan sesi atau perangkat yang tidak dikenal.

Langkah 4 — Periksa Aktivitas Akun

Perhatikan:

• login yang tidak dikenal;
• perubahan password;
• perubahan email recovery;
• perubahan MFA;
• aktivitas akun yang tidak Anda lakukan.

Langkah 5 — Laporkan

Segera laporkan kepada IT/Security sesuai prosedur organisasi.

Jangan menunggu sampai akun benar-benar diambil alih.

4.11 Apa yang Harus Anda Lakukan?

DO

✅ Periksa alamat pengirim.
✅ Periksa domain sebelum login.
✅ Arahkan cursor ke link untuk memeriksa tujuan URL.
✅ Gunakan portal resmi jika ragu.
✅ Verifikasi permintaan melalui channel resmi.
✅ Laporkan phishing kepada IT/Security.
✅ Segera ubah password jika credential telah diberikan.

DON’T

❌ Jangan klik link mencurigakan.
❌ Jangan memasukkan password pada halaman yang tidak terverifikasi.
❌ Jangan memberikan OTP.
❌ Jangan approve MFA request yang tidak Anda lakukan.
❌ Jangan percaya hanya karena email menggunakan logo perusahaan.
❌ Jangan mengabaikan phishing yang sudah dilaporkan.

4.12 Prinsip Utama

Ingat tiga prinsip berikut:

1. Stop — Check — Verify

Jangan langsung mengikuti instruksi dalam pesan.

Stop → Check → Verify

2. Protect Your Credential

Password, OTP, recovery code, dan authentication information harus dijaga sebagai informasi rahasia.

3. Report Early

Jika credential sudah terlanjur diberikan atau terdapat aktivitas mencurigakan, segera laporkan.

Semakin cepat insiden diketahui, semakin cepat tindakan pengamanan dapat dilakukan.