Apa itu penyusupan email bisnis (BEC)?

Penipuan BEC mungkin terdengar seperti cerita dari thriller spionase, tetapi teknik di balik itu benar-benar nyata—dan sangat efektif. Beginilah cara para penjahat cyber melakukannya:

Teknik yang digunakan oleh penyerang

Penipu BEC tidak hanya mengandalkan keberuntungan; mereka adalah manipulator teknologi dan manusia yang terampil. Mereka mungkin:
 

• Melakukan spoofing alamat email agar pesan mereka terlihat seolah berasal dari orang yang Anda percaya.
• Menggunakan taktik pengelabuan tombak yang menargetkan karyawan tertentu dengan pesan khusus yang terasa sangat pribadi.
• Menyebarkan program jahat yang memberi mereka akses ke percakapan sensitif dan informasi yang dapat mereka gunakan sebagai senjata. 

Ini bukan penipuan pengelabuan biasa. Penipuan ini dirancang dengan presisi agar tidak ada yang curiga.

Mengapa serangan BEC sulit dideteksi

Yang membuat serangan BEC sangat berbahaya adalah karena tidak kentara. Penipu mengandalkan fakta bahwa manusia secara alami saling memercayai dan banyak bisnis mengandalkan proses yang dapat diprediksi. Mereka mengeksploitasi kecenderungan ini dengan meniru permintaan sehari-hari— seperti persetujuan pembayaran atau pembaruan faktur—dengan lihainya sehingga karyawan yang berpengalaman pun dapat tertipu.

Konten yang umum ditemukan dalam email BEC

Email BEC sering kali memiliki tanda-tanda jika Anda tahu apa yang harus dicari. Elemen yang umum meliputi:
 

• Permintaan transfer bank yang mendesak atau pembelian kartu hadiah.
• Pesan seperti, "Tolong jangan beri tahu siapa pun, ya? Saya sedang rapat."
• Tata bahasa yang sedikit salah atau alamat email yang hanya kurang satu huruf dari email yang asli. 

Pesan ini dimaksudkan untuk mendorong Anda bertindak sebelum Anda sempat meragukannya. Mengenali tanda-tanda bahaya ini adalah langkah pertama untuk menghentikan langkah mereka.

Penipu BEC tidak memandang bulu—mereka akan mengejar siapa saja yang memiliki akses ke uang atau informasi sensitif. Namun, organisasi dan peran tertentu cenderung lebih sering menjadi target mereka.

Target umum mereka meliputi:
 

• Bisnis dengan berbagai ukuran, dari perusahaan besar hingga bisnis kecil.
• Lembaga pemerintah yang mengelola anggaran atau kontrak.
• Nirlaba, terutama yang menangani donasi atau hibah dalam jumlah besar.
• Sekolah dan universitas, yang staf administratifnya memproses pembayaran uang kuliah dan faktur vendor. 

Intinya, jika organisasi Anda melakukan perpindahan uang atau mengelola operasi sensitif, Anda menjadi incaran mereka.

Peran tertentu yang menjadi target penipu

Tidak semua karyawan menjadi target yang sama dalam penipuan BEC. Penyerang membidik peran yang memiliki wewenang dalam hal keuangan atau memiliki akses tingkat tinggi. Target utamanya meliputi:
 

• Staf keuangan, seperti kepala dan staf pembayaran yang memiliki detail perbankan, metode pembayaran, dan nomor rekening.
• Para eksekutif, khususnya CEO dan CFO, karena perintah mereka dianggap penting dan mendesak serta informasi tentang mereka sering tersedia untuk umum.
• Ahli SDM yang memiliki semua informasi tentang karyawan seperti nomor jaminan sosial, laporan pajak, info kontak, dan jadwal.
• Administrator TI, yang aksesnya ke sistem dapat membantu penyerang menggali lebih dalam ke dalam organisasi.
• Karyawan baru atau tingkat pemula, yang akan kesulitan memverifikasi legitimasi email. 

Penipu mengetahui bahwa posisi-posisi ini adalah penjaga gerbang, jadi dengan menyamar sebagai mereka—atau menipu mereka langsung—akan membuka pintu ke aset organisasi Anda.

Penipuan BEC tidak hanya meninggalkan jejak—tetapi lubang besar. Dampak finansial, operasional, dan reputasi bisa sangat besar. Mari kita uraikan:

Implikasi finansial serangan BEC

Angka tidak berbohong—serangan BEC sangat mahal. FBI melaporkan bahwa penipuan BEC telah menyebabkan kerugian lebih dari USD$50 miliar sejak tahun 2013. Namun, bukan hanya tentang uang yang dicuri secara langsung. Tambah biaya untuk:
 

• Bangkit kembali setelah terjadinya kebocoran data, karena penyerang sering mendapatkan akses ke informasi sensitif selama penipuan.
• Denda hukum dan peraturan, terutama jika data pelanggan atau karyawan disusupi.
• Gangguan operasional, sementara tim Anda berjuang keras untuk merespons krisis. 

Seiring dengan berkembangnya rencana jahat BEC, demikian pula dengan strategi perlindungan terhadap ancaman. Pelajari selengkapnya tentang solusi perlindungan terhadap ancaman email Microsoft.

Contoh penyusupan email Bisnis

BEC tidak sebatas teori—tetapi setiap hari terjadi pada organisasi. Berikut adalah beberapa contoh seperti apa BEC dalam kehidupan nyata:

Contoh #1: Bayar tagihan yang perlu dibayar segera ini

Katakanlah Anda bekerja di departemen keuangan perusahaan Anda. Anda mendapatkan email dari CFO yang berisi permintaan yang mendesak terkait tagihan yang belum dibayar, tetapi sebenarnya email tersebut bukan dari CFO. Atau penipu berpura-pura menjadi penyedia internet perusahaan Anda dan mengirimkan faktur yang tampak meyakinkan kepada Anda.

Contoh #2: Berapa nomor telepon Anda?

Seorang eksekutif perusahaan mengirimkan email kepada Anda, “Saya memerlukan bantuan untuk mengerjakan tugas ringan. Berikan nomor telepon Anda dan saya akan kirim pesan teks.” Mengirim pesan teks terasa lebih aman dan lebih pribadi daripada email, jadi penipu tersebut berharap Anda mengirimkan informasi pembayaran atau informasi sensitif lainnya kepada mereka. Ini disebut “smishing,” atau pengelabuan lewat SMS (teks).

Contoh #3: Akuisisi rahasia

Bos Anda meminta uang muka untuk mengakuisisi salah satu pesaing. “Ini rahasia, jangan bilang siapa-siapa,” isi email tersebut, agar Anda tidak memverifikasi permintaan. Karena detail M&A sering kali dirahasiakan hingga semuanya selesai, penipuan ini mungkin tidak tampak mencurigakan pada awalnya.

Serangan pengelabuan tradisional vs BEC

Meskipun BEC dan pengelabuan merupakan penipuan berbasis email, taktik dan dampaknya sangat berbeda:

• BEC—Serangan yang sangat ditargetkan dan dipersonalisasi. Penipu mempersiapkan semua sebelumnya, menyamar sebagai orang tertentu dan meniru proses tertentu untuk mendapatkan kepercayaan. Serangan ini berfokus pada aset bernilai tinggi, seperti transfer bank atau data sensitif.
• Pengelabuan tradisional—Serangan luas dengan gaya senapan. Bayangkan halaman masuk palsu, email "Anda memenangkan hadiah", atau taktik menakut-nakuti dengan gaya umum. Serangan-serangan ini lebih mudah dikenali dan sering bertujuan untuk mencuri kata sandi atau uang dalam jumlah kecil.

BEC taruhannya jauh lebih tinggi, sehingga penting bagi organisasi untuk memprioritaskan pertahanan terhadap penipuan canggih ini.

Menghentikan langkah serangan BEC memerlukan tindakan proaktif, dikombinasikan dengan pertahanan teknologi, dan rencana yang solid untuk merespons ketika terjadi kesalahan. Berikut adalah cara menjaga agar organisasi Anda aman:

Tindakan secara organisasi dan pelatihan karyawan

Garis pertahanan pertama Anda adalah karyawan Anda, dan adanya kesadaran akan mengubah tautan yang berpotensi lemah menjadi sekutukeamanan cyber. Pastikan semua orang tahu cara mengenali:
 

• Tautan pengelabuan.
• Domain dan alamat email tidak cocok.
• Permintaan mendesak yang mencurigakan.

Anda bahkan dapat menyimulasikan penipuan BEC, sehingga orang lain mengenalinya saat hal tersebut terjadi.

Gateway email aman dan solusi teknis

Teknologi dapat meningkatkan pertahanan Anda. Alat yang dirancang untuk mendeteksi dan memblokir email berbahaya meliputi:

• Gateway email aman (SEG)—Gateway ini bertindak sebagai filter, yang menganalisis pesan masuk untuk tanda-tanda penipuan atau spoofing.
• Autentikasi multifaktor (MFA)—Meskipun penipu mendapatkan akses ke kredensial, MFA menambahkan lapisan keamanan tambahan.
• Autentikasi, pelaporan, dan kepatuhan pesan berbasis domain (DMARC)—Protokol ini membantu mencegah penyerang melakukan spoofing pada domain email Anda. 

Menerapkan alat ini dapat mengurangi risiko keberhasilan serangan BEC secara signifikan.

Merespons serangan BEC yang dicurigai

Jika Anda mencurigai serangan BEC, kecepatan sangatlah penting. Berikut yang harus dilakukan:
 

1. Bekukan transaksi—Jika transfer bank telah dimulai, segera hubungi bank Anda untuk menghentikan atau membalik pembayaran.
2. Peringatkan tim TI Anda—Mereka dapat menyelidiki sumber email dan memblokir komunikasi lebih lanjut dari penyerang.
3. Tinjau dan perbarui proses—Cari celah dalam protokol keamanan Anda yang sudah ada dan perkuat untuk mencegah insiden mendatang. 

Memiliki rencana respons memastikan Anda siap untuk bertindak ketika setiap detik sangat berarti.

AI dan keamanan email

Munculnya AI untuk keamanan cyber dan pembelajaran mesin mentransformasi keamanan email. Teknologi ini:

• Menganalisis pola perilaku email untuk mendeteksi anomali, seperti permintaan mendadak untuk mentransfer uang.
• Identifikasi tanda-tanda spoofing yang tidak begitu kentara, seperti perbedaan kecil dalam alamat email.
• Terus beradaptasi dengan ancaman baru, sehingga lebih sulit bagi penipu untuk lebih maju dari alat deteksi. 

Dengan mengintegrasikan solusi SecOps terpadu yang didukung AI ke tumpukan keamanan, Anda mendapatkan keunggulan melawan penyerang yang semakin canggih.

Dalam hal mencegah serangan BEC, selangkah lebih maju sangatlah penting. Penjahat cyber terus mengembangkan taktik mereka, sehingga tindakan keamanan Anda harus sedinamis seperti ancaman itu sendiri. Berikut cara menjaga pertahanan Anda tetap kuat dan terkini:

Pemantauan dan pembaruan terus menerus

Serangan BEC bukan ancaman "atur lalu biarkan". Penipu terus menerus menyempurnakan metode mereka untuk melewati alat keamanan yang ada, sehingga Anda harus tetap waspada dengan melakukan:

• Audit keamanan reguler untuk mengidentifikasi kelemahan dalam pertahanan Anda.
• Pembaruan perangkat lunak yang sering dilakukan untuk menambal kerentanan dan memastikan Anda terlindungi dari eksploitasi baru.
• Pemantauan ancaman yang terus menerus untuk mendeteksi aktivitas yang tidak biasa secara real-time, dari pola email yang mencurigakan hingga upaya akses yang tidak sah. 

Hanya dengan terus mengembangkan postur keamanan, Anda dapat mengimbangi ancaman yang terus berubah ini.

Tetap mendapatkan informasi tentang ancaman terbaru

Mendapatkan informasi terbaru tentang kecerdasan ancaman cyber dapat membantu Anda mengidentifikasi potensi ancaman sebelum menjadi masalah serius. Tetap terdepan dengan:

• Berlangganan blog dan buletin keamanan cyber untuk mengetahui informasi terkini secara rutin tentang teknik BEC baru.
• Berpartisipasi dalam forum keamanan khusus industri untuk berbagi informasi dan belajar dari pengalaman organisasi lain.
• Melibatkan pakar keamanan cyber untuk memahami perburuan ancaman dan kemungkinan dampaknya terhadap bisnis Anda. 

Semakin banyak yang Anda ketahui tentang bagaimana penipu beradaptasi dengan deteksi dan respons terhadap ancaman, semakin siap Anda untuk menghentikan langkah mereka.

Untuk organisasi yang menggunakan Microsoft Office 365, Microsoft Defender untuk Office 365 menawarkan solusi yang kuat untuk membantu mendeteksi dan mengurangi serangan BEC. Layanan ini menyediakan:
 

• Perlindungan pengelabuan canggih, yang memblokir email yang mencurigakan dan memberi tahu pengguna tentang potensi ancaman.
• Pemantauan dan pelaporan real-time dengan deteksi dan respons titik akhir (EDR) untuk membantu Anda melihat tanda-tanda penyusupan saat terjadi.
• Tindakan respons insiden otomatis, seperti mengarantina email berbahaya dan memblokir pelaku ancaman yang diketahui.

Dengan mengintegrasikan Microsoft Defender untuk Office 365 ke dalam tumpukan keamanan Anda, Anda mendapatkan sekutu yang kuat dalam perang melawan BEC—yang terus diperbarui untuk mengimbangi ancaman yang terus berkembang.

Selain itu, fitur gangguan serangan otomatis di Microsoft Defender XDR dapat menghentikan serangan yang sedang berlangsung seperti BEC dan mencegah gerakan lateral lebih lanjut.