Email phishing: satu pesan "kami sudah ganti rekening bank" membuat perusahaan yang tertipu rugi rata-rata SAR 461,000. 6 langkah untuk mencegahnya

Email phishing paling mahal yang akan diterima perusahaan Anda tidak berisi virus atau tautan aneh. Email itu tampak seperti pesan biasa dari pemasok yang Anda kenal, yang menyebut rekening banknya berubah dan meminta tagihan berikutnya dibayar ke IBAN baru. Dalam laporan kejahatan internet 2025 dari FBI, penipuan jenis ini, yang disebut business email compromise (BEC), menghasilkan 24,768 pengaduan dan kerugian $3,046,598,558, sekitar $123,000 per pengaduan, atau kira-kira SAR 461,000. Solusinya hampir gratis: jangan pernah mengubah data rekening penerima hanya berdasarkan email. Pastikan lewat telepon ke nomor dari catatan Anda sendiri, dan wajibkan orang kedua menyetujui perubahan itu. (Sisi persetujuan pembayaran sudah kami bahas dalam artikel tentang peretasan Binance dan kontrol persetujuan pembayaran.)

Seperti apa email phishing pada 2026

Saran lama adalah mencari salah ketik. Itu tidak berlaku lagi. Laporan FBI menyebut generator chat dapat dengan cepat membuat email bernada resmi yang meniru CEO atau pejabat lain perusahaan, dan kloning suara dapat dipakai untuk meminta transfer. Pada 2025 FBI menerima lebih dari 22,000 pengaduan yang menyebut kecerdasan buatan, dengan kerugian di atas $893 juta, dan perusahaan melaporkan kerugian lebih dari $30 juta akibat business email compromise yang melibatkan AI.

Jadi, nilailah permintaannya, bukan tulisannya. Tanda bahaya yang masih berlaku:

• Perubahan data rekening bank, terutama tepat sebelum pembayaran besar jatuh tempo.
• Desakan dan kerahasiaan: "bayar hari ini", "saya sedang rapat, jangan telepon", "jangan beri tahu siapa pun".
• Alamat pengirim yang hampir benar: satu huruf berbeda di domain, atau akun email gratis alih-alih domain perusahaan.
• Permintaan yang melewati prosedur biasa: seorang manajer meminta staf akuntansi langsung mentransfer uang di luar sistem.

Angka di balik masalah ini

Internet Crime Complaint Center (IC3) milik FBI menerima 1,008,597 pengaduan pada 2025, dengan kerugian yang dilaporkan $20.877 miliar, naik 26% dibanding 2024. Phishing dan spoofing saja menghasilkan 191,561 pengaduan. Pengaduan business email compromise naik dari 21,442 pada 2024 menjadi 24,768 pada 2025. Ini adalah pengaduan di Amerika Serikat, bukan angka Saudi, tetapi caranya sama di mana-mana: penjahat tidak membobol bank Anda, ia meyakinkan karyawan Anda sendiri untuk mengirim uang.

Laporan yang sama memuat pelajaran paling berguna bagi setiap tim keuangan: kecepatan. Saat korban melapor dengan cepat, Recovery Asset Team FBI bekerja sama dengan bank untuk membekukan dana. Dari 3,900 insiden pada 2025, tim ini membekukan $679,013,183, dengan tingkat keberhasilan 58%. Saran FBI sendiri jelas: waktu sangat menentukan, segera hubungi bank Anda dan minta transfer ditarik kembali.

6 langkah yang melindungi perusahaan Anda

1. Aturan telepon balik untuk setiap perubahan data rekening. Setiap permintaan mengubah rekening pemasok, karyawan, atau mitra dipastikan lewat telepon ke nomor yang sudah ada di catatan Anda, bukan nomor di email. Tuliskan sebagai kebijakan resmi agar tidak ada yang sungkan bertanya.
2. Dua orang untuk setiap penerima baru. Satu orang memasukkan IBAN baru, orang lain menyetujuinya dari perangkat berbeda. Minta bank Anda mengaktifkan fitur ini di portal korporatnya.
3. Autentikasi multifaktor pada email. Templat Standar Perlindungan Email dari Otoritas Keamanan Siber Nasional Arab Saudi (NCA) mewajibkan MFA untuk akses webmail dan aplikasi email di ponsel, serta untuk administrator email. Sebagian besar business email compromise berawal dari kata sandi email yang dicuri.
4. SPF, DKIM, dan DMARC pada domain Anda. Templat NCA yang sama mewajibkan ketiga catatan ini, agar server lain dapat menolak email yang mengaku berasal dari domain Anda. Ketiganya melindungi pelanggan dan pemasok Anda dari email palsu atas nama Anda.
5. Penyaringan dan peringatan pengirim eksternal. Templat NCA mewajibkan pemblokiran pesan masuk yang berisi tautan berbahaya atau upaya phishing, serta karantina pesan berisiko sedang. Tambahkan banner peringatan yang terlihat pada setiap email dari luar perusahaan.
6. Rencana tanggap satu halaman. Jika uang sudah keluar: segera telepon bank dan minta penarikan kembali, ganti kata sandi email, periksa kotak surat untuk aturan penerusan yang tidak Anda buat, dan peringatkan pemasok yang namanya dipakai.

Apa yang diajarkan kepada karyawan dalam 15 menit

Anda tidak perlu kursus panjang. Ajarkan tiga kebiasaan: periksa alamat lengkap pengirim, jangan pernah menjalankan permintaan pembayaran yang hanya datang lewat email, dan laporkan pesan mencurigakan alih-alih menghapusnya. Lalu kirim email uji yang tidak berbahaya sekali tiap kuartal dan bahas hasilnya tanpa menyalahkan siapa pun. Tim yang cepat melapor lebih berharga daripada tim yang merasa tidak pernah mengeklik.

Pandangan Origami

Kami melihat phishing lebih sebagai masalah proses daripada masalah teknologi. Filter email akan selalu meloloskan sebagian pesan, dan AI membuat email palsu makin meyakinkan setiap bulan. Yang tidak berubah adalah aturan di dalam sistem Anda: perubahan data rekening bank harus mustahil tanpa verifikasi dan persetujuan kedua. Saat membangun sistem khusus untuk akuntansi, pengadaan, atau pembayaran, kami menanamkan aturan itu di dalam sistem, lengkap dengan log setiap perubahan data penerima, agar tidak bergantung pada ingatan siapa pun. Jika Anda ingin meninjau pengaturan email dan alur persetujuan pembayaran, hubungi kami atau lihat layanan kami.

Sumber

• FBI Internet Crime Complaint Center — 2025 IC3 Annual Report: total pengaduan dan kerugian, angka business email compromise dan phishing, pengaduan terkait AI, serta hasil pembekuan dana oleh Recovery Asset Team.
• Otoritas Keamanan Siber Nasional (NCA) — Email Protection Standard template: persyaratan MFA, SPF, DKIM, DMARC, dan pemblokiran pesan phishing.