Cara Mengenali Serangan Phishing Lewat Email Kerja
Pukul sembilan pagi, kotak masuk dipenuhi puluhan email. Satu di antaranya mengaku dari bagian keuangan dan meminta kamu membuka lampiran tagihan sebelum siang. Nama pengirimnya mirip, nada pesannya mendesak. Di titik inilah cara mengenali serangan phishing lewat email kerja menentukan apakah data kantor tetap aman atau berpindah tangan.
Phishing lewat email kerja menyasar kebiasaan, bukan celah teknis. Pelaku meniru rekan, atasan, atau vendor supaya kamu bertindak cepat tanpa memeriksa.
Tanda paling sering muncul di email phishing kerja
Email phishing jarang sempurna. Ada kejanggalan yang bisa kamu temukan kalau berhenti sebentar sebelum membalas.
- Alamat domain yang dimodifikasi: huruf mirip seperti rn menggantikan m, atau tambahan kata seperti -indo di belakang nama perusahaan.
- Permintaan mendesak: tenggat dalam hitungan jam, ancaman denda, atau permintaan rahasia agar tidak melapor ke tim IT.
- Lampiran tidak diminta: file .zip, .html, atau dokumen yang meminta kamu mengaktifkan makro.
- Tautan yang tidak cocok: teks tautan terlihat resmi, tetapi alamat tujuannya mengarah ke domain lain.
- Sapaan generik: pesan menyebut “Bapak/Ibu” padahal pengirim biasanya memakai nama panggilanmu.
Periksa alamat pengirim dengan menekan nama tampilan di aplikasi email. Banyak klien email menyembunyikan alamat asli di balik nama yang terlihat meyakinkan.
Modus yang mengincar karyawan startup
Startup punya struktur tim yang kecil dan komunikasi lintas divisi yang cair. Kondisi ini memudahkan pelaku menyamar sebagai orang dalam. Lihat juga pembahasan soal alasan startup teknologi rentan jadi target serangan siber untuk memahami pola yang lebih luas.
Penipuan tagihan vendor
Pelaku mengirim invoice dengan nomor rekening baru. Biasanya mereka menunggu momen ketika perusahaan sedang menyelesaikan pembayaran rutin. Periksa nomor rekening ke kontak vendor lama, bukan ke nomor yang tertera di email.
Permintaan reset kata sandi palsu
Email berisi tombol “Atur Ulang Kata Sandi” dengan tampilan identik layanan kantor. Setelah diklik, halaman palsu meminta kata sandi lama. Dari situ pelaku mengambil alih akun tanpa perlu membobol apa pun.
Undangan berbagi dokumen
Pesan mengaku dari layanan penyimpanan awan dan meminta login untuk membuka file. Cek dulu apakah kamu memang sedang menunggu dokumen dari orang tersebut. Kalau tidak, buka layanan penyimpanan langsung lewat aplikasi resmi, bukan lewat tautan di email.
Langkah verifikasi sebelum klik atau membalas
Verifikasi memakan waktu kurang dari dua menit dan menyelamatkan banyak hal.
- Hubungi pengirim lewat kanal lain, misalnya chat internal atau telepon kantor, untuk memastikan email itu benar darinya.
- Arahkan kursor ke tautan tanpa mengklik, lalu baca alamat lengkapnya di sudut layar atau bilah status.
- Jangan meneruskan email mencurigakan ke rekan lain. Laporkan ke tim IT agar mereka memeriksa header dan memblokir pengirim.
- Kalau sudah terlanjur mengklik, segera ganti kata sandi dari perangkat lain dan aktifkan verifikasi dua langkah.
- Aktifkan notifikasi login pada akun kerja supaya kamu tahu kalau ada akses dari lokasi atau perangkat asing.
Kebiasaan yang paling membantu bukan keahlian teknis, melainkan jeda sebelum menekan tombol. Pelaku mengandalkan reaksi cepat.
Kebiasaan kerja yang menutup celah phishing
Tim yang sering bertukar file berukuran besar punya risiko tambahan karena lampiran email jadi hal biasa. Mengatur penyimpanan dan aplikasi kerja dengan rapi mengurangi peluang salah membuka file. Simak panduan cara menyimpan file besar di HP agar memori tidak cepat penuh supaya kamu tidak tergoda membuka lampiran mencurigakan hanya karena ruang penyimpanan penuh.
Beberapa kebiasaan lain yang layak diterapkan di tim:
- Sepakati aturan bahwa permintaan transfer atau perubahan data karyawan selalu dikonfirmasi lewat dua kanal.
- Matikan eksekusi makro otomatis di aplikasi dokumen kantor.
- Gunakan pengelola kata sandi supaya alamat situs diperiksa otomatis sebelum kamu mengetik kredensial.
- Periksa izin aplikasi yang terpasang di perangkat kerja, terutama aplikasi yang meminta akses email dan kontak. Panduan cara cek izin aplikasi di HP agar data pribadi tidak bocor bisa jadi titik awal.
- Rapikan ikon aplikasi kerja di layar utama agar kamu tidak salah membuka aplikasi tiruan; langkahnya ada di cara mengatur aplikasi di layar utama HP agar tidak berantakan.
Peran tim IT dan kebijakan kantor
Perusahaan perlu menyediakan kanal pelaporan yang mudah dipakai. Karyawan yang takut dianggap ceroboh cenderung diam ketika salah mengklik tautan, dan diam itulah yang memperpanjang dampak serangan. Kebijakan yang jelas soal pelaporan insiden membantu tim IT merespons lebih cepat.
Dari sisi teknis, tim IT bisa menerapkan autentikasi berbasis domain pada email masuk, memblokir lampiran berbahaya, dan mewajibkan verifikasi dua langkah untuk semua akun kerja. Pelatihan berkala juga berguna, asalkan isinya memakai contoh email palsu yang benar-benar mirip dengan yang diterima karyawan sehari-hari.
Ringkasan
Email phishing kerja bekerja dengan meniru orang yang kamu percaya dan menekan waktu berpikirmu. Periksa domain pengirim, waspadai permintaan mendesak, dan verifikasi lewat kanal lain sebelum membuka lampiran atau membalas. Kalau sudah terlanjur klik, cepat ganti kata sandi dan laporkan ke tim IT.
Pertanyaan yang Sering Diajukan
Bagaimana cara cepat memastikan email kerja asli atau palsu?
Tekan nama pengirim untuk melihat alamat lengkapnya, lalu bandingkan dengan domain resmi perusahaan. Kalau masih ragu, hubungi pengirim lewat chat internal atau telepon kantor sebelum melakukan apa pun.
Apa yang harus dilakukan kalau sudah mengetik kata sandi di halaman palsu?
Segera ganti kata sandi akun tersebut dari perangkat lain, aktifkan verifikasi dua langkah, dan laporkan kejadian ke tim IT. Periksa juga riwayat login untuk melihat apakah ada akses mencurigakan.
Apakah email phishing selalu berisi lampiran?
Tidak. Banyak email phishing hanya meminta kamu membalas data atau mengklik tautan. Ada juga yang menyamar sebagai percakapan biasa tanpa lampiran sama sekali.