Pengantar
Di tengah meningkatnya digitalisasi bisnis, email tetap menjadi alat komunikasi utama dalam aktivitas perusahaan. Namun, kemudahan ini juga membuka celah bagi pelaku kejahatan siber melalui skema yang dikenal sebagai Business Email Compromise (BEC).
BEC bukan sekadar spam atau phishing biasa. Serangan ini dirancang secara spesifik, terarah, dan sering kali melibatkan penyamaran sebagai eksekutif perusahaan, vendor, atau mitra bisnis terpercaya. Dampaknya bisa sangat besar, mulai dari kerugian finansial hingga rusaknya reputasi perusahaan.
Apa Itu Business Email Compromise (BEC)?
Business Email Compromise (BEC) adalah bentuk penipuan yang memanfaatkan manipulasi email untuk menipu karyawan agar mentransfer dana atau membagikan informasi sensitif.
Berbeda dengan phishing massal, BEC biasanya tidak mengandung tautan mencurigakan atau lampiran berbahaya. Sebaliknya, pesan dibuat terlihat sah dan relevan dengan konteks bisnis korban.
baca juga : Timing Attack: Mengungkap Rahasia Sistem Hanya dari Selisih Waktu Eksekusi
Bagaimana Cara Kerja Serangan BEC?
1. Pengumpulan Informasi (Reconnaissance)
Pelaku mempelajari struktur organisasi, jabatan eksekutif, dan hubungan bisnis melalui media sosial atau situs perusahaan.
2. Penyusupan atau Pemalsuan Email
Penyerang dapat:
-
Meretas akun email asli
-
Memalsukan domain (email spoofing)
-
Membuat domain mirip dengan perusahaan
3. Permintaan Mendesak
Korban menerima email yang tampak sah, biasanya berisi:
-
Instruksi transfer dana mendesak
-
Perubahan rekening vendor
-
Permintaan data sensitif
Karena terlihat berasal dari atasan atau mitra terpercaya, korban cenderung tidak mempertanyakan permintaan tersebut.
Jenis-Jenis Business Email Compromise
CEO Fraud
Penyerang menyamar sebagai eksekutif senior dan meminta transfer dana segera.
Invoice Manipulation
Pelaku mengubah informasi rekening dalam invoice vendor agar pembayaran dialihkan ke rekening mereka.
Account Compromise
Akun email karyawan diretas dan digunakan untuk mengirim permintaan pembayaran palsu.
Data Theft
Penyerang meminta data sensitif seperti laporan pajak atau informasi karyawan.
Mengapa BEC Sangat Berbahaya?
Tidak Mengandalkan Malware
Karena tidak selalu mengandung link atau file berbahaya, serangan ini sering lolos dari sistem keamanan otomatis.
Memanfaatkan Kepercayaan Internal
BEC menargetkan aspek psikologis dan struktur hierarki perusahaan.
Kerugian Finansial Besar
Transfer dana yang berhasil biasanya sulit dipulihkan, terutama jika melibatkan lintas negara.
Cara Mencegah Business Email Compromise
Verifikasi Dua Arah
Setiap permintaan transfer dana harus diverifikasi melalui saluran komunikasi lain, seperti telepon resmi.
Implementasi Multi-Factor Authentication (MFA)
MFA dapat mencegah akses tidak sah meskipun password bocor.
Pelatihan Kesadaran Keamanan
Karyawan perlu dilatih mengenali pola email mencurigakan.
Konfigurasi Keamanan Email
Gunakan protokol seperti:
-
SPF (Sender Policy Framework)
-
DKIM (DomainKeys Identified Mail)
-
DMARC (Domain-based Message Authentication, Reporting & Conformance)
Langkah ini membantu mengurangi risiko spoofing domain.
Siapa yang Berisiko?
Serangan BEC dapat menargetkan:
-
Perusahaan skala kecil hingga besar
-
Departemen keuangan
-
HR dan payroll
-
Vendor dan mitra bisnis
-
Organisasi nirlaba dan institusi pendidikan
Tidak ada organisasi yang benar-benar kebal jika tidak memiliki prosedur keamanan yang kuat.
baca juga : Tabnabbing: Bahaya Tersembunyi Saat Tab Browser yang Anda Diamkan Tiba-tiba Berubah Menjadi Situs Palsu
Kesimpulan
Business Email Compromise (BEC) adalah ancaman serius yang memanfaatkan manipulasi psikologis dan celah komunikasi bisnis untuk melakukan penipuan finansial. Berbeda dengan serangan siber teknis lainnya, BEC mengandalkan kepercayaan dan kelengahan manusia.
Untuk memitigasi risiko, perusahaan perlu menggabungkan kontrol teknis seperti MFA dan proteksi email dengan edukasi keamanan bagi karyawan. Pendekatan keamanan berlapis (defense-in-depth) menjadi kunci utama dalam menghadapi ancaman BEC yang semakin canggih.
