Sudahkah kamu tau Social Engineering?

Seorang staf keuangan di sebuah perusahaan menengah pernah menerima telepon dari orang yang mengaku direktur utamanya sendiri. Suaranya terdengar tergesa-gesa, meminta transfer dana darurat untuk menyelamatkan sebuah deal penting yang katanya sedang berlangsung di luar kota. Nomornya asing, tapi nada bicaranya begitu meyakinkan, penuh tekanan waktu, dan menyebut detail internal yang terdengar valid. Staf itu nyaris mentransfer dana sebelum akhirnya memutuskan menelepon balik lewat nomor kantor resmi. Ternyata, direkturnya sedang rapat biasa di kantor, tidak pernah menelepon siapa pun.

Kejadian ini bukan soal sistem IT yang jebol atau password yang dicuri lewat kode rumit. Ini murni soal psikologi manusia yang dimanipulasi, dan itulah inti dari social engineering.

• Instagram
• LinkedIn
• YouTube
• WhatsApp
• Mail

Social Engineering Adalah Manipulasi Psikologis, Bukan Serangan Teknis

Secara sederhana, menurut definisi IBM yang dikutip Bank Mega Syariah, social engineering adalah teknik manipulatif yang bertujuan agar korban membagikan informasi sensitif dan rahasia, atau bahkan terdorong mengunduh perangkat lunak berbahaya dan mengunjungi situs palsu. Bedanya dengan serangan siber teknis, social engineering tidak butuh keahlian coding atau eksploitasi celah sistem. Yang dieksploitasi justru kepercayaan, rasa takut, dan urgensi yang muncul secara alami dalam diri manusia.

Skalanya jauh lebih besar dari yang banyak orang kira. Data dari Oxford University yang dikutip Primacs menyebutkan 88 persen kasus kejahatan perbankan digital di seluruh dunia berbentuk social engineering. Di Indonesia, angkanya bahkan lebih tinggi lagi. Executive Vice President Center of Digital BCA, Wani Sabu, sebagaimana diberitakan Katadata dan dikutip Privy, menyebutkan bahwa 99 persen penipuan online di Indonesia berbentuk social engineering.

Kenapa Manusia Jadi Titik Terlemah, Bukan Sistemnya

Coba bayangkan sistem keamanan digital sebuah perusahaan seperti benteng dengan tembok tinggi dan gerbang berlapis. Pelaku social engineering tidak repot-repot mendobrak gerbang itu. Mereka cukup menyamar jadi tukang pos yang diizinkan masuk, lalu meyakinkan penjaga gerbang untuk membukakan pintu sendiri. Semewah apa pun temboknya, kalau penjaganya percaya begitu saja pada orang yang salah, benteng itu jadi tidak ada gunanya.

Inilah kenapa social engineering begitu efektif. Serangan ini memanfaatkan reaksi emosional dasar manusia, rasa takut kehilangan uang, keinginan menolong atasan, atau sekadar rasa penasaran pada tawaran menarik. Semua reaksi itu wajar dan manusiawi, tapi justru itu yang dieksploitasi pelaku.

Empat Modus yang Paling Sering Ditemui di Indonesia

Menurut identifikasi Otoritas Jasa Keuangan yang dibahas Hukumonline, ada beberapa modus soceng (social engineering) yang paling sering menyasar sektor keuangan.

• Info perubahan tarif transfer bank. Pelaku menyamar sebagai pegawai bank, mengirim link atau formulir yang dibuat mirip tampilan resmi, lalu mengancam biaya admin akan naik kalau korban tidak segera klik link tersebut.
• Tawaran menjadi agen laku pandai atau merchant. Korban diiming-imingi jadi mitra resmi bank, lalu diminta menyerahkan data pribadi dan kode OTP dengan dalih proses pendaftaran.
• Modus hadiah undian palsu. Korban dihubungi dan diberi tahu memenangkan hadiah, tapi diminta membayar biaya administrasi atau pajak terlebih dahulu.
• Penipuan akun kena blokir. Korban diberi tahu akunnya akan diblokir dalam waktu singkat, memicu rasa panik yang mendorong korban buru-buru mengklik link dan memasukkan data tanpa berpikir panjang.

Bukannya Orang Sekarang Sudah Lebih Melek Digital

Keberatan ini masuk akal. Literasi digital masyarakat memang terus meningkat setiap tahun. Tapi social engineering justru berkembang mengikuti kewaspadaan itu. Modus yang lebih canggih, disebut spear phishing, kini menyasar target spesifik dengan riset mendalam soal kebiasaan, relasi kerja, bahkan gaya bahasa korban, sehingga pesan yang dikirim terasa jauh lebih personal dan meyakinkan dibanding modus pukul rata seperti dulu.

Contohnya seperti email yang seolah dikirim langsung oleh CEO ke manajer keuangan, atau pesan dari “partner kerja” yang meminta tambahan modal ekspansi. Bank Mega Syariah menjelaskan bahwa karena penuh riset dan perhitungan matang, spear phishing jenis ini jauh lebih sulit dideteksi dan punya tingkat keberhasilan yang lebih tinggi dibanding modus penipuan generik. Jadi makin melek digital masyarakatnya, makin personal juga modus yang dipakai pelaku.

Dampaknya Bukan Cuma Kerugian Finansial

Kalau serangan berhasil, dampaknya bisa merembet ke banyak arah. Ada pencurian identitas bagi korban individu, pencurian informasi rahasia bagi korban perusahaan, kehilangan akses ke akun-akun penting seperti email kerja atau data keuangan digital, sampai rusaknya kepercayaan pelanggan terhadap institusi yang datanya bocor. Untuk perusahaan, satu email yang diklik karyawan yang tertipu bisa berujung pada kebocoran data pelanggan dalam skala besar, jauh lebih mahal dibanding nilai kerugian awal yang tampak kecil.

Kenapa Verifikasi Identitas Jadi Lapisan Pertahanan yang Penting

Karena social engineering menyasar kepercayaan, bukan sistem, solusinya juga harus menyentuh titik itu. Verifikasi identitas yang ketat memastikan bahwa siapa pun yang mengaku sebagai pihak tertentu, entah customer service bank, HR perusahaan, atau bahkan direktur sekalipun, benar-benar bisa dibuktikan identitasnya sebelum data sensitif atau dana dipindahtangankan.

Sebagai PSrE (Penyelenggara Sertifikasi Elektronik) yang diakui dan diawasi Komdigi, Xignature menyediakan layanan e-KYC yang memverifikasi identitas secara real-time lewat biometrik wajah dan pencocokan data Dukcapil. Proses ini membuat pelaku social engineering kesulitan menyamar sebagai orang lain dalam transaksi resmi, karena verifikasi tidak bisa diselesaikan hanya dengan kata-kata meyakinkan di telepon atau email.

Untuk dokumen dan persetujuan penting, TTE Tersertifikasi menambah lapisan perlindungan lain. Setiap tanda tangan terikat pada identitas yang sudah diverifikasi lewat e-KYC, sehingga kalau ada pihak yang mencoba memalsukan persetujuan atau instruksi transaksi lewat rekayasa sosial, jejak digital yang tercatat bisa dipertanggungjawabkan secara hukum.

Kenapa Verifikasi Berlapis Lebih Sulit Ditembus Manipulasi

Kepercayaan berbasis suara telepon atau email itu ibarat kunci yang gampang ditiru asal pelakunya cukup meyakinkan. Verifikasi identitas berbasis biometrik dan data resmi lebih mirip kombinasi kunci dan sidik jari sekaligus, pelaku bisa saja meniru suara atau gaya bicara seseorang, tapi mereka tidak bisa meniru data biometrik yang sudah tercatat resmi di Dukcapil.

Cara Melindungi Diri dan Timmu dari Social Engineering

• OTP, PIN, dan password adalah data rahasia. Pihak resmi mana pun, termasuk bank dan HR internal, tidak akan pernah memintanya lewat telepon atau chat.
• Selalu konfirmasi lewat kanal resmi kalau menerima permintaan mendesak, apalagi yang melibatkan transfer dana atau data sensitif, meski pengirimnya mengaku atasan atau kolega dekat.
• Cek URL sebelum mengklik link apa pun, terutama dari email atau pesan yang tidak dikenal atau terasa terlalu mendesak.
• Waspadai pesan yang memicu urgensi atau rasa takut berlebihan, itu adalah taktik klasik supaya korban bertindak sebelum sempat berpikir jernih.
• Terapkan proses verifikasi berlapis di level perusahaan, termasuk protokol konfirmasi dua langkah untuk setiap permintaan transfer dana atau perubahan data penting.

Jangan Tunggu Jadi Korban Dulu Baru Waspada

Social engineering akan terus berkembang selama ada celah kepercayaan yang bisa dieksploitasi. Kabar baiknya, kewaspadaan yang tepat dan sistem verifikasi identitas yang kuat bisa menutup celah itu jauh sebelum kerugian terjadi.

Kalau kamu penasaran gimana proses verifikasi identitas digital lewat e-KYC dan TTE Tersertifikasi bisa membantu institusi mencegah manipulasi berbasis kepercayaan seperti social engineering, kamu bisa coba demo gratisnya.

Baca juga artikel kami soal account takeover, karena banyak kasus pembajakan akun sebenarnya berawal dari social engineering yang berhasil mengelabui korban. Kamu juga bisa baca soal identity fraud untuk memahami apa yang terjadi setelah data korban berhasil dicuri.

Pertanyaan yang Sering Muncul soal Social Engineering