Serangan Siber Tidak Selalu Dimulai dari Teknologi yang Canggih

Banyak bisnis membayangkan serangan siber modern selalu datang dari teknik yang rumit. AI agent yang bisa menyerang sistem sendiri, malware yang sulit dideteksi, atau eksploitasi teknis yang hanya bisa dipahami tim security.

Kadang memang begitu. Ancaman teknis makin maju dan bisnis perlu memperhatikannya.

Tetapi laporan terbaru dari Google memberi pengingat yang lebih sederhana: banyak serangan besar masih dimulai dari telepon.

Menurut Google, kelompok hacker menargetkan perusahaan finansial dan investasi besar di Amerika Serikat dengan cara menelepon karyawan melalui nomor pribadi. Mereka berpura-pura menjadi rekan kerja atau staf IT helpdesk, lalu mengarahkan korban ke situs palsu untuk memasukkan kredensial dan kode multi-factor authentication.

Teknik ini dikenal sebagai voice phishing atau vishing.

Di atas kertas, tekniknya terlihat lama. Tidak futuristik. Tidak memakai istilah yang terdengar canggih. Tetapi hasilnya tetap serius: akses akun, pencurian data sensitif, lalu pemerasan dengan ancaman publikasi data.

The Core Update

Google melaporkan beberapa kelompok hacker yang mereka lacak dengan nama Falcon, Helix, Pink, dan Redact. Kelompok ini diduga terkait dengan payung operasi yang lebih besar bernama UNC6671, meskipun hubungan pastinya belum jelas.

Targetnya bukan bisnis kecil. Reuters melaporkan bahwa perusahaan seperti Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s, dan TPG termasuk dalam daftar organisasi yang menjadi sasaran.

Pola serangannya cukup langsung.

Hacker menghubungi karyawan, sering lewat ponsel pribadi. Mereka membangun konteks seperti sedang membantu urusan internal. Mereka meminta korban membuka situs yang tampak resmi. Dari sana, korban diminta memasukkan username, password, dan kode multi-factor authentication.

Jika berhasil, hacker masuk ke sistem perusahaan. Data sensitif dicuri. Setelah itu, korban ditekan untuk membayar tebusan agar data tidak dipublikasikan.

Google juga menyebut salah satu dompet crypto yang terkait dengan kelompok ini menerima sekitar 10 juta dolar AS dalam bitcoin pada beberapa bulan pertama tahun ini. Permintaan tebusan biasanya berada di kisaran 750 ribu sampai 3 juta dolar AS.

Yang menarik, target mereka bergeser ke organisasi dengan data bernilai tinggi: perusahaan finansial, legal, private equity, merger dan akuisisi, litigasi, serta bisnis yang menyimpan informasi rahasia klien VIP.

Artinya, serangan ini bukan sekadar mencari sistem yang lemah. Mereka mencari data yang bisa memberi tekanan bisnis.

The Reality Check

Banyak perusahaan sudah punya banyak lapisan keamanan. Password policy, MFA, endpoint protection, email security, VPN, access control, dan dashboard monitoring.

Semua itu penting.

Tetapi serangan seperti ini menunjukkan satu celah yang sering lebih sulit dikontrol: proses manusia ketika diminta mengambil tindakan cepat.

Jika seorang karyawan menerima telepon dari seseorang yang mengaku dari IT, lalu diminta membuka link dan memasukkan kode MFA, pertanyaannya bukan hanya apakah sistem aman. Pertanyaannya adalah apakah karyawan tahu prosedur yang benar.

Apakah helpdesk boleh meminta kode MFA?

Apakah reset akses boleh dimulai dari panggilan ke nomor pribadi?

Apakah ada kanal resmi untuk verifikasi permintaan IT?

Apakah karyawan boleh memasukkan kredensial setelah menerima instruksi lewat telepon?

Apakah ada cara cepat untuk melaporkan percobaan vishing tanpa takut disalahkan?

Tanpa jawaban yang jelas, keamanan bergantung pada intuisi masing-masing orang. Itu berbahaya, terutama ketika penyerang sengaja memakai tekanan waktu, otoritas palsu, dan bahasa internal yang terdengar meyakinkan.

Masalahnya bukan hanya awareness. Banyak training keamanan berhenti di pesan umum seperti “jangan klik link mencurigakan” atau “hati-hati penipuan”. Pesan seperti itu terlalu luas untuk situasi kerja nyata.

Yang dibutuhkan tim adalah aturan operasional yang konkret.

Contohnya:

• staf IT tidak pernah meminta password atau kode MFA
• permintaan reset akses hanya dilakukan lewat portal resmi
• panggilan dari helpdesk harus bisa diverifikasi lewat kanal internal
• link login tidak boleh dikirim lewat SMS, WhatsApp, atau telepon pribadi
• permintaan mendesak yang menyangkut akses harus dianggap risiko sampai terbukti sah
• laporan percobaan phishing tidak boleh membuat pelapor disalahkan

Aturan seperti ini terlihat sederhana. Tetapi justru karena sederhana, ia bisa dipakai saat orang sedang ditekan.

Banyak bisnis terlalu cepat membeli tool keamanan tambahan, tetapi belum punya bahasa kerja yang jelas untuk momen kritis seperti ini. Akibatnya, sistem terlihat kuat, tetapi keputusan manusia di titik masuk masih mudah digiring.

The Havedev Way

Dari sudut pandang Havedev, pelajaran terbesar dari kasus ini bukan bahwa semua bisnis harus panik menghadapi vishing. Pelajaran yang lebih berguna adalah: keamanan perlu diterjemahkan menjadi alur kerja yang bisa diikuti orang biasa.

Tool keamanan membantu mendeteksi dan membatasi kerusakan. Tetapi proses yang jelas membantu mencegah kesalahan pertama terjadi.

Untuk bisnis yang mulai lebih serius mengelola risiko digital, langkah awal tidak selalu harus membeli platform baru. Mulai dari pertanyaan dasar:

• siapa yang boleh meminta akses?
• lewat kanal apa permintaan akses dianggap sah?
• tindakan apa yang tidak boleh diminta oleh siapa pun?
• bagaimana karyawan memverifikasi permintaan yang terasa mendesak?
• ke mana percobaan mencurigakan harus dilaporkan?
• siapa yang mengambil keputusan ketika ada indikasi akun sudah bocor?

Jawaban ini sebaiknya tidak terkubur dalam dokumen panjang yang jarang dibaca. Ia perlu muncul dalam onboarding, SOP internal, halaman intranet, template respons helpdesk, dan simulasi singkat.

Untuk perusahaan yang punya website, portal client, CRM, dashboard internal, atau sistem approval, risiko ini juga perlu dibaca dari sisi desain proses.

Form login harus jelas domainnya. Email sistem harus konsisten. Link sensitif sebaiknya tidak dikirim sembarangan. Alur reset password perlu membatasi ruang manipulasi. Aktivitas login yang tidak biasa perlu terlihat. Role dan permission perlu disusun agar satu akun yang bocor tidak langsung membuka terlalu banyak data.

Bukan semua hal harus kompleks. Tetapi hal-hal dasar harus rapi.

Serangan vishing berhasil karena penyerang memanfaatkan area abu-abu: orang tidak yakin prosedur mana yang benar, tetapi merasa harus merespons cepat. Semakin besar bisnis, semakin berbahaya area abu-abu itu.

AI dan automation memang mengubah lanskap keamanan. Tetapi kasus ini mengingatkan bahwa banyak risiko digital masih masuk lewat percakapan yang terdengar biasa.

Karena itu, keamanan bukan hanya urusan software. Keamanan juga urusan status, kanal, otorisasi, dan kebiasaan kerja.

Sebelum menambah tool keamanan baru, cek dulu satu hal sederhana: apakah tim Anda tahu dengan jelas apa yang harus dilakukan ketika seseorang mengaku dari IT dan meminta akses?

Kalau jawabannya belum jelas, mulai dari sana.

Dapatkan Audit Teknis Gratis untuk meninjau alur website, akses internal, dan proses digital yang masih menyisakan celah operasional sebelum bisnis Anda menambah sistem baru.

---

Sumber referensi berita: TechCrunch