Phishing masih menjadi salah satu metode serangan siber yang paling sering digunakan untuk mendapatkan akses ke sistem perusahaan. Alih-alih mengeksploitasi kelemahan teknis, pelaku memanfaatkan kelengahan pengguna melalui email, SMS, atau pesan instan yang tampak meyakinkan.
Untuk mengurangi risiko tersebut, banyak organisasi menerapkan simulasi phishing secara berkala sebagai bagian dari program security awareness. Tujuannya bukan untuk “menjebak” karyawan, melainkan mengukur perilaku, meningkatkan kewaspadaan, dan membangun kebiasaan melaporkan email yang mencurigakan. Penelitian di institusi kesehatan menunjukkan bahwa kampanye phishing yang dilakukan berulang berkaitan dengan penurunan kemungkinan karyawan mengklik email simulasi berikutnya, meskipun hasilnya dapat berbeda antar organisasi. :contentReference[oaicite:0]{index=0}
Pada artikel ini, kita akan membahas sebuah studi kasus klik rate phishing turun setelah tiga bulan pelaksanaan simulasi phishing rutin. Studi kasus ini merupakan ilustrasi yang menggambarkan praktik umum yang banyak diterapkan dalam program awareness perusahaan.
Kondisi Awal Perusahaan
Sebuah perusahaan menengah dengan sekitar 500 karyawan mulai menjalankan program simulasi phishing setelah menemukan bahwa sebagian besar insiden keamanan berasal dari email mencurigakan yang dibuka oleh pengguna.
Sebelum program dimulai, perusahaan telah memiliki:
- Email security gateway.
- Multi-Factor Authentication (MFA).
- Endpoint protection.
- Kebijakan keamanan informasi.
Namun, evaluasi internal menunjukkan bahwa faktor manusia masih menjadi risiko terbesar sehingga perusahaan memutuskan menjalankan simulasi phishing secara rutin.
Target Program
Program dirancang dengan beberapa tujuan utama, yaitu:
- Menurunkan click rate pada email simulasi.
- Meningkatkan jumlah laporan email mencurigakan.
- Membangun kebiasaan memverifikasi pengirim sebelum membuka tautan.
- Meningkatkan kesadaran terhadap berbagai teknik social engineering.
Bulan Pertama: Baseline Awareness
Pada bulan pertama, simulasi menggunakan skenario sederhana seperti pemberitahuan perubahan kata sandi, notifikasi paket, dan informasi internal perusahaan.
Hasil awal menunjukkan bahwa cukup banyak karyawan masih mengklik tautan pada email simulasi. Kondisi ini menjadi baseline untuk mengukur perkembangan program pada bulan-bulan berikutnya.
Alih-alih memberikan sanksi, perusahaan langsung memberikan materi edukasi singkat kepada peserta yang berinteraksi dengan email simulasi. Pendekatan edukatif seperti ini lebih efektif dalam membangun budaya keamanan dibanding hanya berfokus pada hukuman. :contentReference[oaicite:1]{index=1}
Bulan Kedua: Simulasi Lebih Variatif
Memasuki bulan kedua, skenario dibuat lebih beragam agar menyerupai ancaman yang mungkin diterima dalam aktivitas sehari-hari.
Contoh simulasi yang digunakan meliputi:
- Email perubahan rekening vendor.
- Undangan rapat daring.
- Invoice pembayaran.
- Pemberitahuan pembaruan akun.
- Notifikasi HR.
Selain simulasi, perusahaan juga menyelenggarakan sesi security awareness singkat yang membahas ciri-ciri email phishing, pentingnya memeriksa domain pengirim, serta prosedur pelaporan insiden.
Bulan Ketiga: Hasil Mulai Terlihat
Setelah tiga bulan pelaksanaan program secara konsisten, evaluasi internal menunjukkan perubahan perilaku pengguna. Click rate pada email simulasi menurun dibandingkan baseline, sementara jumlah laporan terhadap email yang dianggap mencurigakan meningkat.
Perubahan ini sejalan dengan berbagai penelitian yang menunjukkan bahwa kombinasi simulasi phishing dan pelatihan keamanan dapat meningkatkan perilaku pengguna, terutama jika dilakukan secara berulang dan disertai evaluasi. Namun, efektivitas jangka panjang tetap dipengaruhi oleh kualitas materi, frekuensi program, dan budaya keamanan organisasi. :contentReference[oaicite:2]{index=2}
Mengapa Click Rate Bisa Menurun?
Penurunan click rate bukan terjadi secara kebetulan. Hasil tersebut biasanya merupakan kombinasi dari edukasi yang berkelanjutan, simulasi yang realistis, serta keterlibatan manajemen dalam membangun budaya keamanan siber.
Beberapa faktor yang berkontribusi terhadap penurunan click rate antara lain:
- Pelaksanaan simulasi phishing secara konsisten.
- Materi security awareness yang relevan dengan pekerjaan sehari-hari.
- Umpan balik langsung setelah peserta berinteraksi dengan email simulasi.
- Dukungan manajemen terhadap program keamanan informasi.
- Kemudahan bagi karyawan untuk melaporkan email yang mencurigakan.
Ketika pengguna terbiasa mengenali tanda-tanda phishing, mereka cenderung lebih berhati-hati sebelum membuka tautan atau mengunduh lampiran dari email yang tidak dikenal.
Click Rate Bukan Satu-Satunya Indikator
Meskipun click rate sering digunakan sebagai indikator utama keberhasilan simulasi phishing, perusahaan sebaiknya tidak hanya berfokus pada satu metrik. Evaluasi yang lebih komprehensif akan memberikan gambaran mengenai perubahan perilaku pengguna secara menyeluruh.
Beberapa metrik yang dapat dipantau meliputi:
- Persentase karyawan yang melaporkan email phishing.
- Waktu yang dibutuhkan untuk melaporkan email mencurigakan.
- Jumlah pengguna yang memasukkan kredensial pada halaman simulasi.
- Tingkat penyelesaian pelatihan setelah simulasi.
- Perubahan hasil simulasi antar periode.
- Performa berdasarkan divisi atau unit kerja.
Dengan memantau berbagai indikator tersebut, organisasi dapat mengetahui area yang masih memerlukan perhatian dan menyesuaikan materi pelatihan sesuai kebutuhan.
Praktik Terbaik Menjalankan Simulasi Phishing
Agar program memberikan hasil yang optimal, simulasi phishing perlu dilakukan sebagai bagian dari proses pembelajaran, bukan sekadar pengujian.
Beberapa praktik terbaik yang dapat diterapkan antara lain:
- Melakukan simulasi secara berkala dengan tingkat kesulitan yang meningkat.
- Menggunakan skenario yang relevan dengan aktivitas bisnis perusahaan.
- Memberikan edukasi segera setelah simulasi selesai.
- Menyampaikan hasil evaluasi kepada manajemen tanpa menyalahkan individu.
- Mengintegrasikan simulasi dengan program security awareness perusahaan.
- Melakukan evaluasi dan pembaruan materi secara berkala mengikuti tren ancaman terbaru.
Pendekatan yang berkelanjutan membantu membentuk budaya keamanan sehingga karyawan tidak hanya mampu mengenali phishing saat simulasi, tetapi juga ketika menghadapi ancaman nyata.
Temika Membantu Meningkatkan Awareness Melalui Simulasi Phishing
Simulasi phishing merupakan salah satu cara efektif untuk mengukur kesiapan karyawan menghadapi serangan berbasis rekayasa sosial. Namun, hasil terbaik hanya dapat dicapai apabila simulasi dipadukan dengan program edukasi yang terstruktur dan evaluasi yang berkesinambungan.
Melalui layanan Phishing as a Service, Temika membantu organisasi merancang kampanye simulasi phishing yang disesuaikan dengan karakteristik perusahaan, lengkap dengan pelaporan, analisis hasil, dan rekomendasi peningkatan. Program ini dapat dipadukan dengan Security Awareness Workshop sehingga perubahan perilaku pengguna dapat dipantau dari waktu ke waktu.
Temika didukung oleh pengalaman sekitar 8 tahun, menerapkan standar ISO 27001, serta memiliki tim profesional dengan sertifikasi OSCP, CRTO, dan CRTP. Pendekatan tersebut membantu perusahaan membangun budaya keamanan yang lebih kuat sekaligus mengurangi risiko keberhasilan serangan phishing.
Kesimpulan
Studi kasus klik rate phishing turun menunjukkan bahwa perubahan perilaku pengguna dapat dicapai melalui program yang dilakukan secara konsisten. Simulasi phishing yang dipadukan dengan edukasi, umpan balik, dan evaluasi berkala membantu meningkatkan kewaspadaan karyawan terhadap berbagai bentuk rekayasa sosial.
Selain memantau click rate, perusahaan juga perlu memperhatikan metrik lain seperti tingkat pelaporan email mencurigakan, waktu respons, dan penyelesaian pelatihan. Dengan pendekatan yang menyeluruh, hasil simulasi phishing rutin dapat menjadi dasar untuk membangun budaya keamanan siber yang lebih matang dan berkelanjutan.
