Serangan Business Email Compromise (BEC) memiliki karakteristik yang berbeda dari phishing biasa. Pelaku tidak selalu mengandalkan email yang terlihat jelas mencurigakan. Sebaliknya, mereka dapat memanfaatkan konteks bisnis, hubungan kerja, kebiasaan komunikasi, dan proses pembayaran untuk membuat permintaan terlihat meyakinkan.
Karena itu, business email compromise simulasi phishing perlu dipahami dalam konteks yang lebih luas. Simulasi phishing dapat membantu mengukur kewaspadaan karyawan, tetapi belum tentu menguji seluruh faktor yang menentukan apakah perusahaan mampu mencegah BEC.
Apa Itu Business Email Compromise?
Business Email Compromise adalah jenis penipuan yang memanfaatkan komunikasi bisnis untuk mendorong korban melakukan tindakan tertentu. Targetnya dapat berupa perubahan informasi pembayaran, transfer dana, pemberian informasi sensitif, atau tindakan bisnis lainnya.
Salah satu karakteristik BEC adalah penggunaan konteks yang relevan dengan aktivitas organisasi. Email dapat dibuat seolah-olah berasal dari pihak yang dikenal atau memiliki posisi tertentu dalam perusahaan.
Hal tersebut membuat BEC tidak selalu mudah dikenali hanya dengan mencari tanda-tanda phishing yang umum.
Kenapa Simulasi Phishing Saja Tidak Cukup?
Simulasi phishing umumnya berfokus pada bagaimana karyawan merespons pesan yang dirancang menyerupai serangan phishing. Metode ini berguna untuk mengukur perilaku pengguna dan meningkatkan awareness.
Namun, BEC dapat melibatkan lebih banyak faktor. Contohnya adalah proses persetujuan pembayaran, verifikasi perubahan rekening, komunikasi antara finance dan manajemen, serta prosedur ketika menerima permintaan yang tidak biasa.
Dengan demikian, keberhasilan program tidak cukup dinilai dari apakah karyawan mengklik atau tidak mengklik sebuah tautan.
Contoh Skenario BEC di Lingkungan Perusahaan
Bayangkan sebuah tim finance menerima permintaan perubahan rekening pembayaran dari pihak yang terlihat seperti vendor yang sudah dikenal.
Pesan tersebut tidak harus berisi tautan berbahaya. Permintaan utamanya justru dapat berupa instruksi administratif yang tampak normal.
Jika perusahaan hanya mengandalkan simulasi phishing berbasis tautan, skenario seperti ini mungkin tidak sepenuhnya teruji. Risiko justru dapat muncul ketika karyawan menjalankan permintaan tanpa melakukan verifikasi melalui prosedur yang telah ditetapkan.
Faktor Manusia dalam Pencegahan BEC
Awareness tetap menjadi komponen penting dalam pencegahan BEC. Karyawan perlu memahami bahwa permintaan bisnis yang tidak biasa harus diverifikasi, terutama jika berkaitan dengan transaksi keuangan atau informasi sensitif.
Beberapa kebiasaan yang dapat diperkuat antara lain:
- Memverifikasi permintaan perubahan rekening melalui saluran komunikasi berbeda.
- Tidak mengandalkan nama pengirim saja sebagai bukti identitas.
- Mewaspadai permintaan yang bersifat mendesak atau tidak biasa.
- Mengikuti prosedur persetujuan transaksi perusahaan.
- Melaporkan komunikasi mencurigakan kepada tim terkait.
Simulasi BEC Perlu Lebih Realistis
Program awareness dapat dikembangkan dari sekadar simulasi email phishing menjadi simulasi yang mencerminkan proses bisnis sebenarnya.
Misalnya, perusahaan dapat menguji bagaimana karyawan menangani permintaan perubahan rekening, permintaan informasi sensitif, instruksi pembayaran mendadak, atau komunikasi yang mengatasnamakan pimpinan.
Tujuannya bukan untuk menjebak atau mempermalukan karyawan, tetapi mengukur apakah prosedur dan kebiasaan verifikasi benar-benar diterapkan.
Teknologi dan Prosedur Tetap Dibutuhkan
Awareness tidak dapat berdiri sendiri. Organisasi juga perlu memiliki kontrol teknis dan prosedural untuk mengurangi dampak BEC.
Contohnya meliputi autentikasi yang kuat, pengamanan email, proses verifikasi transaksi, pemisahan tugas, serta mekanisme persetujuan untuk perubahan informasi pembayaran.
Dengan pendekatan berlapis, perusahaan tidak hanya mengandalkan kemampuan karyawan untuk mengenali serangan.
Bagaimana Membangun Program Pencegahan BEC?
Program dapat dimulai dengan mengidentifikasi proses bisnis yang paling berisiko. Tim keamanan kemudian dapat bekerja sama dengan finance, HR, procurement, dan manajemen untuk menentukan skenario yang relevan.
Hasil simulasi dapat digunakan untuk mengidentifikasi pola kesalahan, memperbaiki prosedur, dan menentukan materi awareness berikutnya.
Melalui Phishing as a Service Temika, organisasi dapat mengembangkan simulasi phishing yang disesuaikan dengan kebutuhan dan konteks keamanan perusahaan.
Temika memiliki pengalaman sekitar 8 tahun di bidang keamanan siber, menerapkan standar ISO 27001, serta didukung profesional dengan sertifikasi seperti OSCP, CRTO, dan CRTP.
Kesimpulan
Business email compromise simulasi phishing perlu dipandang lebih luas daripada sekadar mengukur apakah karyawan mengklik email simulasi. BEC dapat memanfaatkan proses bisnis, hubungan kerja, dan kepercayaan sehingga membutuhkan kombinasi awareness, prosedur verifikasi, dan kontrol teknis.
Simulasi yang dirancang berdasarkan skenario bisnis nyata dapat membantu organisasi mengetahui apakah karyawan dan proses internal sudah siap menghadapi ancaman BEC.
Dengan menggabungkan edukasi, simulasi, prosedur verifikasi, dan kontrol teknologi, pencegahan BEC dapat dibangun sebagai bagian dari strategi keamanan perusahaan secara berkelanjutan.
