Cara Mengenali Email Phishing: 12 Tanda Bahaya

Email phishing adalah pesan yang berpura-pura berasal dari pihak yang Anda percayai agar Anda mengeklik link, membuka file, menyerahkan kata sandi, atau mengirim uang. Sebagian besar email semacam ini bisa dikenali dengan memeriksa siapa pengirim sebenarnya, ke mana link di dalamnya benar-benar mengarah, dan apakah pesan itu mendesak Anda bertindak cepat untuk sesuatu yang tidak Anda harapkan.

Phishing memanfaatkan kepercayaan: logo bank, nama rekan kerja, gaya bahasa perusahaan ekspedisi. Kebiasaan di bawah ini hanya butuh beberapa detik dan bisa dipakai di aplikasi email apa pun.

12 tanda bahaya email phishing

1. Nama tampilan dan alamat tidak cocok. "PayPal Support" bisa dipasang pada alamat apa pun. Ketuk atau arahkan kursor ke nama itu untuk melihat alamat lengkapnya. Merek yang mengirim dari akun webmail gratis atau domain yang tidak berkaitan adalah tanda peringatan kuat.
2. Domain tiruan atau samaran. Penyerang mendaftarkan domain yang hanya berbeda satu karakter (rnicrosoft.com dengan "r n" sebagai pengganti "m"), menambahkan kata (paypal-secure-login.com), atau memakai nama asli sebagai subdomain (paypal.com.account-check.net, yang sebenarnya milik account-check.net). Nama domain internasional (IDN) memungkinkan huruf dari alfabet lain yang tampak identik dengan huruf Latin, misalnya "а" Sirilik sebagai pengganti "a". Bentuk dasarnya diawali xn-- (punycode); jika Anda melihat awalan itu pada link atau alamat yang tidak Anda duga, anggap mencurigakan.
3. Desakan, rasa takut, atau tekanan. "Akun Anda akan ditutup dalam 24 jam", "tagihan belum dibayar", "tindakan hukum". Tenggat waktu buatan ada agar Anda tidak sempat memeriksa.
4. Teks link berbeda dari tujuannya. Teks link yang terlihat bisa berisi apa saja. Tujuan sebenarnya muncul saat Anda mengarahkan mouse, di bilah status atau tooltip. Jika teksnya menyebut satu situs tetapi tujuannya situs lain, jangan klik.
5. Lampiran yang tidak diharapkan. Waspadai setiap file yang tidak Anda tunggu, terutama file HTML (bisa membuka halaman login palsu yang meyakinkan dan tersimpan di komputer Anda sendiri), ZIP atau arsip lain, image disk ISO dan IMG, arsip yang dilindungi kata sandi dengan kata sandi yang ditulis di isi email, serta dokumen Office yang meminta Anda "mengaktifkan konten" atau makro. Arsip dan image disk populer karena bisa menyembunyikan jenis file sebenarnya dari filter email.
6. Permintaan kredensial atau data pribadi. Perusahaan yang sah tidak meminta Anda mengonfirmasi kata sandi, PIN, nomor kartu lengkap, atau kode satu kali lewat email atau link di dalam email.
7. Kode QR yang diminta untuk dipindai. Phishing QR ("quishing") menaruh link di dalam gambar sehingga filter tidak bisa membacanya, dan Anda membukanya di ponsel yang sering kurang terlindungi dibanding komputer kantor. Curigai kode QR di email tentang pengaturan MFA, penandatanganan dokumen, atau masalah akun.
8. Alamat Reply-To yang berbeda. Baris From mungkin tampak benar, tetapi balasan dikirim ke tempat lain. Saat menekan balas, periksa alamat yang muncul di kolom To. Ketidakcocokan ini umum dalam penipuan faktur.
9. Salam generik atau data yang salah. "Pelanggan yang terhormat", "Yth. pengguna", atau alamat email Anda yang dipakai sebagai nama menandakan kampanye massal. Namun nama yang benar belum membuktikan apa pun.
10. Penawaran yang terlalu bagus untuk jadi kenyataan. Pengembalian dana tak terduga, hadiah, warisan, keuntungan kripto, atau pekerjaan yang tidak pernah Anda lamar adalah umpan. Begitu juga biaya kecil yang diminta untuk mencairkan pembayaran besar.
11. Perubahan data pembayaran atau rekening bank. Dalam business email compromise, pemasok, rekan kerja, atau pimpinan "memperbarui" rekening banknya atau meminta transfer mendesak maupun kartu hadiah. Email itu bisa datang dari akun yang benar-benar diretas, sehingga bisa lolos semua pemeriksaan teknis.
12. Permintaan MFA atau kode yang tidak Anda minta. Rentetan permintaan persetujuan di ponsel, atau email yang meminta Anda menyebutkan kembali sebuah kode, berarti seseorang mungkin sudah memegang kata sandi Anda dan mencoba melewati faktor kedua. Tolak permintaan itu dan ganti kata sandi Anda.

Referensi cepat: apa yang perlu dilihat

Cara memeriksa link tanpa membukanya

1. Di komputer, arahkan kursor ke link dan tunggu alamat aslinya muncul di bagian bawah jendela atau dalam tooltip.
2. Di ponsel, tekan dan tahan link untuk melihat alamatnya. Beberapa ponsel menampilkan pratinjau halaman secara langsung, jadi menyalin link lalu menempelkannya di aplikasi catatan lebih aman.
3. Temukan domain terdaftar: baca nama host dari kanan, sampai garis miring tunggal pertama. Pada https://login.example.com.secure-verify.io/account domainnya adalah secure-verify.io, bukan example.com.
4. Jika Anda perlu mengunjungi layanan itu, ketik sendiri alamatnya atau gunakan bookmark atau aplikasi resminya, bukan link tersebut.

Penganalisis Email Phishing kami memeriksa teks atau header yang Anda tempel untuk mencari link menipu, pengirim palsu, dan tanda peringatan lainnya tanpa perlu Anda membuka apa pun.

Cara membaca header email dengan aman

Setiap email membawa header tersembunyi yang mencatat server mana yang menanganinya dan apakah email itu lolos autentikasi. Melihatnya aman karena Anda hanya membaca teks. Berikut tempat menemukannya:

• Gmail: buka pesan, pilih menu tiga titik, lalu Tampilkan asli.
• Outlook di web dan Outlook baru: buka pesan, pilih menu tiga titik, lalu Tampilan dan Tampilkan detail pesan.
• Outlook klasik untuk Windows: buka pesan, lalu File, Properti, dan lihat di Header Internet.
• Apple Mail: Tampilan, Pesan, Semua Header atau Sumber Mentah.

Baris yang paling berguna biasanya Authentication-Results, yang ditambahkan oleh penyedia email Anda sendiri:

Authentication-Results: mx.example.net;
  spf=pass smtp.mailfrom=bounce.example-shop.com;
  dkim=pass header.d=example-shop.com;
  dmarc=pass header.from=example-shop.com

Pastikan domain di sini cocok dengan merek yang Anda harapkan. Bandingkan juga alamat From, Reply-To, dan Return-Path, lalu baca baris Received dari bawah ke atas untuk melihat dari mana pesan itu bermula. Dengan menempelkan header ke Penganalisis Header Email kami, setiap hop dan hasil autentikasi ditampilkan dalam bentuk yang mudah dibaca.

Yang bisa dan tidak bisa ditunjukkan SPF, DKIM, dan DMARC

Ketiga standar ini memungkinkan server penerima memeriksa apakah suatu pesan benar-benar berasal dari domain yang diklaimnya:

• SPF mendaftar server yang diizinkan mengirim email untuk suatu domain, diperiksa terhadap pengirim amplop (Return-Path).
• DKIM menambahkan tanda tangan kriptografis yang membuktikan bahwa suatu domain bertanggung jawab atas pesan dan bagian yang ditandatangani tidak diubah.
• DMARC mewajibkan SPF atau DKIM lolos untuk domain yang selaras dengan alamat From yang terlihat, serta memberi tahu penerima apa yang harus dilakukan jika tidak: tidak melakukan apa-apa, karantina, atau tolak.

Ketika sebuah merek menerapkan kebijakan DMARC yang ketat, penjahat tidak bisa dengan mudah memasang domain persis itu di baris From. Karena itu phishing sering memakai domain tiruan, trik nama tampilan, atau akun yang diretas. Pesan dari paypa1-billing.com bisa lolos SPF, DKIM, dan DMARC dengan sempurna untuk domainnya sendiri. Hasil lolos membuktikan siapa yang mengirim email, bukan bahwa pengirimnya jujur. Sebaliknya, hasil gagal pada pesan yang mengaku dari merek besar adalah alasan kuat untuk curiga.

Jika Anda mengelola domain, pastikan record Anda sendiri sudah terpasang dengan Cek SPF & DMARC kami, dan baca Penjelasan SPF, DKIM, dan DMARC untuk detail pengaturannya.

Yang harus dilakukan dengan email mencurigakan

1. Jangan mengeklik link, membuka lampiran, memindai kode QR, atau membalas.
2. Verifikasi lewat saluran lain: telepon orangnya di nomor yang sudah Anda miliki, atau masuk ke layanan dengan mengetik alamatnya sendiri.
3. Laporkan. Di tempat kerja, gunakan tombol "Laporkan phishing" atau teruskan sesuai arahan tim IT Anda. Di Gmail dan Outlook, gunakan opsi bawaan Laporkan phishing. Di Inggris Anda bisa meneruskan email mencurigakan ke NCSC di report@phishing.gov.uk; di Amerika Serikat Anda bisa melaporkan penipuan ke FTC di reportfraud.ftc.gov.

Yang harus dilakukan jika Anda sudah mengeklik

Yang penting adalah apa yang terjadi setelah klik. Bertindaklah dengan cepat:

1. Jika Anda memasukkan kata sandi, segera ganti di situs aslinya dengan mengetik alamatnya sendiri, dan di akun lain yang memakai kata sandi sama. Lalu keluar dari semua sesi lainnya, fitur yang ditawarkan sebagian besar layanan besar di pengaturan keamanannya.
2. Aktifkan atau tinjau MFA. Hapus perangkat, kata sandi aplikasi, atau registrasi autentikator yang tidak Anda kenali. Passkey dan kunci keamanan perangkat keras tahan terhadap phishing karena hanya berfungsi di situs web yang asli.
3. Periksa pengaturan kotak surat Anda. Penyerang yang masuk ke akun email sering menambahkan aturan penerusan atau filter yang menyembunyikan balasan. Cari aturan yang tidak Anda buat.
4. Jika Anda membuka lampiran atau menjalankan file, putuskan perangkat dari jaringan dan hubungi tim IT Anda, atau jalankan pemindaian penuh dengan perangkat lunak keamanan terbaru jika itu perangkat pribadi.
5. Jika Anda sudah mengirim uang atau data kartu, segera hubungi bank atau penerbit kartu Anda lewat nomor di kartu atau situs resminya. Kecepatan meningkatkan peluang menghentikan pembayaran.
6. Beri tahu orang yang mungkin menjadi target berikutnya, seperti rekan kerja atau kontak Anda, jika akun Anda dipakai untuk mengirim pesan.

Pertanyaan yang sering diajukan

Apakah bisa diretas hanya dengan membuka email phishing?

Bagi pengguna biasa dengan aplikasi email yang mutakhir, sekadar membuka email jarang cukup untuk membahayakan. Bahayanya datang dari mengeklik link, membuka lampiran, memasukkan data, atau membalas. Memuat gambar jarak jauh bisa mengonfirmasi kepada pengirim bahwa alamat Anda aktif.

Apa bedanya phishing dan spear phishing?

Phishing dikirim ke banyak orang dengan umpan yang generik. Spear phishing menyasar orang atau organisasi tertentu dan memakai nama, jabatan, proyek, atau pemasok yang nyata agar tampak meyakinkan, sehingga lebih sulit dikenali.

Jika email lolos SPF, DKIM, dan DMARC, apakah email itu aman?

Tidak. Hasil lolos hanya menunjukkan bahwa domain pada alamat From mengizinkan pesan itu. Penjahat bisa mendaftarkan domain tiruan sendiri dengan record yang valid, dan akun asli yang diretas pun lolos. Selalu nilai domainnya sendiri dan apa yang diminta pesan itu dari Anda.

Bagaimana cara memeriksa apakah link di email aman?

Arahkan kursor ke link atau salin tanpa membukanya, tentukan domain terdaftarnya dengan membaca dari kanan, lalu bandingkan dengan domain asli organisasi tersebut. Jika ragu, buka situsnya langsung, jangan lewat link itu.

Mengapa email phishing memakai kode QR?

Kode QR menyembunyikan link di dalam gambar yang tidak didekode oleh banyak filter, dan memindahkan Anda ke ponsel yang mungkin tidak punya perlindungan seperti komputer kerja terkelola serta membuat alamat lengkapnya lebih sulit diperiksa.