Email 'Direktur' Mendesak, Akun Bersama, dan Wi-Fi Kafe
Pukul 09.10 seorang operator menerima email dari alamat [email protected] dengan nama tampilan 'BPK SUTRISNO - DIREKTUR'. Subjeknya 'MENDESAK: Transfer Vendor Hari Ini'. Lampiran bernama INVOICE.zip berisi berkas Invoice.pdf.exe; isi email meminta operator mengaktifkan makro dan mengisi formulir login di tautan bit.ly agar invoice dapat dibuka, dengan batas waktu pukul 11.00. Email dari vendor asli sebelumnya selalu memakai domain supplier-resmi.co.id dan menyertakan nomor PO. Di kantor, seluruh staf memakai satu akun email bersama dengan kata sandi 'Kantor2024' yang ditulis pada sticky note di monitor. Operator juga sering mengirim berkas penggajian dari Wi-Fi kafe sebelah karena internet kantor lambat, dan semua PC memakai akun Windows yang sama tanpa kata sandi.
1. Identifikasi indikator phishing pada email tersebut dan jelaskan tindakan yang Anda ambil, termasuk bila tautan bit.ly terlanjur diklik.
Read the worked answer
Indikatornya banyak dan saling menguatkan: domain pengirim supplier-resmi.co berbeda dari domain resmi supplier-resmi.co.id (domain mirip atau typosquatting); nama tampilan memakai jabatan direktur untuk menekan; subjek mendesak dengan batas waktu dua jam; lampiran .zip berisi berkas .exe berkamuflase; permintaan mengaktifkan makro dan mengisi formulir login melalui tautan pendek bit.ly yang menyembunyikan tujuan; serta tidak adanya nomor PO yang biasanya selalu ada.
Tindakan: jangan membuka lampiran, jangan mengklik tautan, jangan mengaktifkan makro. Verifikasi lewat kanal lain, yaitu telepon nomor vendor yang tercatat di daftar kontak internal, bukan nomor yang tertera di email. Periksa header lengkap: Reply-To, jejak Received, dan hasil SPF/DKIM. Laporkan ke TI atau tim keamanan sebagai phishing, lalu hapus atau karantina.
Bila tautan sudah terlanjur diklik dan kredensial sempat diisi: putuskan koneksi, segera ganti kata sandi dari perangkat lain, aktifkan autentikasi dua faktor, periksa aturan penerusan email yang tidak dikenal, dan laporkan. Jangan menunggu hingga ada transfer keluar.
2. Akun email bersama dengan kata sandi 'Kantor2024' yang ditempel di monitor menimbulkan risiko apa saja, dan bagaimana Anda memperbaikinya tanpa mengganggu pekerjaan harian?
Read the worked answer
Satu akun bersama berarti tidak ada jejak siapa mengirim atau menghapus apa; kata sandi yang tertulis di monitor bocor kepada siapa pun yang lewat atau memotret layar; dan satu kebocoran membuka seluruh kotak masuk, termasuk berkas penggajian. Kata sandi seperti 'Kantor2024' juga mudah ditebak karena memakai nama kantor dan tahun.
Perbaikan bertahap: (1) buat akun email per orang, lalu untuk kebutuhan bersama gunakan fitur shared mailbox atau delegation sehingga beberapa orang mengakses kotak yang sama dengan akun masing-masing; (2) aktifkan autentikasi dua faktor; (3) ganti kata sandi segera, cabut sesi aktif, dan periksa aturan penerusan otomatis serta tanda tangan digital yang tidak dikenal, karena penyerang sering memasang auto-forward; (4) hapus sticky note dan gunakan password manager; (5) tetapkan aturan bahwa pengiriman berkas penggajian hanya dari akun perorangan yang tercatat.
Sebelum mengganti kata sandi, periksa Sent Items dan riwayat masuk untuk memastikan belum ada penyalahgunaan. Perubahan ini tidak mengganggu pekerjaan karena pengguna tetap membuka kotak yang sama, hanya dengan identitas masing-masing.
3. Operator mengirim berkas penggajian dari Wi-Fi kafe dan PC memakai akun Windows tanpa kata sandi. Nilai risikonya dan susun mitigasi berlapis yang realistis untuk kantor kecil.
Read the worked answer
Wi-Fi publik tanpa kendali terbuka untuk penyadapan lalu lintas dan jaringan palsu (evil twin), sedangkan berkas penggajian memuat data pribadi dan nominal gaji yang dilindungi. Akun Windows tanpa kata sandi membuat siapa pun dapat membuka PC saat operator meninggalkan meja, termasuk membaca berkas yang sudah diunduh.
Mitigasi berlapis, dari yang paling murah: (1) utamakan tethering dari ponsel dinas atau koneksi kantor, bukan Wi-Fi kafe; (2) bila terpaksa, gunakan VPN kantor dan pastikan alamat situs benar serta memakai HTTPS; (3) kirim melalui tautan berbagi dengan hak akses terbatas, masa berlaku, dan penerima tertentu, bukan lampiran terbuka; (4) jangan menyimpan berkas penggajian di folder sinkronisasi pribadi atau USB tanpa enkripsi; (5) pasang kata sandi akun Windows, aktifkan kunci layar otomatis, dan biasakan mengunci (Win+L) sebelum meninggalkan meja.
Untuk jangka panjang, ajukan kebijakan tertulis: data sensitif hanya diproses di jaringan kantor atau VPN, dan setiap pengiriman keluar dicatat penerima serta tujuannya.