— Kaspersky mengungkap adanya serangan phishing bertarget yang menyamar sebagai email resmi dari departemen sumber daya manusia (HRD). Dalam serangan ini, penjahat siber mengirimkan email berisi dokumen yang tampak seperti pembaruan kebijakan kantor, lengkap dengan nama karyawan dan elemen visual yang meyakinkan seperti ikon “verified sender” palsu.
Isi email sendiri sepenuhnya berbentuk gambar, bukan teks asli, yang dimaksudkan untuk mengecoh filter keamanan email. Lampiran dalam email tersebut diberi nama “Buku Pegangan Karyawan” dan berisi kode QR yang bila dipindai, akan mengarahkan korban ke situs palsu untuk memasukkan kredensial perusahaan mereka.
Serangan ini menunjukkan lonjakan baru dalam metode phishing, dengan teknik personalisasi yang mendalam dan strategi menghindari sistem deteksi tradisional.
Baca Juga: Modus Baru Bernama Spyware yang Berkedok Firma Hukum, Bidik Email Bisnis
Penipuan yang Dirancang Khusus untuk Tiap Karyawan
Berbeda dengan serangan phishing massal yang biasanya generik, kampanye kali ini tampak jauh lebih spesifik. Kaspersky menduga para pelaku terlebih dahulu mengumpulkan nama-nama karyawan dari sumber terbuka atau data yang bocor, lalu menyusun email yang tampak personal dan relevan.
“Ini bukan phishing sembarangan,” ujar Roman Dedenok, pakar anti-spam di Kaspersky. “Setiap email dan lampirannya disesuaikan untuk penerima tertentu. Bahkan ada kemungkinan digunakan sistem otomatisasi canggih untuk menghasilkan dokumen berbeda untuk tiap orang. Ini membuat serangan lebih sulit dideteksi dan jauh lebih meyakinkan.”
Konten email juga menyertakan informasi yang seolah berasal dari HRD, seperti pembaruan protokol kerja jarak jauh atau informasi tunjangan karyawan. Penggunaan gambar sebagai isi email juga membuat filter keamanan berbasis teks tak berfungsi maksimal.
Kaspersky mengingatkan bahwa ketika korban memindai QR code dalam dokumen dan diarahkan ke situs palsu, kredensial perusahaan yang dimasukkan bisa langsung dicuri dan digunakan untuk aksi lanjutan, seperti pencurian data internal hingga penyebaran malware.
Perlindungan dan Edukasi Jadi Kunci
Merespons temuan ini, Kaspersky mendorong organisasi untuk memperketat perlindungan sistem email dan meningkatkan edukasi keamanan siber kepada karyawan. Penggunaan solusi keamanan khusus di tingkat server email dianggap penting untuk mendeteksi dan memblokir upaya phishing sebelum masuk ke kotak masuk pengguna.
Selain itu, perusahaan juga diminta memastikan semua perangkat, termasuk ponsel pribadi karyawan yang digunakan untuk bekerja, sudah dilengkapi perlindungan keamanan yang kuat.
“Karyawan adalah garda terdepan dalam pertahanan siber,” lanjut Dedenok. “Edukasi soal tanda-tanda phishing seperti email dengan isi berupa gambar, dokumen dengan judul mencurigakan, atau permintaan yang tidak biasa dari HRD sangatlah penting.”
Kaspersky juga menyarankan agar karyawan selalu memverifikasi permintaan-permintaan sensitif secara langsung ke HRD, bukan hanya berdasarkan isi email. Meskipun kampanye ini menunjukkan betapa canggihnya teknik penipuan siber saat ini, keberhasilannya tetap sangat bergantung pada kelengahan pengguna. Artinya, perusahaan masih punya peluang untuk mencegah kerusakan lebih jauh dengan strategi keamanan yang tepat.
Kehadiran teknologi seperti deteksi gambar dalam email, analisis perilaku pengguna, serta prosedur verifikasi ganda bisa jadi solusi jangka panjang. Namun, seperti biasa, faktor manusia tetap menjadi titik rawan yang paling sering dimanfaatkan oleh pelaku.
