Email merupakan alat komunikasi pilihan yang paling sering digunakan di dunia kerja dan bisnis saat ini. Sama halnya dengan teknologi digital lainnya, metode komunikasi ini juga memiliki risiko yang besar. Salah satu serangan siber yang menyerang melalui media komunikasi ini adalah Business Email Compromise atau BEC. BEC sendiri merupakan bentuk penipuan yang menggunakan email sebagai sarananya.

Jika dibandingkan dengan serangan malware atau phishing massal, BEC lebih sulit dikenali. Pelaku serangan bisa menyamar menjadi orang-orang penting dan terpercaya untuk meyakinkan dan menjebak korban untuk mengirimkan uang, data, atau akses ke dalam sistem. Oleh karena itu, dampak dan bahaya dari serangan email bisnis ini tidak bisa diremehkan. Penting bagi perusahaan untuk memahami serangan BEC secara mendalam untuk bisa mencegah dan mengatasinya. Artikel ini akan membahas BEC secara detail, mulai dari definisinya, cara kerjanya, apa perbedaannya dengan phishing, apa saja jenis-jenisnya serta cara mencegahnya. Simak jawaban selengkapnya di artikel berikut ini.

Apa itu Business Email Compromise (BEC)?

Business email compromise adalah jenis kejahatan siber di mana pelaku menyamar sebagai pihak internal perusahaan (misalnya CEO, CFO, atau manajer keuangan) atau mitra eksternal seperti vendor atau konsultan hukum. Tujuan utamanya adalah untuk menipu korban agar melakukan tindakan berisiko, seperti mentransfer dana, mengirimkan data sensitif, atau memberikan akses ke sistem.

Jenis serangan email ini tidak sesederhana serangan email yang terlihat mencurigakan, tetapi juga ada aspek manipulasi sosial tingkat tinggi. Umumnya pelaku akan melakukan riset mendalam terkait struktur organisasi, gaya komunikasi pimpinan, serta waktu yang tepat untuk melancarkan serangan. Biasanya serangan ini sering terjadi saat tim sedang sibuk atau lengah, seperti akhir kuartal atau saat liburan.

Business Email Compromise vs Phishing, Apa Perbedaannya?

Meski kedua istilah ini merupakan penipuan dan bisa menggunakan email sebagai medianya, BEC dan phishing memiliki perbedaan dari segi taktik dan dampaknya. Target dari BEC umumnya sangat spesifik, seperti CEO, CFO, atau vendor. Sementara itu, phishing pada umumnya menargetkan semua pengguna atau khalayak umum.

Teknik yang dilakukan dalam BEC adalah impersonasi atau rekayasa sosial, sementara phishing menggunakan email dengan tautan atau lampiran yang berbahaya sebagai tekniknya. Tujuan dari BEC umumnya adalah dana, informasi bisnis, atau akses ke sistem. Phishing umumnya bertujuan untuk mencuri kredensial login atau menyebarkan malware. 

Kerusakan atau dampak yang dapat ditimbulkan dari BEC biasanya bersifat finansial dan reputasional dalam skala yang besar, sementara dampak dari phishing tradisional biasanya terbatas pada kredensial dan perangkat.

Bagaimana Cara Kerja Business Email Compromise?

Serangan BEC bekerja dalam beberapa langkah dan mengikuti pola-pola sebagai berikut:

Riset Target

Sebelum melakukan serangan, pelaku akan mempelajari orang-orang di perusahaan/organisasi yang memiliki otoritas keuangan, vendor yang biasa digunakan, atau siapa yang bisa dipengaruhi. Data ini biasanya didapat dari media sosial, situs perusahaan, atau hasil kebocoran data sebelumnya.

Penyamaran

Penyamaran dapat dilakukan oleh penyerang dengan membajak akun email asli (account compromise) atau membuat domain palsu yang mirip dengan domain email asli (spoofing).

Eksekusi Permintaan

Email yang dikirim akan berisi pesan atau permintaan yang sifatnya mendesak, seperti pembayaran invoice, permintaan gaji dikirim ke akun berbeda, atau permintaan data karyawan untuk ‘auditing‘.

Manipulasi Emosional

Gaya bahasa yang digunakan di email ini akan disesuaikan dengan gaya komunikasi pimpinan yang sedang ditiru, sering juga menyertakan frasa-frasa seperti “sangat rahasia” atau “tolong segera”.

Penghapusan Jejak

Pelaku dapat membuat rule otomatis di inbox untuk menyembunyikan komunikasi tersebut dari tim IT atau korban lainnya.

Apa Saja Jenis-jenis Business Email Compromise?

Terdapat beberapa jenis atau tipe umum dari BEC. Berikut ini adalah jenis-jenis yang sering ditemui:

CEO Fraud (Executive Impersonation)

Pelaku biasanya akan menyamar sebagai eksekutif seperti CEO dan CFO untuk meminta transaksi finansial.

Account Compromise

Seperti yang telah disebutkan sebelumnya, pelaku dapat meretas dan menggunakan email internal perusahaan untuk mengirimkan permintaan penipuan yang tampak sah.

Vendor Email Compromise

Penipuan ini menggunakan identitas palsu dari vendor untuk mengganti informasi pembayaran.

Attorney Impersonation

Jenis BEC ini dilakukan oleh pelaku yang menyamar sebagai pengacara perusahaan. Biasanya pelaku akan menekan korban untuk menyelesaikan sengketa hukum palsu secara cepat dan rahasia.

Payroll Diversion

Penipuan ini dilakukan dengan tujuan untuk mengubah tujuan rekening pembayaran gaji karyawan ke rekening milik penipu.

Gift Card Scam

Gift card scam merupakan permintaan membeli dan mengirimkan kode gift card sebagai bentuk “hadiah” dari manajer atau atasan.

Bagaimana Cara Mencegah BEC?

Untuk bisa mencegah BEC dan memperkuat keamanan email perusahaan diperlukan langkah-langkah yang komprehensif. Berikut ini adalah langkah-langkah yang dapat dilakukan:

Terapkan Multi-Factor Authentication (MFA)

Multi-factor authentication dapat membantu melindungi akun-akun email dari peretasan dengan memberikan lapisan verifikasi tambahan.

Perkuat Kebijakan Internal

Pastikan kebijakan keamanan internal perusahaan mengatur verifikasi semua permintaan transaksi lewat channel kedua seperti telepon. Selain itu, gunakan juga kode otorisasi internal untuk permintaan pembayaran.

Edukasi Karyawan Terkait Keamanan

Berikan edukasi dan pelatihan terhadap karyawan agar bisa mengenali tanda-tanda penipuan seperti permintaan mendadak, alamat email palsu yang hampir mirip dengan yang asli, serta permintaan yang mencurigakan tanpa diskusi sebelumnya.

Aktifkan SPF, DKIM, dan DMARC

SPF, DKIM, dan DMARC merupakan tiga protokol autentikasi email yang saling bekerja sama untuk melindungi keamanan email. Protokol ini berguna untuk mencegah spoofing oleh penyerang.

Lakukan Audit dan Monitoring

Lakukan pemantauan aktivitas akun email untuk mendeteksi login yang tidak biasa, pengaturan redirect mencurigakan, atau volume email keluar yang tidak normal.

Lindungi Keamanan Email Perusahaan dengan Solusi Email Security dari Aplikas Servis Pesona!

Keamanan email kini telah menjadi fondasi utama bagi keberlangsungan bisnis di era digital. Oleh karena itu, serangan business email compromise (BEC) merupakan potensi serangan yang sangat berbahaya dan dapat menyebabkan kerugian besar. Risiko ini dapat dicegah dengan sistem keamanan email yang tepat dan terintegrasi.

Aplikas Servis Pesona, sebagai perusahaan IT security terpercaya dan berpengalaman, dapat menyediakan solusi keamanan email komprehensif untuk bisnis Anda. Solusi email security dari kami menyediakan perlindungan berbasis AI terhadap email fraud, analitik reputasi pengirim dan verifikasi identitas, integrasi dengan threat intelligence, serta perlindungan dari berbagai serangan lain dari satu konsol manajemen terintegrasi.

Lindungi keamanan email bisnis Anda dari serangan BEC dan ancaman siber lainnya dengan solusi dari kami! Untuk informasi selengkapnya, hubungi marketing@phintraco.com sekarang!

Editor: Irnadia Fardila