Business email compromise: bagaimana perusahaan Indonesia kehilangan miliaran lewat satu email

Sebagian besar anggaran keamanan dipakai untuk menghentikan malware. Business email compromise mengabaikan itu semua. Tidak ada virus untuk ditangkap dan tidak ada celah untuk ditambal, hanya email meyakinkan yang meminta karyawan sungguhan melakukan hal yang memang boleh ia lakukan: membayar tagihan, mengubah rekening, melepas transfer. Saat ada yang menyadarinya, uang sudah lenyap. Polri pernah mengungkap kasus BEC yang merugikan dua perusahaan hingga puluhan miliar rupiah, dan polanya menjangkau perusahaan dari segala ukuran.

Bagaimana serangan ini sebenarnya berjalan

BEC berjalan lambat dan terencana, justru itulah yang membuatnya berhasil. Penyerang mempelajari perusahaan Anda sebelum mengirim satu pun email yang membidik momen uang bergerak.

1. 01

   Pengintaian

   Penyerang membaca LinkedIn, situs web, dan media sosial Anda untuk mengetahui siapa yang menyetujui pembayaran, vendor mana yang aktif, dan kapan tagihan rutin jatuh tempo. Tahap ini sering berjalan dua sampai empat minggu.

2. 02

   Akses atau penyamaran

   Mereka membobol mailbox asli lewat phishing, atau mendaftarkan domain tiruan yang berbeda satu karakter dari milik Anda. Keduanya membuat pesan tampak datang dari dalam atau dari mitra yang dikenal.

3. 03

   Permintaan yang meyakinkan

   Berpura-pura menjadi CEO, CFO, atau vendor tepercaya, mereka mengirim sedikit email dengan waktu yang pas. Nadanya mendesak dan rahasia, dan permintaannya cocok dengan aktivitas bisnis normal sehingga tidak memicu kecurigaan.

4. 04

   Transfer

   Staf keuangan membayar tagihan atau mengubah rekening vendor. Dana mengalir ke rekening penampung dan cepat berpindah, itulah sebabnya pemulihan bergantung pada tindakan dalam hitungan jam.

Mengapa kontrol teknis hanya separuh jawaban

Anda tidak bisa menyaring jalan keluar dari BEC, karena email bersih yang membawa instruksi palsu tetaplah email bersih. Pertahanan harus menutup celah infrastruktur dan celah manusia sekaligus.

Tanda yang harus dianggap rambu berhenti oleh tim keuangan

Pesan BEC punya bentuk yang bisa dikenali. Orang-orang yang menggerakkan uang perlu hafal di luar kepala, karena merekalah garis pertahanan terakhir.

Saat pencegahan gagal: respons dalam hitungan jam, bukan hari

Kalau pembayaran sudah terlanjur keluar, jam-jam pertama menentukan seberapa banyak yang kembali. Hubungi bank untuk mencoba penarikan dana, laporkan ke polisi, simpan email asli beserta header-nya, dan periksa apakah ada mailbox internal yang dibobol agar Anda bisa mereset kredensial sebelum percobaan kedua. Proses respons insiden yang terlatih mengubah kepanikan menjadi rangkaian langkah yang melindungi bukti dan memperbaiki peluang pemulihan.

BEC adalah persoalan manusia yang menyamar sebagai persoalan teknis, jadi Alpha Code menanganinya di kedua sisi. Program manajemen risiko SDM kami melatih staf yang menggerakkan uang untuk mengenali dan memverifikasi permintaan, dan tim respons insiden kami siap untuk jam-jam genting saat transfer sudah terlanjur keluar.