Business Email Compromise: penipuan transfer lewat email
Tanpa malware dan tanpa tautan mencurigakan, satu email palsu bisa memindahkan dana perusahaan ke rekening penipu.
Email-nya sering tanpa lampiran dan tautan, sehingga lolos dari filter.
Pertahanan utamanya prosedur: konfirmasi lewat saluran kedua dan persetujuan ganda.
Jika dana terlanjur terkirim, hubungi bank dalam hitungan jam.
Business Email Compromise (BEC) adalah penipuan yang menyamar sebagai direksi, vendor, atau rekan kerja untuk meminta transfer dana atau data. Penyerang tidak perlu membobol sistem; cukup membuat satu orang percaya pada satu email.
Pola yang paling sering muncul
- Perubahan rekening vendor. "Mulai bulan ini pembayaran dialihkan ke rekening baru kami." Email datang dari domain yang mirip, atau dari akun email vendor yang sudah diambil alih.
- Perintah atasan. Pesan singkat dari "direktur" yang sedang rapat dan meminta transfer segera serta dirahasiakan.
- Permintaan data. Daftar gaji, data karyawan, atau dokumen pajak diminta atas nama HR atau auditor.
- Pembajakan percakapan. Penyerang masuk ke kotak surat, membaca utas tagihan yang sedang berjalan, lalu membalas di utas yang sama dengan nomor rekening yang sudah diganti.
Mengapa filter email saja tidak cukup
Email BEC biasanya hanya berisi teks. Tidak ada lampiran berbahaya atau tautan yang bisa dipindai. Bila dikirim dari akun asli yang sudah diambil alih, pemeriksaan SPF, DKIM, dan DMARC pun lolos.
Kontrol yang terbukti menahan BEC
- Konfirmasi lewat saluran kedua. Setiap perubahan rekening atau permintaan transfer di luar jadwal dikonfirmasi lewat telepon ke nomor yang sudah tersimpan, bukan nomor yang tertulis di email.
- Persetujuan ganda. Pembayaran di atas nilai tertentu perlu dua orang.
- MFA di semua kotak surat, terutama direksi dan keuangan.
- Periksa aturan penerusan email. Penyerang sering memasang aturan forward tersembunyi agar tetap bisa membaca email setelah kata sandi diganti.
- Penanda email eksternal di baris subjek atau badan email.
- DMARC dengan kebijakan reject agar domain perusahaan tidak bisa dipalsukan.
Jika dana sudah terkirim
Hubungi bank pengirim saat itu juga dan minta penarikan atau pemblokiran dana. Peluang berhasil turun tajam setelah beberapa jam. Simpan email asli beserta header-nya, ganti kata sandi akun yang terlibat, periksa aturan penerusan, lalu buat laporan ke kepolisian.