Perkembangan kecerdasan buatan (AI) tak hanya mengubah cara perusahaan bekerja, tetapi juga cara pelaku melakukan serangan siber. Salah satu ancaman yang ikut berkembang adalah phishing.

Phishing yang sebelumnya identik dengan email berisi tautan atau lampiran mencurigakan kini menjadi lebih personal dan sulit dikenali. Pelaku dapat memanfaatkan AI untuk mencari informasi tentang target, membuat pesan yang meyakinkan, hingga menjalankan serangan melalui berbagai kanal.

Perubahan tersebut dikenal sebagai Phishing 3.0, yaitu era baru serangan phishing yang memanfaatkan AI, deepfake, dan otomatisasi untuk mengeksploitasi kepercayaan korban.

Mengenal Perkembangan Phishing

Phishing terus berkembang mengikuti teknologi dan kebiasaan pengguna. Jika sebelumnya fokusnya adalah menyisipkan konten berbahaya, serangan modern lebih banyak mengeksploitasi identitas dan kepercayaan.

Secara umum, perkembangannya dapat dibagi menjadi tiga tahap, yakni:

• Phishing 1.0: menggunakan tautan berbahaya, malware, lampiran, dan spam.
• Phishing 2.0: mengandalkan rekayasa sosial, impersonasi, penipuan invoice, dan business email compromise.
• Phishing 3.0: menggunakan AI, deepfake, serta serangan lintas kanal seperti email, chat, suara, dan video.

Baca Juga: Bahaya MacSync Stealer, Bisa Curi Data di Perangkat Mac

AI Membuat Serangan Lebih Personal

AI membuat pelaku dapat melakukan reconnaissance atau pengumpulan informasi tentang target dengan jauh lebih cepat. Informasi dari situs perusahaan, media sosial, lowongan pekerjaan, hingga repositori kode dapat digunakan untuk menyusun skenario serangan.

Akibatnya, phishing tidak lagi selalu terlihat seperti pesan massal yang penuh kesalahan. Pesan dapat dibuat dengan bahasa natural dan disesuaikan dengan posisi, aktivitas, atau hubungan kerja korban.

Beberapa perubahan yang perlu diwaspadai adalah:

• Pesan dibuat lebih personal dan relevan.
• Serangan dapat ditujukan ke lebih banyak organisasi.
• Bahasa komunikasi dapat disesuaikan dengan korban.
• AI dapat membantu menjalankan percakapan secara interaktif.
• Informasi dari berbagai sumber publik dapat digabungkan.

Phishing Kini Menyerang di Luar Email

Phishing 3.0 tidak berhenti di inbox. Pelaku dapat berpindah ke aplikasi kolaborasi, telepon, atau video conference. Deepfake bahkan memungkinkan pelaku meniru wajah dan suara seseorang untuk membangun kepercayaan.

Salah satu kasus yang banyak diberitakan terjadi di perusahaan teknik Arup. Serangan bermula dari email yang menyamar sebagai CFO, kemudian dilanjutkan dengan panggilan video menggunakan identitas palsu. Korban akhirnya menyetujui 15 transfer dengan nilai sekitar US$25 juta.

Kasus ini menunjukkan pentingnya verifikasi berlapis, terutama untuk permintaan yang berkaitan dengan dana atau informasi sensitif. Hal yang perlu diperhatikan perusahaan, antara lain:

• Jangan hanya mengandalkan wajah atau suara untuk memverifikasi identitas.
• Terapkan verifikasi tambahan untuk transaksi bernilai besar.
• Jangan membatasi keamanan hanya pada email.
• Latih karyawan untuk mengenali manipulasi berbasis AI.

Baca Juga: Pengguna Windows Wajib Waspada, Ada 3 Celah Keamanan Baru

Mengapa Sistem Keamanan Lama Mulai Kesulitan?

Sistem keamanan tradisional umumnya menggunakan pendekatan block, detect, and respond. Model ini masih penting, tetapi menjadi kurang efektif ketika serangan dapat dibuat dan disebarkan lebih cepat oleh AI.

Studi Crogl dan Ponemon Institute pada 2026 yang dikutip dalam sumber menunjukkan bahwa SOC perusahaan rata-rata menerima sekitar 4.330 alert setiap hari, tetapi hanya 37% yang berhasil diinvestigasi.

Beberapa tantangan utamanya meliputi:

• Jumlah alert melebihi kapasitas tim keamanan.
• Investigasi manual membutuhkan waktu.
• Serangan berbasis identitas sulit dideteksi dari isi pesan.
• Pelaku dapat berpindah kanal setelah email lolos.

Menghadapi AI dengan AI

Ketika pelaku menggunakan AI untuk mempercepat serangan, perusahaan juga perlu memanfaatkan AI untuk memperkuat pertahanan. Teknologi ini dapat membantu menganalisis pola komunikasi, menyelidiki alert, melakukan simulasi serangan, dan menemukan indikasi ancaman dengan lebih cepat.

Penerapannya dapat mencakup:

• Threat reconnaissance untuk menemukan potensi titik serang.
• Automated investigation untuk mempercepat analisis insiden.
• Phishing simulation dengan skenario yang lebih realistis.
• Behavior analysis untuk menemukan aktivitas tidak biasa.
• Alert prioritization agar tim fokus pada ancaman berisiko tinggi.

Perusahaan juga perlu memperluas keamanan dari email ke berbagai kanal komunikasi dan memperkuat verifikasi identitas. Dengan pendekatan tersebut, organisasi tidak hanya bereaksi setelah serangan terjadi, tetapi mulai mengantisipasinya sejak awal.