Serangan phishing kini semakin sulit dikenali karena tidak hanya mengandalkan email palsu untuk mencuri kata sandi. Penjahat siber mulai memanfaatkan browser untuk mengambil alih akun, mencuri data, hingga memperoleh akses ke aplikasi perusahaan.

Laporan Push Security pada 2026 menyoroti bagaimana penyerang memanfaatkan mesin pencari, media sosial, layanan cloud, dan kecerdasan buatan (AI) untuk menyebarkan serangan. Karena aktivitasnya dapat terlihat normal, sejumlah serangan berpotensi melewati sistem keamanan tradisional.

Baca Juga: Risiko yang Sebenarnya Mengancam di Balik Kebocoran Data

Mengenal Modus Phishing yang Mengincar Browser

Phishing modern tidak selalu bertujuan mencuri kata sandi. Penyerang juga menargetkan token sesi, memanipulasi proses autentikasi, atau menipu pengguna agar memberikan izin kepada aplikasi berbahaya.

Beberapa modus yang perlu diwaspadai meliputi:

• Halaman login palsu: Meniru situs resmi untuk mencuri kredensial pengguna.
• Session hijacking: Mencuri token sesi yang masih berlaku untuk mengambil alih akun.
• Device code phishing: Menipu korban agar memasukkan kode autentikasi yang memberikan akses kepada perangkat penyerang.
• Consent phishing: Mengelabui pengguna agar memberikan izin aplikasi untuk mengakses data perusahaan.
• ClickFix: Meminta pengguna menyalin dan menjalankan perintah berbahaya dengan dalih verifikasi atau perbaikan sistem.

Phishing Tidak Hanya Berasal dari Email

Penyerang kini memanfaatkan berbagai saluran untuk mengarahkan korban ke halaman berbahaya. Tautan dapat disamarkan sebagai iklan, tawaran pekerjaan, undangan dokumen, atau pesan dari pihak tepercaya.

Menurut laporan Push Security, satu dari dua payload yang dicegat Push dikirim melalui saluran yang tidak dipantau, seperti mesin pencari dan media sosial. Selain itu, empat dari lima halaman ClickFix yang dicegat diakses melalui mesin pencari.

Saluran yang perlu diwaspadai, antara lain:

• Mesin pencari dan iklan digital.
• Pesan langsung di media sosial.
• Aplikasi komunikasi kerja.
• Dokumen dan undangan digital.
• SMS serta panggilan telepon.

Karena itu, tautan dari platform tepercaya sekalipun tetap perlu diperiksa sebelum dibuka.

Baca Juga: Data Pribadi Terlanjur Bocor, Apa yang Harus Dilakukan?

AI Membuat Serangan Semakin Berkembang

AI membantu penyerang membuat pesan phishing yang lebih meyakinkan dan mengembangkan perangkat serangan dengan lebih cepat. Pesan palsu kini dapat menggunakan bahasa profesional sehingga lebih sulit dikenali hanya dari tata bahasanya.

Push Security melaporkan bahwa 90% phishing kit yang dianalisis pada 2026 menunjukkan indikasi penggunaan elemen yang dihasilkan AI. Angka tersebut merujuk pada sampel yang dianalisis Push, bukan seluruh serangan phishing di dunia.

Penggunaan AI dapat meningkatkan risiko melalui:

• Pembuatan pesan yang menyerupai komunikasi resmi.
• Pengembangan perangkat phishing secara lebih cepat.
• Penyesuaian pesan berdasarkan konteks pekerjaan korban.
• Percepatan adopsi teknik serangan baru.

Cara Mencegah Serangan Phishing Berbasis Browser

Pencegahan phishing membutuhkan kombinasi kewaspadaan pengguna dan teknologi keamanan. Organisasi tidak cukup hanya mengandalkan filter email atau antivirus karena serangan dapat bermula dari berbagai saluran.

Berikut langkah yang dapat diterapkan:

• Periksa alamat situs. Pastikan domain sesuai dengan situs resmi sebelum memasukkan kredensial.
• Aktifkan MFA. Gunakan autentikasi multifaktor dan, jika tersedia, metode tahan phishing seperti passkey berbasis FIDO2.
• Hindari perintah mencurigakan. Jangan menyalin kode atau menjalankan perintah dari halaman yang tidak tepercaya.
• Batasi izin aplikasi. Periksa akses yang diminta aplikasi dan ekstensi browser sebelum menyetujuinya.
• Gunakan perlindungan browser. Pertimbangkan solusi yang dapat mendeteksi halaman berbahaya dan aktivitas mencurigakan.
• Latih karyawan. Ajarkan cara mengenali tautan mencurigakan, memverifikasi permintaan autentikasi, dan melaporkan insiden.