Phishing 3.0: Serangan Siber yang Makin Pintar Menipu

Phishing 3.0 adalah evolusi serangan phishing yang memanfaatkan AI, deepfake, dan otomatisasi untuk meniru identitas orang tepercaya dengan semakin meyakinkan. Bagi bisnis, ancamannya bukan sekadar email palsu, tetapi manipulasi lintas kanal yang menyasar keputusan manusia. Artikel ini membahas cara kerjanya dan strategi untuk menghadapinya.

Apa Itu Phishing 3.0?

Kalau phishing dulu identik dengan email berisi link mencurigakan atau lampiran berbahaya, sekarang situasinya jauh lebih rumit.

Memasuki 2026, perkembangan AI generatif, autonomous agents, dan teknologi deepfake membuat penyerang bisa membangun serangan yang terasa seperti komunikasi bisnis biasa. Bukan hanya tulisan yang dibuat meyakinkan, tetapi juga suara, wajah, gaya komunikasi, hingga alur percakapannya.

Inilah yang kemudian dikenal sebagai Phishing 3.0.

Secara sederhana, phishing 3.0 adalah generasi ketiga serangan phishing yang menggabungkan AI-powered automation, deepfake multimodal, dan hyper-personalization untuk melakukan impersonation attack dalam skala besar.

Baca Juga: Nggak Cuma OpenClaw, 7 Personal AI Agent Ini Wajib Dicoba!

Bayangkan ada seseorang yang mengaku sebagai CEO perusahaan. Emailnya terlihat natural, gaya bahasanya familiar, lalu percakapan berlanjut melalui aplikasi komunikasi internal. Beberapa saat kemudian, muncul panggilan suara dengan suara yang terdengar seperti CEO tersebut.

Masalahnya, semua itu bisa dibuat oleh penyerang.

Teknologi yang sebelumnya membutuhkan keahlian teknis tinggi kini semakin mudah diakses. Deepfake bahkan berkembang menjadi layanan yang dapat digunakan untuk melakukan fraud tanpa penyerang harus membangun seluruh infrastrukturnya sendiri.

Baca Juga: Waspada! Ini Jenis Scam Terbaru 2026 yang Mengincar Kamu

Evolusi Phishing: Dari Link Jahat ke AI

Perubahan phishing bisa dipahami melalui tiga tahap.

Phishing 1.0: bad content.
Fokusnya adalah membuat konten berbahaya seperti malicious link, attachment terinfeksi, atau spam. Sistem keamanan email kemudian dikembangkan untuk mengenali pola dan signature tersebut.

Phishing 2.0: bad intent.
Di tahap ini, serangan tidak selalu membawa malware. Contohnya adalah business email compromise, executive impersonation, fake invoice, hingga wire fraud. Emailnya bisa terlihat normal karena senjatanya bukan malware, melainkan social engineering.

Phishing 3.0: AI di kedua sisi.
AI membantu membuat pesan yang lebih personal, deepfake membawa penipuan ke suara dan video, sedangkan AI agent memungkinkan serangan berjalan lintas kanal dan beradaptasi berdasarkan respons korban.

Perubahan terbesar sebenarnya ada pada ekonominya. Penyerang tidak lagi harus menghabiskan banyak waktu untuk meneliti dan menghubungi setiap target secara manual.

Bagaimana Phishing 3.0 Menyerang Bisnismu?

Phishing 3.0 tidak menyerang semua orang secara acak. Ada posisi tertentu yang memiliki akses dan otoritas lebih besar sehingga menjadi target menarik.

Beberapa di antaranya adalah:

• C-level executive, karena memiliki kewenangan dalam keputusan strategis dan akses terhadap informasi sensitif.
• Finance dan accounting, karena berhubungan langsung dengan pembayaran dan otorisasi transfer.
• IT dan helpdesk, karena dapat melakukan reset kredensial atau perubahan akses sistem.
• HR dan recruitment, terutama karena menangani data payroll, informasi karyawan, dan proses rekrutmen.

Menariknya, teknologi canggih di balik serangan ini tetap memiliki satu sasaran akhir: manusia.

Kill Chain Phishing 3.0

Berdasarkan investigasi incident reports dan advisory FBI, pola serangan Phishing 3.0 umumnya berlangsung melalui beberapa tahap:

1. Reconnaissance: AI mengumpulkan informasi tentang target dan organisasi.
2. Pembuatan identitas sintetis: Penyerang menggunakan voice cloning, deepfake, dan AI generatif untuk meniru identitas tepercaya.
3. Serangan lintas kanal: Komunikasi berpindah dari email ke chat, panggilan suara, atau video conference.
4. Manipulasi psikologis: Urgensi dan otoritas digunakan untuk mendorong korban bertindak tanpa verifikasi.
5. Monetisasi: Serangan berujung pada pencurian dana, kredensial, akses, atau data.

Semakin lama interaksi berlangsung, semakin besar peluang penyerang membangun kepercayaan korban.

Untuk memahami bagaimana serangan ini dapat berjalan begitu meyakinkan, kita perlu melihatnya dari dua sisi: cara penyerang mengoperasikan teknologi AI dan bagaimana korban akhirnya terdorong untuk mengikuti instruksi yang diberikan.

Sisi Penyerang: AI Agent sebagai Operator

Dalam skenario Phishing 3.0, AI dapat digunakan untuk mengotomatisasi beberapa tahapan serangan.

Pertama, reconnaissance otomatis. AI dapat membantu mengumpulkan informasi dari jejak digital yang tersedia secara publik, seperti website perusahaan, profil profesional, media sosial, dokumentasi, hingga struktur organisasi.

Berikutnya, AI generatif dapat membuat pretext yang disesuaikan dengan konteks target. Pesan tidak lagi berbunyi seperti template phishing yang dikirim massal. Isinya bisa menyinggung proyek, jabatan, atau gaya komunikasi tertentu.

Tahap berikutnya adalah rekayasa identitas sintetis. Sampel suara atau video yang tersedia secara publik dapat dimanfaatkan untuk membuat tiruan suara dan wajah.

Terakhir, agent dapat membantu menjalankan dan mengadaptasi kampanye berdasarkan respons target.

Dengan begitu, AI bukan lagi sekadar alat untuk menulis email. AI menjadi mesin yang membuat serangan lebih cepat, personal, dan scalable.

Sisi Korban: Manusia sebagai Sasaran Akhir

Di sisi lain, karyawan sering kali tidak sadar bahwa mereka sedang mengikuti skenario yang sudah dirancang.

Serangan dapat dimulai dari email atau chat yang terlihat rutin, misalnya permintaan approval atau update pekerjaan. Setelah komunikasi terbentuk, penyerang bisa memindahkannya ke voice note atau panggilan video menggunakan deepfake.

Kemudian muncul tekanan psikologis.

“CEO membutuhkan ini sebelum rapat direksi.”

Kalimat seperti itu mungkin terlihat sederhana. Namun, ketika datang dari orang yang tampaknya benar-benar CEO, tekanan waktu dan otoritas bisa membuat seseorang melewati prosedur verifikasi.

Pada akhirnya, korban sendiri yang melakukan tindakan penting: menyetujui transfer, mereset kredensial, atau memberikan akses.

Inilah mengapa social engineering AI menjadi persoalan serius dalam keamanan siber bisnis. Sistem tidak selalu “dibobol” secara teknis. Sering kali, manusia dibuat percaya lalu melakukan tindakan yang sebenarnya diinginkan penyerang.

Kenapa Sistem Keamanan Bisnis Bisa Kewalahan?

Masalahnya, pertahanan tradisional tidak selalu dirancang untuk menghadapi serangan seperti ini.

Dalam brief, data gateway email produksi menunjukkan rata-rata 293 pesan phishing lolos per 100 mailbox setiap 30 hari di Microsoft 365 dan 350 di Google Workspace. Sementara itu, 60% pemimpin keamanan mengaku belum yakin mampu menghadapi serangan deepfake dengan pelatihan yang mereka miliki saat ini.

Tantangannya bukan hanya jumlah serangan, tetapi kecepatannya.

Model deteksi dan respons tradisional dapat tertinggal ketika serangan dibuat personal, berlangsung dalam percakapan, dan berpindah dari satu kanal ke kanal lain.

Di sisi manusia, masalahnya juga bukan semata-mata “karyawan kurang waspada”.

Bayangkan seseorang sedang mengejar deadline, menerima puluhan pesan, lalu mendapat permintaan mendesak dari orang yang diyakini atasannya. Dalam kondisi seperti itu, keputusan yang keliru sangat mungkin terjadi.

Karena itu, pendekatan keamanan yang hanya menyalahkan pengguna tidak cukup.

Dampak phishing 3.0 terhadap Keamanan Bisnis

Dampak pertama tentu adalah kerugian finansial. Satu transaksi palsu yang berhasil bisa bernilai jauh lebih besar dibanding serangan phishing massal biasa.

Namun, uang bukan satu-satunya risiko.

Ketika deepfake dan impersonation semakin meyakinkan, perusahaan juga menghadapi krisis kepercayaan digital. Dalam brief, 88% pemimpin keamanan dilaporkan mengalami setidaknya satu insiden yang merusak kepercayaan terhadap komunikasi digital dalam setahun terakhir.

Ada pula dampak terhadap tim SOC dan IT. Tim keamanan disebut menerima rata-rata 4.330 alert per hari, tetapi hanya sekitar 37% yang mampu diinvestigasi.

Untuk startup dan bisnis yang sedang tumbuh, konsekuensinya bisa lebih berat. Reputasi, kepercayaan investor, hubungan dengan klien, hingga kepatuhan dapat ikut terdampak ketika satu insiden keamanan berkembang menjadi masalah besar.

Strategi Mitigasi Phishing 3.0 untuk Bisnis

Menghadapi phishing AI tidak cukup dengan meminta karyawan “lebih teliti”. Pertahanan perlu dibangun berlapis.

Perkuat Kontrol Preventif

Untuk aktivitas berisiko tinggi, gunakan out-of-band verification. Jangan hanya mengandalkan email atau chat sebagai bukti identitas.

Transaksi finansial juga sebaiknya membutuhkan dual authorization, terutama ketika melibatkan nominal besar atau perubahan rekening tujuan.

Untuk autentikasi, pertimbangkan metode yang lebih tahan phishing seperti FIDO2/WebAuthn dengan hardware key.

Gunakan AI untuk Deteksi

Jika penyerang memanfaatkan AI untuk meningkatkan skala serangan, tim keamanan juga perlu memanfaatkan AI.

Dalam brief, organisasi dengan postur keamanan terkuat disebut memiliki tingkat adopsi AI lebih tinggi dibanding rata-rata industri, yaitu 68% dibanding 46%.

AI dapat membantu mendeteksi anomali secara real-time, termasuk pola komunikasi yang tidak biasa maupun artefak pada suara dan video sintetis.

Bangun Budaya Security yang People-First

Sistem keamanan yang baik bukan hanya sistem yang mampu mendeteksi serangan, tetapi juga membuat karyawan nyaman melaporkan sesuatu yang mencurigakan.

Buat proses pelaporan semudah mungkin. Jangan menghukum karyawan yang melapor hanya karena ternyata pesan tersebut bukan ancaman.

Bahkan, metrik keamanan bisa digeser dari sekadar “siapa yang klik?” menjadi “siapa yang melapor?”

Pelatihan pun sebaiknya tidak berhenti pada modul tahunan tentang “jangan klik link mencurigakan”. Karyawan perlu berlatih menghadapi skenario nyata: panggilan dari “CEO”, perubahan rekening vendor, permintaan reset password, atau instruksi mendesak melalui aplikasi komunikasi.

Tujuannya bukan membuat semua orang menjadi ahli keamanan siber. Tujuannya adalah membangun kebiasaan verifikasi ketika situasi terasa terlalu mendesak untuk dipikirkan dua kali.

Kesimpulan

Phishing 3.0 membuat batas antara serangan siber dan manipulasi manusia semakin tipis. AI, deepfake, dan serangan lintas kanal memungkinkan penipu meniru identitas secara meyakinkan melalui email, chat, panggilan suara, hingga video conference.

Bisnis perlu memperkuat keamanan dengan teknologi deteksi, autentikasi berlapis, verifikasi melalui kanal berbeda, serta prosedur khusus untuk transfer dana, reset akses, dan perubahan data penting. Pelatihan karyawan juga harus mencakup simulasi impersonation, deepfake, dan tekanan psikologis.

Evaluasi kembali sistem keamanan perusahaan dan pastikan jalur pelaporan mudah digunakan. Infrastruktur terkontrol, seperti VPS Murah dari IDwebhost, dapat mendukung kebutuhan operasional yang lebih aman. Pada akhirnya, teknologi, prosedur, dan kesiapan manusia harus berkembang bersama agar bisnis tetap terlindungi.