Contoh rekayasa sosial: 15 serangan dan cara menghentikannya

Rekayasa sosial, menurut Badan Keamanan Siber dan Infrastruktur AS (CISA), adalah serangan di mana "Penyerang menggunakan interaksi manusia (keterampilan sosial) untuk memperoleh atau membocorkan informasi tentang suatu organisasi atau sistem komputernya"Ini berhasil karena menargetkan orang, bukan perangkat lunak. Laporan Investigasi Pelanggaran Data Verizon tahun 2026 menemukan bahwa Unsur manusia hadir dalam 62% pelanggaran., naik dari 60% pada tahun sebelumnya.

Berikut 15 contoh rekayasa sosial dalam 3 set yang masing-masing berisi 5 contoh. Setiap contoh dilengkapi dengan tanda bahaya yang perlu diperhatikan dan tindakan pencegahan yang harus dilakukan. Set 1 mencakup keluarga phishing, set 2 mencakup penipuan identitas dan penyamaran, dan set 3 mencakup serangan fisik dan umpan. Setiap set diakhiri dengan sebuah Pilihan kami, contoh yang akan kita latih pertama kali, dengan alasan satu baris.

Semua contoh perusahaan, orang, dan pesan di bawah ini adalah fiktif.

Set 1: Keluarga phishing

1. Phishing melalui email. Sebuah pesan yang tampak seperti berasal dari bank, pemasok, atau tim TI Anda sendiri meminta Anda untuk mengklik tautan dan masuk. CISA mengatakan serangan phishing menggunakan email atau situs web berbahaya untuk meminta informasi pribadi dengan menyamar sebagai organisasi yang dapat dipercaya.. Bendera merah: Alamat pengirim yang meniru bisnis sungguhan, sapaan umum seperti "Kepada Pelanggan Terhormat", atau tautan yang alamatnya tidak sesuai dengan teks saat Anda mengarahkan kursor ke atasnya. Berhenti: Jangan diklik. Kunjungi situs tersebut dengan mengetikkan alamatnya sendiri, atau laporkan pesan tersebut.
2. Serangan spear phishing. Trik yang sama, ditujukan kepada satu orang. Pengirim menggunakan nama Anda, nama manajer Anda, dan proyek yang benar-benar Anda kerjakan, yang dapat dikumpulkan dari informasi publik. Bendera merah: Permintaan yang sangat spesifik namun tidak sesuai dengan karakternya, seperti "kirimkan kontrak Atlas kepada saya hari ini". Berhenti: tanyakan kepada pengirim melalui saluran lain, seperti panggilan ke nomor yang sudah Anda miliki.
3. Memukul. Phishing melalui pesan teks. CISA menjelaskannya. tersenyum sebagai rekayasa sosial yang mengeksploitasi pesan SMS, dengan tautan, angka, atau alamat yang membuka peramban atau melakukan panggilan saat disentuh. Bendera merah: Pesan teks "paket ditahan" atau "akun terkunci" dengan tautan pendek. Berhenti: Hapus saja dan buka aplikasi atau situs aslinya sendiri.
4. mencari. Phishing melalui suara. CISA mengatakan demikian. mencari menggunakan panggilan suara dan ID penelepon dapat dipalsukan, jadi panggilan yang menampilkan nama yang dikenal tidak membuktikan apa pun. Bendera merah: Penelepon yang memberikan tekanan dan meminta kode atau kata sandi. Berhenti: Tutup telepon dan hubungi kembali nomor yang tertera pada pernyataan tagihan atau situs web perusahaan.
5. Penipuan kode QR. Kode QR menyembunyikan alamat yang dituju. FBI telah memperingatkan tentang hal ini. paket yang tidak diminta berisi kode QR yang meminta penerima untuk memberikan informasi pribadi dan keuangan atau menginstal perangkat lunak pencuri data. Bendera merah: Kode yang tidak Anda duga, tanpa informasi pengirim. Berhenti: Jangan memindai kode QR dari sumber yang tidak dikenal.

Pilihan kami: contoh 4, vishing. Verizon menemukan bahwa dalam simulasi phishing, tingkat klik rata-rata pada Vektor yang berfokus pada perangkat seluler seperti pesan suara dan teks mengalami peningkatan sebesar 40%. daripada melalui email. Orang-orang belajar untuk tidak mempercayai email lebih cepat daripada mereka belajar untuk tidak mempercayai panggilan telepon.

Set 2: Penyamaran dan Peniruan Identitas

Verizon mendefinisikan pretexting sebagai taktik penyerang di mana Hubungan yang saling percaya dibangun melalui skenario yang dibuat-buat. untuk mengelabui pengguna agar melakukan tindakan yang membahayakan organisasi, seringkali melalui suara tetapi juga melalui email atau teks. Serangan ini mencapai 6% dari semua pelanggaran dalam laporan tahun 2026, dibandingkan dengan 16% untuk phishing.

6. Penipuan CEO dan peretasan email bisnis. Pusat Pengaduan Kejahatan Internet (IC3) FBI mendefinisikan kompromi email bisnis (BEC) Sebagai penipuan yang menargetkan bisnis dan beroperasi melalui akun email yang diretas dan komunikasi lainnya untuk menyebabkan transfer dana tanpa izin. Pada tahun 2025, IC3 mencatat 24,768 pengaduan BEC dan sekitar $3.05 miliar kerugian yang dilaporkan. Bendera merah: Permintaan mendesak dari seorang pemimpin senior untuk membayar atau membeli kartu hadiah, dengan kalimat "jangan beri tahu siapa pun". Berhenti: Konfirmasikan setiap permintaan pembayaran melalui telepon atau secara langsung.
7. Dukungan TI palsu. Seseorang mengaku dari bagian help desk dan membutuhkan kata sandi atau akses jarak jauh Anda "untuk memperbaiki masalah". IC3 diterima 47,794 keluhan dukungan teknis pada tahun 2025dengan kerugian yang dilaporkan melebihi 2.1 miliar dolar AS. Bendera merah: Tim IT akan menghubungi Anda terlebih dahulu dan meminta kata sandi atau kode sekali pakai. Berhenti: Tim IT yang sebenarnya tidak memerlukan kata sandi Anda. Tutup telepon dan buat tiket melalui jalur biasa.
8. Perubahan faktur vendor. Sebuah email, yang tampaknya berasal dari pemasok tetap, menyatakan bahwa detail rekening bank mereka telah berubah. Definisi BEC IC3 mencakup penipuan yang menargetkan bisnis yang bekerja sama dengan pemasok dan secara rutin melakukan transfer kawat. Bendera merah: Rincian rekening bank baru beserta batas waktu pembayaran. Berhenti: Hubungi pemasok melalui nomor yang sudah terdaftar sebelum Anda mengubah apa pun.
9. Perekrut palsu. Seorang "perekrut" mendekati seorang anggota staf dengan tawaran posisi yang tampak seperti promosi, kemudian meminta dokumen pribadi, atau tugas uji yang memerlukan pengunduhan. IC3 menerima 24,688 pengaduan penipuan pekerjaan pada tahun 2025. Bendera merah: Penawaran yang tidak Anda lamar, dengan proses yang cepat. Berhenti: Periksa profil perekrut melalui halaman karier perusahaan itu sendiri, dan jangan pernah menginstal perangkat lunak untuk keperluan wawancara.
10. Suara deepfake. Sebuah suara tiruan yang terdengar seperti sutradara Anda meminta pembayaran mendesak. IC3 berkata Pengkloningan suara dapat digunakan untuk meminta pembayaran melalui transfer bank. dan bahwa bisnis melaporkan kerugian lebih dari $30 juta pada tahun 2025 akibat penipuan BEC yang melibatkan AI. Bendera merah: pesan suara atau panggilan yang mendesak Anda untuk bertindak sebelum Anda sempat memeriksa. Berhenti: Sepakati kata sandi atau aturan panggilan balik untuk pembayaran, jadi suara yang meyakinkan saja tidak cukup.

Pilihan kami: contoh 6, penipuan CEO dan BEC. Ini adalah contoh yang paling mahal di sini, bahkan melampaui penipuan dukungan teknis dalam angka IC3 tahun 2025, dan tindakan penghentiannya murah: satu panggilan telepon ke nomor yang dikenal sebelum uang apa pun berpindah.

Set 3: Serangan fisik dan umpan

Serangan-serangan ini tidak memerlukan keyboard. Serangan ini penting karena orang asing di dalam gedung dapat mengakses apa yang dilindungi oleh firewall.

11. Menguntit dari belakang. Seseorang mengikuti Anda melewati pintu yang terkunci "karena tangannya sedang penuh". Bendera merah: seseorang tanpa lencana yang santai dan ramah. Berhenti: Mintalah mereka dengan sopan untuk melakukan absensi sendiri, atau antarkan mereka ke resepsionis.
12. Memancing dengan menggunakan USB drive. Sebuah USB flash drive bertuliskan "Tinjauan Gaji 2027" ditinggalkan di tempat parkir atau lobi. Bendera merah: drive eksternal apa pun yang tidak Anda beli. Berhenti: Jangan pernah mencolokkan perangkat yang ditemukan. Serahkan ke bagian IT, yang dapat memeriksanya dengan aman.
13. Mengintip dari belakang. Seseorang membaca layar Anda atau mengamati Anda mengetik PIN di kereta atau di meja kerja bersama. Bendera merah: seseorang yang berdiri terlalu dekat atau mengarahkan ponsel ke layar Anda. Berhenti: Gunakan filter privasi, kunci layar Anda saat Anda menjauh, dan duduklah dengan membelakangi dinding.
14. Mengorek sampah. Email yang dicetak, bagan organisasi, dan catatan rapat yang dibuang ke tempat sampah biasa memberikan penyerang nama, nomor telepon, dan judul proyek untuk panggilan berikutnya. Bendera merah: kertas berisi nama atau nomor di tempat sampah terbuka. Berhenti: Gunakan mesin penghancur kertas atau tempat sampah terkunci, dan biasakan menjaga meja kerja tetap rapi.
15. Pengiriman palsu. Seorang kurir dengan jaket bermerek meminta untuk diizinkan masuk melewati resepsionis, atau meninggalkan paket di ruang server. Bendera merah: Pengiriman yang tidak dipesan siapa pun, atau pengiriman yang tidak dapat sampai ke resepsionis. Berhenti: Ambil di meja depan, dan periksa paket yang tidak terduga dengan orang yang namanya tertera di label.

Pilihan kami: contoh 11, parkir berdekatan sebelum pertandingan dimulai. Hal ini tidak membutuhkan keahlian dan tidak memerlukan biaya, dan sopan santunlah yang membuatnya berhasil. Berikan staf panduan yang sopan, sehingga menantang seseorang terasa normal dan bukan tidak sopan.

Cara menghentikan ke-15

Kelima belas contoh tersebut memiliki satu kesamaan: mereka mendorong Anda untuk bertindak cepat dan bertindak sendiri. Tiga kebiasaan berikut mematahkan hal itu.

1. Verifikasi melalui saluran kedua. Jika permintaan tersebut melibatkan uang, kata sandi, kode, atau akses, konfirmasikan melalui jalur lain, menggunakan detail kontak yang sudah Anda miliki. CISA menyarankan bahwa jika Anda tidak yakin apakah permintaan tersebut asli, verifikasi dengan menghubungi perusahaan secara langsung., dan bukan dengan informasi kontak yang diberikan dalam pesan.
2. Laporkan. Saran CISA untuk dugaan phishing adalah Laporkan pesan tersebut lalu hapus. Jadikan pelaporan sebagai kebiasaan sekali klik tanpa menyalahkan, sehingga orang pertama yang melihat sesuatu akan memperingatkan orang lain.
3. Pelan sedikit. Daftar CISA bahasa yang mendesak atau menarik secara emosional Di antara tanda-tanda umum phishing. CISA juga mencatat bahwa tata bahasa yang sempurna bukan lagi bukti keamanan, karena beberapa email sekarang memiliki ejaan yang sempurna berkat AI. Ketika sebuah pesan menuntut kecepatan, itu adalah sinyal untuk berhenti sejenak.

Pelatihan adalah cara agar kebiasaan tetap melekat. Dengan unsur manusia yang hadir dalam 62% pelanggaran, menurut Laporan Verizon tahun 2026Tim yang telah berlatih mengenali 15 contoh ini merupakan bagian penting dari pertahanan Anda. Untuk program yang lebih lengkap, lihat panduan kami tentang... pelatihan kesadaran keamanan siber.

Cara menyelenggarakan sesi rekayasa sosial dengan AhaSlides

Jalankan 15 contoh tersebut secara langsung, di dalam ruangan atau melalui panggilan video, dengan jawaban yang ditampilkan di layar saat orang-orang merespons.

1. Pilih Jawaban: "Asli atau palsu?" Tampilkan pesan fiktif untuk setiap contoh dan tanyakan apakah pesan tersebut asli. Ungkapkan tanda bahaya dan diskusikan.
2. Awan Kata: "Penipuan yang paling sering Anda alami". Kata terbesar menunjukkan apa yang harus dipraktikkan terlebih dahulu.
3. Skala Penilaian: "Seberapa yakin Anda dapat mengenali barang palsu?" Mintalah penilaian dari 1 hingga 5 sebelum dan sesudah sesi, lalu bandingkan nilai rata-ratanya.
4. Kalimat Terbuka: "Sebuah pesan mencurigakan yang saya terima". Kumpulkan contoh nyata, tanpa menyebutkan nama, dan gunakan contoh terbaik sebagai skenario untuk putaran berikutnya.

Templat kursus Phishing & rekayasa sosial memberi Anda slide siap pakai untuk diadaptasi, dan templat kesadaran ancaman orang dalam merupakan tindak lanjut yang baik untuk seluruh tim.

Pertanyaan yang sering diajukan

Apa saja contoh rekayasa sosial?

Phishing, pretexting, baiting, dan tailgating adalah yang utama. Postingan ini mencantumkan 15 di antaranya, mulai dari phishing email dan vishing hingga dukungan IT palsu, umpan USB, dan pengiriman palsu.

Apa jenis rekayasa sosial yang paling umum?

Phishing. Laporan Verizon tahun 2026 menyebutkan phishing menyumbang 16% dari semua pelanggaran keamanan, dibandingkan dengan 6% untuk penipuan identitas (pretexting), dan IC3 menerima 191,561 pengaduan phishing dan spoofing pada tahun 2025.

Bagaimana cara mencegah rekayasa sosial?

Verifikasi permintaan melalui saluran kedua dan laporkan permintaan yang mencurigakan. Tambahkan pelatihan singkat dan rutin, karena serangan berubah lebih cepat daripada kursus sekali waktu.

Apa itu pretexting?

Sebuah cerita fiktif yang digunakan untuk mendapatkan informasi atau akses. Penyerang membangun kepercayaan melalui skenario yang meyakinkan, seperti panggilan ke layanan pelanggan, kemudian meminta kata sandi, pembayaran, atau agar pintu ditahan agar tetap terbuka.

Mulai dari mana

Pilih satu set contoh dan bahaslah dalam rapat tim Anda berikutnya. Jika Anda hanya punya waktu untuk satu contoh, gunakan vishing, lalu tanyakan kepada semua orang apa yang akan mereka lakukan jika mendapat panggilan tak terduga berikutnya.