Mengenal Business Email Compromise (BEC): Cara Kerja, Dampak, dan Cara Mencegahnya

Di era digital, email menjadi salah satu media komunikasi utama dalam dunia bisnis. Berbagai aktivitas penting seperti pengiriman dokumen, persetujuan transaksi, pembayaran kepada vendor, hingga komunikasi dengan pelanggan dilakukan melalui email. Namun, di balik kemudahan tersebut, terdapat ancaman keamanan siber yang semakin berkembang, salah satunya adalah Business Email Compromise (BEC).

Business Email Compromise (BEC) merupakan salah satu bentuk serangan social engineering yang menargetkan perusahaan dengan memanfaatkan email sebagai media utama. Berbeda dengan phishing yang biasanya dikirim secara massal, serangan BEC dirancang secara spesifik untuk menipu individu tertentu di dalam organisasi, seperti direktur, manajer keuangan, staf HR, atau karyawan yang memiliki wewenang dalam melakukan transaksi keuangan.

Serangan ini sering kali tidak menggunakan malware maupun tautan berbahaya. Sebaliknya, pelaku memanfaatkan manipulasi psikologis, penyamaran identitas, dan rekayasa sosial agar korban secara sukarela melakukan tindakan yang diinginkan, seperti mentransfer dana, mengirimkan data sensitif, atau memberikan akses ke informasi perusahaan. Karena tampak seperti komunikasi bisnis yang sah, Business Email Compromise menjadi salah satu ancaman siber yang paling sulit dideteksi dan telah menyebabkan kerugian finansial bernilai miliaran dolar di berbagai negara.

Mengenal Apa Itu Business Email Compromise (BEC)

Business Email Compromise (BEC) adalah jenis penipuan siber yang dilakukan dengan menyamar sebagai pihak tepercaya melalui email untuk memperoleh keuntungan finansial atau mencuri informasi penting perusahaan. Pelaku biasanya menyamar sebagai eksekutif perusahaan, vendor, mitra bisnis, pelanggan, maupun instansi resmi agar korban mempercayai isi email yang dikirimkan.

Dalam banyak kasus, penyerang terlebih dahulu mengumpulkan informasi mengenai struktur organisasi, hubungan antarpegawai, jadwal transaksi, hingga gaya komunikasi target. Informasi tersebut digunakan untuk membuat email yang terlihat sangat meyakinkan sehingga sulit dibedakan dari email asli. Karena memanfaatkan kepercayaan dan kebiasaan komunikasi di lingkungan kerja, serangan BEC memiliki tingkat keberhasilan yang cukup tinggi dibandingkan metode serangan email lainnya.

Business Email Compromise tidak hanya menyasar perusahaan besar. Usaha kecil dan menengah (UKM), organisasi nirlaba, institusi pendidikan, hingga lembaga pemerintahan juga berpotensi menjadi korban apabila belum menerapkan kebijakan keamanan email yang memadai.

Cara Kerja Business Email Compromise (BEC)

Business Email Compromise dilakukan melalui beberapa tahapan yang dirancang untuk memperoleh kepercayaan korban sebelum akhirnya melakukan penipuan. Berikut alur kerja serangan BEC secara umum.

1. Mengumpulkan Informasi Target

Tahap pertama dimulai dengan melakukan riset terhadap perusahaan yang menjadi sasaran. Penyerang mencari informasi melalui website resmi, media sosial, siaran pers, hingga platform profesional seperti LinkedIn. Dari proses ini, pelaku dapat mengetahui struktur organisasi, nama pejabat perusahaan, alamat email, mitra bisnis, serta pola komunikasi yang biasa digunakan.

2. Menyamar sebagai Pihak Tepercaya

Setelah memperoleh informasi yang cukup, pelaku mulai menyamar sebagai seseorang yang memiliki hubungan dengan korban. Penyamaran dapat dilakukan menggunakan teknik email spoofing, membuat domain yang sangat mirip dengan domain perusahaan, atau bahkan mengambil alih akun email yang telah diretas sebelumnya. Karena alamat pengirim tampak meyakinkan, korban sering kali tidak menyadari adanya upaya penipuan.

3. Membangun Kepercayaan Korban

Sebelum meminta sesuatu yang bernilai, pelaku biasanya membangun komunikasi terlebih dahulu agar email terlihat alami. Dalam beberapa kasus, penyerang mengirim beberapa email percakapan sebelum akhirnya meminta korban melakukan transfer dana, mengirim dokumen penting, atau memperbarui informasi rekening pembayaran.

4. Melakukan Penipuan

Setelah korban percaya, pelaku akan mengirimkan permintaan yang tampak mendesak. Misalnya meminta pembayaran segera kepada vendor, mengubah nomor rekening tujuan, mengirimkan data penggajian karyawan, atau membagikan dokumen rahasia perusahaan. Jika korban mengikuti instruksi tersebut tanpa melakukan verifikasi, serangan BEC dinyatakan berhasil.

Jenis-Jenis Business Email Compromise (BEC)

Business Email Compromise memiliki beberapa variasi serangan yang disesuaikan dengan target dan tujuan pelaku.

1. CEO Fraud

CEO Fraud merupakan bentuk BEC yang paling dikenal. Penyerang menyamar sebagai direktur utama atau eksekutif perusahaan dan meminta staf keuangan melakukan transfer dana secara mendesak. Karena permintaan terlihat berasal dari pimpinan perusahaan, korban sering kali tidak melakukan konfirmasi lebih lanjut.

2. Vendor Email Compromise

Pada jenis ini, pelaku menyamar sebagai vendor atau pemasok yang biasa bekerja sama dengan perusahaan. Email biasanya berisi pemberitahuan perubahan nomor rekening pembayaran sehingga dana yang seharusnya dikirim ke vendor resmi justru masuk ke rekening milik penyerang.

3. Account Compromise

Dalam serangan ini, pelaku berhasil mengambil alih akun email milik salah satu karyawan. Dengan menggunakan akun asli, penyerang dapat mengirimkan email kepada rekan kerja maupun pelanggan tanpa menimbulkan kecurigaan.

4. Attorney Impersonation

Pelaku menyamar sebagai pengacara atau konsultan hukum perusahaan dan meminta pengiriman dokumen rahasia atau pembayaran tertentu dengan alasan adanya proses hukum yang bersifat mendesak dan rahasia.

5. Payroll Diversion

Jenis serangan ini biasanya menyasar bagian Human Resources (HR) atau payroll. Penyerang meminta perubahan rekening tujuan gaji karyawan sehingga pembayaran berikutnya dikirim ke rekening yang telah disiapkan oleh pelaku.

Penyebab Business Email Compromise (BEC) Berhasil

Beberapa faktor yang membuat serangan BEC sering berhasil antara lain:

1. Kurangnya Kesadaran Keamanan Siber

Karyawan yang belum memahami teknik social engineering lebih mudah mempercayai email palsu yang tampak meyakinkan.

2. Tidak Ada Proses Verifikasi

Banyak perusahaan belum memiliki prosedur verifikasi sebelum melakukan transfer dana atau perubahan data pembayaran.

3. Penggunaan Password yang Lemah

Password yang mudah ditebak meningkatkan risiko akun email diretas dan digunakan untuk menjalankan serangan BEC.

4. Tidak Mengaktifkan Multi-Factor Authentication (MFA)

Tanpa MFA, akun email lebih mudah diambil alih meskipun password berhasil dicuri.

5. Kebocoran Informasi Perusahaan

Informasi organisasi yang tersedia secara publik dapat dimanfaatkan penyerang untuk membuat email yang lebih meyakinkan.

Dampak Business Email Compromise (BEC)

Business Email Compromise dapat menimbulkan berbagai dampak serius bagi perusahaan.

• Kerugian Finansial
  Transfer dana ke rekening penyerang merupakan dampak paling umum dari serangan BEC. Nilai kerugiannya dapat mencapai jutaan hingga miliaran rupiah tergantung besarnya transaksi.

• Kebocoran Data Sensitif
  Selain uang, pelaku juga dapat memperoleh data pelanggan, informasi keuangan, kontrak bisnis, hingga dokumen internal perusahaan.

• Gangguan Operasional
  Perusahaan mungkin harus menghentikan sementara aktivitas bisnis untuk melakukan investigasi, memulihkan sistem, dan memperbaiki prosedur keamanan.

• Kerusakan Reputasi
  Pelanggan dan mitra bisnis dapat kehilangan kepercayaan apabila perusahaan mengalami kebocoran data akibat serangan BEC.

• Risiko Hukum
  Apabila kebocoran data melibatkan informasi pribadi pelanggan, perusahaan dapat menghadapi tuntutan hukum atau sanksi sesuai peraturan perlindungan data yang berlaku.

Contoh Kasus Business Email Compromise (BEC)

Sebagai contoh, sebuah perusahaan rutin melakukan pembayaran kepada vendor setiap akhir bulan. Penyerang mempelajari pola komunikasi tersebut dan kemudian mengirim email menggunakan domain yang sangat mirip dengan domain vendor asli. Dalam email tersebut dijelaskan bahwa perusahaan vendor telah mengganti rekening bank karena alasan administrasi dan meminta pembayaran berikutnya dikirim ke rekening baru.

Karena email terlihat meyakinkan dan dikirim pada waktu yang sesuai dengan jadwal pembayaran, staf keuangan tidak melakukan konfirmasi melalui telepon maupun saluran komunikasi lain. Dana kemudian ditransfer ke rekening yang ternyata dikendalikan oleh penyerang. Setelah vendor asli menanyakan pembayaran yang belum diterima, perusahaan baru menyadari bahwa mereka telah menjadi korban Business Email Compromise.

Cara Mendeteksi Business Email Compromise (BEC)

Meskipun serangan BEC dirancang agar tampak sah, terdapat beberapa tanda yang perlu diwaspadai.

Permintaan Mendesak

Email yang meminta transfer dana atau pengiriman data penting dalam waktu sangat singkat patut dicurigai, terutama jika tidak mengikuti prosedur perusahaan.

Perubahan Rekening Pembayaran

Setiap permintaan perubahan rekening vendor atau mitra bisnis sebaiknya selalu diverifikasi melalui saluran komunikasi lain.

Alamat Email Tidak Persis Sama

Perhatikan dengan teliti nama domain pengirim. Penyerang sering menggunakan domain yang hanya berbeda satu atau dua karakter dari domain asli.

Gaya Bahasa Berbeda

Perubahan gaya penulisan, tata bahasa yang tidak biasa, atau penggunaan kalimat yang berbeda dari kebiasaan pengirim dapat menjadi indikasi adanya penyamaran.

Permintaan Data Rahasia

Email yang meminta password, data pelanggan, dokumen internal, atau informasi keuangan perlu mendapatkan perhatian khusus sebelum ditindaklanjuti.

Cara Mencegah Business Email Compromise (BEC)

Mencegah BEC membutuhkan kombinasi teknologi dan kebijakan keamanan yang baik.

1. Edukasi Karyawan

Berikan pelatihan keamanan siber secara rutin agar karyawan mampu mengenali teknik social engineering dan email mencurigakan.

2. Terapkan Multi-Factor Authentication (MFA)

Aktifkan MFA pada seluruh akun email perusahaan untuk mengurangi risiko pengambilalihan akun.

3. Gunakan SPF, DKIM, dan DMARC

Ketiga teknologi autentikasi email ini membantu memverifikasi keaslian email serta mengurangi risiko email spoofing.

4. Terapkan Prosedur Verifikasi

Setiap permintaan transfer dana, perubahan rekening, atau pengiriman data penting harus diverifikasi melalui telepon atau media komunikasi resmi lainnya.

5. Gunakan Email Security Gateway

Solusi keamanan email dapat membantu menyaring email berbahaya, mendeteksi spoofing, serta memblokir upaya penipuan sebelum mencapai kotak masuk pengguna.

5. Lakukan Audit Keamanan Secara Berkala

Audit rutin membantu menemukan celah keamanan sebelum dimanfaatkan oleh penyerang.

Perbedaan Business Business Email Compromise (BEC) dan Phishing

Meskipun sama-sama menggunakan email sebagai media serangan, Business Email Compromise memiliki karakteristik yang berbeda dengan phishing.

Praktik Terbaik Mengamankan Email Bisnis

• Gunakan autentikasi email (SPF, DKIM, dan DMARC).
• Aktifkan Multi-Factor Authentication (MFA) pada seluruh akun email.
• Terapkan verifikasi dua arah untuk setiap transaksi penting.
• Batasi hak akses pengguna sesuai kebutuhan (least privilege).
• Gunakan email security gateway atau solusi keamanan email.
• Pantau aktivitas login dan akses akun email secara rutin.
• Perbarui sistem dan aplikasi keamanan secara berkala.
• Edukasi karyawan mengenai Business Email Compromise (BEC) dan phishing.
• Lakukan audit keamanan email secara berkala.
• Terapkan kebijakan keamanan email yang jelas di seluruh organisasi.

Kesimpulan

Business Email Compromise (BEC) adalah salah satu bentuk serangan siber yang memanfaatkan email dan teknik social engineering untuk menipu individu di dalam organisasi agar melakukan transfer dana, mengirimkan data sensitif, atau memberikan akses kepada pihak yang tidak berwenang. Karena serangan ini mengandalkan kepercayaan dan komunikasi bisnis yang tampak sah, BEC menjadi ancaman yang sulit dideteksi dan dapat menyebabkan kerugian finansial maupun reputasi yang besar.

Oleh karena itu, setiap organisasi perlu menerapkan strategi keamanan email yang komprehensif, mulai dari penggunaan autentikasi email, Multi-Factor Authentication (MFA), prosedur verifikasi transaksi, hingga pelatihan keamanan siber bagi karyawan. Selain itu, pastikan website dan sistem bisnis Anda didukung oleh layanan hosting yang aman dan andal. Kunjungi blog Hosteko untuk mendapatkan berbagai panduan mengenai keamanan siber, pengelolaan website, serta layanan hosting dan domain yang dapat membantu menjaga keamanan dan performa bisnis digital Anda.