- Sebenarnya dari siapa pesan ini? Ketuk atau arahkan kursor ke nama pengirim untuk menampilkan alamatnya. Perhatikan domain yang mirip (kata tambahan, huruf yang tertukar, .co alih-alih .com), alamat gratis yang mengaku sebagai perusahaan, atau nama rekan kerja pada alamat yang tidak dikenal.
- Apa yang diinginkannya? Serangan phishing hampir selalu meminta salah satu dari lima hal berikut: kata sandi atau detail masuk, uang atau kartu hadiah, perubahan detail rekening bank, lampiran yang harus dibuka, atau urgensi dan kerahasiaan ("hari ini", "jangan beri tahu siapa pun", "akun Anda akan ditutup").
- Ke mana tautan-tautan tersebut mengarah? Di komputer, arahkan kursor ke tautan dan baca alamatnya di sudut jendela. Di ponsel, tekan dan tahan tautan untuk melihat pratinjaunya. Pesan dari Microsoft yang mengarah ke domain yang belum pernah Anda lihat sebelumnya, atau tautan yang dipersingkat, adalah tanda yang jelas.
- Apakah Anda sudah menduganya? Sebuah faktur dari pemasok yang tidak Anda gunakan, pesan suara yang tidak pernah Anda terima melalui email, dokumen yang dibagikan oleh seseorang yang biasanya tidak membagikan dokumen, pengiriman barang yang tidak Anda pesan.
- Apakah hal ini menyimpang dari pola yang biasa? Pemasok yang mengubah detail rekening bank melalui email, atasan yang meminta sesuatu yang tidak biasa dan mendesak, atau Microsoft dan Google yang meminta Anda memverifikasi akun melalui tautan. Perusahaan dan atasan yang sesungguhnya tidak bekerja seperti itu.
Bagaimana cara mengetahui apakah sebuah email merupakan phishing, dan apa yang harus dilakukan terhadapnya
Pemeriksaan 30 detik yang berfungsi di Outlook dan Gmail, berbagai modus penipuan yang sedang beredar saat ini, cara melaporkan pesan hanya dengan satu klik, dan apa yang harus dilakukan dalam satu jam pertama jika Anda sudah mengkliknya.
Waktu baca 7 menitDiperbarui
Jawaban singkat
Perhatikan tiga hal: siapa yang benar-benar mengirimnya (ketuk nama untuk melihat alamatnya), apa yang diminta (kepentingan mendesak, uang, kata sandi, perubahan detail rekening bank), dan ke mana tautan tersebut mengarah (arahkan kursor di komputer, tekan dan tahan di ponsel). Jika salah satu dari ketiga hal tersebut terasa mencurigakan, jangan klik atau balas. Laporkan melalui tombol "Laporkan" di Outlook atau opsi "Laporkan phishing" di Gmail, lalu verifikasi melalui jalur lain, seperti menelepon ke nomor yang sudah Anda miliki. Jika Anda sudah mengkliknya, ubah kata sandi Anda sekarang juga dan laporkan ke tim TI dalam waktu satu jam. Tidak ada yang akan menyalahkan Anda; yang terpenting adalah bertindak cepat.
Pemeriksaan 30 detik
Penipuan yang sedang beredar
| Sepertinya | Apa sebenarnya itu | Tanda-tandanya |
|---|---|---|
| Kata sandi Anda akan kedaluwarsa hari ini, atau ada pesan suara baru atau dokumen yang dibagikan | Halaman masuk palsu Microsoft 365 atau Google yang mencuri kata sandi dan kode persetujuan Anda | Tautan tersebut tidak mengarah ke microsoft.com atau google.com, dan pemberitahuan yang sah tidak pernah meminta kata sandi melalui tautan |
| Faktur pemasok dengan detail rekening bank baru | Penipuan email bisnis, sering kali berasal dari kotak surat pemasok yang asli namun telah dibajak | Setiap perubahan rincian pembayaran, seberapa pun sopannya. Hubungi penyedia layanan melalui nomor yang sudah Anda miliki |
| Surat pemberitahuan mengenai paket, bea cukai, atau biaya tol | Halaman pembayaran kecil yang mencuri data kartu Anda | Anda tidak mengharapkan apa pun, dan tautan tersebut bukan domain penyedia layanan |
| Sebuah berkas PDF yang berisi kode QR untuk dipindai | Tautan tersembunyi di tempat yang tidak dapat dibaca oleh filter | Tidak ada yang mengirim kode QR jika tautan saja sudah cukup |
| SDM atau penggajian: dokumen gaji terbaru, pendaftaran tunjangan | Halaman masuk atau lampiran yang berisi muatan berbahaya | Dikirim di luar saluran SDM yang biasa, dengan prioritas tinggi |
| Sebuah pesan teks atau WhatsApp dari CEO yang meminta bantuan singkat | Penipuan kartu hadiah atau transfer uang | Nomor baru, dan bos tidak pernah mengirim pesan kepada Anda mengenai hal itu |
| Banyak permintaan "Authenticator" yang tidak Anda mulai | Ada seseorang yang memiliki kata sandi Anda dan berharap Anda mengetuk tombol "Setujui" | Tolak setiap permintaan, ubah kata sandi Anda, dan laporkan ke tim TI hari ini |
Apa yang harus dilakukan jika menerima email mencurigakan
- Jangan klik, balas, atau meneruskannya ke rekan kerja. Penerusan pesan menyebarkan risiko dan menghilangkan bukti yang dibutuhkan oleh tim TI.
- Laporkan melalui Outlook. Pilih pesan tersebut, pilih "Laporkan" di bilah alat, lalu pilih "Laporkan phishing". Tombol yang sama tersedia di Outlook di web, Outlook versi baru untuk Windows, Outlook untuk Mac, serta aplikasi iPhone dan Android, asalkan perusahaan Anda telah mengaktifkannya. Pesan tersebut akan dihapus dan salinannya akan dikirimkan ke tim TI Anda serta ke Microsoft.
- Laporkan melalui Gmail. Buka pesan tersebut, klik tiga titik di sebelah "Balas", lalu pilih "Laporkan phishing". Di aplikasi Gmail, gunakan tiga titik di pojok kanan atas pesan. Google akan menerima salinannya dan admin Workspace Anda dapat melihat laporan tersebut.
- Verifikasi melalui cara lain. Jika pesan tersebut mengaku berasal dari pemasok, rekan kerja, atau bank Anda, hubungi nomor yang sudah Anda miliki atau kunjungi langsung ke tempatnya. Jangan pernah menggunakan nomor telepon atau alamat balasan yang tercantum dalam pesan tersebut.
- Jika Anda mengklik atau mengetikkan kata sandi, segera ambil tindakan dalam waktu satu jam. Ubah kata sandi Anda dari perangkat yang Anda percayai, jangan setujui permintaan Authenticator yang tidak Anda mulai sendiri, dan segera laporkan ke tim TI. Jika Anda telah membuka lampiran, putuskan koneksi Wi-Fi dan hubungi tim TI. Jika ada uang yang terlibat, hubungi pemasok dan bank Anda pada hari yang sama; batas waktu untuk melapor dihitung dalam hitungan jam.
Orang-orang yang segera melaporkan masalah adalah pertahanan terbaik yang dimiliki perusahaan kecil. Tim TI yang baik akan berterima kasih kepada Anda atas laporan palsu dan tidak akan pernah membuat Anda merasa bodoh jika laporan tersebut benar-benar terjadi.
Bagi yang mengelola TI
Lima pengaturan ini sudah cukup untuk menangani sebagian besar pekerjaan. Tidak ada satupun yang dikenakan biaya tambahan pada paket Microsoft 365Business Premium atau Google Workspace Business:
| Pengaturan | Di mana | Fungsinya |
|---|---|---|
| Aktifkan tombol Laporan dan kotak surat pelaporan | Portal Microsoft Defender, Pengaturan, Email dan kolaborasi, Pengaturan yang dilaporkan pengguna | Pelaporan satu klik dari setiap Outlook, dengan salinan untuk Anda dan Microsoft |
| DMARC: atur ke "reject" untuk domain Anda sendiri | DNS Anda, setelah SPF, dan DKIM telah diterapkan | Mencegah penyerang mengirim email yang tampak seolah-olah berasal dari perusahaan Anda |
| Penandaan pengirim eksternal | Penandaan eksternal di Exchange Online; Gmail menampilkan spanduk eksternal secara default | Label yang terlihat pada setiap pesan yang berasal dari luar perusahaan |
| Pemindaian tautan dan lampiran | Defender for Office 365: Tautan Aman dan Lampiran Aman; Pemindaian pra-pengiriman yang ditingkatkan di Gmail | Menulis ulang dan memeriksa tautan saat diklik, menjalankan lampiran terlebih dahulu |
| Blokir penerusan otomatis ke alamat di luar organisasi | Kebijakan spam keluar Exchange Online; pengaturan perutean Gmail | Menghilangkan cara favorit penyerang untuk membaca kotak surat secara diam-diam |
Kemudian, lakukan simulasi phishing singkat dua kali setahun dengan sesi evaluasi selama sepuluh menit, dan wajibkan otentikasi multifaktor dengan pencocokan nomor sehingga kata sandi yang dicuri saja tidak akan berguna.
Pertanyaan umum
Yang sering ditanyakan kepada kami
Jawaban singkat atas pertanyaan yang paling sering diajukan para pendiri dan pimpinan keuangan kepada kami.
Tanyakan hal lain kepada kamiYa. Jika akun mereka diretas, pesan tersebut berasal dari kotak surat asli dan lolos semua pemeriksaan teknis. Isi pesannya lah yang menjadi petunjuk: permintaan yang tidak biasa, nada mendesak, atau tautan untuk masuk. Hubungi mereka.
Gunakan tombol "Laporkan" sebagai gantinya. Tombol ini akan mengirimkan pesan asli kepada tim TI dengan header tersembunyi tetap utuh dan menghapusnya dari kotak masuk Anda. Meneruskan pesan akan menghilangkan bukti tersebut dan berpotensi menyebarkan tautan tersebut.
Junk adalah iklan yang tidak diinginkan; melaporkannya akan memindahkan pesan tersebut ke folder Junk dan memblokir pengirimnya. Phishing adalah upaya untuk mencuri sesuatu; melaporkannya akan menghapus pesan tersebut dan mengirim salinannya ke tim keamanan Anda serta ke Microsoft atau Google.
Biasanya begitu, tapi sebaiknya tetap laporkan ke tim TI. Beberapa halaman mencoba menginstal sesuatu saat diklik, dan tim TI dapat memeriksa perangkat serta log masuk dalam hitungan menit.
Tidak. Pemberitahuan yang sah akan mengarahkan Anda untuk masuk di tempat yang biasa, bukan melalui tautan yang meminta kata sandi dan kode persetujuan Anda.
Tidak ada masalah. Tim TI Anda melihat laporan tersebut, menandainya sebagai bukan ancaman, dan pengirim tidak terpengaruh. Melaporkan terlalu banyak jauh lebih baik daripada melaporkan terlalu sedikit.
Bagaimana SF3 Technologies membantu
Kami mengaktifkan pelaporan, pemindaian tautan dan lampiran, serta penandaan eksternal di Microsoft 365 atau Google Workspace Anda, mengamankan domain Anda dengan DMARC agar tidak dapat dipalsukan, melatih tim Anda melalui simulasi singkat, dan menangani setiap pesan yang dilaporkan untuk mereka. Semua ini berjalan di dalam tenant Anda sendiri, dengan akun admin khusus.
Nama tombol di Outlook dan Gmail dapat berubah dari waktu ke waktu. Langkah-langkah ini telah diverifikasi pada Oktober 2026 berdasarkan dokumentasi Microsoft dan Google.