Kronologi: Bagaimana Satu Email Palsu Bisa Menguras Rekening Perusahaan dalam 10 Menit

09.14 WIB — Staf keuangan menerima email dari "direktur" yang sedang "di luar kota", meminta transfer mendesak ke rekening baru untuk pembayaran vendor. 09.31 WIB — transfer terkirim. 09.47 WIB — direktur asli membalas WhatsApp, bingung karena tidak pernah mengirim permintaan itu. Ini bukan cerita fiksi untuk menakut-nakuti — ini pola serangan bernama Business Email Compromise (BEC) yang polanya nyaris identik di setiap kasus, dan yang membuatnya berhasil bukan karena penjahatnya jenius, tapi karena satu celah kecil yang bisa dicegah dengan pengaturan yang sudah tersedia gratis di kebanyakan email bisnis modern.

Rekonstruksi Kronologi (Berdasarkan Pola Umum Kasus BEC)

1. Riset diam-diam (hari-hari sebelumnya). Pelaku memantau media sosial perusahaan untuk tahu siapa direktur, kapan biasanya bepergian, dan gaya bahasa email internal — informasi ini sering tersedia publik tanpa disadari.
2. Email atau domain yang mirip dibuat. Bukan meretas akun asli, tapi membuat alamat yang terlihat nyaris identik (contoh: mengganti satu huruf, atau domain mirip yang gampang terlewat dibaca cepat).
3. Waktu dipilih dengan cermat. Biasanya menjelang akhir pekan, jam sibuk, atau saat direktur diketahui sedang bepergian — momen di mana verifikasi langsung lebih sulit dilakukan.
4. Urgensi dipaksakan. Kalimat seperti "harus hari ini juga" atau "jangan telepon dulu, saya sedang meeting" dirancang khusus mencegah korban melakukan verifikasi lewat jalur lain.
5. Transfer terjadi sebelum ada yang sempat curiga. Begitu dana berpindah lewat rekening perantara, pelacakan jadi jauh lebih sulit.

Kenapa Ini Bisa Terjadi ke Perusahaan yang "Sudah Hati-Hati"?

Karena kehati-hatian manusia gampang dikalahkan tekanan waktu dan otoritas — bukan soal staf yang bodoh, tapi soal desain serangan yang memang menyasar titik lemah psikologis siapa pun. Inilah kenapa solusinya tidak bisa hanya "lebih teliti membaca email", tapi butuh lapisan teknis yang bekerja otomatis, tanpa bergantung pada kewaspadaan manusia di momen tersibuk.

Tiga Lapisan yang Bisa Mencegah Ini Sejak Awal

• Safe Links & Safe Attachments — memeriksa ulang tautan dan lampiran sebelum sampai ke inbox, termasuk mendeteksi domain yang menyamar. Detail lengkapnya di Safe Links dan Safe Attachments.
• SPF, DKIM, DMARC — pengaturan DNS yang membuat email palsu mengatasnamakan domain perusahaan Anda jauh lebih mudah terdeteksi sebagai spoofing. Panduannya ada di SPF, DKIM, DMARC di Microsoft 365.
• Kebijakan verifikasi ganda untuk transfer — aturan internal sederhana: transfer di atas nominal tertentu wajib dikonfirmasi lewat telepon langsung, bukan cuma email/chat, terlepas seberapa mendesak permintaannya terlihat.

Yang Perlu Dilakukan Kalau Ini Sudah Terjadi

Hubungi bank secepatnya untuk mencoba menahan transfer (peluang berhasil menurun tajam setelah beberapa jam), simpan seluruh bukti email sebagai barang bukti, dan laporkan ke pihak berwajib. Pencegahan tetap jauh lebih murah dibanding proses pemulihan yang sering kali tidak membuahkan hasil penuh.

FAQ

Apakah kasus seperti ini benar-benar terjadi di Indonesia?

Pola Business Email Compromise adalah salah satu jenis kejahatan siber yang paling umum secara global dan lokal, karena tidak butuh keahlian teknis tinggi, hanya rekayasa sosial yang meyakinkan.

Apakah proteksi email bisa 100% mencegah ini?

Tidak ada yang 100%, tapi lapisan teknis seperti Safe Links dan autentikasi domain mengurangi peluang keberhasilan serangan secara signifikan, dikombinasikan dengan kebijakan verifikasi manusia.

Apakah bisnis kecil juga jadi target, atau hanya perusahaan besar?

Bisnis kecil justru sering jadi target karena proteksinya biasanya lebih lemah, meski nominal kerugian per kasus mungkin lebih kecil dibanding korporasi besar.