SOCIAL ENGINEERING : Ketika yang Diserang Bukan Sistemnya, tetapi Manusianya

 

Penipu tidak selalu membutuhkan teknologi canggih. Kadang mereka hanya membutuhkan kepercayaan kita.

Apa Itu Social Engineering?

Bayangkan suatu hari Anda menerima telepon.

“Selamat sore, saya dari layanan bank. Kami mendeteksi transaksi mencurigakan dari rekening Anda. Untuk mengamankan rekening, kami perlu melakukan verifikasi. Kode OTP akan segera dikirim ke nomor Anda.”

• Tidak ada malware.
• Tidak ada sistem yang diretas.
• Tidak ada password yang dibobol dengan teknik hacking.

Namun beberapa detik kemudian, korban memberikan kode tersebut.

Di situlah social engineering bekerja.

Social engineering atau rekayasa sosial adalah teknik manipulasi yang memanfaatkan manusia untuk memperoleh informasi rahasia, akses, keuntungan finansial, atau tindakan tertentu.

CISA mendefinisikan social engineering sebagai penggunaan tipu daya untuk memanipulasi seseorang agar memberikan informasi pribadi atau rahasia yang kemudian dapat digunakan untuk tujuan penipuan.

Dengan kata lain:

Social engineering mengeksploitasi perilaku manusia, bukan hanya kelemahan teknologi. 

Mengapa Manusia Bisa Menjadi “Titik Lemah”?

Selama ini keamanan siber sering dibayangkan sebagai persoalan:

Firewall → Antivirus → Password → Encryption → Server.

Semua itu memang penting.

Tetapi ada satu komponen yang berada di depan layar:

MANUSIA.

Penyerang memahami bahwa manusia memiliki emosi dan kebiasaan.

Kita bisa:

• panik,
• penasaran,
• takut kehilangan uang,
• takut akun diblokir,
• tergoda hadiah,
• percaya pada orang yang mengaku memiliki otoritas,
• atau terburu-buru ketika diberi batas waktu.

Penyerang kemudian memanfaatkan kondisi tersebut untuk membuat korban melakukan sesuatu yang sebenarnya tidak akan dilakukan dalam keadaan tenang.

NIST sendiri menempatkan human factors dan konteks pengguna sebagai bagian penting dalam memahami kerentanan terhadap phishing.

Jadi masalahnya bukan sesederhana:

“Kenapa korban bisa tertipu?”

Pertanyaan yang lebih tepat adalah:

“Bagaimana penyerang membuat seseorang mengambil keputusan ketika sedang berada dalam kondisi psikologis tertentu?”

Cara Kerja Social Engineering

Secara sederhana, banyak serangan social engineering mengikuti pola:

MEMBANGUN KEPERCAYAAN

↓

MENCIPTAKAN EMOSI

↓

MEMBUAT URGENSI

↓

MEMINTA TINDAKAN

↓

MENGAMBIL INFORMASI / AKSES / UANG

Contohnya:

“Kami dari bank.”

⬇️

“Ada transaksi mencurigakan.”

⬇️

“Kalau tidak segera dibatalkan, uang Anda bisa hilang.”

⬇️

“Sebutkan kode OTP yang baru masuk.”

⬇️

Korban memberikan OTP.

Teknologinya mungkin sederhana.

Manipulasinya yang canggih.

Senjata Utama Social Engineering: Emosi

Ada beberapa emosi yang sering dimanfaatkan penyerang.

🚨 FEAR — Ketakutan

“Rekening Anda akan diblokir.”

“Akun Anda telah diretas.”

“Data Anda akan disebarkan.”

Korban didorong untuk bertindak sebelum sempat berpikir.

---

⏰ URGENCY — Rasa Terburu-buru

“Harus dilakukan sekarang.”

“Dalam 10 menit akun akan ditutup.”

“Link hanya berlaku hari ini.”

Tujuannya adalah mengurangi waktu yang tersedia bagi korban untuk melakukan verifikasi.

---

🎁 GREED — Keinginan Mendapat Keuntungan

“Anda memenangkan hadiah.”

“Selamat mendapatkan bantuan Rp10 juta.”

“Investasi ini dijamin menghasilkan keuntungan.”

---

❤️ TRUST — Kepercayaan

Penipu menyamar sebagai:

• bank,
• polisi,
• pemerintah,
• customer service,
• perusahaan,
• atasan,
• teman,
• keluarga.

---

🧠 CURIOSITY — Rasa Penasaran

“Foto Anda tersebar di sini.”

“Lihat siapa yang membicarakan Anda.”

“Video Anda ada di link ini.”

Korban akhirnya mengklik karena penasaran.

Social Engineering Tidak Selalu Berupa Email

Ini salah satu miskonsepsi yang perlu kita luruskan.

Social engineering dapat dilakukan melalui berbagai kanal.

📧 Phishing

Manipulasi melalui email atau halaman web palsu.

📱 Smishing

Phishing melalui SMS atau pesan instan.

📞 Vishing

Manipulasi melalui percakapan suara/telepon.

👤 Impersonation

Pelaku berpura-pura menjadi seseorang atau organisasi yang dipercaya.

💬 Fake Customer Service

Pelaku menyamar sebagai layanan pelanggan.

🎁 Baiting

Korban dipancing dengan hadiah, keuntungan, atau sesuatu yang menarik.

🎭 Pretexting

Pelaku menciptakan skenario atau identitas palsu untuk memperoleh informasi.

CISA secara khusus mengelompokkan spearphishing, whaling, vishing, dan smishing sebagai bentuk atau variasi phishing.

Modus yang Semakin Relevan: Remote Access

Ini bagian yang menurutku wajib ada di artikel MCT, karena sangat relevan dengan kondisi sekarang.

Pelaku bisa menghubungi korban dengan alasan:

“Kami akan membantu mengamankan rekening Anda.”

Kemudian korban diarahkan untuk:

• melakukan screen sharing,
• memasang aplikasi tertentu,
• memberikan akses perangkat,
• mengikuti instruksi dari pelaku.

Masalahnya, ketika akses diberikan, pelaku dapat memperoleh kesempatan untuk melihat atau mengendalikan aktivitas pada perangkat.

OJK melalui Indonesia Anti-Scam Centre (IASC) pada 2026 secara khusus menyoroti perkembangan modus social engineering dengan remote access, termasuk modus yang mengarahkan korban melakukan share screen atau memasang aplikasi akses jarak jauh dengan dalih bantuan layanan perbankan, pajak, atau kependudukan.

🚨 Prinsip sederhananya:

Jika seseorang yang tidak Anda kenal meminta akses ke layar atau perangkat Anda, berhenti. Verifikasi terlebih dahulu melalui kanal resmi.

Contoh Kasus: “Saya dari Customer Service”

Mari kita bedah.

Korban menerima telepon:

“Selamat siang, kami dari Customer Service Bank X. Ada transaksi mencurigakan sebesar Rp15 juta.”

🚩 RED FLAG #1

Pelaku menciptakan rasa takut.

Korban takut kehilangan uang.

🚩 RED FLAG #2

Pelaku mengaku memiliki otoritas.

“Bank.”

🚩 RED FLAG #3

Pelaku meminta tindakan cepat.

“Harus segera dibatalkan.”

🚩 RED FLAG #4

Pelaku meminta informasi rahasia.

OTP/PIN/password.

🚩 RED FLAG #5

Pelaku mungkin memberikan instruksi melalui perangkat.

Misalnya membuka link, memasang aplikasi, atau melakukan screen sharing.

---

🛑 Apa yang seharusnya dilakukan?

TUTUP KOMUNIKASI.

Jangan mengikuti instruksi.

Kemudian hubungi institusi tersebut melalui nomor resmi yang Anda cari sendiri, bukan nomor yang diberikan oleh penelepon.

Mengapa OTP Tidak Boleh Diberikan?

Ini perlu ditegaskan.

OTP bukan sekadar angka.

Dalam proses autentikasi, kode tersebut dapat menjadi bukti bahwa seseorang memiliki akses terhadap faktor autentikasi tertentu.

Ketika seseorang berhasil meyakinkan korban untuk memberikan OTP, pelaku dapat menggunakan informasi tersebut dalam proses yang sedang berlangsung.

Jadi:

OTP yang diminta oleh orang lain bukan “kode untuk membantu Anda”. Bisa jadi itu justru kode yang dibutuhkan penipu untuk menyelesaikan proses mereka.

Social Engineering dan 2FA: Apakah 2FA Masih Berguna?

Sangat berguna.

Tetapi 2FA bukan berarti manusia tidak bisa lagi ditipu.

Misalnya penyerang mengetahui password korban.

2FA membuat penyerang masih membutuhkan faktor autentikasi berikutnya.

Tetapi kemudian penyerang mengatakan:

“Saya dari bagian keamanan. Tolong berikan kode yang baru masuk.”

Jika korban memberikannya, lapisan keamanan tersebut dapat dikompromikan melalui manipulasi manusia.

Karena itu:

Teknologi + kewaspadaan manusia

harus berjalan bersama.

NIST dalam panduan autentikasi terbarunya juga membahas social engineering dan authentication fatigue, termasuk risiko ketika pengguna didorong untuk menyetujui permintaan autentikasi palsu secara berulang.

Bagaimana dengan Deepfake dan AI?

Ini perkembangan yang juga perlu kita waspadai.

Social engineering semakin berpotensi memanfaatkan teknologi AI untuk membuat:

• suara tiruan,
• gambar,
• video,
• profil palsu,
• pesan yang lebih meyakinkan,
• komunikasi yang dipersonalisasi.

Artinya, “terlihat asli” tidak lagi cukup untuk membuktikan bahwa sesuatu benar-benar asli.

Jika seseorang yang mengaku sebagai anggota keluarga meminta transfer uang melalui pesan atau telepon, misalnya, jangan hanya mengandalkan suara atau foto sebagai bukti identitas.

Lakukan verifikasi melalui cara lain.

Misalnya:

Hubungi nomor yang biasa digunakan.

atau

Tanyakan informasi yang hanya diketahui oleh orang tersebut.

Prinsipnya:

Jangan memverifikasi identitas menggunakan kanal yang sama yang sedang dicurigai.

Bagaimana Perspektif Regulasi Indonesia?

Ini bagian penting untuk artikel MCT.

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi

UU PDP menempatkan pelindungan data pribadi sebagai bagian dari perlindungan hak pribadi.

Dalam pemrosesan data, Pengendali Data Pribadi wajib melindungi keamanan data dari akses, pengungkapan, perubahan, penyalahgunaan, perusakan, dan penghilangan yang tidak sah.

UU PDP juga mewajibkan Pengendali Data Pribadi menerapkan langkah teknis dan operasional untuk melindungi data serta menentukan tingkat keamanan berdasarkan sifat dan risiko data yang diproses.

Social engineering relevan karena penipuan sering bertujuan membuat korban sendiri menyerahkan data atau memberikan akses yang kemudian digunakan secara tidak sah.

Catatan penting: UU PDP bukan aturan yang secara khusus menyebut “social engineering” sebagai satu jenis serangan dan bukan pula aturan yang mengatakan setiap individu wajib memakai 2FA. Relevansinya berada pada pelindungan data dan pencegahan akses/pemrosesan yang tidak sah.

Bagaimana dengan Penyelenggara Sistem Elektronik?

PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik mewajibkan Penyelenggara Sistem Elektronik menyediakan sistem pengamanan yang mencakup prosedur pencegahan dan penanggulangan terhadap ancaman dan serangan.

PP tersebut juga mengatur bahwa dalam pengujian autentikasi identitas dan otorisasi pengguna, perlu diperhatikan kombinasi minimal dua faktor autentikasi, seperti:

• what you know — password/PIN,
• what you have — kartu/token/digital signature,
• what you are — biometrik.

Selain itu, PSE diwajibkan menjaga kerahasiaan, keutuhan, keautentikan, keteraksesan, ketersediaan, dan keterlacakan informasi/dokumen elektronik serta menyediakan edukasi bagi pengguna.

Perspektif OJK dan IASC

Social engineering bukan sekadar isu keamanan akun.

Ia juga telah menjadi modus penipuan yang berdampak pada sektor keuangan.

Dalam laporan OJK, social engineering termasuk salah satu modus penipuan yang masuk dalam laporan Indonesia Anti-Scam Centre. OJK juga melaporkan perkembangan modus yang menggunakan remote access untuk memperoleh kendali atau informasi dari korban.

Artinya, masyarakat perlu melihat social engineering sebagai persoalan keamanan digital sekaligus risiko finansial.

Kalau Sudah Terlanjur Menjadi Korban?

Jangan panik.

Kecepatan bertindak sangat penting.

🛑 1. Hentikan komunikasi dengan pelaku

Jangan melanjutkan instruksi mereka.

🔐 2. Amankan akun

Ganti password dari perangkat yang dipercaya dan keluar dari sesi/perangkat yang mencurigakan.

📱 3. Cabut akses yang tidak dikenal

Periksa perangkat, aplikasi, sesi login, dan akses pihak ketiga.

💳 4. Jika menyangkut rekening atau transaksi keuangan

Segera hubungi penyedia jasa keuangan melalui kanal resmi.

🚨 5. Laporkan penipuan

Untuk kasus penipuan transaksi keuangan, masyarakat dapat menggunakan kanal resmi Indonesia Anti-Scam Centre (IASC).

Dan bila diperlukan, simpan:

• nomor telepon,
• username,
• rekening,
• bukti transfer,
• screenshot,
• link,
• percakapan,
• waktu kejadian.

Jangan menghapus bukti sebelum diperlukan untuk pelaporan.

MCT CHECKLIST: “STOP 5”

Sebelum mengikuti instruksi dari orang yang tidak dikenal, lakukan:

S — STOP

Berhenti. Jangan langsung bertindak.

T — TENANG

Jangan biarkan rasa takut atau panik mengambil keputusan.

O — OBSERVE

Perhatikan siapa yang menghubungi, apa yang diminta, dan bagaimana caranya.

P — PROVE

Verifikasi identitas dan informasi melalui kanal resmi.

5 — JANGAN BERIKAN 5 HAL RAHASIA

🔐 Password
🔢 PIN
📲 OTP/kode autentikasi
🗝️ Recovery code
💳 Data keamanan finansial

KESIMPULAN

Social engineering mengingatkan kita bahwa keamanan digital bukan hanya persoalan seberapa kuat teknologi yang kita gunakan, tetapi juga seberapa baik kita mengambil keputusan ketika berada di bawah tekanan.

Penyerang bisa menggunakan teknologi sederhana, tetapi memanfaatkan:

ketakutan + kepercayaan + urgensi + rasa penasaran + keuntungan

untuk membuat korban melakukan sesuatu.

Karena itu, jangan hanya bertanya:

“Apakah pesan ini terlihat asli?”

Tanyakan juga:

“Mengapa saya diminta melakukan ini?”

“Mengapa harus sekarang?”

“Mengapa saya diminta memberikan informasi rahasia?”

“Bisakah saya memverifikasinya melalui kanal resmi?”

Kalau jawabannya terasa janggal:

BERHENTI.

Jangan klik.

Jangan transfer.

Jangan instal.

Jangan berikan OTP.

Jangan berikan password.

Verifikasi terlebih dahulu.

PESAN MCT

Teknologi boleh semakin canggih. Penipuan boleh semakin meyakinkan. Tetapi jangan biarkan rasa panik mengambil alih keputusan kita.

Berhenti. Tenang. Cek. Verifikasi. Baru bertindak.

Karena pertahanan terbaik tidak hanya berada di dalam sistem. Ia juga dimulai dari manusia yang menggunakannya.

MCT — BENTENG SIBER SULUT

Bijak Bermedia. Aman Bersiber.

#MCTWeekly #SocialEngineering #CyberSecurity #LiterasiDigital #KeamananDigital #PenipuanDigital #BentengSiberSulut #AmanBersiber