Social Engineering: Ancaman Tersembunyi dalam Cyber Security dan Cara Mencegahnya

Di era digital, banyak orang mengira serangan cyber hanya terjadi lewat celah teknis di sistem dan jaringan. Padahal, faktanya: amateurs hack systems, professionals hack people. Artinya, penyerang amatir mungkin fokus meretas sistem, tetapi pelaku profesional justru menargetkan sisi yang paling lemah: manusia. Serangan inilah yang dikenal sebagai social engineering.

Artikel ini akan membahas perbedaan IT Security, Cyber Security, dan Information Security, apa itu social engineering, tahapan serangannya, contoh kasus nyata, hingga cara mencegah social engineering di era AI dan media sosial.

Perbedaan IT Security, Cyber Security, dan Information Security

Sebelum masuk ke social engineering, penting memahami dulu tiga istilah yang sering disalahgunakan:

1. IT Security (Keamanan Sistem IT)

IT Security fokus pada sistem aplikasi dan infrastruktur teknologi informasi.

Contohnya:

• Pengamanan server dan database
• Hardening sistem operasi
• Patch dan update aplikasi
• Firewall di level jaringan internal

Fokus utamanya adalah melindungi sistem IT agar tetap berjalan aman dan stabil.

2. Cyber Security (Keamanan Siber)

Cyber Security mencakup interkoneksi antar sistem IT yang terhubung lewat jaringan, terutama internet.

Contoh fokus Cyber Security:

• Melindungi jaringan dari serangan dari luar (DDoS, malware, ransomware)
• Mengamankan komunikasi antar server dan aplikasi
• Monitoring lalu lintas jaringan dan deteksi anomali

Jika IT Security menjaga “rumah” Anda, maka Cyber Security memastikan akses ke rumah itu dari dunia luar tetap aman.

3. Information Security (Keamanan Informasi)

Information Security (InfoSec) memiliki cakupan yang paling luas. Ia tidak hanya bicara teknis dan sistem, tetapi juga:

• Data dan informasi (digital maupun fisik)
• Proses bisnis
• Human factor / perilaku manusia

InfoSec memastikan bahwa kerahasiaan, integritas, dan ketersediaan informasi (CIA Triad) tetap terjaga — termasuk bagaimana manusia mengelola dan melindungi informasi tersebut.

Di sinilah social engineering menjadi sangat relevan, karena menyasar langsung aspek manusia dalam Information Security.

Apa Itu Social Engineering dalam Cyber Security?

Social engineering adalah seni memanipulasi psikologi manusia untuk mendapatkan akses ke gedung, sistem, maupun data, tanpa harus selalu meretas sistem secara teknis.

Definisi sederhananya:

Social engineering adalah seni mengeksploitasi psikologi manusia, bukan celah teknis, untuk mendapatkan akses ke informasi, sistem, atau aset tertentu.

Social engineering bisa digunakan untuk hal baik (misalnya untuk edukasi, simulasi keamanan, atau penetration testing), tetapi dalam konteks serangan cyber, teknik ini sering disalahgunakan untuk tujuan jahat.

Beberapa contoh bentuk social engineering sehari-hari:

• Mengirim link lowongan kerja palsu yang berujung pada pencurian data login atau penyebaran malware
• Mengirim link undangan pernikahan palsu yang membuat korban mengunduh file berisi virus
• Telepon yang mengatasnamakan bank atau perusahaan teknologi terkenal, lalu mengarahkan korban untuk membocorkan OTP atau password

Contoh Kasus Nyata Social Engineering

Social engineering bukan teori. Sudah banyak kasus nyata yang merugikan perusahaan besar maupun lembaga pemerintah.

Kasus Indodax: Pegawai Tergiur Freelance

Salah satu contoh yang sering dibahas adalah kasus serangan ke Indodax yang dipicu karena pegawai menerima tawaran freelance. Melalui tawaran ini, pelaku bisa masuk ke sistem melalui akses internal yang didapat dari orang dalam. (Sumber: Liputan6)

Pelajarannya:

• Bahkan pegawai internal bisa menjadi pintu masuk serangan jika tidak dibekali literasi keamanan yang baik
• Serangan tidak selalu datang dari luar; kadang diawali dari kepercayaan dan kelengahan manusia di dalam organisasi

Flashdisk “Jebakan” di Parkiran Pentagon

Ada juga contoh klasik: flashdisk berisi virus yang sengaja disebar di area parkir, bahkan di lingkungan sekelas Pentagon. Ketika ada orang yang menemukannya, penasaran, lalu menancapkan flashdisk tersebut ke komputer kantor, malware langsung dieksekusi dan menyerang sistem internal. (Sumber: Wikipedia)

Pelajarannya:

• Rasa penasaran dan kebiasaan “asal colok flashdisk” bisa berujung pada kebocoran data tingkat tinggi
• Lagi-lagi, yang diserang adalah psikologi manusia, bukan sekadar sistem

Tahapan Social Engineering: Dari Persiapan sampai Kabur

Serangan social engineering biasanya tidak terjadi secara spontan. Ada tahapan yang cukup sistematis, antara lain:

1. Preparation (Persiapan)

Pada tahap ini, pelaku melakukan pengumpulan informasi terbuka (open source intelligence / OSINT).

Sumber data yang sering digunakan:

• Profil media sosial (LinkedIn, Instagram, Facebook, TikTok)
• Website perusahaan (struktur organisasi, email, nomor telepon, nama pimpinan)
• Forum, berita, atau publikasi yang menyebut nama target

Tujuannya: mencari celah informasi yang bisa dimanfaatkan untuk membangun kepercayaan atau memanipulasi korban.

2. Infiltration (Infiltrasi)

Setelah informasi cukup, pelaku mulai menyamar sebagai pihak yang terpercaya.

Contoh skenario:

• Mengaku sebagai HRD yang menawarkan lowongan kerja menarik
• Mengaku sebagai vendor resmi perusahaan
• Menyamar sebagai rekan kerja yang butuh bantuan urgent
• Mengaku dari bank, layanan fintech, atau support platform kripto

Kekuatan di tahap ini adalah branding kepercayaan palsu: logo, bahasa, cara bicara, dan konteks dibuat semirip mungkin dengan pihak asli.

3. Exploitation (Eksploitasi)

Di tahap ini, pelaku mulai melakukan manipulasi psikologis untuk mendapatkan apa yang diinginkan.

Beberapa bentuk eksploitasi:

• Meminta OTP, password, PIN, atau kode verifikasi
• Mengarahkan korban meng-klik link tertentu dan memasukkan kredensial
• Membujuk korban menginstal aplikasi tertentu (yang ternyata malware)
• Mengajak korban mengirim dokumen sensitif atau file konfigurasi

Biasanya, pelaku menggunakan tekanan waktu dan emosi, misalnya:

• “Segera ya Kak, kalau tidak akun akan terblokir.”
• “Ini kesempatan terakhir sebelum lowongan ditutup, mohon isi sekarang.”
• “Ini urgen dari manajemen, mohon langsung diproses.”

4. Disengagement (Pemutusan Komunikasi)

Setelah data atau akses didapat, pelaku memutus komunikasi.

• Nomor telepon tidak bisa dihubungi
• Akun media sosial atau email yang digunakan hilang
• Korban baru menyadari setelah terjadi transaksi mencurigakan atau kebocoran data

Pada titik ini, pelaku sudah menggunakan data yang berhasil dicuri: menjual di dark web, melakukan penipuan lanjutan, atau menyusup lebih dalam ke sistem perusahaan.

Cara Mencegah Social Engineering

Kabar baiknya, social engineering bisa diminimalkan risikonya dengan kombinasi kesadaran (awareness) dan kebiasaan digital yang sehat.

Berikut beberapa langkah praktis:

1. Kurangi Jejak Digital (Digital Footprint)

Semakin banyak informasi tentang Anda di internet, semakin mudah pelaku menyusun narasi manipulasi.

Langkah sederhana:

• Hindari membagikan informasi sensitif seperti alamat rumah, nomor telepon pribadi, nama sekolah anak, rutinitas harian, dan sebagainya
• Waspadai posting yang terlalu detail tentang pekerjaan, jabatan, atau proyek internal

Ingat, apa yang menurut Anda tidak penting, bisa jadi sangat berharga bagi pelaku ancaman.

2. Jaga Privasi Media Sosial

Media sosial adalah “emas” bagi pelaku social engineering.

Beberapa tips:

• Atur akun menjadi private jika memungkinkan, terutama untuk platform yang berisi kehidupan pribadi (Instagram, Facebook)
• Batasi siapa yang bisa melihat story atau postingan tertentu
• Jangan mudah menerima permintaan pertemanan dari akun yang tidak jelas identitasnya
• Jangan mengumbar keluhan atau curhat soal kantor yang bisa membuka celah informasi

3. Hapus Metadata Dokumen sebelum Diunggah

Banyak orang tidak sadar bahwa file dokumen (Word, PDF, foto, dsb.) sering membawa metadata di dalamnya, seperti:

• Nama pembuat
• Lokasi pengambilan foto
• Perangkat yang digunakan
• Versi software

Metadata ini bisa membantu pelaku memetakan sistem, device, atau bahkan lokasi Anda.

Sebelum mengunggah dokumen:

• Gunakan fitur “Remove Properties” atau “Inspect Document” di Microsoft Office
• Kompres atau ekspor ulang file untuk mengurangi metadata
• Untuk foto, matikan geotagging di kamera/HP jika tidak diperlukan

4. Jangan Pernah Berikan OTP atau Password ke Siapa Pun

Aturan emas:

OTP dan password hanya untuk Anda, bukan untuk siapa pun — bahkan yang mengaku dari bank, kantor, atau keluarga.

Lembaga resmi tidak akan pernah meminta OTP atau password lewat:

• Telepon
• Chat WhatsApp
• DM media sosial
• Email

Jika ada yang meminta, hampir bisa dipastikan itu upaya social engineering.

Ketika AI Ikut Disalahgunakan dalam Social Engineering

Era AI generatif membawa tantangan baru. Pelaku sekarang bisa memanfaatkan Artificial Intelligence untuk meningkatkan efektivitas social engineering. Beberapa bentuk penyalahgunaan AI:

1. Membuat Suara Palsu (Voice Cloning)

Dengan sampel suara beberapa detik saja, AI bisa:

• Meniru suara atasan
• Meniru suara keluarga
• Menelpon korban dan mengarahkan untuk melakukan transfer atau membocorkan informasi sensitif

Korban bisa terkecoh karena suara terdengar sangat mirip orang yang dikenal.

2. Video Deepfake

Deepfake adalah video yang tampak nyata, tetapi sebenarnya hasil rekayasa AI.

Risiko deepfake:

• Menyebar hoaks seolah-olah pejabat/atasan mengeluarkan instruksi tertentu
• Merusak reputasi seseorang
• Menggunakan video palsu untuk memeras korban atau organisasi

3. Email dan Pesan Palsu yang Semakin Meyakinkan

AI juga bisa dipakai untuk:

• Menulis email phishing yang bahasanya rapi, tanpa typo, dan sangat meyakinkan
• Meniru gaya bahasa perusahaan tertentu
• Menghasilkan variansi pesan dalam jumlah banyak untuk menghindari filter spam

Dengan bantuan AI, batas antara pesan asli dan palsu semakin tipis, sehingga literasi keamanan menjadi semakin penting.

Mindset Penting: Informasi Publik Anda Bisa Sangat Berharga

Ada satu kalimat penting yang perlu selalu diingat:

“Informasi publik yang tidak penting bagi Anda, bisa sangat berharga bagi pelaku ancaman.”

Contohnya:

• Foto kartu ID yang “nyaris” tertutup
• Foto di meja kerja yang tanpa sengaja menampilkan monitor, whiteboard, atau badge kantor
• Story yang menunjukkan lokasi kantor, jam kerja, atau rutinitas Anda
• Postingan tentang “sibuk migrasi sistem” atau “baru pakai software X versi lama”

Bagi Anda mungkin sepele. Bagi pelaku, itu potongan puzzle untuk menyusun skenario social engineering yang matang.

Penutup: Bangun Pertahanan dari Manusia, Bukan Hanya dari Sistem

Teknologi keamanan bisa semakin canggih, tetapi jika manusianya lengah, pertahanan akan tetap jebol. Social engineering membuktikan bahwa:

• Menyerang manusia sering lebih mudah dan murah daripada menembus firewall atau enkripsi
• Perusahaan perlu berinvestasi bukan hanya pada tools keamanan, tapi juga pada edukasi dan budaya keamanan informasi
• Setiap individu, baik pegawai maupun pengguna biasa, adalah garis pertahanan pertama dalam cyber security

Mulailah dari hal-hal sederhana:

• Lebih kritis terhadap link dan lampiran yang diterima
• Ragu dulu, konfirmasi kemudian
• Jangan mudah membagikan data pribadi
• Tingkatkan literasi digital dan keamanan informasi

Dengan mindset yang tepat dan kebiasaan digital yang sehat, social engineering bisa dikenali dan dicegah sebelum terlambat.

Jika Anda mengelola perusahaan atau tim, jadikan edukasi soal social engineering dan keamanan informasi sebagai materi wajib dalam onboarding maupun pelatihan berkala. Di dunia di mana pro hack people, melindungi manusia berarti melindungi seluruh organisasi.