Perbedaan Spam dan Phishing: Jangan Salah Menilai Risiko Email

Spam dan phishing sama-sama sering muncul di email, tetapi risikonya berbeda. Spam biasanya mengganggu produktivitas: promosi massal, newsletter yang tidak diinginkan, atau pesan komersial yang tidak relevan. Phishing jauh lebih berbahaya karena dirancang untuk menipu penerima agar memberikan password, membuka malware, menyetujui pembayaran palsu, atau menyerahkan data sensitif.

Artikel lama JABETTO membahas perbedaan spam dan phishing. Versi refresh ini memperbarui konteksnya untuk lingkungan bisnis saat ini, ketika phishing tidak selalu terlihat buruk, penuh typo, atau mudah dikenali. Dengan bantuan otomasi dan AI, pesan palsu bisa terlihat rapi, personal, dan sangat mirip komunikasi resmi.

Apa itu spam?

Spam adalah pesan massal yang tidak diminta. Tujuannya bisa promosi, iklan, distribusi konten, atau upaya mengarahkan penerima ke layanan tertentu. Tidak semua spam otomatis berbahaya, tetapi spam tetap menjadi masalah karena memenuhi mailbox, mengganggu fokus kerja, dan kadang menjadi pintu menuju scam atau malware.

Spam yang tampak sederhana tetap perlu ditangani dengan filter, unsubscribe yang aman, dan kebijakan email yang jelas. Jangan membalas spam atau mengklik link sembarangan hanya untuk “mencoba berhenti berlangganan” jika sumbernya tidak jelas.

Apa itu phishing?

Phishing adalah upaya penipuan yang memakai email, pesan teks, situs palsu, QR code, atau kanal komunikasi lain untuk mencuri informasi atau mendorong korban melakukan aksi tertentu. CISA menjelaskan bahwa phishing sering mencoba membuat penerima membuka lampiran berbahaya atau membagikan informasi pribadi. NIST juga menekankan bahwa AI dapat membuat phishing semakin meyakinkan sehingga penerima perlu memeriksa pesan dengan lebih hati-hati.

Dalam bisnis, phishing sering menargetkan akun email, VPN, aplikasi cloud, payroll, invoice, dan approval pembayaran. Jika berhasil, dampaknya bisa berupa account takeover, pencurian data, ransomware, atau Business Email Compromise.

Perbedaan utama spam dan phishing

Jenis phishing yang perlu dikenal bisnis

• Spear phishing: pesan yang disesuaikan untuk orang atau tim tertentu, misalnya finance, HR, atau admin IT.
• Business Email Compromise: penipuan yang tampak seperti permintaan sah dari pimpinan, vendor, atau partner bisnis. FBI menggambarkan BEC sebagai email yang tampak berasal dari sumber yang dikenal dan meminta aksi bisnis yang terlihat legit.
• Credential phishing: halaman login palsu yang meniru Microsoft 365, Google Workspace, Zimbra, VPN, HR portal, atau aplikasi bisnis lain.
• Smishing dan vishing: phishing melalui SMS, WhatsApp, atau panggilan telepon.
• Quishing: phishing memakai QR code untuk membawa user ke situs login palsu atau instruksi pembayaran palsu.
• Attachment phishing: lampiran dokumen, HTML, archive, atau file lain yang dirancang untuk mencuri kredensial atau memasang malware.

Kontrol teknis yang perlu diterapkan

Filter email membantu, tetapi tidak cukup. Organisasi perlu menggabungkan beberapa lapisan kontrol agar spam dan phishing tidak hanya bergantung pada kewaspadaan user.

• SPF, DKIM, dan DMARC: bantu penerima memverifikasi apakah email benar-benar dikirim oleh server yang berwenang untuk domain perusahaan.
• Email security gateway atau cloud filtering: analisis reputasi pengirim, URL, lampiran, malware, dan pola impersonation.
• MFA: kurangi risiko password curian langsung dipakai untuk login.
• Phishing-resistant MFA untuk akun penting: pertimbangkan FIDO/WebAuthn/security key untuk admin dan user berisiko tinggi.
• External sender warning: beri tanda pada email dari luar organisasi, terutama yang terlihat seperti komunikasi internal.
• Monitoring rule mailbox: pantau forwarding rule, auto-delete rule, dan perubahan recovery email yang mencurigakan.
• DNS dan domain monitoring: awasi domain mirip nama perusahaan yang bisa dipakai untuk impersonation.

Kebiasaan user yang lebih aman

1. Jangan login dari link email jika pesannya tidak diharapkan. Buka aplikasi lewat bookmark atau alamat resmi.
2. Verifikasi permintaan transfer, perubahan rekening, atau pembelian mendadak lewat kanal kedua seperti telepon resmi.
3. Periksa domain pengirim, bukan hanya nama tampilan.
4. Jangan scan QR code dari email bisnis tanpa konteks yang jelas.
5. Laporkan email mencurigakan ke IT/security, bukan hanya menghapusnya.
6. Jika sudah terlanjur klik atau memasukkan password, segera lapor agar akun bisa diamankan.

Jika email phishing sudah terlanjur diklik

Waktu respons sangat penting. Jangan menunggu sampai ada dampak terlihat.

• Ganti password dari perangkat yang bersih.
• Cabut session aktif dan token aplikasi jika platform mendukung.
• Aktifkan atau reset MFA.
• Periksa forwarding rule, delegated access, app password, dan recovery address.
• Review login log untuk melihat akses dari lokasi atau perangkat yang tidak biasa.
• Beritahu pihak terkait jika ada pesan palsu yang sudah dikirim dari akun korban.

Kesimpulan

Spam adalah gangguan email massal; phishing adalah serangan penipuan yang bisa berujung pada kebocoran akun, fraud, malware, atau ransomware. Keduanya perlu ditangani, tetapi phishing harus diperlakukan sebagai risiko keamanan bisnis.

Pertahanan terbaik menggabungkan teknologi dan kebiasaan: filter email, SPF/DKIM/DMARC, MFA, monitoring mailbox, edukasi user, dan proses pelaporan cepat. Dalam praktiknya, organisasi yang cepat mengenali dan melaporkan phishing punya peluang jauh lebih baik untuk mencegah satu email palsu menjadi insiden besar.

Sumber rujukan

• CISA: Secure Our World
• CISA: Phishing Guidance - Stopping the Attack Cycle at Phase One
• FBI: Business Email Compromise
• FTC: Spotting scammy emails
• FTC: How to get less spam in your email
• NIST: Phishing