Mengapa perusahaan tidak dapat menghentikan serangan rekayasa sosial? | Opini

Sumber: CryptoNewsNet Judul Asli: Mengapa perusahaan tidak bisa menghentikan serangan rekayasa sosial? | Opini Tautan Asli: Dalam setahun terakhir, sebagian besar eksploit terbesar di dunia kripto memiliki akar penyebab yang sama: manusia. Dalam beberapa bulan terakhir saja, Ledger mendesak pengguna untuk menunda aktivitas on-chain setelah pemelihara npm ditipu dan paket berbahaya disebarkan; Workday mengungkapkan kampanye rekayasa sosial yang mengakses data di CRM pihak ketiga; dan operator yang terkait negara melanjutkan umpan pekerjaan palsu terhadap tim kripto untuk menyebarkan malware.

Ringkasan

• Kripto bukan sedang diretas — melainkan sedang dibujuk untuk mengungkapkan dirinya sendiri. Sebagian besar pelanggaran sekarang berasal dari phishing, pembaruan palsu, dan impersonasi, bukan dari kode yang rusak, menjadikan “manusia” sebagai permukaan serangan utama.
• Uang yang dapat diprogram mengubah kesalahan kecil menjadi kerugian besar. Satu kunci yang bocor atau permintaan yang disetujui dapat menguras dana secara instan dan tidak dapat dibatalkan, menjadikan rekayasa sosial sebagai risiko sistemik, bukan kesalahan pengguna.
• Sampai keamanan operasional diperlakukan seperti infrastruktur inti, eksploit akan terus berkembang. Audit dan tinjauan kode tidak bisa menghentikan penipuan manusia — hanya standar perangkat, akses, dan pelatihan yang ditegakkan dapat.

Meskipun miliaran uang telah dihabiskan untuk keamanan siber, perusahaan terus dikalahkan oleh rekayasa sosial yang sederhana. Tim menginvestasikan uang ke dalam perlindungan teknis, audit, dan tinjauan kode sambil mengabaikan keamanan operasional, kebersihan perangkat, dan faktor manusia dasar. Seiring semakin banyak aktivitas keuangan yang bergerak di on-chain, celah buta ini menjadi risiko sistemik terhadap infrastruktur digital.

Satu-satunya cara untuk memperlambat lonjakan serangan rekayasa sosial adalah dengan investasi luas dan berkelanjutan dalam keamanan operasional yang mengurangi imbal hasil dari taktik ini.

Rekayasa sosial adalah Achilles’ heel dari keamanan siber

Laporan Investigasi Pelanggaran Data Verizon 2025 mengaitkan “elemen manusia” dari keamanan siber (phishing, kredensial yang dicuri, dan kesalahan sehari-hari) dengan sekitar 60% dari pelanggaran data.

Rekayasa sosial berhasil karena menargetkan manusia, bukan kode, memanfaatkan kepercayaan, urgensi, keakraban, dan rutinitas. Jenis-jenis eksploitasi ini tidak bisa dihilangkan melalui audit kode dan sulit dilindungi dengan alat keamanan siber otomatis. Tinjauan kode dan praktik keamanan siber umum lainnya tidak bisa menghentikan karyawan dari menyetujui permintaan penipuan yang tampak berasal dari manajer, atau mengunduh pembaruan perangkat lunak palsu yang tampak sah.

Bahkan tim yang sangat teknis pun tertangkap; kelemahan manusia bersifat universal dan keras kepala. Dan sebagai hasilnya, rekayasa sosial terus mendorong insiden dunia nyata.

Kripto meningkatkan taruhannya

Uang yang dapat diprogram mengkonsentrasikan risiko. Di web3, kompromi terhadap seed phrase atau token API bisa setara dengan membobol brankas bank. Sifat transaksi kripto yang tidak dapat dibatalkan memperbesar kesalahan: begitu dana berpindah, seringkali tidak ada cara untuk membalikkan transaksi tersebut. Satu kelalaian dalam keamanan perangkat atau penanganan kunci dapat menghapus aset. Desain terdesentralisasi web3 berarti sering kali tidak ada pusat layanan pelanggan, meninggalkan pengguna untuk mengurus sendiri.

Peretas, termasuk operatif yang didukung negara, telah menyadari efektivitas serangan rekayasa sosial dan menyesuaikan strategi mereka. Operasi sangat bergantung pada rekayasa sosial: tawaran pekerjaan palsu, PDF beracun, paket berbahaya, dan phishing yang disesuaikan yang memanfaatkan kerentanan manusia.

Eksploitasi ini sangat efektif dan mudah dilakukan, dan perusahaan teknologi tampaknya tidak mampu melindungi diri dari mereka. Berbeda dengan eksploit zero-day, yang cepat diperbaiki (memaksa peretas mencari strategi eksploitasi baru), peretas mampu memanfaatkan taktik rekayasa sosial yang sama berulang kali, secara otomatis, menghabiskan lebih banyak waktu untuk meretas dan lebih sedikit waktu untuk R&D.

Perusahaan perlu berinvestasi dalam keamanan operasional

Terlalu banyak organisasi masih memperlakukan keamanan sebagai latihan kepatuhan — sikap yang diperkuat oleh standar regulasi yang permisif. Perusahaan secara rutin melewati audit dan menerbitkan laporan bersih meskipun menyimpan risiko operasional yang mencolok: kunci administrator disimpan di laptop pribadi, kredensial dibagikan melalui chat dan email, hak akses yang usang tidak pernah dirotasi, dan laptop perjalanan digunakan kembali sebagai mesin pengembangan.

Memperbaiki kegagalan disiplin ini membutuhkan keamanan operasional yang tegas dan ditegakkan. Tim harus menggunakan perangkat yang dikelola, perlindungan endpoint yang kuat, dan enkripsi seluruh disk; login perusahaan harus memanfaatkan pengelola kata sandi dan MFA yang tahan phishing; dan manajer sistem harus mengelola hak istimewa dan akses dengan hati-hati. Kontrol ini bukanlah solusi lengkap, tetapi menambah kesulitan serangan rekayasa sosial dan membantu mengurangi dampak dari potensi eksploit.

Yang paling penting, tim perlu berinvestasi dalam pelatihan keamanan operasional; karyawan (bukan tim keamanan siber) adalah garis pertahanan pertama terhadap serangan rekayasa sosial. Perusahaan harus meluangkan waktu melatih tim mereka untuk mengenali serangan phishing yang mungkin, mempraktikkan kebersihan data yang aman, dan memahami praktik keamanan operasional.

Yang penting, kita tidak bisa mengharapkan organisasi secara sukarela mengadopsi postur keamanan siber yang diperkuat; regulator harus turun tangan dan menetapkan standar operasional yang dapat ditegakkan yang membuat keamanan nyata menjadi wajib. Kerangka kepatuhan harus melampaui dokumentasi dan memerlukan bukti praktik aman yang dapat diverifikasi: pengelolaan kunci yang diverifikasi, tinjauan akses berkala, penguatan endpoint, dan kesiapan phishing simulasi. Tanpa kekuatan regulasi, insentif akan selalu lebih mengutamakan citra daripada hasil.

Rekayasa sosial hanya akan semakin memburuk

Sangat penting untuk berinvestasi dalam keamanan operasional sekarang karena tingkat serangan meningkat secara eksponensial.

AI generatif telah mengubah ekonomi penipuan. Penyerang kini dapat mempersonalisasi, memlocalisasi, dan mengotomatisasi phishing dalam skala industri. Kampanye yang dulu fokus pada satu pengguna atau perusahaan kini dapat digunakan untuk menargetkan ribuan bisnis dengan biaya tambahan yang minimal. Serangan phishing dapat dipersonalisasi dengan beberapa klik saja, menggabungkan detail intim untuk membuat email palsu terasa sah.

AI juga mempercepat pengintaian. Jejak publik, kredensial yang bocor, dan intelijen sumber terbuka dapat digali dan dirakit menjadi “brief” tentang setiap korban, membantu peretas mengembangkan serangan yang sangat meyakinkan.

Mengurangi laju serangan

Rekayasa sosial berkembang di tempat di mana kepercayaan implisit dan kenyamanan mengungguli verifikasi dan kehati-hatian. Organisasi perlu mengadopsi postur yang lebih defensif dan (dengan benar) menganggap bahwa mereka berada di bawah ancaman serangan rekayasa sosial secara konstan.

Tim harus mengadopsi prinsip zero-trust dalam operasi harian dan mengintegrasikan prinsip keamanan operasional di seluruh perusahaan. Mereka harus melatih karyawan tentang keamanan operasional untuk menghentikan serangan sejak dini dan menjaga tim mereka tetap terbaru tentang taktik rekayasa sosial terbaru.

Yang paling penting, perusahaan perlu menemukan di mana kepercayaan masih hidup dalam operasi mereka (di mana penyerang dapat menyamar sebagai karyawan, perangkat lunak, atau pelanggan) dan menambahkan perlindungan ekstra.

Rekayasa sosial tidak akan hilang, tetapi kita dapat membuatnya jauh kurang efektif dan jauh kurang katastrofik saat serangan terjadi. Seiring industri memperkuat diri terhadap serangan ini, rekayasa sosial akan menjadi kurang menguntungkan bagi peretas, dan laju serangan akan menurun, akhirnya mengakhiri siklus eksploit ini yang tanpa henti.