Pretexting

Serangan pretexting biasanya dimulai dengan riset: penyerang mempelajari struktur organisasi target, vendor, dan istilah internal agar ceritanya masuk akal jika diperiksa sekilas. Penyerang kemudian menghubungi korban melalui telepon, email, atau tatap muka, berpura-pura menjadi teknisi IT, auditor, vendor, atau eksekutif senior, dan meminta sesuatu yang terlihat rutin, seperti reset kata sandi, persetujuan faktur, atau akses kartu identitas. Karena permintaan tersebut dibungkus dalam konteks yang meyakinkan, korban sering menurutinya tanpa memverifikasi identitas penelepon melalui jalur terpisah.

Pretexting penting untuk diwaspadai karena menyasar kepercayaan manusia, bukan celah perangkat lunak, sehingga firewall dan antivirus tidak memberikan perlindungan apa pun terhadapnya. Di organisasi Indonesia, di mana norma hierarki dan kesopanan dapat membuat karyawan enggan mempertanyakan seseorang yang mengaku sebagai atasan atau auditor resmi, pretexting bisa sangat efektif. Lembaga keuangan dan instansi pemerintah sering menjadi sasaran karena satu dalih yang berhasil dapat membuka akses ke data nasabah atau sistem internal.

Pertahanan paling andal adalah kebiasaan verifikasi independen: karyawan sebaiknya mengonfirmasi permintaan yang tidak biasa melalui nomor telepon atau sistem internal yang sudah dikenal, bukan kontak yang diberikan oleh peminta. Organisasi juga perlu menetapkan prosedur yang jelas untuk tindakan sensitif, seperti mewajibkan persetujuan kedua untuk perubahan akses atau transfer dana. Pelatihan kesadaran rutin yang menyertakan skenario pretexting realistis membantu karyawan mengenali tanda peringatan, seperti urgensi, permintaan yang tidak lazim, dan keengganan untuk diverifikasi.