Benchmark Phishing untuk Organisasi Indonesia: Apa Kata Data yang Dipublikasikan

Ini sintesis angka yang dipublikasikan secara terbuka, bukan riset orisinal. Setiap angka di bawah dikaitkan dengan sumbernya, dan bila tidak ada angka publikasi yang kredibel, kami menyatakannya alih-alih memperkirakan. Kami sengaja tidak menerbitkan data agregat dari pelanggan Claro.

Ini penting karena dokumen benchmark akan dikutip. Angka phish-prone yang dikutip dalam paparan direksi atau laporan kepada pengawas memerlukan sumber yang dapat dilacak, dan angka susunan vendor tanpa metodologi yang dinyatakan bukanlah sumber semacam itu. Bila Anda mengambil angka dari halaman ini, kutiplah sumber aslinya, bukan kami.

Temuan yang paling berguna justru sebuah kesenjangan. **Belum ada benchmark phish-prone tingkat sektor untuk Indonesia yang dipublikasikan secara terbuka.** Benchmark global diterbitkan, dan telemetri ancaman nasional Indonesia diterbitkan, tetapi belum ada yang menjembatani keduanya. Bila Anda membutuhkan pembanding sektor Indonesia hari ini, Anda harus menghasilkannya dari ukuran dasar Anda sendiri, yang dibahas pada bagian terakhir.

Verizon Data Breach Investigations Report adalah sumber yang paling luas dikutip untuk benchmark faktor manusia, dan sifatnya global alih-alih khusus Indonesia. Edisi 2026-nya melaporkan bahwa 62 persen pembobolan melibatkan faktor manusia, dan bahwa rekayasa sosial menjadi pola pembobolan ketiga terbanyak dengan 16 persen dari seluruh pembobolan.

Kami sengaja tidak mengutip persentase faktor manusia khusus sektor jasa keuangan di sini. Sumber sekunder memang mengedarkan satu angka, tetapi angka itu tampaknya mengulang figur umum DBIR tahun sebelumnya sebesar 60 persen alih-alih rincian per sektor, dan kami tidak dapat memverifikasinya terhadap laporan primernya. DBIR memang menerbitkan bagian per industri, jadi bila Anda membutuhkan angka jasa keuangan, ambillah dari laporannya sendiri alih-alih dari ringkasan sekunder mana pun, termasuk halaman ini.

Angka yang layak dibawa ke ruang direksi adalah yang pertama. Bila kira-kira enam dari sepuluh pembobolan melibatkan manusia, maka risiko manusia bukan satu pos anggaran pelatihan, melainkan bagian mayoritas dari permukaan risikonya.

DBIR 2026 melaporkan median tingkat klik simulasi 1,4 persen untuk email dan 2 persen untuk phishing berbasis telepon, yang berarti tingkat klik kira-kira 40 persen lebih tinggi ketika pelaku beranjak dari kotak masuk. Ia juga melaporkan bahwa 41 persen pembobolan rekayasa sosial sekarang memakai vektor selain email.

Soal volume, laporan itu menyebut organisasi besar mengalami median 48 kampanye phishing berbasis SMS yang menyasar perangkat mobile per tahun, berbanding median 12 bagi organisasi yang lebih kecil. Kira-kira seperempat vektor tindakan sosial berasal dari media sosial atau telepon.

Dua kehati-hatian sebelum Anda membandingkan angka Anda sendiri dengan ini. Median tingkat klik simulasi sangat dibentuk oleh vendor mana yang menyumbang data dan bagaimana masing-masing mendefinisikan sebuah klik, sehingga bukan target yang setara. Dan tingkat klik email yang rendah tidak berkata apa pun tentang paparan Anda di WhatsApp, yang bagi sebagian besar organisasi Indonesia adalah saluran yang lebih sibuk.

BSSN melaporkan sekitar 5,2 miliar anomali trafik internet yang mengarah ke Indonesia antara Januari hingga pertengahan November 2025, rata-rata sekitar 182 per detik. Dari jumlah itu, 93,78 persen dikategorikan sebagai aktivitas malware. Perhatikan asal sumbernya: angka-angka ini adalah pernyataan resmi BSSN yang dilaporkan melalui media Indonesia pada Desember 2025, bukan angka yang diambil dari publikasi BSSN. Pada saat tulisan ini dibuat, laporan Lanskap Keamanan Siber BSSN yang terakhir diterbitkan mencakup tahun 2024.

Keluarga malware yang paling sering terdeteksi pada 2025 adalah Mirai Botnet, disusul Remcos RAT dan trojan generik. BSSN juga menyoroti pelaku yang memakai AI agar phishing lebih meyakinkan, termasuk deepfake suara, video palsu, dan pesan yang dipersonalisasi.

Perhatikan apa yang diberitahukan dan tidak diberitahukan angka ini. Ini telemetri tingkat jaringan, sehingga ia mengukur volume serangan terhadap Indonesia, bukan seberapa sering karyawan Indonesia terperdaya phishing. Ia bukti paparan, bukan bukti kerentanan, dan mencampuradukkan keduanya menghasilkan pelaporan direksi yang tidak tahan pertanyaan lanjutan.

Data global mengatakan sebagian besar pembobolan berjalan melalui manusia, dan bahwa pelaku beranjak dari email. Data Indonesia mengatakan volume yang diarahkan ke negara ini sangat besar dan didominasi malware, dipimpin satu keluarga botnet dan trojan. Keduanya konsisten, dan bersama-sama menunjuk ke satu tempat yang spesifik.

Mirai merekrut perangkat ke dalam botnet, dan trojan memerlukan seseorang untuk memasangnya. Di Indonesia mekanisme pengantaran dominan bagi pemasangan itu adalah APK Android berbahaya yang diedarkan lewat WhatsApp, menyamar sebagai undangan, resi, atau dokumen pajak. Di situlah telemetri nasional dan risiko manusia sesungguhnya bertemu.

Implikasi praktisnya, program kesadaran yang hanya email berarti mengukur saluran yang salah. Bila telemetri nasional didominasi malware yang rute pengantaran konsumen utamanya adalah aplikasi pesan, maka kerentanan WhatsApp dan SMS bukan pertimbangan lanjutan, melainkan ukuran dasarnya.

Mengingat kesenjangan itu, pendekatan yang dapat dipertanggungjawabkan adalah ukuran dasar internal alih-alih angka pinjaman. Jalankan kampanye dasar tanpa pemberitahuan dalam Bahasa Indonesia, memakai skenario yang diambil dari apa yang beredar lokal alih-alih template Inggris terjemahan, dan catat tingkat klik, penyerahan data, serta pelaporan secara terpisah.

Segmentasikan sebelum membandingkan. Satu persentase tunggal seluruh organisasi menyembunyikan sebaran yang justru penting, yang biasanya terkonsentrasi pada departemen dan peran tertentu. Pantau trennya melintasi setidaknya tiga kampanye, sebab satu kampanye adalah pengukuran dan tiga kampanye adalah arah.

Kemudian definisikan metrik Anda secara tertulis dan jaga definisinya tetap. Apakah membuka email dihitung, apakah pelaporan mengurangi angka klik, dan bagaimana pengklik berulang diberi bobot, semuanya mengubah angkanya. Definisi internal yang terdokumentasi dan ditrenkan selama empat kuartal lebih dapat dipertanggungjawabkan kepada pengawas daripada benchmark eksternal mana pun yang dapat Anda kutip.

Angka faktor manusia dan simulasi global pada halaman ini berasal dari Verizon Data Breach Investigations Report 2026, dokumen primer terbitan resmi yang mencakup lebih dari 31.000 insiden keamanan dan lebih dari 22.000 pembobolan terkonfirmasi di 145 negara. Kutiplah langsung: Verizon, 2026 Data Breach Investigations Report, terbit 2026, di verizon.com/business/resources/reports/dbir. Bagian per industri di dalamnya adalah tempat yang tepat untuk mencari rincian sektor jasa keuangan.

Angka volume ancaman Indonesia menuntut kutipan yang lebih hati-hati, sebab angka 2025 belum muncul dalam publikasi BSSN. Angka itu adalah pernyataan resmi BSSN yang dibawa media Indonesia pada Desember 2025. Bila Anda memerlukan dokumen BSSN yang dapat dikutip alih-alih pernyataan pers, edisi terakhir yang diterbitkan adalah Lanskap Keamanan Siber Indonesia 2024, dikeluarkan BSSN bersama Id-SIRTII/CC pada Februari 2025, di bssn.go.id. Edisi 2025 diperkirakan menyusul, dan utamakan edisi itu dibanding halaman ini begitu tersedia.

Perbedaan ini lebih menentukan daripada yang tampak. Pernyataan resmi yang dilaporkan pers memang otentik dan dapat diatribusikan, tetapi ia bukan dokumen dengan metodologi yang dinyatakan, dan pengawas atau auditor wajar menanyakan mana yang Anda jadikan rujukan. Bila kami hanya dapat menjangkau sebuah angka melalui pelaporan sekunder, kami menyatakannya di halaman ini alih-alih menyajikannya seolah kami telah membaca sumber primernya.