Apa Itu Vishing (Voice Phishing) dan Cara Mensimulasikannya

Vishing, singkatan dari voice phishing, adalah serangan rekayasa sosial yang dilakukan melalui panggilan telepon, bukan melalui email atau pesan teks. Penyerang menyamar sebagai pihak yang dapat dipercaya, perwakilan bank, kurir, petugas dukungan IT, atau pejabat pemerintah, lalu menggunakan percakapan tersebut untuk menggali informasi sensitif, mendorong korban melakukan pembayaran yang curang, atau membujuknya memasang perangkat lunak akses jarak jauh. Berbeda dengan phishing email, vishing terjadi secara real-time, yang mengubah dinamika serangan secara signifikan.

Elemen real-time itulah yang membuat vishing efektif. Email phishing bisa dibaca ulang, diteruskan ke rekan kerja, atau dibiarkan tanpa balasan sambil dipikirkan matang-matang. Panggilan telepon tidak memberi ruang untuk jeda seperti itu. Penelepon mengendalikan tempo percakapan, menyisipkan rasa urgensi, memanfaatkan kesan otoritas, dan membaca keraguan target secara langsung sehingga bisa menyesuaikan pendekatannya saat itu juga. Dipadukan dengan dalih yang masuk akal, tekanan langsung ini memotong momen keraguan yang biasanya membuat seseorang berhenti dan memverifikasi terlebih dahulu.

Vishing jarang berdiri sendiri. Penyerang sering memadukan panggilan telepon dengan email atau pesan teks sebelumnya agar panggilan lanjutan terasa memang ditunggu, atau memalsukan caller ID sehingga nomor terlihat berasal dari organisasi yang sah. Pendekatan berlapis ini berarti organisasi yang hanya melatih karyawan mengenali email mencurigakan masih meninggalkan celah pertahanan yang cukup besar, karena orang yang benar melaporkan email phishing pun tetap bisa patuh pada suara yang percaya diri di ujung telepon.

Salah satu pola vishing yang paling sering dilaporkan di Indonesia adalah penelepon yang menyamar sebagai call center bank, mengklaim ada transaksi mencurigakan pada rekening korban dan meminta konfirmasi identitas dengan membacakan kode OTP yang baru saja masuk lewat SMS. Karena skenario ini meniru proses peringatan penipuan yang memang digunakan oleh bank, pola ini meyakinkan justru karena mengambil bentuk interaksi yang sah.

Pola umum kedua adalah seseorang yang mengaku sebagai kurir atau jasa pengiriman, menelepon soal paket yang konon tidak bisa dikirim tanpa biaya tambahan atau tautan yang harus diklik untuk menjadwalkan ulang pengiriman. Pola ini efektif karena belanja daring dan pengiriman barang sudah menjadi rutinitas sehari-hari kebanyakan orang, sehingga dalih tersebut tidak perlu usaha khusus untuk terasa masuk akal.

Pola ketiga adalah penelepon yang mengaku dari kantor pajak atau instansi pemerintah lain, mengklaim adanya tunggakan atau masalah hukum yang membutuhkan tindakan segera. Pola ini sangat mengandalkan tekanan otoritas. Organisasi perlu berasumsi bahwa karyawan bisa menerima panggilan seperti ini di ponsel pribadi terlepas dari kontrol apa pun di tempat kerja, dan bahwa jalur telepon korporat pun menjadi target, misalnya penyerang yang menyamar sebagai helpdesk IT internal untuk membujuk karyawan mereset kata sandi atau membacakan kode autentikasi multifaktor.

Simulasi vishing harus dimulai dengan persetujuan tertulis dan ruang lingkup yang jelas sebelum satu panggilan pun dilakukan. Artinya, menyepakati departemen atau peran mana yang termasuk dalam lingkup, apa yang boleh diminta oleh penelepon simulasi, daftar pengecualian untuk individu atau nomor sensitif, dan jalur eskalasi bila terjadi sesuatu yang tidak biasa selama pengujian, misalnya peserta bereaksi seolah situasi tersebut adalah keadaan darurat sungguhan.

Setelah ruang lingkup disepakati, langkah berikutnya adalah membangun skrip yang realistis namun aman. Skrip vishing yang baik disusun sebagai pohon keputusan: kalimat pembuka yang menetapkan dalih, cabang yang menyesuaikan berdasarkan respons target, dan tahap permintaan data yang berhenti sebelum benar-benar mengumpulkan apa pun, diikuti pengungkapan di akhir panggilan yang menjelaskan bahwa itu adalah simulasi. Pembuat skrip vishing Claro mendukung struktur ini secara langsung, dengan node pembuka, cabang, permintaan data, dan hasil, yang memungkinkan tim keamanan merancang alur panggilan sekali dan menggunakannya kembali di seluruh kampanye.

Tim juga perlu memilih antara penyampaian otomatis dan terpandu. Panggilan otomatis, dengan suara rekaman atau sintetis yang mengikuti pohon skrip dan mencatat hasilnya, cocok untuk kampanye kesadaran yang luas dan berisiko lebih rendah ke seluruh tenaga kerja. Panggilan terpandu, dengan anggota tim langsung menjalankan skrip secara real-time, lebih sesuai untuk pengujian yang lebih kecil dan bernilai tinggi, misalnya memeriksa apakah tim keuangan mengikuti proses verifikasinya sendiri sebelum menyetujui permintaan transfer yang diterima lewat telepon.

Setiap panggilan simulasi sebaiknya diklasifikasikan ke dalam satu hasil, patuh, menolak, melaporkan, tidak menjawab, voicemail, kepatuhan sebagian, atau menutup telepon langsung, bukan disederhanakan menjadi lulus atau tidak lulus semata. Tingkat kepatuhan saja adalah ukuran yang sempit. Tenaga kerja dengan tingkat kepatuhan lebih rendah namun hampir tidak ada yang melaporkan panggilan mencurigakan sebenarnya berada dalam posisi yang lebih lemah dibanding tenaga kerja dengan tingkat kepatuhan serupa namun tingkat pelaporan yang tinggi, karena pelaporan itulah yang benar-benar memperpendek jendela paparan organisasi saat serangan sungguhan terjadi.

Siapa pun yang patuh pada panggilan simulasi sebaiknya segera menerima materi pelatihan singkat dan spesifik, bukan beberapa hari kemudian. Ingatan tentang panggilan tersebut masih segar, dan itulah momen di mana penjelasan singkat tentang tanda bahaya yang terlewat benar-benar akan melekat.

Terakhir, hasil vishing sebaiknya masuk ke dalam gambaran pelaporan dan risiko yang sama dengan simulasi email dan lainnya, bukan berdiri sendiri dalam spreadsheet terpisah. Memantau tren kepatuhan dan pelaporan di kampanye-kampanye berulang, serta memasukkan hasil tersebut ke profil risiko keseluruhan setiap individu, mengubah simulasi vishing menjadi bagian dari program kesadaran yang berkelanjutan, bukan latihan sekali jalan yang terlupakan begitu laporannya diarsipkan.