Modus Invoice Palsu dalam Business Email Compromise
Email dari pemasok minta transfer ke rekening baru? Pahami modus BEC, domain tiruan, aturan kotak masuk tersembunyi, dan prosedur verifikasi tim keuangan.
Jawaban singkat
Business Email Compromise (BEC) adalah penipuan yang menyusup ke percakapan email bisnis, lalu meminta pembayaran ke rekening pelaku lewat invoice dengan rekening baru. Pencegahan terbaiknya adalah prosedur: setiap perubahan rekening wajib dikonfirmasi lewat telepon ke nomor yang sudah tercatat.
Daftar isi
Sore menjelang tutup buku, bagian keuangan menerima email dari pemasok langganan. Isinya sopan dan wajar: invoice bulan ini terlampir, dan karena ada "audit rekening", pembayaran mohon dialihkan ke rekening baru. Alamat pengirimnya terlihat sama, gaya bahasanya sama, bahkan nomor invoice-nya melanjutkan urutan yang lalu. Transfer dilakukan. Dua minggu kemudian pemasok asli menagih, dan uangnya sudah berpindah ke rekening lain.
Itulah Business Email Compromise (BEC). Pelakunya tidak membobol rekening bank. Ia cukup meyakinkan orang yang berwenang untuk mentransfer sendiri, lewat email yang di permukaan tidak ada salahnya.
Apa yang membuat BEC sulit dikenali?
Phishing biasa sering terlihat asal-asalan. BEC kebalikannya: pelaku sabar, mempelajari korban, dan menunggu momen yang tepat. Email penipuannya sering tidak berisi tautan atau lampiran berbahaya sama sekali, sehingga lolos dari filter yang mencari malware.
Variasinya juga beragam. Selain invoice pemasok, ada email yang mengaku direktur dan meminta transfer rahasia untuk "proyek akuisisi", permintaan mengganti rekening gaji karyawan yang dikirim ke bagian HR, atau permintaan membeli voucher dan kartu hadiah untuk "klien". Semuanya punya pola yang sama: permintaan uang atau data, alasan yang terdengar masuk akal, dan desakan agar tidak dikonfirmasi ke orang lain.
Kekuatannya ada pada konteks. Pelaku tahu nama pemasok, besaran tagihan rutin, siapa yang menyetujui pembayaran, bahkan kebiasaan menulis salam penutup. Informasi seperti itu didapat dengan dua cara: mengamati dari luar, atau benar-benar masuk ke kotak email salah satu pihak.
Tiga cara pelaku menyamar
Domain tiruan. Pelaku mendaftarkan domain yang sangat mirip dengan milik pemasok atau perusahaanmu sendiri. Bedanya bisa satu huruf, huruf yang ditukar, tambahan tanda hubung, atau akhiran domain lain. Di layar HP, perbedaan seperti ini nyaris tidak terlihat. Kadang pelaku cukup memakai nama tampilan yang benar dengan alamat email gratisan, karena banyak aplikasi email hanya menampilkan nama.
Spoofing alamat pengirim. Bila domain perusahaan belum dilindungi SPF, DKIM, dan DMARC dengan kebijakan yang tegas, pelaku bisa mengirim email yang tampak berasal dari domain asli. Cara menutup celah ini dibahas di SPF, DKIM, DMARC untuk anti-spoofing.
Kotak email yang benar-benar dibobol. Ini varian paling berbahaya. Pelaku mendapat password salah satu karyawan, biasanya lewat halaman login palsu, lalu membaca percakapan yang sedang berjalan dan membalas dari akun asli. Tidak ada domain aneh yang bisa dicurigai.
Aturan kotak masuk: jejak yang sering terlewat
Setelah masuk ke sebuah akun email, pelaku biasanya membuat aturan (rule atau filter) agar aksinya tidak ketahuan. Contohnya, setiap email yang mengandung kata "invoice", "pembayaran", atau nama pemasok tertentu otomatis dipindahkan ke folder yang jarang dibuka, atau langsung ke sampah. Ada juga aturan yang meneruskan salinan semua email ke alamat luar.
Akibatnya, balasan pemasok asli yang mempertanyakan rekening baru tidak pernah dibaca oleh pemilik akun. Pelaku leluasa melanjutkan percakapan.
Karena itu, saat ada kecurigaan, periksa bagian pengaturan aturan dan penerusan di akun email yang terlibat, juga daftar perangkat atau sesi yang sedang masuk. Aturan yang tidak pernah dibuat pemilik akun adalah tanda kuat akun sudah diambil alih. Langkah berikutnya: ganti password dari perangkat yang bersih, keluarkan semua sesi, hapus aturan asing, dan aktifkan verifikasi dua langkah. Pilihan metodenya dijelaskan di checklist 2FA akun bisnis.
Prosedur verifikasi untuk tim keuangan
Filter email dan autentikasi domain membantu, tapi BEC pada dasarnya menipu manusia, jadi penangkalnya juga prosedur yang dijalankan tanpa pengecualian. Tabel berikut bisa dijadikan dasar SOP internal.
| Situasi | Tindakan wajib | Yang tidak boleh |
|---|---|---|
| Pemasok minta ganti nomor rekening | Telepon ke nomor yang sudah tercatat sebelumnya, minta konfirmasi lisan dan surat resmi | Membalas email yang sama atau menelepon nomor di email itu |
| Atasan minta transfer mendesak lewat email atau chat | Konfirmasi langsung lewat saluran lain, tatap muka atau telepon ke nomor kantor | Melewati persetujuan karena alasan "rahasia" atau "sedang rapat" |
| Invoice dengan nominal atau format berbeda | Cocokkan dengan pesanan, kontrak, dan histori pembayaran | Membayar hanya karena nomor invoice terlihat berurutan |
| Pembayaran pertama ke rekening baru | Persetujuan dua orang dan transfer uji kecil yang dikonfirmasi penerima | Satu orang menyetujui dan mengeksekusi sendiri |
| Ada tanda akun email dibobol | Hentikan semua pembayaran yang sedang diproses, beri tahu pemasok dan bank | Menunggu sampai yakin baru melapor |
Inti dari semua baris di atas sama: verifikasi lewat saluran yang berbeda dari saluran permintaan. Bila permintaan datang lewat email, konfirmasi lewat telepon ke nomor yang sudah ada di data perusahaan. Bila permintaan datang lewat chat, konfirmasi lewat email resmi atau telepon kantor.
Beri juga perlindungan bagi staf. Karyawan yang menunda transfer karena sedang memverifikasi tidak boleh dimarahi, termasuk bila permintaan itu ternyata asli dari direktur. Pelaku BEC memang sengaja memakai tekanan waktu dan jabatan, jadi budaya yang menghargai pengecekan adalah bagian dari pertahanan.
Bila transfer sudah terlanjur terjadi
Waktu sangat menentukan. Segera hubungi bank pengirim lewat jalur resmi, jelaskan bahwa transfer terjadi karena penipuan, dan minta upaya penahanan dana di bank penerima. Simpan semua email asli lengkap dengan header-nya, karena header menunjukkan dari server mana email benar-benar dikirim. Beri tahu pemasok asli, karena bisa jadi akun merekalah yang dibobol dan pelanggan lain ikut menjadi sasaran. Setelah itu, laporkan ke pihak berwenang dengan membawa bukti.
Pola penyamarannya mirip dengan phishing umum, sehingga pelatihan mengenali tanda di cara mengenali phishing tetap berguna untuk seluruh tim, bukan hanya bagian keuangan.
Kalau hanya satu hal yang bisa kamu terapkan minggu ini, tulis aturan bahwa setiap perubahan rekening dikonfirmasi lewat telepon ke nomor yang sudah tercatat, lalu minta semua orang di bagian keuangan menandatanganinya. Pengamanan domain dan akun email bisa menyusul, tapi aturan itulah yang memotong jalur uang ke pelaku.
