Simulasi Phishing untuk Karyawan dengan GoPhish

Simulasi phishing adalah latihan terkendali: tim keamanan atau IT mengirim email tiruan ke karyawan, lalu mencatat siapa yang membuka, mengklik, mengisi data, dan melapor. Tujuannya bukan menangkap orang yang salah, melainkan mengukur kebiasaan dan melatihnya sebelum penipu sungguhan datang.

Ada dua cara gagal. Tanpa latihan, tim hanya mengenal phishing dari teori, padahal pelaku menyesuaikan pesan dengan konteks kantor. Sebaliknya, simulasi yang dijalankan sembarangan, misalnya menjanjikan bonus palsu lalu mempermalukan yang tertipu, bisa merusak kepercayaan karyawan pada tim IT dan membuat mereka enggan melapor.

Apa itu GoPhish dan bagaimana bagiannya bekerja?

GoPhish adalah kerangka kerja simulasi phishing open source yang ditulis dengan bahasa Go. Aplikasinya berjalan sebagai satu program dengan panel admin berbasis web, sehingga bisa dipasang di server Linux kecil atau VPS.

Komponen utama

Di panel GoPhish, sebuah kampanye disusun dari beberapa bagian:

• Sending Profiles: pengaturan server SMTP untuk mengirim email simulasi.
• Email Templates: isi email tiruan, termasuk tautan pelacak yang dibuat otomatis.
• Landing Pages: halaman yang terbuka setelah tautan diklik, misalnya halaman login tiruan atau langsung halaman edukasi.
• Users & Groups: daftar penerima, bisa diimpor dari file CSV.
• Campaigns: gabungan semuanya, dengan jadwal kirim dan laporan hasil.

Apa yang dicatat

GoPhish merekam peristiwa per penerima: email terkirim, dibuka, tautan diklik, dan data dikirim lewat formulir. Laporan dari karyawan juga bisa tercatat, asalkan disiapkan: dokumentasi GoPhish menjelaskan tautan pelaporan khusus per penerima, dan sejak versi 0.9.0 GoPhish bisa memeriksa kotak surat pelaporan lewat IMAP. Hasilnya tampil sebagai linimasa per penerima di halaman hasil kampanye dan bisa diekspor ke CSV.

Hal teknis yang perlu disiapkan

Menurut dokumentasi resminya, panel admin GoPhish secara bawaan hanya mendengarkan di 127.0.0.1:3333, sedangkan server halaman tujuan mendengarkan di port 80 pada semua antarmuka. Biarkan panel admin tetap lokal dan akses lewat tunnel SSH atau VPN. Sejak versi 0.10.1, password admin awal dibuat acak dan tampil di log saat pertama dijalankan, jadi segera ganti setelah login. Dasar pengamanan servernya ada di cara mengamankan VPS baru.

Untuk pengiriman, gunakan domain atau subdomain khusus simulasi dan atur SPF serta DKIM-nya, agar email tidak mampir ke folder spam dan tidak memakai domain utama perusahaan. Ironisnya, bila domain perusahaanmu sudah memakai DMARC p=reject dengan benar, email simulasi yang memalsukan domain itu justru akan ditolak, dan itu tanda perlindunganmu bekerja. Cara kerjanya dibahas di SPF, DKIM, DMARC untuk anti-spoofing. Bila memakai layanan email kantor, minta admin email memasukkan server simulasi ke daftar izin sesuai dokumentasi penyedianya.

Izin dan etika sebelum kampanye pertama

Simulasi phishing harus dijalankan dengan sepengetahuan dan persetujuan tertulis dari pimpinan, idealnya juga melibatkan HR dan bagian hukum. Karyawan tidak perlu tahu jadwal persisnya, tapi sebaiknya tahu bahwa perusahaan menjalankan program latihan keamanan.

Hindari juga tema yang menyakitkan atau manipulatif secara emosional, seperti pengumuman PHK, bonus, kenaikan gaji, atau kabar duka. Pelaku sungguhan memang memakai tema seperti itu, tapi memakainya di latihan internal membuat karyawan merasa dikhianati.

Merancang kampanye dan membaca metriknya

Mulai dari yang mudah

Kampanye pertama sebaiknya memakai tanda yang cukup jelas: pengirim dari domain aneh, sapaan umum, atau tautan yang tidak cocok dengan teksnya. Ini menjadi garis dasar. Kampanye berikutnya dinaikkan tingkat kesulitannya, misalnya meniru notifikasi layanan yang memang dipakai kantor.

Variasikan per bagian

Bagian keuangan lebih sering diincar dengan invoice dan perubahan rekening, seperti modus di business email compromise. Tim lain lebih cocok diuji dengan notifikasi berbagi dokumen atau reset password. Isi kolom "Send Emails By" saat membuat kampanye, sehingga GoPhish menyebar pengiriman merata sampai tanggal itu dan karyawan tidak menerima email bersamaan lalu saling mengabari.

Metrik yang benar-benar berguna

Mengapa pelaporan lebih penting dari klik? Dalam serangan sungguhan, satu laporan cepat memungkinkan tim IT menghapus email yang sama dari kotak masuk orang lain. Organisasi dengan tingkat klik rendah tapi tidak ada yang melapor tetap rentan.

Kapan memakai GoPhish, kapan layanan berbayar?

GoPhish cocok bila tim punya orang yang nyaman mengelola server, ingin kendali penuh atas data, dan jumlah karyawan masih bisa dikelola dengan impor CSV. Biayanya terutama berupa waktu dan server kecil.

Layanan simulasi berbayar lebih masuk akal bila tidak ada tim teknis, butuh modul pelatihan siap pakai dalam bahasa Indonesia, integrasi langsung dengan direktori pengguna, atau laporan kepatuhan yang sudah terformat. Keduanya sah. Yang paling menentukan tetap desain kampanye dan tindak lanjutnya, bukan alatnya.

Mengubah hasil menjadi pelatihan

Halaman tujuan terbaik adalah halaman edukasi singkat: "Ini simulasi. Berikut tiga tanda yang bisa kamu kenali di email tadi." Pelajaran yang diberikan saat itu juga lebih mudah diingat daripada pelatihan berbulan-bulan kemudian.

Setelah kampanye, bagikan hasil secara agregat per bagian, bukan per nama. Rayakan peningkatan pelaporan. Bagi karyawan yang berulang kali tertipu, tawarkan sesi singkat empat mata, bukan teguran. Materi dasarnya bisa diambil dari cara mengenali phishing.

Ulangi secara berkala, misalnya per kuartal, dengan tema berganti. Kebiasaan baru terbentuk dari pengulangan, bukan dari satu kali kejutan.