Email Phishing Adalah: Ciri, Contoh & Cara Mengeceknya

Saat sebuah email masuk, hal pertama yang kita lihat adalah nama pengirimnya. "Bank Nasional", "Tim Keamanan Akun", atau "Bagian Keuangan" tampil paling menonjol di daftar kotak masuk. Dari situlah kita memutuskan apakah pesan tersebut layak dipercaya. Masalahnya, nama itu hanyalah teks bebas yang diisi sendiri oleh pengirim, dan tidak ada sistem yang memeriksanya sebelum email sampai ke layar Anda.

Celah inilah yang dimanfaatkan email phishing. Protokol pengiriman email dirancang pada awal 1980-an, ketika jaringan komputer masih kecil dan penggunanya saling mengenal. Verifikasi identitas pengirim tidak pernah menjadi bagian dari rancangan aslinya, dan warisan itu masih kita pakai sampai sekarang. Pada artikel ini kita akan membahas apa itu email phishing dan kenapa alamat pengirim mudah dipalsukan. Setelah itu masuk ke ciri, contoh, serta cara memeriksa sendiri keaslian sebuah email lewat header-nya.

Email Phishing Adalah Apa?

Email phishing adalah upaya penipuan lewat surat elektronik yang menyamar sebagai pihak tepercaya. Tujuannya memancing penerima menyerahkan data sensitif atau melakukan tindakan yang merugikan dirinya sendiri. Data yang diincar umumnya nama pengguna dan kata sandi, kode OTP, nomor kartu kredit, atau persetujuan transfer dana pada kasus yang menyasar perusahaan.

Email adalah kanal tertua sekaligus yang paling sering dipakai untuk penipuan phising. Alasannya sederhana: biaya pengiriman nyaris nol, dan email masih menjadi kunci pemulihan hampir semua akun digital. Siapa pun yang menguasai kotak masuk Anda dapat mereset kata sandi layanan lain yang terhubung ke sana.

Perlu dibedakan dari spam. Spam adalah email massal yang tidak Anda minta, umumnya berisi promosi, dan sifatnya mengganggu. Email phishing juga biasanya dikirim massal, tetapi tujuannya bukan menawarkan melainkan mencuri. Setiap email phishing tergolong spam, sedangkan sebagian besar spam bukan phishing.

Skalanya tidak kecil. OJK bersama Indonesia Anti-Scam Centre mencatat Rp9,1 triliun kerugian penipuan transaksi keuangan sejak 2024 sampai Januari 2026.

Kenapa Alamat Pengirim Email Mudah Dipalsukan

Kuncinya ada pada satu fakta teknis: sebuah email membawa dua "alamat pengirim" yang berbeda, dan keduanya tidak wajib sama.

Alamat pertama ditulis di dalam percakapan antar server dan disebut envelope sender. Alamat kedua adalah header From, dan inilah yang ditampilkan aplikasi email Anda. Protokol SMTP yang menangani pengiriman tidak pernah mewajibkan keduanya cocok. Server penerima menerima apa pun yang ditulis di header From, lalu menampilkannya apa adanya.

Praktik memalsukan alamat pengirim ini disebut email spoofing. Spoofing dan phishing bukan hal yang sama: spoofing adalah tekniknya, phishing adalah tujuannya. Sebagian besar email phishing memakai spoofing, tetapi spoofing juga dipakai untuk menyamarkan pengirim spam biasa.

Untuk menambal celah ini, komunitas internet membangun tiga lapis autentikasi yang dipasang pemilik domain:

1. SPF (Sender Policy Framework): daftar alamat IP server yang berhak mengirim email atas nama sebuah domain.
2. DKIM (DomainKeys Identified Mail): tanda tangan kriptografis yang disisipkan ke header email dan bisa diverifikasi oleh server penerima.
3. DMARC (Domain-based Message Authentication, Reporting and Conformance): kebijakan yang menentukan apa yang harus dilakukan server penerima bila SPF atau DKIM gagal, sekaligus mengirim laporan ke pemilik domain.

Ketiganya efektif, tetapi hanya bekerja jika domain yang ditiru memasangnya dengan benar. Domain yang tidak memasang DMARC praktis terbuka untuk dipalsukan siapa saja.

Anatomi Email Phishing: Lima Lapis Penyamaran

Satu email phishing yang meyakinkan biasanya memanipulasi lima bagian sekaligus. Mengenali lapisannya satu per satu jauh lebih berguna daripada menghafal daftar peringatan umum.

Lima bagian email yang dipalsukan pelaku phishing: nama tampilan, alamat pengirim, subjek, tautan, dan lampiran.

Pertama, nama tampilan. Bagian paling menonjol di kotak masuk sekaligus yang paling mudah dipalsukan. Pelaku cukup mengatur namanya menjadi "Layanan Pelanggan BNI", meski alamat aslinya promo294@mail-service.xyz. Pada layar ponsel, banyak aplikasi email hanya menampilkan nama tanpa alamatnya.

Kedua, alamat pengirim. Bila nama saja dirasa kurang, pelaku mendaftarkan domain mirip: bni-verifikasi.com, bni.co.id.secure-login.net, atau bnl.co.id yang mengganti huruf i dengan L kecil. Teknik yang lebih halus memakai huruf dari aksara lain yang bentuknya identik, misalnya "а" Sirilik menggantikan "a" Latin. Peramban modern menampilkan domain semacam ini dalam bentuk sandi Punycode agar ketahuan, tetapi banyak aplikasi email masih merendernya sebagai huruf biasa.

Ketiga, isi dan subjek. Tujuannya memicu tindakan cepat sebelum penerima sempat berpikir. Polanya berkisar pada rasa takut ("akun Anda akan ditutup dalam 24 jam"), kewajiban ("tagihan belum dibayar"), atau otoritas ("mohon diproses hari ini juga").

Keempat, tautan. Teks tautan yang tampak dan alamat tujuannya adalah dua hal terpisah. Tulisan www.bni.co.id bisa mengarah ke alamat mana saja. Pada komputer, arahkan kursor ke tautan tanpa mengeklik untuk melihat alamat aslinya di pojok bawah peramban.

Kelima, lampiran atau kode QR. Lampiran berisi berkas berbahaya sudah lama dikenal, sehingga penyaring email menahannya cukup baik. Karena itu pelaku beralih ke kode QR yang ditempel sebagai gambar. Penyaring tidak membaca isi gambar, dan korban memindainya dengan ponsel pribadi yang jarang dilindungi sistem keamanan kantor. Teknik ini melonjak dari sekitar 7,6 juta menjadi 18,7 juta insiden sepanjang kuartal pertama 2026.

Jenis Email Phishing: Dari Tebar Jala sampai Tembak Sasaran

Pembeda utama antar jenis bukan pada isinya, melainkan pada seberapa banyak pelaku tahu tentang Anda sebelum menekan tombol kirim.

1. Phishing massal: dikirim ke ratusan ribu alamat tanpa penyesuaian, mengatasnamakan merek besar. Keberhasilannya rendah, tetapi volumenya menutupi itu.
2. Spear phishing: ditujukan ke satu orang atau satu tim, memakai informasi nyata seperti nama atasan, nama proyek, atau vendor perusahaan Anda. Versi yang menyasar direksi disebut whaling.
3. Pembajakan komunikasi bisnis (Business Email Compromise): pelaku menyusup atau meniru akun internal, lalu meminta perubahan nomor rekening pembayaran. Tanpa tautan maupun lampiran berbahaya, penyaring email jarang menahannya. Volumenya naik 54% pada paruh pertama 2025 dibanding 2023.
4. Phishing kode QR: alamat berbahaya disembunyikan di dalam gambar kode QR, sehingga tidak terbaca manusia maupun sebagian besar penyaring.

Ciri-Ciri Email Phishing yang Masih Bekerja di 2026

Ciri-ciri dari email phishing adalah pesan tanpa diminta, tekanan waktu, domain pengirim yang tidak persis, dan tautan yang tujuannya berbeda dari teksnya.

Perhatikan bahwa daftar itu tidak memuat "bahasa berantakan dan banyak salah ketik". Patokan lama tersebut kini justru menyesatkan. Laporan Hoxhunt pada Maret 2026 mencatat porsi email phishing yang disusun dengan bantuan kecerdasan buatan melonjak dari kurang dari 5% menjadi 56% per Desember 2025. Email hasil susunan mesin rapi, sopan, dan tanpa salah ejaan.

Yang tetap bertahan adalah ciri struktural — hal yang tidak bisa dihilangkan pelaku tanpa membatalkan tujuan serangannya:

1. Pesan datang tanpa Anda minta lebih dulu: Anda tidak sedang mereset kata sandi, tetapi ada email verifikasi kata sandi masuk. Ini penanda paling kuat.
2. Ada tenggat waktu yang menekan: lembaga resmi jarang memberi batas waktu beberapa jam untuk urusan akun, apalagi disertai ancaman penutupan.
3. Domain pengirim tidak persis sama: perhatikan bagian tepat sebelum ekstensi domain. Pada bni.co.id.secure-login.net, pemilik sebenarnya adalah secure-login.net.
4. Tujuan tautan berbeda dari teksnya: teks menampilkan alamat resmi, tetapi alamat tujuannya lain sama sekali.
5. Balasan diarahkan ke alamat lain: header Reply-To menunjuk alamat berbeda dari pengirim, sehingga balasan Anda mendarat di kotak masuk pelaku.
6. Meminta data yang tidak pernah diminta lewat email: bank, penyedia layanan, dan instansi pemerintah tidak pernah meminta kata sandi maupun kode OTP melalui email.

Satu catatan penting untuk poin terakhir: kode OTP tidak pernah dibutuhkan pihak mana pun selain Anda sendiri. Siapa pun yang memintanya, dengan alasan apa pun, sedang menipu.

Contoh Email Phishing dan Bedah Kasusnya

Berikut tiga contoh yang mewakili modus yang paling sering ditemui. Perhatikan bahwa isinya masuk akal — yang menjadi penanda justru detail di sekelilingnya.

Contoh pertama — domain kedaluwarsa.

Dari:     Notifikasi Domain <billing@domain-renewal-id.com>
Subjek:   [PENTING] Domain tokosaya.co.id kedaluwarsa dalam 2 hari
Isi:      Perpanjang sekarang untuk menghindari penghapusan permanen.
          [Perpanjang Domain] → https://renewal-portal.xyz/login?d=tokosaya

Nama domain Anda memang benar — data pendaftaran domain bersifat publik. Penandanya: pengirim bukan registrar tempat Anda mendaftar, dan tautannya menuju domain yang tidak berhubungan dengan penyedia mana pun.

Contoh email phishing perpanjangan domain dengan penanda pengirim palsu, tekanan waktu, dan tautan tidak cocok.

Contoh kedua — tagihan palsu.

Dari:     Finance <no-reply@invoice-portal.net>
Reply-To: finance.dept@mail-corp.info
Subjek:   Invoice #INV-2026-0731 jatuh tempo hari ini
Lampiran: Invoice_0731.pdf (berisi gambar kode QR)

Dua penanda sekaligus. Alamat pada Reply-To berbeda dari pengirim, dan lampirannya berupa berkas PDF yang isinya hanya kode QR — pola khas untuk menyelundupkan alamat berbahaya melewati penyaring.

Contoh ketiga — permintaan dari atasan.

Dari:     Budi Santoso <b.santoso@perusahaan-anda.co>
Subjek:   Tolong bantu sebentar
Isi:      Saya sedang rapat dan tidak bisa ditelepon. Tolong proses
          pembayaran vendor ke rekening baru terlampir, hari ini juga.

Ini pola pembajakan komunikasi bisnis. Tidak ada tautan dan tidak ada lampiran berbahaya, jadi penyaring melewatkannya. Penandanya ada pada ekstensi domain: perusahaan memakai .co.id, sedangkan email ini datang dari .co. Ditambah alasan yang menutup jalur verifikasi ("tidak bisa ditelepon") dan tekanan waktu.

Bila diringkas, inilah perbedaan email asli dan email phishing pada titik-titik yang paling menentukan:

Cara Mengecek Keaslian Email lewat Header

Semua ciri di atas tetap bertumpu pada penilaian mata. Ada cara yang lebih objektif: membaca header email, yaitu catatan teknis yang menyertai setiap pesan dan biasanya disembunyikan aplikasi email.

Di Gmail versi web, buka pesannya, klik ikon tiga titik di samping tombol Balas, lalu pilih Tampilkan yang asli. Di Outlook, buka pesan, klik menu tiga titik, lalu pilih Lihat dan Lihat detail pesan. Yang muncul adalah teks panjang, dan Anda hanya perlu empat baris darinya.

Baris terpenting bernama Authentication-Results. Isinya kira-kira seperti ini:

Authentication-Results: mx.google.com;
       spf=pass (google.com: domain of notif@bni.co.id designates
            203.0.113.25 as permitted sender)
       dkim=pass header.i=@bni.co.id
       dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=bni.co.id

Yang perlu Anda periksa hanya kata setelah tanda sama dengan. Nilai pass berarti pemeriksaan lolos, fail berarti gagal, dan none berarti domain pengirim tidak memasang pemeriksaan tersebut sama sekali. Perhatikan juga header.from pada baris DMARC — di situlah domain yang benar-benar diverifikasi tertulis.

Contoh header email dengan baris Authentication-Results, Return-Path, Reply-To, dan Received yang disorot.

Tiga baris lain yang layak dilihat:

• Return-Path: alamat sebenarnya yang dipakai server pengirim. Bila berbeda jauh dari From, itu petunjuk kuat adanya pemalsuan.
• Reply-To: alamat tujuan bila Anda menekan Balas. Alamat yang berbeda masih wajar untuk buletin, tetapi menjadi penanda kuat bila domainnya ikut berbeda pada email yang meminta pembayaran.
• Received: rantai server yang dilewati pesan, dibaca dari bawah ke atas. Baris paling bawah menunjukkan server tempat email itu benar-benar berasal.

Alur pemeriksaannya bisa Anda ringkas seperti berikut:

Diagram alur memeriksa apakah sebuah email asli atau phishing lewat SPF, DKIM, DMARC, dan kecocokan domain.

Tersedia juga layanan pemeriksa header email daring: Anda menempelkan seluruh teks header, dan hasilnya ditampilkan sebagai tabel. Perlu diingat, cara ini berarti membagikan alamat email dan jalur pengirimannya ke pihak ketiga.

Kelemahan Filter Email dan Hal yang Perlu Anda Pertimbangkan

Pemeriksaan header adalah alat terbaik yang tersedia untuk pengguna biasa, tetapi bukan jaminan mutlak.

Hasil pass hanya membuktikan domain, bukan identitas. Pelaku bisa mendaftarkan bni-verifikasi.com, memasang SPF, DKIM, dan DMARC dengan benar di sana, lalu mengirim email yang lolos ketiga pemeriksaan. Autentikasi menjawab "apakah pengirim benar pemilik domain ini?", bukan "apakah domain ini benar milik bank saya?".

Penyaring email tidak membaca gambar. Kode QR dan tangkapan layar berisi alamat berbahaya melewatinya tanpa hambatan. Inilah alasan teknik tersebut tumbuh secepat sekarang.

Pembajakan komunikasi bisnis nyaris tidak terdeteksi. Bila akun internal benar-benar dibobol, email berangkat dari server resmi dan lolos semua pemeriksaan. Yang menolong bukan indikator teknis, melainkan prosedur verifikasi berlapis untuk setiap perubahan rekening.

Memeriksa header tidak praktis untuk setiap email. Prosesnya memakan sekitar satu menit per pesan. Jadikan sebagai pemeriksaan lanjutan, khusus untuk email yang meminta tindakan menyangkut uang atau kredensial.

Cara Menghindari Email Phishing

Pertahanan yang bekerja bukan satu alat, melainkan beberapa kebiasaan yang konsisten:

1. Jangan masuk lewat tautan di email: buka aplikasi resmi atau ketik sendiri alamatnya di peramban. Kebiasaan ini saja menggugurkan sebagian besar serangan phishing.
2. Aktifkan verifikasi dua langkah di semua akun penting: dengan 2FA aktif, kata sandi yang bocor tidak cukup untuk membuka akun Anda. Prioritaskan aplikasi autentikator atau kunci keamanan fisik daripada kode lewat SMS.
3. Gunakan pengelola kata sandi: aplikasi ini hanya mengisi otomatis kredensial pada alamat yang benar-benar cocok. Kolom login yang tiba-tiba tidak terisi otomatis adalah peringatan yang lebih tepercaya daripada firasat.
4. Verifikasi lewat kanal terpisah: konfirmasi setiap permintaan transfer atau perubahan rekening lewat telepon ke nomor yang sudah Anda simpan, bukan nomor yang tertera di email itu.
5. Jangan memindai kode QR dari email: tidak ada lembaga resmi yang mengharuskan Anda memindai kode QR untuk mengakses akun.

Jika tautan sudah Anda klik dan data sudah dimasukkan, kecepatan bertindak menentukan besar kerugian. Dalam 15 menit pertama, ganti kata sandi akun terdampak dari perangkat lain dan aktifkan verifikasi dua langkah. Setelah itu periksa mutasi rekening, lalu hubungi bank untuk memblokir kartu bila ada transaksi asing.

Terakhir, laporkan emailnya. Di Gmail, buka menu tiga titik lalu pilih Laporkan phishing, sehingga penyaring mengenali kampanye serupa untuk pengguna lain. Bila kerugian sudah terjadi, laporan ke kanal resmi jauh lebih menentukan:

• Kerugian transaksi keuangan dilaporkan ke Indonesia Anti-Scam Centre di iasc.ojk.go.id. Siapkan data diri, bukti kepemilikan rekening, kronologi, dan bukti transaksi. Semakin cepat laporan masuk, semakin besar peluang dana ditahan sebelum berpindah rekening.
• Tautan atau situs palsu diadukan ke aduankonten.id, dan nomor telepon pelaku ke aduannomor.id.

Satu peringatan dari OJK yang perlu Anda ingat: pelaporan ke IASC hanya dilayani lewat alamat resmi di atas. Situs lain yang mengatasnamakan IASC justru penipuan lanjutan yang menyasar korban yang sedang panik.

Melindungi Domain Anda Sendiri agar Tidak Dipakai Menipu

Bagian ini untuk Anda yang memiliki domain sendiri. Domain tanpa autentikasi email dapat dipakai siapa saja untuk mengirim penipuan atas nama Anda, dan yang menanggung akibatnya adalah pelanggan Anda.

Tiga langkah berikut dipasang sebagai record TXT di pengaturan DNS domain:

Langkah #1: Pasang SPF

Daftarkan seluruh server yang berhak mengirim email atas nama domain Anda — server email hosting, layanan pengiriman massal, dan aplikasi yang mengirim notifikasi. Batasi jumlah rujukan include maksimal 10, karena melebihi itu membuat pemeriksaan SPF gagal.

Langkah #2: Aktifkan DKIM

Sebagian besar penyedia layanan email hosting sudah menyediakan kunci DKIM yang tinggal Anda salin ke DNS. Kunci ini menandatangani setiap email keluar, sehingga isinya terbukti tidak diubah di tengah jalan.

Langkah #3: Naikkan kebijakan DMARC secara bertahap

Mulai dari p=none selama sekitar 4 minggu untuk mengumpulkan laporan tanpa memblokir apa pun. Setelah yakin semua pengirim sah sudah lolos, naikkan ke p=quarantine selama 2 sampai 4 minggu, baru kemudian ke p=reject. Langsung memasang p=reject berisiko membuat email sah Anda sendiri ditolak.

Kebijakan p=reject dapat mengganggu email yang diteruskan otomatis atau dikirim lewat mailing list, karena proses penerusan mengubah struktur pesan sehingga SPF gagal. Kalau domain Anda banyak dipakai untuk milis internal, pastikan DKIM sudah aktif lebih dulu — tanda tangan DKIM bertahan melewati penerusan, sedangkan SPF tidak.

FAQ Seputar Email Phishing

Apa ciri umum dari email phishing? Ada empat yang paling bisa diandalkan. Pesan datang tanpa Anda minta lebih dulu, ada tekanan waktu, domain pengirim tidak persis sama dengan domain resmi, dan tujuan tautan berbeda dari teksnya. Ciri berupa bahasa berantakan sudah tidak bisa dipakai lagi.

Apakah berbahaya hanya membuka email phishing? Membukanya untuk dibaca pada aplikasi email modern umumnya aman. Bahaya muncul ketika Anda mengeklik tautan, mengunduh lampiran, memindai kode QR, atau membalas dengan data pribadi. Nonaktifkan pemuatan gambar otomatis bila ingin lebih berhati-hati, karena gambar dapat memberi tahu pengirim bahwa alamat Anda aktif.

Apa beda email phishing dan spam? Spam adalah email massal tidak diminta yang umumnya berisi promosi dan sifatnya mengganggu. Email phishing bertujuan mencuri data atau uang dengan menyamar sebagai pihak tepercaya. Semua email phishing tergolong spam, tetapi sebagian besar spam bukan phishing.

Bagaimana cara mengecek apakah sebuah email asli? Buka header pesannya lewat menu "Tampilkan yang asli" di Gmail, lalu periksa baris Authentication-Results. Pastikan SPF, DKIM, dan DMARC bernilai pass, dan header.from menunjukkan domain resmi yang persis.

Kesimpulan

Email phishing adalah penipuan lewat email yang menyamar sebagai pihak tepercaya untuk mencuri data atau uang. Celah yang dimanfaatkannya berasal dari rancangan protokol email yang tidak pernah memverifikasi identitas pengirim. Karena mayoritas email phishing kini disusun dengan bantuan kecerdasan buatan, ciri berupa bahasa berantakan sudah tidak layak dijadikan patokan. Yang tetap bertahan adalah ciri struktural: pesan datang tanpa diminta, ada tekanan waktu, domain tidak persis, dan tujuan tautan berbeda dari teksnya.

Untuk email biasa, kebiasaan tidak masuk lewat tautan sudah menggugurkan sebagian besar risiko. Untuk email yang meminta tindakan menyangkut uang atau kredensial, luangkan satu menit membaca baris Authentication-Results di header. Ingat bahwa hasil pass membuktikan kepemilikan domain, bukan kejujuran pemiliknya. Bila Anda mengelola domain sendiri, memasang SPF, DKIM, dan DMARC adalah cara melindungi orang lain dari penipuan yang mengatasnamakan Anda. Semoga artikel ini membantu.