Email Spoofing Adalah: Cara Kerja, Contoh & Pencegahan

Saat mengirim surat lewat pos, Anda menulis sendiri alamat pengirim di sudut kiri atas amplop. Tidak ada petugas yang memverifikasi bahwa nama itu benar-benar milik Anda. Surat tetap sampai, dan penerima membaca nama pengirim apa adanya.

Protokol pengiriman email dirancang dengan asumsi kepercayaan yang persis sama. Email spoofing adalah praktik memalsukan alamat pengirim email sehingga pesan tampak berasal dari orang atau organisasi lain, padahal dikirim oleh pihak yang sama sekali berbeda. Skalanya tidak kecil: dalam laporan tahunan FBI IC3 2025, kategori phishing/spoofing menempati peringkat pertama jumlah laporan dengan 191.561 aduan, mengungguli semua jenis kejahatan siber lain.

Email Spoofing Adalah Apa?

Email spoofing adalah pemalsuan identitas pengirim pada sebuah email, dilakukan dengan menulis alamat orang lain pada bagian pesan yang ditampilkan aplikasi email penerima. Sebagian sumber menyebutnya dengan urutan terbalik, yaitu spoofing email — keduanya merujuk hal yang sama. Istilah spoofing sendiri berlaku lebih luas untuk pemalsuan identitas digital apa pun. Ada IP spoofing yang memalsukan alamat IP sumber paket data, dan ada caller ID spoofing yang memalsukan nomor telepon penelepon. Pelakunya kadang disebut spoofer. Yang dibahas di sini adalah yang menyasar email.

Satu hal perlu diluruskan sejak awal: spoofing adalah teknik, bukan kejahatan tertentu. Teknik ini menjelaskan bagaimana sebuah pesan menyamar, bukan untuk apa pesan itu dikirim. Penyamarannya memang bisa dipakai untuk menipu korban agar mentransfer uang. Namun ia juga muncul dalam situasi yang sepenuhnya sah — layanan penerusan email otomatis dan milis rutin mengirim pesan atas nama alamat orang lain, dan itu memang cara kerjanya.

Karena itu, pertanyaan yang berguna bukan "apakah ada pemalsuan pengirim di sini?", melainkan "apakah pengirim ini berhak mengirim atas nama domain tersebut?". Sisa artikel ini pada dasarnya membahas cara menjawab pertanyaan kedua.

Dua Alamat Pengirim dalam Satu Email

Cara kerja email spoofing bertumpu pada satu fakta yang jarang disadari: setiap email membawa dua alamat pengirim yang berbeda, dan protokol tidak pernah mewajibkan keduanya cocok.

Alamat pertama disebut envelope sender, ditulis pada perintah MAIL FROM saat dua server berbicara. Alamat kedua adalah header From, bagian dari isi pesan — dan inilah satu-satunya yang ditampilkan aplikasi email Anda. Protokol SMTP memperlakukan keduanya sebagai data yang terpisah, seperti alamat pada amplop yang tidak ada hubungannya dengan tanda tangan di dalam surat.

Berikut percakapan yang terjadi ketika sebuah pesan dikirim dengan dua alamat yang sengaja dibuat berbeda. Baris send adalah perintah pengirim, baris reply adalah jawaban server penerima:

send:  mail FROM:<pengirim@domain-pelaku.test>
reply: 250 OK
send:  rcpt TO:<penerima@example.com>
reply: 250 OK
send:  data
reply: 354 End data with <CR><LF>.<CR><LF>
send:  From: Notifikasi Bank <notifikasi@bank-contoh.test>
       Reply-To: admin@domain-pelaku.test
       Subject: Verifikasi rekening Anda
reply: 250 OK

Perhatikan bahwa setiap tahap dijawab 250 OK. Server tidak pernah membandingkan pengirim@domain-pelaku.test pada envelope dengan notifikasi@bank-contoh.test pada header, dan tidak ada satu pun tahap yang menolak. Di kotak masuk penerima, yang muncul hanya nama "Notifikasi Bank" beserta alamat bank tersebut.

Inilah alasan pemalsuan pengirim tidak membutuhkan peretasan apa pun. Tidak ada akun yang dibobol dan tidak ada kata sandi yang dicuri — pelaku hanya menulis teks yang berbeda pada dua tempat yang memang tidak pernah dicocokkan.

Cara kerja email spoofing: envelope MAIL FROM berisi alamat pelaku, header From berisi alamat bank, tidak dicocokkan.

Beda Email Spoofing dengan Phishing

Email spoofing dan phishing adalah dua hal yang sering dianggap sinonim, dan anggapan itu keliru. Keduanya berada pada lapisan yang berbeda.

Hubungan keduanya paling mudah dipahami begini: spoofing adalah cara masuk, phishing adalah maksudnya. Sebagian besar email phishing memakai spoofing agar terlihat meyakinkan, tetapi phishing juga bisa dikirim dari domain mirip yang didaftarkan pelaku secara sah tanpa memalsukan apa pun.

Dua salah kaprah lain layak diluruskan sekalian. Pertama, pemalsuan pengirim tidak selalu terlihat mencurigakan — bila domain yang ditiru tidak memasang perlindungan, pesan palsu bisa mendarat di kotak masuk dengan tampilan yang identik dengan aslinya. Kedua, seperti sudah disinggung, tidak semua pengiriman atas nama alamat lain bersifat jahat.

Tiga Tingkat Pemalsuan Pengirim

Tidak semua penyamaran pengirim bekerja dengan cara yang sama. Tiga contoh email spoofing berikut terlihat serupa di kotak masuk, tetapi pertahanan yang akan kita bahas nanti hanya menutup satu di antaranya.

1. Pemalsuan domain persis: header From memakai domain aslinya, misalnya layanan@bank-contoh.co.id, padahal pesan dikirim dari server yang tidak ada hubungannya dengan bank tersebut. Tampilannya sempurna karena memang alamat aslinya.
2. Pemalsuan domain mirip: pelaku mendaftarkan domain lain yang sekilas serupa, misalnya bank-cont0h.co.id dengan angka nol menggantikan huruf o, atau bank-contoh-verifikasi.co.id yang menambahkan kata di belakang. Domain ini benar-benar milik pelaku, sehingga semua pemeriksaan teknis atas domain itu bisa lolos dengan sempurna.
3. Pemalsuan nama tampilan: alamat email sepenuhnya milik pelaku, hanya nama yang tampil di depannya yang ditiru — misalnya nama "Bank Contoh" dipasang pada alamat xyz123@layanan-gratis.test.

Tingkat ketiga terdengar paling kasar, tetapi justru paling sering berhasil. Aplikasi email di ponsel umumnya hanya menampilkan nama pengirim dan menyembunyikan alamat aslinya sampai Anda menekan nama tersebut. Pembaca yang memeriksa email sambil berjalan praktis hanya melihat bagian yang paling mudah dipalsukan.

Contoh kasus spoofing bertingkat kedua pernah diungkap Direktorat Siber Bareskrim Polri pada Mei 2024. Lima tersangka — dua warga negara Nigeria dan tiga warga Indonesia — menipu sebuah perusahaan properti di Singapura. Caranya sederhana: mereka mengubah alamat email pengirim hanya dengan menggeser dan menambah huruf pada nama domain aslinya. Korban mengira tagihan itu datang dari mitra bisnisnya dan mentransfer dana ke rekening perusahaan bodong di Indonesia. Kerugiannya mencapai Rp32 miliar. Perlu diperhatikan, tidak ada satu pun record DNS pada domain yang ditiru yang bisa menghentikan modus ini, karena pesannya memang dikirim dari domain lain yang sah milik pelaku.

Tiga contoh email spoofing: domain persis dihentikan DMARC, sedangkan domain mirip dan nama tampilan tetap lolos.

Kenapa Ada Email Masuk dari Alamat Anda Sendiri

Salah satu modus yang paling meresahkan adalah pesan yang tampak dikirim dari alamat email Anda sendiri, biasanya berisi ancaman bahwa perangkat Anda telah dikuasai dan pengirim memiliki rekaman pribadi Anda. Bukti yang ditawarkan selalu sama: "lihat, saya mengirim ini dari akun Anda."

Bukti itu tidak membuktikan apa pun. Menulis alamat Anda pada header From tidak membutuhkan akses ke akun Anda — persis seperti transkrip di atas, siapa pun dapat menuliskan alamat mana pun di sana. Ancaman dalam pesan semacam ini pada umumnya kosong.

Ada dua cara memastikannya sendiri dalam waktu satu menit:

• Periksa folder Terkirim. Bila pesan itu benar dikirim dari akun Anda, salinannya akan ada di sana. Hampir selalu tidak ada.
• Periksa baris Authentication-Results pada header pesan. Untuk email yang benar-benar berasal dari domain Anda, baris itu berbunyi dmarc=pass. Pada pesan palsu, isinya dmarc=fail — dan nilai itulah yang menunjukkan pesan tersebut datang dari luar.

Langkah yang tepat adalah mengabaikannya, tidak membalas, dan menandainya lewat menu laporkan phishing di aplikasi email Anda. Pesan seperti ini kerap berakhir di folder junk secara otomatis, dan bila itu terjadi, folder junk adalah tempat yang memang pantas untuknya.

Cara Mengetahui Email Spoofing Bisa Terjadi di Domain Anda

Bagian ini untuk Anda yang memiliki domain sendiri. Pertanyaannya dibalik: bukan lagi apakah sebuah email masuk itu asli, melainkan apakah orang lain bisa mengirim pesan atas nama domain Anda.

Jawabannya tersimpan di dua record TXT pada DNS domain Anda, dan keduanya bisa dibaca siapa saja. Perintah pertama menampilkan kebijakan SPF:

dig +short TXT namadomain.com | grep spf1

Perhatikan bagian paling akhir hasilnya. Akhiran -all berarti server penerima diminta menolak pesan dari sumber yang tidak terdaftar, sedangkan ~all hanya menandainya sebagai mencurigakan tanpa menolak.

Perintah kedua menampilkan kebijakan DMARC, yang menentukan tindakan apa yang harus diambil saat pemeriksaan gagal:

dig +short TXT _dmarc.namadomain.com

Nilai p= pada hasilnya adalah bagian terpenting. p=reject memerintahkan penerima menolak pesan, p=quarantine meminta pesan dibuang ke folder spam, dan p=none berarti tidak melakukan apa-apa selain mencatat.

Dua catatan saat membaca hasilnya. Record yang panjang akan dipecah menjadi beberapa potongan bertanda kutip di layar — itu normal, potongan tersebut disambung kembali oleh server penerima. Dan bila perintah kedua tidak menampilkan apa pun, itu bukan pertanda perintahnya salah: keluaran kosong berarti domain tersebut memang tidak punya record DMARC sama sekali.

Bagi Anda yang tidak terbiasa dengan terminal, kedua record ini juga terlihat di panel pengelolaan DNS penyedia hosting, pada daftar record bertipe TXT. Sementara untuk memeriksa keaslian satu email yang sudah telanjur masuk, langkah pembacaan headernya dibahas terpisah di artikel email phishing.

Kondisi Domain Indonesia: Hasil Pengecekan 35 Domain

Untuk mengetahui seberapa umum perlindungan ini benar-benar dipasang, kami menjalankan kedua perintah di atas terhadap 35 domain Indonesia pada 12 Agustus 2026. Sampelnya mencakup delapan bank, delapan layanan e-commerce dan fintech, delapan domain pemerintah, empat kampus, tiga media, dan empat penyedia hosting. Hasilnya diperiksa lewat dua resolver berbeda agar konsisten.

Kebijakan DMARC 35 domain Indonesia: 17 memakai p=quarantine, 14 p=reject, 2 p=none, dan 2 tanpa DMARC sama sekali.

Angka pertama terlihat menenangkan: seluruh domain sudah memasang SPF. Angka ketiga yang jadi persoalan. Hanya 14 dari 35 domain yang benar-benar memerintahkan penerima menolak pesan palsu. Mayoritas berhenti di quarantine, yang artinya pemalsuan atas nama domain tersebut tetap terkirim dan tetap sampai — hanya dibuang ke folder spam penerima. Folder itu tetap dibuka orang, terutama saat mereka sedang menunggu email penting yang tidak kunjung datang.

Perbedaan antara dua ujung ini terlihat jelas saat recordnya dibandingkan. Satu domain bank besar memakai SPF berakhiran -all dengan p=reject; sp=reject, artinya pemalsuan atas namanya maupun atas nama subdomainnya sama-sama diperintahkan ditolak. Domain bank lain dalam sampel yang sama memakai ~all dengan p=none — kombinasi yang mengumpulkan laporan tanpa menghalangi satu pesan palsu pun.

Cara Mencegah Email Spoofing dengan SPF, DKIM, dan DMARC

Cara mencegah email spoofing atas nama domain Anda bertumpu pada tiga lapis autentikasi, semuanya dipasang sebagai record TXT di DNS. Ketiganya saling melengkapi dan tidak saling menggantikan.

Langkah #1: Daftarkan pengirim sah lewat SPF

SPF (Sender Policy Framework) adalah daftar server yang berhak mengirim email atas nama domain Anda. Daftarkan seluruhnya — server email hosting, layanan pengiriman massal, dan aplikasi yang mengirim notifikasi otomatis. Batasi jumlah rujukan include maksimal sepuluh, karena melewati angka itu membuat pemeriksaan SPF gagal seluruhnya.

Langkah #2: Aktifkan tanda tangan DKIM

DKIM (DomainKeys Identified Mail) menyisipkan tanda tangan kriptografis pada setiap email keluar, sehingga penerima dapat membuktikan pesan itu tidak diubah di perjalanan. Konsep enkripsi kunci publik yang mendasarinya sama dengan yang dipakai sertifikat web. Sebagian besar penyedia layanan email hosting sudah menyediakan kunci DKIM yang tinggal Anda salin ke DNS.

Langkah #3: Naikkan kebijakan DMARC secara bertahap

DMARC menentukan apa yang harus dilakukan penerima ketika dua pemeriksaan sebelumnya gagal. Mulai dari p=none selama sekitar empat minggu untuk mengumpulkan laporan tanpa memblokir apa pun, naik ke p=quarantine selama dua sampai empat minggu, baru kemudian p=reject. Memasang p=reject sejak hari pertama berisiko menjatuhkan email sah Anda sendiri yang pengirimnya belum sempat terdaftar.

Ada satu syarat yang sering terlewat, dan inilah penyebab paling umum sebuah pesan lolos SPF tetapi tetap gagal DMARC: keselarasan domain. DMARC tidak hanya menuntut SPF atau DKIM lolos, tetapi juga menuntut domain yang lolos itu sama dengan domain di header From. Sebuah layanan pihak ketiga yang mengirim atas nama Anda bisa saja lolos SPF dengan domainnya sendiri. Pesannya tetap dinilai gagal oleh DMARC, karena domain tersebut tidak selaras dengan yang tampil di kotak masuk penerima.

Cara mencegah email spoofing: DMARC dinaikkan dari p=none 4 minggu, p=quarantine 2-4 minggu, lalu p=reject.

Sejak 1 Februari 2024, Google mewajibkan setiap pengirim di atas 5.000 pesan per hari memasang SPF, DKIM, dan DMARC sekaligus. Keselarasan domain harus terpenuhi, dan tingkat laporan spam dijaga di bawah 0,3%. Untuk pengirim di bawah ambang itu, syarat minimalnya SPF atau DKIM.

Saat menguji domain Anda sendiri dengan mengirim pesan atas namanya dari luar, penolakan bernomor 550 justru pertanda baik. Nomor itu berarti server penerima menolak pesan tersebut — yang persis merupakan hasil yang Anda inginkan dari kebijakan p=reject. Kegagalan uji seperti ini bukan kesalahan konfigurasi.

Yang Tidak Bisa Dihentikan DMARC

Tiga lapis di atas efektif, tetapi cakupannya lebih sempit dari yang biasanya diperkirakan. Ada tiga batas yang perlu Anda ketahui sebelum menganggap urusan ini selesai.

Hanya pemalsuan domain persis yang tertutup. Dari tiga tingkat pemalsuan yang dibahas sebelumnya, DMARC hanya menghentikan yang pertama. Domain mirip dan pemalsuan nama tampilan lolos sepenuhnya, karena keduanya secara teknis dikirim dari domain yang memang sah milik pelaku — lengkap dengan SPF dan DKIM yang lulus atas domain tersebut.

Hasil lulus hanya membuktikan kepemilikan domain, bukan kejujuran pemiliknya. Pemeriksaan ini menjawab "apakah pengirim benar berhak atas domain ini?", bukan "apakah domain ini benar milik bank saya?". Domain yang baru didaftarkan pelaku pagi tadi bisa lulus ketiganya sore ini.

Kebijakan ketat punya biaya. p=reject dapat menjatuhkan email sah yang melewati penerusan otomatis atau milis, karena proses penerusan mengubah jalur pesan sehingga SPF gagal. Tanda tangan DKIM bertahan melewati penerusan, sedangkan SPF tidak — sehingga memastikan DKIM aktif lebih dulu adalah syarat sebelum menaikkan kebijakan bagi domain yang banyak dipakai untuk milis internal.

Ringkasnya, autentikasi email memindahkan sebagian besar beban dari kewaspadaan penerima ke pemeriksaan otomatis. Ia tidak menghapus kebutuhan membaca pesan dengan kepala dingin.

Seberapa Berat Email Spoofing Dinilai

Ada dua ukuran yang berguna untuk menakar bobot persoalan ini, dan keduanya memberi jawaban yang mengejutkan dari arah berbeda.

Ukuran pertama datang dari dunia keamanan aplikasi. Taksonomi penilaian kerentanan Bugcrowd, dalam rilis 8 Juli 2026, menempatkan domain email tanpa perlindungan pemalsuan sama sekali pada prioritas P3. Namun bila domain sudah punya perlindungan sebagian, penilaiannya turun dan ditentukan oleh ke mana pesan palsu itu akhirnya mendarat. Pemalsuan yang sampai ke kotak masuk dinilai P4, sedangkan yang hanya sampai folder spam dinilai P5 — setara dengan sekadar ketiadaan record SPF atau DKIM. Cara pandang ini menjelaskan kenapa p=quarantine bukan tujuan akhir yang memadai.

Ukuran kedua datang dari sisi kerugian. Laporan FBI IC3 2025 mencatat kerugian kategori phishing/spoofing sebesar $215,8 juta, naik 3,1 kali lipat dari $70,0 juta pada 2024. Yang menarik, jumlah laporannya justru turun dari 193.407 menjadi 191.561. Kerugian rata-rata per laporan karena itu melonjak dari sekitar $362 menjadi $1.127 hanya dalam setahun. Pada kategori terkait, business email compromise menempati peringkat kedua kerugian terbesar dengan total $3,05 miliar dari 24.768 laporan — rata-rata sekitar $123.000 per kasus.

Dari sisi hukum Indonesia, pemalsuan pengirim email berpotensi dijerat Pasal 35 UU ITE, yang melarang penciptaan atau manipulasi informasi elektronik agar dianggap seolah-olah data yang otentik. Ancaman pidananya diatur di Pasal 51 ayat (1): penjara paling lama 12 tahun dan/atau denda paling banyak Rp12 miliar. Kedua pasal ini tidak mengalami perubahan baik pada UU 19/2016 maupun UU 1/2024, sehingga rumusan yang berlaku masih naskah asli UU 11/2008.

Pertanyaan Seputar Email Spoofing

Apa yang dimaksud dengan email spoofing?

Email spoofing adalah pemalsuan alamat pengirim pada sebuah email sehingga pesan tampak berasal dari pihak lain. Pemalsuan ini memungkinkan karena protokol pengiriman email tidak mewajibkan alamat pada envelope pengiriman cocok dengan alamat pada header yang ditampilkan aplikasi email penerima.

Apa itu spoofing dan contohnya?

Spoofing adalah pemalsuan identitas digital secara umum, dan email hanya salah satu sasarannya. Contoh pada email: pesan yang tampak dikirim dari alamat resmi sebuah bank padahal berasal dari server pelaku. Bentuk lain yang sering ditemui adalah pemalsuan nomor telepon penelepon sehingga yang muncul di layar adalah nomor layanan pelanggan resmi.

Apa bedanya phising dan spoofing?

Spoofing adalah tekniknya, phishing adalah tujuannya. Spoofing menjelaskan cara sebuah pesan menyamarkan pengirimnya, sedangkan phishing menjelaskan maksudnya, yaitu memancing korban menyerahkan data atau uang. Keduanya sering muncul bersamaan, tetapi masing-masing bisa berdiri sendiri.

Apa ciri-ciri email penipuan?

Yang paling dapat diandalkan bukan ciri di permukaan, melainkan baris Authentication-Results pada header pesan — nilai dmarc=fail menandakan pesan tidak lolos pemeriksaan domain pengirim. Di luar itu, perhatikan ketidakcocokan antara nama pengirim dan alamat aslinya, alamat Reply-To yang berbeda domain, serta permintaan yang mendesak Anda bertindak cepat.

Kesimpulan

Email spoofing adalah konsekuensi dari rancangan protokol email yang memisahkan alamat pengirim menjadi dua bagian tanpa pernah mencocokkannya. Memalsukan pengirim karena itu tidak membutuhkan peretasan — dan pertahanannya bukan terletak pada kewaspadaan penerima, melainkan pada record DNS yang dipasang pemilik domain.

Perlindungan itu ada batasnya. SPF, DKIM, dan DMARC menutup pemalsuan domain persis, tetapi tidak menyentuh domain mirip maupun pemalsuan nama tampilan. Menyadari batas tersebut sama pentingnya dengan memasang ketiganya.

Bila domain Anda dipakai berkirim email, langkah paling masuk akal hari ini hanya butuh dua perintah: periksa akhiran SPF dan nilai p= pada DMARC Anda. Bila hasilnya ~all dan p=none, Anda sekarang tahu apa yang perlu dikerjakan berikutnya. Semoga artikel ini membantu.