Pretexting adalah teknik rekayasa sosial (social engineering) di mana pelaku manipulasi menciptakan skenario atau identitas palsu (pretext) untuk membujuk korban agar menyerahkan informasi sensitif, akses sistem, atau aset finansial. Berbeda dari manipulasi psikologis sederhana, pretexting selalu melibatkan kebohongan yang terstruktur rapi dan matang untuk membangun tingkat kepercayaan palsu sebelum eksekusi dilakukan.
Dalam ranah keamanan siber dan operasional bisnis, penyerang yang mengandalkan pretexting biasanya menyamar sebagai figur berwenang seperti staf dukungan teknis (IT support), eksekutif perusahaan, manajer HRD, auditor eksternal, atau petugas bank. Kunci keberhasilan teknik ini terletak pada manipulasi psikologis yang memanfaatkan rasa hormat terhadap otoritas, empati, atau kepanikan buatan pada diri korban.
Cara Kerja dan Tahapan Serangan Pretexting
Penyerang tidak melakukan serangan pretexting secara acak. Terdapat empat tahapan sistematis yang dijalankan untuk memastikan skenario rekaan mereka berjalan mulus tanpa memicu kecurigaan:
- Pengumpulan Informasi (Reconnaissance): Pelaku mengumpulkan data spesifik tentang target melalui teknik Open Source Intelligence (OSINT). Mereka mempelajari struktur organisasi, nama pejabat perusahaan, pola email, hingga unggahan media sosial karyawan untuk memahami konteks operasional internal.
- Penyusunan Skenario (Pretext Formulation): Berdasarkan data awal, pelaku merancang alur cerita yang sangat masuk akal. Skenario dirancang agar korban merasa wajar dan berkewajiban untuk mematuhi permintaan tersebut.
- Inisiasi Kontak (Initial Contact): Pelaku menghubungi target melalui media komunikasi yang dipilih—seperti telepon (vishing), email personal terarah, pesan instan, atau tatap muka langsung—dengan menggunakan identitas palsu yang kredibel.
- Eksploitasi dan Penarikan Data (Execution): Setelah rasa percaya terbentuk, pelaku meminta target melakukan tindakan kritis seperti memberikan Kode OTP, kata sandi, transfer uang darurat, atau mengunduh perangkat lunak berlisensi palsu.
Perbandingan Pretexting dengan Teknik Social Engineering Lain
Untuk memahami karakteristik khas pretexting, penting untuk membandingkannya dengan teknik rekayasa sosial populer lainnya yang sering disalahartikan sebagai hal yang sama.
| Indikator Utama | Pretexting | Phishing Massal | Spear Phishing | Baiting |
|---|---|---|---|---|
| Fokus Utama | Membangun skenario kebohongan bertahap | Menyebar umpan massal secara cepat | Email jebakan khusus untuk individu/tim | Eksploitasi rasa ingin tahu/kelobaan korban |
| Tingkat Personalisasi | Sangat Tinggi (Berbasis riset mendalam) | Rendah (Pesan generik serentak) | Tinggi (Pesan disesuaikan target) | Sedang hingga Rendah |
| Media Utama | Telepon, Email, Pesan Singkat, Tatap Muka | Email massal, Link palsu | Email yang dipersonalisasi | Media fisik (USB) atau Unduhan Gratis |
| Elemen Kunci | Identitas palsu + Karakter/Peran spesifik | Link Phishing + Tampilan Halaman Login | Lampiran ber racun / Link berbahaya | Umpan gratisan (File/Perangkat keras) |
Skenario Serangan Pretexting Populer di Dunia Nyata
Berikut adalah beberapa pola skenario pretexting yang paling sering ditemui dalam kasus kebocoran data operasional bisnis dan individu:
1. Penyamaran Tim Dukungan Teknis (IT Support)
Pelaku menghubungi karyawan dan mengaku dari divisi IT internal yang sedang melakukan pemeliharaan server darurat. Pelaku meminta nama pengguna dan kata sandi login, atau meminta korban menginstal aplikasi remote access dengan alasan memperbaiki masalah keamanan pada perangkat korban.
2. Business Email Compromise (BEC) / Impersonasi CEO
Penyerang menyamar sebagai CEO atau direktur keuangan yang sedang berada di luar kota dan membutuhkan transfer dana darurat ke rekening vendor baru. Permintaan dibuat dengan nada mendesak agar korban enggan melakukan konfirmasi berjenjang.
3. Skenario Verifikasi Data HRD / Payroll
Pelaku berpura-pura menjadi staf departemen sumber daya manusia (HRD) yang sedang melakukan pembaruan sistem penggajian. Korban diminta mengonfirmasi nomor rekening bank, Nomor Induk Kependudukan (NIK), serta data pribadi sensitif lainnya.
4. Audit Pajak atau Kontak Hukum Palsu
Pelaku mendatangi atau menghubungi target dengan menyamar sebagai petugas pajak atau penyidik hukum yang mengklaim adanya inkonsistensi data keuangan. Mereka mengancam akan memberikan denda besar kecuali jika korban membagikan laporan keuangan internal secara langsung.
Indikator Red Flag Serangan Pretexting
Guna mendeteksi keberadaan manipulasi pretexting sebelum dampak kerugian terjadi, perhatikan indikator-indikator kecurigaan berikut:
- Tekanan Urgensi Berlebihan: Pelaku menuntut tindakan instan dengan alasan darurat atau batas waktu yang sangat sempit agar korban tidak sempat berpikir jernih.
- Permintaan Memintas Prosedur Resmi: Pelaku meminta korban mengabaikan SOP keamanan, misalnya membypass verifikasi dua faktor (2FA) atau tidak mencatat transaksi keuangan.
- Permintaan Rahasia Rahasia: Pelaku menekankan agar percakapan tersebut tidak dibicarakan atau dikonfirmasi kepada pihak lain, terutama atasan langsung korban.
- Ketidaksesuaian Saluran Komunikasi: Kontak mendadak menggunakan nomor telepon pribadi, email non-korporat, atau aplikasi perpesanan yang tidak terikat pada saluran resmi organisasi.
Strategi Pencegahan dan Mitigasi Pretexting
Mencegah serangan pretexting membutuhkan kombinasi antara kontrol teknis, edukasi perilaku, dan pengetatan prosedur operasional standar:
1. Penerapan Protokol Out-of-Band Verification
Wajibkan seluruh elemen organisasi melakukan konfirmasi ulang melalui saluran komunikasi resmi yang berbeda sebelum menjalankan perintah sensitif. Jika menerima telepon dari CEO atau tim IT yang meminta kredensial/transfer dana, matikan sambungan lalu hubungi kembali nomor resmi internal yang terdaftar di direktori perusahaan.
2. Implementasi Prinsip Least Privilege Access
Batasi hak akses data sensitif hanya kepada karyawan yang benar-benar membutuhkannya untuk fungsi pekerjaan harian. Prinsip ini meminimalkan dampak jika salah satu akun karyawan berhasil dikompromikan oleh pelaku.
3. Autentikasi Keras (Hardware-Based MFA)
Terapkan autentikasi multifaktor yang tahan terhadap serangan phishing dan social engineering, seperti penggunaan kunci keamanan fisik (FIDO2/WebAuthn), bukan sekadar OTP berbasis SMS atau email yang mudah dimanipulasi.
4. Pelatihan Security Awareness Berbasis Simulasi
Lakukan pelatihan kesadaran keamanan siber secara berkala yang melibatkan simulasi serangan pretexting nyata. Hal ini melatih naluri kritis karyawan dalam mengenali pola penipuan berbasis identitas palsu.