Mengidentifikasi Serangan Rekayasa Sosial Bertenaga AI

(Source: IBM)

Model bahasa besar (large language model/LLM) saat ini dapat mencari informasi di internet secara real-time, dan agen AI bahkan dapat secara otonom merancang alur kerja dan melaksanakan tugas berdasarkan informasi yang mereka kumpulkan. Perkembangan ini menimbulkan kekhawatiran serius bahwa AI dapat dimanfaatkan untuk menciptakan serangan rekayasa sosial yang sangat personal dan sulit dideteksi, yang hanya membutuhkan sedikit perintah dari pelaku kejahatan siber untuk diaktifkan.

Menurut Laporan Intelijen Ancaman IBM X-Force tahun 2025, pelaku kejahatan siber saat ini cenderung melakukan kampanye yang lebih besar dan luas dibandingkan sebelumnya. Pergeseran ini sebagian disebabkan oleh perubahan taktik, di mana banyak penyerang memfokuskan diri pada serangan rantai pasokan yang dapat memengaruhi banyak korban sekaligus. Namun, perubahan ini juga didorong oleh adopsi alat-alat baru, terutama AI generatif. Para penyerang menggunakan AI sebagai asisten untuk membangun situs web palsu, menghasilkan kode berbahaya, dan bahkan menulis email phishing yang lebih meyakinkan.

AI kini bisa menulis pesan yang sempurna secara teknis dalam berbagai bahasa, sehingga menghilangkan tanda-tanda phishing gaya lama seperti tata bahasa yang buruk atau frasa yang canggung. Selain itu, AI jauh lebih cepat daripada manusia dalam hal ini. Tim X-Force menemukan bahwa AI generatif mampu membuat email phishing yang efektif hanya dalam lima menit, jauh lebih cepat dibandingkan tim manusia yang butuh sekitar 16 jam, di mana sebagian besar waktunya dihabiskan untuk riset target.

Di samping itu, teknologi deepfake memungkinkan model AI untuk menciptakan gambar, audio, bahkan panggilan video palsu, yang semakin meningkatkan kredibilitas aksi penipuan. Akibatnya, kerugian akibat serangan phishing dan penipuan di Amerika Serikat telah mencapai USD16,6 miliar pada tahun 2024. Angka ini berpotensi terus melonjak karena para penipu semakin banyak menggunakan AI generatif untuk membuat pesan phishing yang lebih meyakinkan, dalam lebih banyak bahasa, dan dalam waktu yang jauh lebih singkat.

Riset mendalam seringkali menjadi pembeda antara serangan siber yang gagal dan yang berhasil. Dengan meneliti target mereka, pelaku kejahatan siber dapat menyusun rencana yang sangat personal, membuat cerita yang tepat sasaran secara emosional, dan mengembangkan malware yang mengeksploitasi kerentanan yang tepat. Banyak informasi yang dibutuhkan penyerang dapat ditemukan secara daring, mulai dari media sosial, situs web perusahaan, hingga postingan pekerjaan.

Dalam menghadapi ancaman rekayasa sosial yang didorong oleh AI, pertahanan tradisional seperti mengenali tata bahasa yang buruk dan kesalahan ketik menjadi kurang efektif. Oleh karena itu, fokus pelatihan kesadaran keamanan perlu dialihkan ke diskusi yang lebih substansial mengenai taktik rekayasa sosial. Para pelaku rekayasa sosial sangat mengandalkan peniruan identitas, disinformasi, dan manipulasi emosional. Meskipun penipuan bertenaga AI mungkin memiliki lebih sedikit kesalahan ejaan, mereka tetap menggunakan pola dan taktik yang sama dengan serangan rekayasa sosial klasik.

Stephanie Carruthers, Global Lead of Cyber Range dan Chief People Hacker IBM mengungkapkan, “Evaluasi kembali seperti apa pelatihan kesadaran keamanan Anda dalam konteks serangan yang sebenarnya terjadi di organisasi Anda saat ini. Apakah cukup, satu jam pelatihan keamanan siber kepada karyawan dalam satu tahun?”

Untuk meningkatkan pertahanan terhadap ancaman yang semakin canggih ini, Perusahaan perlu mengevaluasi kembali dan memperbarui konten pelatihan kesadaran keamanan mereka agar sesuai dengan jenis serangan yang paling mungkin dihadapi.