Artikel & Insight Teknologi Bisnis

Sebagian besar pemilik bisnis di Indonesia belum pernah mendengar istilah asuransi siber — dan yang sudah mendengarnya sering menganggap itu hanya relevan untuk perusahaan besar. Padahal justru bisnis skala menengah yang paling rentan dan paling tidak siap menanggung kerugian finansial akibat serangan siber sendirian.

Asuransi siber adalah produk asuransi yang dirancang untuk menanggung kerugian finansial akibat insiden keamanan digital — mulai dari biaya pemulihan data, denda regulasi, biaya notifikasi ke pelanggan yang terdampak, hingga kerugian operasional selama sistem tidak bisa diakses. Di Indonesia, pasar ini masih sangat muda tapi berkembang cepat.

Kondisi Asuransi Siber di Indonesia Saat Ini

Pasar asuransi siber Indonesia tumbuh dari sekitar USD 45 juta pada 2022 menjadi USD 68 juta pada 2024 — naik 51% dalam dua tahun, berdasarkan estimasi industri yang dikutip Liga Asuransi. Pertumbuhan ini bukan kebetulan — ia berkorelasi langsung dengan meningkatnya insiden siber di Indonesia.

BSSN mencatat 3,64 miliar serangan siber di Indonesia hanya dalam periode Januari hingga Juli 2025. Dan per Mei 2026, Perbanas baru saja mengumumkan bahwa mereka sedang mengkaji pengembangan produk asuransi siber khusus untuk sektor keuangan Indonesia — sinyal bahwa topik ini sudah masuk agenda regulasi serius.

Tapi ada satu tantangan besar yang diakui sendiri oleh Indonesia Cyber Security Forum (ICSF): pemahaman pelaku usaha tentang asuransi siber masih sangat terbatas, mekanisme klaim sering rumit, dan produk yang tersedia belum sepenuhnya disesuaikan dengan kebutuhan bisnis Indonesia. Artinya, pasar ada — tapi edukasi belum memadai.

Apa yang Di-cover dan Apa yang Tidak

Polis asuransi siber umumnya terdiri dari dua jenis perlindungan. Perlindungan first-party mencakup kerugian yang dialami bisnis secara langsung: biaya pemulihan data dan sistem, kerugian pendapatan selama gangguan operasional, biaya investigasi forensik, biaya notifikasi ke pelanggan yang datanya terdampak, dan biaya tebusan ransomware jika diputuskan untuk dibayar.

Perlindungan third-party mencakup klaim dari pihak lain: tuntutan hukum dari pelanggan atau mitra akibat kebocoran data, denda regulasi dari otoritas seperti OJK atau di bawah UU No. 27/2022 tentang Pelindungan Data Pribadi, dan biaya pembelaan hukum.

Yang penting dipahami: asuransi siber tidak menggantikan keamanan siber. Hampir semua polis mensyaratkan bahwa bisnis sudah menerapkan kontrol keamanan dasar — MFA aktif, backup rutin, patch management — sebagai syarat eligibilitas. Bisnis tanpa kontrol dasar ini akan kesulitan mendapat polis, atau klaim mereka bisa ditolak jika insiden terjadi karena kelalaian yang bisa dicegah.

Kapan Bisnis Indonesia Perlu Mulai Mempertimbangkan Ini

Tidak ada angka karyawan atau omzet yang menjadi ambang batas. Tapi ada beberapa kondisi yang membuat asuransi siber menjadi relevan untuk dievaluasi serius.

Pertama, jika bisnis menyimpan atau memproses data pribadi pelanggan dalam jumlah signifikan. Di bawah UU PDP yang sudah berlaku penuh sejak Oktober 2024, kebocoran data bisa memicu kewajiban notifikasi dan potensi sanksi — biaya yang bisa sangat signifikan untuk bisnis yang tidak siap.

Kedua, jika bisnis bergantung pada sistem digital untuk operasional sehari-hari. Setiap jam sistem tidak bisa diakses adalah kerugian nyata — dan tanpa asuransi, seluruh biaya pemulihan ditanggung sendiri.

Ketiga, jika bisnis mulai mensyaratkan vendor dan mitra untuk menunjukkan postur keamanan mereka. Ini tren yang berkembang di Indonesia, terutama di sektor yang sudah diregulasi ketat seperti keuangan dan kesehatan.

Yang Perlu Disiapkan Sebelum Mengajukan Polis

Underwriter asuransi siber akan mengevaluasi postur keamanan bisnis sebelum menerbitkan polis. Semakin baik kontrol keamanan yang sudah ada, semakin rendah premi yang ditawarkan dan semakin luas cakupan yang tersedia.

Beberapa hal yang biasanya dievaluasi: apakah MFA sudah aktif untuk semua akun yang menyentuh data bisnis, apakah ada backup rutin yang sudah pernah diuji restore-nya, apakah ada prosedur respons insiden yang terdokumentasi, dan apakah konfigurasi email bisnis sudah mencakup SPF, DKIM, dan DMARC.

Untuk bisnis yang menggunakan Google Workspace atau Microsoft 365, dokumentasi konfigurasi keamanan yang sudah diterapkan bisa menjadi bukti postur keamanan yang kuat saat proses underwriting. Solusi seperti Ironscales untuk email security dan Dropsuite untuk backup email independen adalah contoh kontrol yang sering dicari underwriter sebagai indikator kesiapan.

Pertanyaan yang Sering Diajukan

Apakah asuransi siber sudah tersedia untuk bisnis kecil di Indonesia?

Sudah, meski pilihannya masih terbatas dibanding pasar yang lebih matang seperti AS atau Eropa. Beberapa penyedia yang sudah aktif di Indonesia antara lain MSIG Indonesia dan beberapa perusahaan asuransi lokal yang mulai menawarkan produk cyber insurance. Konsultasi dengan broker asuransi yang familiar dengan produk ini adalah titik awal yang paling efisien.

Berapa kisaran premi asuransi siber untuk bisnis skala menengah di Indonesia?

Premi sangat bervariasi tergantung ukuran bisnis, jenis data yang dikelola, industri, dan postur keamanan yang sudah ada. Secara umum di pasar Asia, kisaran premi untuk SMB berada di antara USD 1.000 hingga USD 10.000 per tahun untuk cakupan dasar. Bandingkan dengan rata-rata biaya pemulihan insiden siber yang bisa mencapai ratusan juta hingga miliaran rupiah.

Apakah asuransi siber menanggung kerugian akibat serangan ransomware?

Sebagian besar polis menanggung biaya pemulihan data dan sistem akibat ransomware. Soal pembayaran tebusan, kebijakan berbeda antar penyedia — ada yang menanggung, ada yang tidak, dan beberapa mensyaratkan persetujuan penyedia asuransi sebelum pembayaran dilakukan. Baca ketentuan polis dengan teliti sebelum insiden terjadi, bukan sesudahnya.

Apakah bisnis yang sudah punya backup rutin masih perlu asuransi siber?

Backup mengurangi risiko kehilangan data, tapi tidak menanggung biaya investigasi forensik, notifikasi pelanggan, denda regulasi, atau tuntutan hukum pihak ketiga. Keduanya melindungi aspek yang berbeda — backup adalah kontrol operasional, asuransi siber adalah transfer risiko finansial.

Asuransi siber bukan pengganti investasi keamanan — ia adalah lapisan terakhir ketika semua upaya pencegahan sudah dilakukan tapi insiden tetap terjadi. Di Indonesia, pasar ini masih berkembang dan harga masih relatif terjangkau. Mengevaluasinya sekarang, sebelum insiden pertama terjadi, jauh lebih murah dari menangani konsekuensinya tanpa perlindungan apapun.

Sebagian besar insiden keamanan email di bisnis kecil dan menengah tidak dimulai dari serangan yang canggih. Mastercard Global SMB Cybersecurity Survey 2025 mencatat bahwa 46% pemilik bisnis kecil pernah mengalami serangan siber — dan mayoritas bukan karena sistemnya dibobol secara teknis, tapi karena ada celah kecil yang tidak pernah ditutup.

Celah-celah ini tidak terlihat sampai dieksploitasi. Dan yang membuat ini lebih mudah diatasi dari yang dikira: sebagian besar bisa diperbaiki hari ini, tanpa biaya tambahan, tanpa tim IT khusus.

Password yang Sama di Banyak Akun

Ini adalah kebiasaan yang hampir universal — dan salah satu celah yang paling sering dieksploitasi. Ketika satu layanan yang dipakai karyawan mengalami kebocoran data, kombinasi email dan password mereka masuk ke database yang diperjualbelikan di dark web. Penyerang kemudian mencoba kombinasi yang sama di akun email bisnis, dan kalau password-nya sama, akses langsung terbuka.

Cara memperbaikinya cukup sederhana. Gunakan password yang unik untuk setiap akun kerja — minimal 12 karakter, kombinasi huruf besar kecil, angka, dan simbol. Password manager memudahkan ini karena karyawan tidak perlu mengingat semuanya. Dan pastikan MFA aktif untuk semua akun email bisnis sebagai lapisan kedua jika password bocor.

Domain Bisnis Tanpa Konfigurasi SPF, DKIM, dan DMARC

SPF, DKIM, dan DMARC adalah tiga konfigurasi DNS yang memverifikasi bahwa email yang dikirim dari domain bisnis Anda benar-benar berasal dari server yang sah — bukan dari penyerang yang menyamar menggunakan nama domain Anda.

Tanpa konfigurasi ini, siapapun bisa mengirim email yang terlihat berasal dari domain bisnis Anda ke klien, vendor, atau karyawan. Ini adalah teknik yang dipakai dalam banyak serangan BEC dan vendor impersonation. Berdasarkan panduan CISA tentang email security, konfigurasi SPF, DKIM, dan DMARC adalah langkah dasar yang wajib ada di setiap domain bisnis — dan ketiganya gratis untuk dikonfigurasi di DNS provider yang digunakan.

Cara cek apakah domain Anda sudah terkonfigurasi: gunakan tools gratis seperti MXToolbox atau Google Admin Toolbox. Hasilnya langsung menunjukkan apakah ketiga record sudah ada dan dikonfigurasi dengan benar.

Email Lama Karyawan yang Sudah Resign Masih Aktif

Akun email karyawan yang sudah tidak bekerja tapi belum dinonaktifkan adalah celah yang sering diabaikan. Akun ini biasanya tidak dimonitor, tidak dilindungi MFA yang diperbarui, dan bisa diakses oleh siapapun yang punya password lama — termasuk mantan karyawan itu sendiri atau penyerang yang mendapatkan kredensialnya.

Prosedur yang perlu ada: setiap kali karyawan keluar, ada checklist offboarding yang mencakup penonaktifan akun email di hari yang sama, reset password dan pencabutan sesi aktif, serta backup email yang diperlukan sebelum akun diarsipkan. Langkah ini tidak butuh waktu lebih dari 15 menit tapi menutup celah yang bisa terbuka berbulan-bulan tanpa disadari.

Tidak Ada Kebiasaan Verifikasi untuk Email Permintaan Pembayaran

Email yang meminta transfer dana, perubahan nomor rekening vendor, atau persetujuan pembayaran adalah target utama Business Email Compromise. Penyerang menyamar sebagai eksekutif, vendor, atau rekan kerja — dan emailnya terlihat sah karena tidak ada link atau attachment mencurigakan yang bisa dipindai filter.

Satu kebiasaan yang bisa langsung diterapkan: untuk setiap permintaan pembayaran atau perubahan data finansial yang datang lewat email, verifikasi selalu dilakukan via saluran terpisah — telepon langsung ke nomor yang sudah dikenal, atau konfirmasi via chat internal. Bukan reply ke email yang sama. Kebiasaan sederhana ini memutus rantai serangan BEC sebelum transfer terjadi.

Karyawan Tidak Tahu Cara Mengenali Email Mencurigakan

Filter email menangkap banyak ancaman secara otomatis. Tapi serangan yang paling berbahaya justru yang lolos dari filter — karena dirancang untuk terlihat normal. Di titik itu, satu-satunya pertahanan adalah karyawan yang bisa mengenali tanda-tanda email mencurigakan dan tahu apa yang harus dilakukan.

Berdasarkan Norton Small Business Email Security Guide 2025, human error tetap menjadi faktor terbesar dalam insiden keamanan email di bisnis kecil. Tiga hal yang perlu diketahui semua karyawan: bagaimana mengenali email yang mencurigakan meski terlihat sah, ke mana melaporkannya, dan apa yang tidak boleh dilakukan — termasuk mengklik link atau membuka attachment sebelum verifikasi.

Untuk deteksi ancaman yang melampaui kemampuan filter bawaan Google Workspace dan Microsoft 365, Ironscales menambahkan lapisan keamanan berbasis AI yang mendeteksi anomali perilaku — termasuk serangan yang tidak meninggalkan jejak teknis apapun. Dan untuk memastikan komunikasi email bisnis tetap bisa dipulihkan jika terjadi insiden, Dropsuite menyimpan arsip email secara independen dari infrastruktur platform.

Pertanyaan yang Sering Diajukan

Apa itu SPF, DKIM, dan DMARC dan apakah bisnis kecil perlu mengonfigurasinya?

SPF, DKIM, dan DMARC adalah tiga protokol autentikasi email yang memverifikasi bahwa email yang dikirim dari domain bisnis Anda berasal dari server yang sah. Ketiganya wajib dikonfigurasi untuk semua bisnis yang punya domain email sendiri — bukan hanya enterprise. Tanpa konfigurasi ini, domain bisnis Anda bisa dipakai oleh penyerang untuk mengirim email palsu ke klien dan vendor Anda.

Seberapa sering password email bisnis perlu diganti?

Rekomendasi terbaru dari NIST tidak mewajibkan penggantian password secara berkala jika password sudah kuat dan MFA aktif. Yang lebih penting adalah memastikan password unik per akun dan segera diganti jika ada indikasi kebocoran. Penggantian rutin tanpa alasan justru mendorong karyawan memilih password yang lebih lemah.

Apa yang harus dilakukan jika karyawan sudah terlanjur mengklik link mencurigakan di email?

Tiga langkah pertama yang perlu dilakukan segera: putuskan koneksi perangkat dari jaringan, laporkan ke tim IT atau person in charge keamanan, dan jangan coba “membatalkan” dengan mengklik link lain di email yang sama. Semakin cepat insiden dilaporkan, semakin kecil dampak yang bisa ditimbulkan.

Apakah konfigurasi keamanan email ini perlu diulangi untuk karyawan baru?

Sebagian besar konfigurasi seperti SPF, DKIM, DMARC, dan MFA berlaku di level domain atau tenant — otomatis berlaku untuk semua pengguna termasuk yang baru. Yang perlu dilakukan untuk karyawan baru adalah memastikan mereka mendaftarkan MFA sebelum mulai bekerja dan mendapat briefing singkat tentang prosedur keamanan email yang berlaku di bisnis.

Celah keamanan email di bisnis kecil hampir selalu bukan soal teknologi yang kurang canggih. Ini soal kebiasaan kecil yang belum terbentuk dan konfigurasi dasar yang belum pernah disentuh. Memperbaiki lima hal di atas sudah menutup sebagian besar celah yang paling sering dieksploitasi.

Email bisnis yang berjalan lancar setiap hari bukan berarti email bisnis yang aman. Sebagian besar celah keamanan email tidak mengirim peringatan — mereka diam, dan baru terlihat setelah dieksploitasi.

Verizon DBIR 2025 mencatat bahwa 60% pelanggaran keamanan melibatkan faktor human error, dan email tetap menjadi vektor serangan nomor satu. Bukan karena teknologinya lemah, tapi karena tanda-tanda bahwa sistem email bisnis tidak cukup terlindungi sering diabaikan — atau bahkan tidak pernah disadari.

Tidak Ada Lapisan Keamanan di Luar Filter Bawaan

Filter bawaan Google Workspace dan Microsoft 365 dirancang untuk menangkap ancaman yang sudah dikenal. Spam massal, malware dengan signature lama, phishing template yang sudah beredar luas — semuanya tertangkap dengan baik oleh filter ini.

Tapi ada kategori ancaman yang memang tidak dirancang untuk mereka tangkap: email yang ditulis secara personal tanpa link atau attachment mencurigakan, serangan yang menggunakan domain baru yang belum masuk daftar hitam, dan phishing yang dibuat unik setiap kali dikirim. Jika satu-satunya lapisan keamanan email bisnis Anda adalah filter bawaan platform, celah ini terbuka setiap hari.

Tanda yang perlu dicermati: apakah ada email mencurigakan yang sesekali lolos ke inbox karyawan? Jika jawabannya ya — dan itu bukan spam biasa — kemungkinan besar filter bawaan sudah sampai di batas kemampuannya.

Tidak Ada yang Tahu Harus Lapor ke Mana

Ini salah satu tanda yang paling sering diabaikan. Ketika karyawan menerima email yang terasa mencurigakan, apa yang mereka lakukan? Jika jawabannya “tidak tahu” atau “hapus saja” — ada masalah di sini.

Email mencurigakan yang tidak dilaporkan adalah ancaman yang tidak terdeteksi. Tim IT tidak tahu bahwa ada serangan yang sedang berlangsung, tidak bisa menginvestigasi apakah email serupa dikirim ke karyawan lain, dan tidak bisa mengambil tindakan sebelum ada yang terkena dampak.

Bisnis yang sistem email security-nya sehat punya satu hal yang sederhana: prosedur pelaporan yang diketahui semua orang. Siapa yang dihubungi, lewat mana, dan apa yang terjadi setelah laporan masuk.

MFA Belum Aktif untuk Semua Akun Email

Multi-Factor Authentication (MFA) adalah lapisan perlindungan paling dasar untuk akun email bisnis. Jika password karyawan bocor karena phishing atau credential stuffing, MFA adalah yang mencegah akun diakses oleh pihak yang tidak berhak.

Masalahnya, banyak bisnis yang mengaktifkan MFA hanya untuk akun admin atau akun tertentu — bukan semua pengguna. Akun karyawan biasa yang tidak dilindungi MFA adalah titik masuk yang sama rentannya. Berdasarkan data dari Microsoft Security, MFA memblokir lebih dari 99,9% serangan berbasis credential yang mencoba mengakses akun. Ini bukan fitur opsional — ini baseline.

Tidak Ada Proses Verifikasi untuk Permintaan Transfer atau Akses

Business Email Compromise (BEC) adalah serangan email di mana pelaku menyamar sebagai eksekutif, vendor, atau rekan kerja untuk meminta transfer dana atau akses ke sistem tertentu. Tidak ada link, tidak ada attachment — hanya email yang terlihat sangat sah.

BEC menyebabkan kerugian USD 3,04 miliar di 2025 berdasarkan FBI IC3 Annual Report 2025, menjadikannya kategori kejahatan siber kedua terbesar secara finansial. Bisnis yang tidak punya proses verifikasi out-of-band — misalnya konfirmasi via telepon atau chat terpisah untuk setiap permintaan transfer — adalah target yang mudah.

Tanda bahwa bisnis Anda rentan: apakah ada karyawan yang pernah memproses permintaan transfer atau perubahan data hanya berdasarkan instruksi lewat email, tanpa konfirmasi tambahan?

Tidak Ada Rekam Jejak Aktivitas Email yang Bisa Diinvestigasi

Ketika ada insiden keamanan yang melibatkan email — akun yang dikompromikan, data yang bocor, atau transaksi yang tidak diotorisasi — investigasi membutuhkan data. Email apa yang masuk dan keluar, dari mana, ke mana, dan kapan.

Bisnis yang tidak punya audit log email atau solusi email archiving independen tidak punya fondasi untuk investigasi ini. Lebih dari itu, tanpa archiving yang memadai, bukti yang dibutuhkan untuk keperluan hukum atau compliance — termasuk kewajiban di bawah UU No. 27/2022 tentang Pelindungan Data Pribadi — bisa tidak tersedia saat paling dibutuhkan.

Untuk Google Workspace maupun Microsoft 365, platform bawaan menyimpan log aktivitas dengan periode retensi terbatas. Solusi seperti Dropsuite melengkapi ini dengan archiving email independen yang bisa diakses untuk investigasi kapan pun dibutuhkan. Dan untuk deteksi ancaman yang melampaui kemampuan filter bawaan platform, Ironscales menambahkan lapisan keamanan berbasis AI yang mendeteksi anomali — termasuk BEC dan phishing yang dibuat khusus untuk tidak terlihat oleh filter konvensional.

Pertanyaan yang Sering Diajukan

Apa tanda paling umum bahwa email bisnis sudah dikompromikan?

Ada beberapa indikator yang perlu diwaspadai: email terkirim yang tidak pernah dibuat oleh pemilik akun, perubahan pengaturan filter atau forwarding yang tidak diotorisasi, login dari lokasi atau perangkat yang tidak dikenal, dan karyawan lain yang melaporkan mendapat email mencurigakan dari akun internal. Jika ada salah satu dari ini, investigasi harus dilakukan segera.

Apakah filter spam bawaan Google Workspace dan Microsoft 365 sudah cukup untuk bisnis kecil?

Filter bawaan sangat efektif untuk ancaman yang sudah dikenal dan serangan massal. Celahnya ada di serangan yang dirancang khusus untuk melewati filter berbasis signature, seperti BEC tanpa payload teknis dan phishing yang dibuat unik per target. Untuk bisnis yang menangani transaksi finansial atau data sensitif, lapisan tambahan di atas filter bawaan sangat direkomendasikan.

Seberapa sering bisnis kecil menjadi target serangan email?

Lebih sering dari yang diasumsikan. Barracuda Email Threat Report 2025 yang menganalisis lebih dari 670 juta email mencatat bahwa bisnis kecil justru menjadi target yang diprioritaskan karena diasumsikan tidak punya sistem keamanan yang matang. Skala bisnis tidak mengurangi risiko — justru sering menjadi alasan bisnis dipilih sebagai target.

Apa langkah pertama yang bisa dilakukan hari ini untuk meningkatkan keamanan email bisnis?

Tiga langkah yang bisa dimulai hari ini tanpa biaya tambahan: aktifkan MFA untuk semua akun email, aktifkan audit log di platform yang digunakan, dan buat prosedur sederhana tentang apa yang harus dilakukan karyawan jika menerima email mencurigakan. Tiga langkah ini menutup celah paling dasar yang sering dieksploitasi.

Keamanan email bisnis bukan tentang punya sistem yang paling canggih. Ini tentang tidak punya celah yang paling mudah dieksploitasi — dan lima tanda di atas adalah tempat yang paling sering ditemukan celah itu.

Sistem keamanan email konvensional punya satu titik lemah yang jarang disadari. Ia hanya mengenali ancaman yang sudah pernah ada. Setiap email masuk dibandingkan dengan database ancaman yang sudah diketahui, lalu diblokir jika cocok. Selama ancaman mengikuti pola yang bisa dipelajari, sistem ini solid. Masalahnya, serangan email berbasis AI tidak mengikuti pola yang bisa dipelajari. Setiap serangan dibuat baru, unik, dan dirancang persis untuk tidak cocok dengan referensi apapun yang sudah ada.

Di Mana Filter Bawaan Mulai Gagal

Filter email bawaan Google Workspace maupun Microsoft 365 sangat efektif untuk ancaman yang sudah dikenal. Link berbahaya diblokir berdasarkan daftar URL yang pernah dilaporkan. Attachment dipindai berdasarkan signature malware yang terdaftar. Domain mencurigakan ditolak berdasarkan reputasi yang sudah terbangun.

Untuk spam massal, malware dengan signature dikenal, atau template phishing yang sudah beredar luas, proteksi ini bekerja dengan baik. Masalah muncul ketika ancaman yang datang belum pernah terlihat sebelumnya. Filter konvensional tidak bisa memblokir apa yang tidak ia kenali, dan itulah celah yang dieksploitasi serangan berbasis AI.

Skala Serangan Email Berbasis AI Saat Ini

Hoxhunt dalam Phishing Trends Report 2026, menganalisis lebih dari 50 juta data dari 4 juta pengguna, mencatat lonjakan 14x serangan phishing berbasis AI di Desember 2025, dari 4% menjadi 56% dari seluruh serangan yang terdeteksi. KnowBe4 dalam laporan terpisah mencatat 82,6% email phishing kini mengandung elemen yang dihasilkan AI.

AI generatif memungkinkan setiap email phishing dibuat unik secara teknis. Yang membuat ini berbahaya bukan hanya volumenya, tapi cara serangan itu bekerja. Tidak ada dua email yang identik, sehingga tidak ada signature yang bisa dicocokkan. Lebih dari itu, AI bisa memindai profil LinkedIn, website perusahaan, dan media sosial untuk menyusun email yang sangat spesifik, menyebut nama rekan kerja, mereferensikan proyek yang sedang berjalan, meniru gaya komunikasi atasan. Email yang datang terlihat sah, terasa relevan, dan tidak meninggalkan jejak teknis yang mencurigakan.

Business Email Compromise adalah bentuk serangan yang paling memanfaatkan kondisi ini. Tidak ada attachment, tidak ada link — hanya teks yang menyamar sebagai eksekutif atau vendor yang meminta transfer dana atau persetujuan akses. Filter konvensional tidak melihat apapun yang mencurigakan, karena memang tidak ada payload teknis yang bisa dipindai. FBI dalam IC3 Annual Report 2025 yang dirilis April 2026 mencatat BEC mengakibatkan kerugian USD 3,04 miliar dalam satu tahun, menjadikannya kategori kejahatan siber kedua terbesar secara finansial.

Kecepatan Serangan yang Tidak Bisa Diimbangi

Riset IBM X-Force menunjukkan AI dapat menghasilkan email phishing yang meyakinkan dalam lima menit. Operator manusia berpengalaman butuh 16 jam untuk hal yang sama. Artinya serangan bisa diluncurkan dalam skala yang tidak bisa diimbangi sistem yang mengandalkan pembaruan database manual.

Ini bukan berarti solusinya adalah memperbarui database lebih cepat. Masalah fundamentalnya berbeda. Serangan berbasis AI dirancang untuk selalu terlihat baru. Tidak ada database yang bisa mengejar sesuatu yang memang dibuat untuk tidak pernah terlihat dua kali.

IBM dalam Cost of a Data Breach 2025 melaporkan perusahaan yang menggunakan AI dalam sistem keamanan mereka mendeteksi ancaman 60% lebih cepat dan menghemat rata-rata USD 2,2 juta dibanding yang tidak. Bukan karena AI lebih pintar mengenali pola lama, tapi karena AI bekerja di dimensi yang berbeda dari sekadar pencocokan signature.

Pendekatan Berbeda yang Dibutuhkan

Ada perbedaan mendasar antara cara filter konvensional dan sistem email security berbasis AI bekerja.

Filter konvensional mencocokkan email masuk dengan ancaman yang sudah dikenal. Jika tidak cocok dengan apapun di database, email lolos. Sistem berbasis AI tidak bertanya apakah email ini cocok dengan ancaman yang dikenal, tapi apakah email ini berperilaku normal untuk mailbox ini.

Setiap mailbox punya pola komunikasi uniknya sendiri. Siapa yang biasanya mengirim, topik apa yang dibahas, jenis permintaan apa yang wajar. Ketika ada email yang menyimpang dari pola itu, sistem mendeteksinya, meski email itu terlihat sempurna dari luar dan tidak cocok dengan signature apapun.

Pendekatan ini tidak membutuhkan penggantian platform email yang sudah berjalan. Inilah yang diterapkan Ironscales, membangun baseline perilaku per mailbox lalu mendeteksi anomali, termasuk BEC, quishing, dan serangan berbasis AI generatif yang tidak meninggalkan jejak teknis. Untuk bisnis yang menggunakan Google Workspace maupun Microsoft 365, koneksinya via API tanpa mengubah konfigurasi yang sudah berjalan. Untuk keamanan data email yang lebih menyeluruh, Dropsuite melengkapi dengan archiving independen dari infrastruktur platform.

Pertanyaan yang Sering Diajukan

Apakah filter bawaan GWS dan Microsoft 365 sudah tidak berguna?

Tidak. Keduanya masih sangat efektif untuk ancaman yang memang dirancang untuk mereka tangani. Celahnya ada di serangan yang tidak meninggalkan jejak teknis, BEC tanpa attachment, phishing yang dibuat unik setiap kali dikirim, atau email yang ditulis AI untuk terlihat sah secara konteks. Lapisan berbasis AI melengkapi, bukan menggantikan.

Apa yang membuat serangan email berbasis AI lebih sulit dideteksi?

Setiap email dibuat unik secara teknis sehingga tidak cocok dengan signature yang sudah ada. Ditambah personalisasi berbasis data publik seperti nama, konteks proyek, dan gaya komunikasi yang membuat email terlihat sangat sah bahkan bagi penerima yang sudah waspada.

Apakah solusi ini cocok untuk SMB tanpa tim IT khusus?

Justru di sini relevansinya. Platform seperti Ironscales beroperasi otonom — deteksi dan remediasi berjalan otomatis tanpa membutuhkan tim keamanan yang besar. Setup via API tidak membutuhkan perubahan konfigurasi besar dan tidak mengganggu alur email yang sudah berjalan.

Seberapa besar risiko BEC untuk bisnis skala menengah?

BEC menyasar bisnis dengan transaksi finansial aktif, terlepas dari ukurannya. FBI IC3 mencatat USD 3,04 miliar kerugian BEC di 2025, dan angka itu hanya dari insiden yang dilaporkan. Bisnis kecil dan menengah sering jadi target justru karena dianggap memiliki pertahanan yang lebih lemah.

Pertanyaan yang relevan bukan lagi apakah bisnis Anda akan menjadi target, tapi seberapa cepat sistem yang ada sekarang bisa mendeteksi serangan yang memang dirancang untuk tidak terlihat.