Email Spoofing, Display-Name Impersonation, dan Lookalike Domain: Apa Bedanya?

Email yang terlihat berasal dari direktur, vendor, atau rekan kerja belum tentu menggunakan teknik peniruan yang sama. Ada pesan yang memalsukan domain perusahaan secara langsung, ada yang hanya meniru nama pengirim, ada pula yang menggunakan domain berbeda dengan ejaan yang hampir serupa. Dalam kasus lain, penyerang bahkan dapat mengirim pesan dari akun perusahaan yang memang sah tetapi sudah dikompromikan.

Perbedaan ini penting karena setiap teknik melewati jalur pemeriksaan yang berbeda. DMARC membantu menangani pemalsuan domain langsung, tetapi tidak otomatis menghentikan display-name impersonation, lookalike domain, atau pesan yang dikirim dari akun sah yang telah diambil alih.

Peniruan Identitas Email Tidak Selalu Berarti Hal yang Sama

Istilah email spoofing sering digunakan secara luas untuk email yang menyamar sebagai pihak tepercaya. Padahal, bagian yang dimanipulasi dapat berupa alamat pengirim, nama tampilan, domain, atau akun yang digunakan.

Karena itu, pertanyaan yang lebih berguna adalah: bagian mana yang dipalsukan dan kontrol apa yang dapat memeriksanya?

Perbedaannya bukan sekadar istilah. Bagian yang ditiru menentukan kontrol apa yang masih efektif dan di mana perlindungan tambahan diperlukan.

Exact-Domain Spoofing: Domain Resmi Dipalsukan Secara Langsung

Exact-domain spoofing terjadi ketika alamat From terlihat menggunakan domain resmi perusahaan, padahal pesan dikirim oleh sumber yang tidak berwenang. Contohnya, penyerang membuat pesan seolah-olah berasal dari [email protected] tanpa memiliki akses ke sistem email perusahaan tersebut.

DMARC membantu menangani pemalsuan domain langsung dengan mengevaluasi apakah hasil autentikasi SPF dan/atau DKIM selaras dengan domain pada alamat From.

DMARC.org menjelaskan bahwa DMARC berfokus pada direct domain spoofing. Ketika domain sudah mencapai kebijakan enforcement dan konfigurasi pengiriman yang sah sudah benar, penggunaan domain tersebut oleh sumber yang tidak terautentikasi dapat lebih efektif dikarantina atau ditolak.

Baca juga: DMARC p=none: Sudah Aktif, tetapi Apakah Domain Sudah Terlindungi?

Display-Name Impersonation: Nama Sama, Alamat Berbeda

Pada display-name impersonation, penyerang tidak harus memalsukan domain resmi. Mereka cukup menggunakan nama tampilan yang dikenal penerima, seperti nama direktur, bagian finance, vendor, atau partner bisnis.

Inbox dapat menampilkan nama “Budi Santoso — Direktur”, sedangkan alamat sebenarnya menggunakan akun gratis atau domain lain. Jika penerima tidak membuka detail alamat, pesan tersebut dapat terlihat meyakinkan.

Microsoft menjelaskan user impersonation sebagai peniruan kombinasi nama tampilan dan alamat email pengguna.

Karena domain yang digunakan penyerang dapat tetap valid dan terautentikasi, lolosnya SPF, DKIM, atau DMARC tidak otomatis berarti pesan tersebut benar-benar berasal dari pihak yang ditiru.

Lookalike Domain: Domain Berbeda yang Dibuat Mirip

Lookalike domain menggunakan domain berbeda yang secara visual menyerupai domain resmi. Perbedaannya dapat berupa satu huruf, tanda hubung, susunan karakter, atau variasi lain yang sulit dikenali secara sekilas.

Contohnya, domain resmi perusahaan.co.id dapat ditiru melalui domain seperti perusahan.co.id. Pesan dapat menggunakan nama, logo, tanda tangan, dan pola komunikasi yang menyerupai pihak sebenarnya.

Domain tersebut dapat memiliki SPF, DKIM, dan DMARC yang valid untuk identitasnya sendiri. Hasil autentikasi yang lolos hanya menunjukkan bahwa pesan dikirim atas nama domain tersebut, bukan bahwa domain itu berhubungan dengan perusahaan yang ditiru.

Perlindungannya memerlukan pemeriksaan kemiripan dan reputasi domain, konteks komunikasi, serta verifikasi pada proses bisnis yang sensitif.

Compromised Account: Pesan Dikirim dari Akun yang Benar

Kasus lain yang perlu dibedakan adalah akun sah yang sudah dikompromikan. Penyerang memperoleh akses ke mailbox pengguna, lalu mengirim pesan dari alamat yang memang benar-benar dimiliki perusahaan, karyawan, atau vendor.

Karena pesan berasal dari akun sah, autentikasi dapat lolos dan riwayat percakapan sebelumnya dapat digunakan agar permintaan terlihat konsisten.

Dokumentasi Microsoft mengenai akun email yang dikompromikan menjelaskan bahwa penyerang dapat menggunakan mailbox korban untuk mengirim pesan kepada penerima internal maupun eksternal.

Pada kondisi ini, pemeriksaan autentikasi domain saja tidak cukup karena identitas teknis pengirim memang sah. Kasus seperti ini memerlukan keamanan akun, pemantauan perilaku, audit log, remediasi sesi, dan proses respons insiden.

Empat Bentuk Peniruan Identitas Email dan Kontrol yang Relevan

Teknik	Bagian yang dimanipulasi	Apakah DMARC cukup?	Kontrol yang relevan
Exact-domain spoofing	Domain resmi pada alamat pengirim	DMARC relevan sebagai kontrol utama	SPF, DKIM, DMARC, dan filtering inbound
Display-name impersonation	Nama yang terlihat oleh penerima	Tidak otomatis	Deteksi impersonation, penandaan pengirim eksternal, dan verifikasi
Lookalike domain	Domain lain yang dibuat menyerupai domain resmi	Tidak otomatis	Analisis kemiripan domain, reputasi, konteks, dan monitoring domain
Compromised account	Akun sah yang diambil alih	Tidak	MFA, keamanan akun, deteksi perilaku, audit, dan respons insiden

Tabel tersebut menunjukkan fungsi utama secara sederhana. Kemampuan aktual tetap bergantung pada platform email, konfigurasi, kebijakan, serta solusi keamanan yang digunakan.

Perlindungan Perlu Disusun Berdasarkan Jenis Risiko

• Lindungi domain sendiri dengan SPF, DKIM, dan DMARC yang dikonfigurasi serta dievaluasi menuju enforcement.
• Evaluasi kemampuan Email Security dalam mendeteksi peniruan nama, domain serupa, anomali pengirim, dan konteks pesan.
• Aktifkan MFA dan pemantauan aktivitas akun untuk mengurangi risiko pengambilalihan mailbox.
• Verifikasi permintaan pembayaran, perubahan rekening, reset akses, atau pengiriman data melalui saluran terpisah.

FBI menjelaskan bahwa Business Email Compromise dapat menggunakan pesan yang terlihat berasal dari sumber yang dikenal untuk menyampaikan permintaan yang tampak sah. Karena itu, kontrol teknis perlu didukung prosedur verifikasi pada proses bisnis yang bernilai tinggi.

Pertanyaan yang Sering Diajukan

Apakah email spoofing sama dengan phishing?

Tidak selalu. Spoofing menjelaskan cara identitas pengirim disamarkan atau dipalsukan. Phishing menjelaskan upaya menipu penerima agar memberikan informasi, membuka akses, mengklik tautan, atau melakukan tindakan tertentu. Spoofing dapat digunakan sebagai bagian dari phishing atau BEC.

Apakah SPF, DKIM, dan DMARC cukup untuk mencegah email impersonation?

Tidak. SPF, DKIM, dan DMARC terutama membantu memvalidasi identitas dan autentikasi domain pengirim. Display-name impersonation, lookalike domain, dan compromised account membutuhkan kontrol tambahan sesuai jenis risikonya.

Apakah DMARC menghentikan display-name impersonation?

Tidak secara langsung. DMARC memeriksa autentikasi dan alignment domain pada alamat pengirim. Jika penyerang memakai domain lain yang sah tetapi menampilkan nama direktur atau vendor, pesan tersebut tidak otomatis gagal DMARC.

Apakah lookalike domain selalu gagal SPF, DKIM, atau DMARC?

Tidak. Domain lookalike dapat dikonfigurasi dengan autentikasi yang valid untuk domainnya sendiri. Karena itu, hasil autentikasi perlu dibaca bersama identitas domain, reputasi, kemiripan nama, dan konteks komunikasi.

Mana yang lebih berbahaya: spoofing atau akun yang dikompromikan?

Keduanya memiliki risiko berbeda. Akun yang dikompromikan dapat lebih sulit dikenali karena pesan benar-benar dikirim dari alamat sah dan dapat memanfaatkan riwayat percakapan. Namun, dampaknya tetap bergantung pada akses akun, target, dan tindakan yang diminta.

Identitas Pengirim Perlu Diperiksa Lebih dari Satu Lapisan

Email spoofing, display-name impersonation, lookalike domain, dan compromised account memanipulasi bagian identitas yang berbeda dan membutuhkan kontrol yang berbeda.

DMARC membantu melindungi domain dari pemalsuan langsung. Email Security dapat menambah pemeriksaan terhadap impersonation dan konteks pesan. Keamanan akun serta prosedur verifikasi tetap diperlukan ketika serangan menggunakan domain lain atau akun sah yang sudah diambil alih.