Firewall sudah berlapis, endpoint sudah dipasangi proteksi, dan password sudah wajib memakai autentikasi multifaktor. Namun satu email meyakinkan yang mengaku dari tim IT masih bisa membuka semua pintu itu dalam hitungan menit.
Inilah alasan banyak perusahaan mulai menguji sisi yang selama ini luput dari pentest biasa, yaitu manusia. Pengujinya tidak meretas server, melainkan mencoba membujuk karyawan agar menyerahkan akses dengan sukarela.
Namanya social engineering test. Artikel ini membahas apa itu social engineering test, bentuk-bentuk pengujiannya, cara membaca hasilnya, dan batas etika yang membuatnya aman dilakukan.
Apa Itu Social Engineering Test
Social engineering test adalah pengujian keamanan yang mensimulasikan serangan rekayasa sosial terhadap karyawan dengan izin resmi dari perusahaan. Tujuannya mengukur seberapa mudah manusia di dalam organisasi bisa dimanipulasi untuk membocorkan kredensial, membuka lampiran berbahaya, atau memberikan akses fisik.
Bedanya dengan pentest teknis cukup mendasar. Pentest teknis mencari celah pada sistem, aplikasi, dan jaringan. Social engineering test mencari celah pada kebiasaan, prosedur, dan kewaspadaan orang. Keduanya saling melengkapi karena penyerang nyata hampir selalu menggabungkan dua jalur tersebut.
Pengujian ini juga berbeda dari serangan sungguhan dalam satu hal penting. Semua skenario dirancang bersama manajemen, dijalankan dalam batas yang disepakati, dan hasilnya dipakai untuk memperbaiki, bukan untuk menghukum karyawan yang terjebak.
Kenapa Manusia Menjadi Target Utama Penyerang
Penyerang selalu memilih jalan yang paling murah dan paling cepat. Membobol sistem yang terproteksi dengan baik membutuhkan waktu dan keahlian tinggi, sedangkan membujuk satu karyawan sering kali cukup dengan satu telepon atau satu email yang ditulis dengan meyakinkan.
Data industri mendukung gambaran tersebut. Verizon Data Breach Investigations Report 2024 mencatat 68 persen pelanggaran data melibatkan elemen manusia yang tidak berniat jahat, misalnya karyawan yang tertipu atau melakukan kesalahan. Angka ini menunjukkan bahwa investasi teknologi saja tidak pernah cukup.
Standar keamanan pun mengakui hal yang sama. ISO/IEC 27001:2022 menempatkan kontrol manusia sebagai satu kelompok tersendiri di Annex A, termasuk kontrol A.6.3 tentang kesadaran, pendidikan, dan pelatihan keamanan informasi. Social engineering test adalah cara paling jujur untuk membuktikan apakah kontrol tersebut benar-benar bekerja di lapangan.
Enam Bentuk Social Engineering Test
Pengujian yang baik tidak hanya mengirim satu email massal. Berikut enam bentuk pengujian yang umum dipakai untuk memetakan kesiapan manusia dari berbagai sudut.
1. Phishing dan Spear Phishing
Penguji mengirim email yang meniru komunikasi resmi, misalnya pemberitahuan kedaluwarsa password atau undangan rapat palsu. Pada spear phishing, isi email dipersonalisasi memakai nama, jabatan, dan proyek yang sedang dikerjakan target agar terasa jauh lebih meyakinkan.
2. Vishing atau Voice Phishing
Pengujian dilakukan lewat telepon. Penguji berpura-pura menjadi staf helpdesk, vendor, atau auditor, lalu meminta target melakukan tindakan tertentu, misalnya mereset password atau menyebutkan kode verifikasi. Bentuk ini menguji apakah prosedur verifikasi identitas benar-benar dijalankan saat ada tekanan lisan.
3. Smishing dan Pesan Instan
Skenario dikirim melalui SMS atau aplikasi pesan seperti WhatsApp, meniru notifikasi paket, pemberitahuan bank, atau pesan dari atasan. Kanal ini sering luput dari pelatihan keamanan yang terlalu berfokus pada email, padahal karyawan membacanya di perangkat pribadi yang minim proteksi.
4. Pretexting dan Penyamaran Helpdesk
Penguji membangun cerita latar yang masuk akal, misalnya mengaku sebagai teknisi yang sedang memperbaiki gangguan jaringan, untuk mendapatkan informasi atau akses. Fokusnya bukan pada teknologi, melainkan pada seberapa mudah cerita yang rapi membuat orang menurunkan kewaspadaan.
5. Baiting dan USB Drop
Umpan fisik seperti flashdisk berlabel gaji atau bonus ditinggalkan di area kantor. Jika ada karyawan yang mencolokkannya ke komputer kantor, perusahaan tahu bahwa rasa penasaran masih bisa mengalahkan kebijakan keamanan yang sudah tertulis rapi.
6. Uji Akses Fisik dan Tailgating
Penguji mencoba masuk ke area terbatas dengan mengikuti karyawan yang membuka pintu, membawa boks seolah kurir, atau memakai atribut yang meyakinkan. Hasilnya menunjukkan apakah budaya menegur orang asing dan kebijakan kartu akses benar-benar hidup, bukan hanya tertulis di prosedur.
Siapa yang Paling Sering Menjadi Sasaran
Tidak semua karyawan menghadapi risiko yang sama. Penyerang biasanya membidik peran yang memegang akses atau memegang uang, karena satu keberhasilan pada peran tersebut langsung bernilai besar.
Tim finance adalah sasaran klasik lewat skenario business email compromise, yaitu email palsu yang meniru direktur dan meminta transfer segera ke rekening baru. Helpdesk menjadi sasaran karena memegang kewenangan mereset password dan menyetujui permintaan akses. Eksekutif dan asistennya dibidik lewat whaling, bentuk spear phishing yang sangat personal. Sementara karyawan baru sering menjadi sasaran empuk karena belum hafal prosedur dan masih sungkan memverifikasi permintaan yang mengaku dari atasan.
Karena itu ruang lingkup pengujian yang baik selalu berbasis risiko. Departemen dengan akses paling sensitif diuji dengan skenario yang paling realistis, bukan disamaratakan dengan kampanye massal yang mudah ditebak.
Bagaimana Pengujian Dijalankan
Social engineering test yang profesional selalu mengikuti tahapan yang disepakati sejak awal bersama manajemen dan tim keamanan. Urutannya kurang lebih sebagai berikut.
- Persetujuan tertulis dan rules of engagement. Ruang lingkup, target, kanal yang dipakai, dan batas yang tidak boleh dilanggar ditetapkan secara tertulis sebelum pengujian dimulai.
- Pengumpulan informasi publik. Penguji memetakan informasi yang terbuka untuk umum, seperti struktur organisasi dan media sosial karyawan, sama seperti yang dilakukan penyerang nyata.
- Perancangan skenario. Cerita, naskah pesan, dan kanal dipilih berdasarkan profil risiko perusahaan, bukan memakai templat generik.
- Eksekusi kampanye. Skenario dijalankan dan setiap respons dicatat, mulai dari email dibuka, tautan diklik, sampai karyawan yang melaporkan pesan mencurigakan.
- Pengukuran dan pelaporan. Hasil dihitung menjadi metrik yang bisa dibandingkan antarperiode dan antardepartemen.
- Debrief dan tindak lanjut. Manajemen dan karyawan menerima penjelasan hasil beserta rencana perbaikan, biasanya berupa pelatihan dan pengetatan prosedur verifikasi.
Cara Membaca Hasilnya
Angka hasil social engineering test bukan untuk mencari siapa yang paling ceroboh. Angka tersebut adalah peta untuk memutuskan perbaikan mana yang paling mendesak. Empat metrik berikut yang paling sering dipakai.
- Tingkat klik. Persentase karyawan yang membuka tautan atau lampiran dalam skenario phishing.
- Tingkat penyerahan kredensial. Persentase karyawan yang sampai memasukkan username dan password di halaman tiruan.
- Tingkat pelaporan. Persentase karyawan yang mengenali dan melaporkan serangan simulasi ke tim keamanan. Metrik ini justru yang paling diharapkan naik dari waktu ke waktu.
- Kecepatan respons. Waktu yang dibutuhkan sejak kampanye berjalan sampai laporan pertama diterima tim keamanan.
Perusahaan yang matang membandingkan metrik ini antarkampanye. Tingkat klik yang turun dan tingkat pelaporan yang naik menandakan budaya keamanan benar-benar berubah, bukan sekadar pernah dilatih sekali.
Etika dan Batas Aman Pengujian
Karena menguji manusia, pengujian ini wajib dijalankan dengan etika yang ketat. Tanpa rambu yang jelas, simulasi bisa berubah menjadi jebakan yang merusak kepercayaan karyawan kepada perusahaan.
Beberapa rambu yang lazim diterapkan antara lain persetujuan tertulis dari manajemen, larangan memakai isu yang sangat sensitif seperti kabar duka atau ancaman pemecatan, dan larangan mempermalukan individu dalam laporan. Hasil perorangan biasanya hanya diketahui tim keamanan dan dipakai untuk pembinaan, sedangkan laporan untuk manajemen berbentuk agregat per departemen.
Panduan pengujian keamanan seperti NIST SP 800-115 juga menekankan perencanaan, izin, dan perlindungan data selama pengujian berlangsung. Kredensial yang terkumpul dalam simulasi harus segera dimusnahkan dan tidak pernah dipakai untuk mengakses sistem sungguhan.
Kesalahan Umum Saat Perusahaan Menguji Sendiri
Sebagian perusahaan mencoba menjalankan simulasi phishing sendiri dan hasilnya sering kali menyesatkan. Kesalahan yang paling sering terjadi antara lain sebagai berikut.
- Skenario terlalu mudah ditebak. Email dengan ejaan berantakan dan pengirim asing tidak melatih siapa pun, karena serangan nyata jauh lebih rapi.
- Hanya menghitung klik. Tanpa mengukur tingkat pelaporan, perusahaan tidak tahu apakah karyawannya berani dan tahu cara melapor.
- Hasil dipakai untuk menghukum. Sekali karyawan merasa dijebak, kampanye berikutnya akan bocor lebih dulu dan seluruh program kehilangan kepercayaan.
- Tidak ada pengujian ulang. Satu kampanye hanya memberi potret sesaat. Tanpa retest setelah pelatihan, perusahaan tidak bisa membuktikan bahwa perilakunya berubah.
Pengujian yang dijalankan pihak ketiga yang berpengalaman biasanya terhindar dari jebakan tersebut karena skenario, pengukuran, dan pelaporannya mengikuti metodologi yang sudah teruji.
Dari Hasil Tes Menuju Perbaikan Nyata
Nilai terbesar social engineering test muncul setelah pengujian selesai. Hasilnya menjadi dasar pelatihan kesadaran keamanan yang tepat sasaran, karena perusahaan tahu persis skenario mana yang paling banyak menjebak karyawannya.
Prosedur verifikasi juga biasanya ikut diperbaiki, misalnya kewajiban konfirmasi lewat kanal kedua untuk permintaan reset password atau perubahan rekening pembayaran. Dikombinasikan dengan autentikasi multifaktor dan kebiasaan melapor yang dibangun terus menerus, hasil tes berikutnya hampir selalu membaik.
Jika perusahaan Anda belum pernah menguji sisi manusia dari pertahanannya, hasilnya mungkin akan mengejutkan. Namun justru di situlah nilainya. Lebih baik kelemahan itu ditemukan oleh penguji yang berizin daripada oleh penyerang yang tidak akan pernah mengirimkan laporan. Proxsis IT membantu perusahaan merancang dan menjalankan pengujian keamanan yang terukur, termasuk dari sisi manusia, agar program keamanan informasi berjalan berdasarkan bukti dan bukan berdasarkan asumsi semata.
