Phishing paling berbahaya bukan yang bikin kita mikir, “wah ini phishing.”

Justru yang masuk di sela hari biasa.

“Mas, file revisinya ada di sini ya.”

“Kak, paketnya perlu konfirmasi alamat.”

“Bro, deck yang tadi gue mention udah gue upload.”

“Pak, approval tinggal satu step lagi.”

Tidak ada hadiah miliaran.

Tidak ada pangeran asing.

Tidak ada ancaman dramatis.

Cuma percakapan normal yang kebetulan membawa satu link.

Itu arah social engineering yang makin relevan ketika AI membuat attacker lebih mudah menulis, menerjemahkan, mempersonalisasi, dan menjaga conversation flow.

Google Threat Intelligence Group pada 2026 melihat threat actor makin mengintegrasikan AI untuk mempercepat reconnaissance, social engineering, dan bagian lain dari attack lifecycle. Microsoft juga mendokumentasikan campaign phishing dan social engineering yang makin automated, termasuk serangan device-code phishing yang menggunakan infrastructure dinamis dan automation end-to-end.

Artinya, phishing tidak harus menjadi email statis.

Ia bisa menjadi interaction.

Dan manusia jauh lebih gampang mengikuti flow daripada memeriksa setiap message sebagai security event.

Coba lihat cara kita chatting.

Teman kantor mengirim:

“Udah gue upload.”

Kita klik.

Vendor bilang:

“Ini revisi terakhir.”

Klik.

HR bilang:

“Sign di sini.”

Klik.

Marketplace:

“Konfirmasi.”

Klik.

Banyak digital workflow memang dibangun supaya kita cepat.

Phishing memanfaatkan muscle memory itu.

AI membantu membuat pesan masuk ke rhythm yang sama.

Kalau pelaku punya sedikit context, hasilnya makin plausible.

Misalnya tahu perusahaan memakai Microsoft 365.

Pesan bisa bicara soal SharePoint.

Kalau target developer, GitHub.

Kalau target finance, invoice.

Kalau target seller, marketplace dashboard.

Kalau target mahasiswa, Google Drive.

Context tidak harus sangat rahasia.

Job title di LinkedIn sudah cukup memberi banyak clue.

Lalu AI membantu membuat copy.

Phishing tradisional sering punya satu weakness: scale versus personalization.

Semakin personalized, semakin mahal.

AI menggeser economics.

Attacker bisa membuat banyak variasi dengan cost rendah.

Nama.

Role.

Language.

Tone.

Timing.

Masing-masing sedikit berbeda.

Filter berbasis template juga jadi lebih susah karena message tidak identik.

Ini bukan berarti email security helpless.

Modern system punya banyak signal selain body text.

Domain reputation.

Authentication.

URL.

Attachment.

Behavior.

Identity.

Network.

Tapi untuk manusia, text yang natural mengurangi alarm.

Makanya training “cari grammar jelek” makin nggak relevan.

Phishing normal conversation punya beberapa pola.

Pertama, continuity palsu.

“Terkait meeting tadi…”

Padahal nggak ada meeting.

Tapi kita punya banyak meeting.

Otak bisa mengisi.

Kedua, low-friction request.

“Cuma cek.”

“Cuma confirm.”

“Cuma lihat.”

Belum minta password.

Action pertama dibuat kecil.

Begitu klik, baru chain lanjut.

Ketiga, borrowed context.

Pelaku memakai nama tool yang memang digunakan target.

“DocuSign.”

“Teams.”

“Google Drive.”

“Notion.”

“Zoom.”

Familiarity menurunkan suspicion.

Keempat, progressive trust.

Awalnya nggak ada yang sensitif.

Pelaku ngobrol.

Menjawab.

Memberi alasan.

Baru kemudian request.

Conversation terasa manusia karena ada back-and-forth.

AI cocok untuk ini.

Kelima, urgency yang nggak lebay.

Bukan “ACCOUNT ANDA AKAN DIBLOKIR 5 MENIT”.

Lebih subtle.

“Kalau bisa before lunch ya.”

“Need approval hari ini supaya nggak ke-hold.”

Ini justru mirip kerjaan.

Di kantor Jakarta, kalimat begini sangat biasa.

Jam 11:47.

Orang sudah mikir makan.

Ada chat “quick approve ya”.

Klik.

Scammer tidak butuh kita panik berat.

Cukup bikin kita autopilot.

Ini kenapa security perlu menginterupsi muscle memory pada titik penting.

Link login.

Payment.

Credential.

MFA.

File executable.

Change bank account.

Share permission.

Remote access.

Action seperti ini harus terasa sedikit lebih berat.

Security UX yang terlalu frictionless bisa berbahaya.

Ada konsep bagus: trusted path.

Kalau pesan meminta login, jangan login dari link.

Buka aplikasi atau website lewat bookmark.

Kalau file katanya ada di Drive, buka Drive manual dan cari.

Kalau invoice katanya berubah, cek portal vendor.

Kalau HR minta sign, buka HR system sendiri.

Ini menambah beberapa detik.

Tapi memutus kontrol attacker atas destination.

Phishing bergantung pada korban mengikuti jalur yang disiapkan.

Keluar jalur.

Masuk lewat pintu yang kita tahu.

Untuk consumer, prinsipnya sama.

Pesan paket.

Jangan klik.

Buka app marketplace.

Pesan bank.

Buka mobile banking.

Pesan pajak.

Buka situs resmi dari bookmark atau search yang hati-hati.

Pesan OJK.

Cek channel resmi.

Pada Maret 2026, OJK masih mengingatkan adanya penipuan yang mengatasnamakan OJK dan meminta masyarakat memastikan kebenaran informasi lewat contact resmi mereka.

Impersonation tetap hidup karena authority bekerja.

AI hanya membuat packaging lebih bersih.

Ada satu trend security yang perlu dipahami: scammer juga bisa sounding cautious.

“Hati-hati penipuan.”

“Jangan berikan OTP ke siapa pun.”

“Kami tidak pernah meminta PIN.”

Kalimat-kalimat ini bisa dimasukkan ke phishing untuk membangun trust.

Jangan berhenti membaca karena pesan menyebut safety.

Lihat action yang diminta.

Kalau website palsu meminta credential, warning “jangan kasih OTP” tidak membuatnya legitimate.

Trust is not copy.

Trust is verification.

AI juga bisa membuat phishing responsive terhadap resistance.

Target berkata:

“Link ini kok beda?”

Pelaku:

“Karena kami baru migrasi portal, Kak. Domain lama masih redirect sampai akhir bulan.”

Sounds plausible.

Target:

“Bisa kirim lewat email resmi?”

Pelaku:

“Bisa, tapi sistem lagi maintenance. Supaya tiket nggak expired, pakai link ini dulu.”

AI bisa membantu menghasilkan excuse konsisten.

Scammer manusia tetap mengendalikan.

Atau automation yang lebih tinggi bisa melakukan.

Yang penting, conversation tidak langsung collapse ketika korban bertanya.

Ini membuat satu strategi lama kurang kuat: “tanya sesuatu untuk melihat apakah dia bingung.”

Scammer sekarang punya mesin yang tidak gampang kehabisan kata.

Pertanyaan verifikasi harus membutuhkan external truth.

Bukan conversational skill.

Misalnya:

Gue akan hubungi nomor resmi.

Gue cek portal.

Gue telepon vendor contact yang tersimpan.

Gue tanya rekan lewat channel lain.

External check.

Bukan adu improvisasi.

AI juga dapat membantu localization.

Penipu tidak perlu sempurna memahami Bahasa Indonesia untuk menggunakan istilah yang lebih natural.

Namun cultural mismatch masih bisa muncul.

Tone terlalu formal.

Sapaan tidak biasa.

Waktu pesan aneh.

Tetap boleh menjadi clue.

Cuma jangan jadikan clue sebagai authentication.

Pesan natural pun harus dicurigai jika action-nya sensitif.

Microsoft pada Juni 2026 juga melihat threat actor menggunakan popularitas brand AI seperti ChatGPT, Claude, Copilot, dan DeepSeek sebagai lure. Ada phishing page yang mencuri data pembayaran dan credential.

Ini menunjukkan attacker selalu memakai sesuatu yang sedang dipercaya atau diminati.

Besok lurenya bisa berbeda.

Brand AI hanya contoh.

Core pattern tetap.

Familiar thing plus urgent action.

Phishing defense harus timeless.

MFA tetap penting, tapi bahkan MFA bisa diphish lewat beberapa teknik.

Google pada Januari 2026 mendokumentasikan sophisticated vishing yang mengarahkan korban ke credential harvesting site untuk mendapatkan SSO credential dan MFA code.

Jadi “punya MFA” tidak berarti selesai.

Phishing-resistant authentication seperti passkey atau hardware security key bisa lebih kuat untuk sebagian environment karena credential terikat origin dan lebih sulit diberikan ke situs palsu.

Perusahaan yang punya risk tinggi sebaiknya mempertimbangkan.

Tapi technology control saja nggak cukup.

Process tetap.

Finance callback.

IT helpdesk verification.

Privilege management.

Least access.

User training.

Untuk perusahaan, simulation juga harus berubah.

Jangan kirim phishing test yang terlalu absurd.

Employee yang selalu lolos karena spotting typo akan overconfident.

Simulate conversation-like lure.

Low urgency.

Familiar tool.

Natural language.

Tetap jangan mempermalukan user.

Training yang baik menjelaskan kenapa pesan itu berbahaya.

Apa signal-nya.

Apa action yang benar.

Security awareness seharusnya membangun skill, bukan leaderboard siapa paling curiga.

Ada satu hal yang sering dilupakan: fatigue.

Kalau employee menerima terlalu banyak warning, semua diabaikan.

Browser merah.

Email banner kuning.

Pop-up.

MFA prompt.

Security team perlu memilih friction di titik paling berisiko.

Bukan menjadikan semua hal berteriak “AWAS”.

Kalau semuanya urgent, tidak ada yang urgent.

AI phishing akan mengeksploitasi fatigue.

Pesan attacker terlihat tenang.

Banner security terlihat lebay.

User memilih yang tenang.

Design matters.

Di luar kantor, family juga perlu awareness.

Phishing bisa datang dari account teman yang compromised.

Ini jauh lebih convincing.

Message benar-benar dari akun mereka.

Bahasanya mungkin dibuat AI.

“Bro ini foto kita kemarin wkwk.”

Link.

Orang klik karena sender authentic.

Ini menunjukkan identity channel saja tidak cukup kalau account sudah diambil alih.

Again, lihat action.

Link baru.

File.

Login.

Permintaan uang.

Kalau unusual, confirm lewat cara lain.

Phishing modern terasa normal karena normality adalah camouflage terbaik.

Scammer tidak ingin terlihat seperti hacker.

Mereka ingin terlihat seperti kolega yang lagi buru-buru, customer service yang helpful, atau teman yang cuma kirim link.

AI membuat kostum bahasa itu lebih murah.

Pertahanan kita harus pindah dari estetika pesan ke struktur kepercayaan.

Siapa minta apa?

Lewat channel mana?

Apa konsekuensinya?

Bisa diverifikasi di tempat lain?

Kalau empat pertanyaan itu jadi habit, phishing boleh terdengar natural seberapa pun.

Percakapan normal tidak otomatis berarti request normal.

Dan di 2026, perbedaan itu makin penting.

Satu contoh yang sering bikin orang lengah adalah thread reply. Pesan baru muncul sebagai balasan pada conversation lama, jadi context terlihat sah. Kalau account seseorang memang compromised, attacker bahkan tidak perlu mengarang topik dari nol. Mereka tinggal membaca lalu masuk pada saat yang pas.

Karena itu perubahan tindakan lebih penting daripada continuity percakapan.

Thread lama membahas proposal. Tiba-tiba ada link login baru.

Thread vendor lama membahas invoice. Tiba-tiba rekening berubah.

Chat teman lama tiba-tiba minta pinjam uang ke account yang tidak pernah dipakai.

Continuity membuat kita nyaman. Change harus membuat kita cek.

Untuk team, satu habit praktis bisa dipakai: sebelum melakukan action yang menghasilkan consequence, baca lagi message tanpa konteks sosialnya. Kalau kalimat yang tersisa adalah “login di link ini”, “ubah rekening ini”, “share code ini”, atau “install aplikasi ini”, treatment-nya harus security-first.

Nama sender dan tone boleh memberi context. Mereka tidak boleh menghapus control.

AI membuat phishing bisa ngobrol. Itu berarti pertahanan juga harus hidup di tengah conversation, bukan hanya di inbox filter.