Di episode #28 kemarin saya membahas aturan main: UU ITE, GDPR, sampai sertifikasi keamanan. Hari ini saya ingin balik ke sisi teknisnya, karena satu hal yang paling terasa saat ini: AI bukan cuma membantu pertahanan, tapi juga mempermudah penyerang. Ini catatan belajar saya soal bagaimana AI mengubah lanskap serangan dan di sisi mana AI paling membantu saya sebagai programmer.
Serangan yang ditulis AI: murah, cepat, dan rapi
Dulu spear phishing butuh waktu — penyerang membaca LinkedIn korban, menyesuaikan gaya bahasa, menyusun narasi. Sekarang biaya itu jatuh mendekati nol. Riset Harvard Business Review (2024) menyebut AI memangkas biaya kampanye phishing lebih dari 95% dan menaikkan click-through rate spear phishing otomatis sampai sekitar 54%, setara penyerang manusia berpengalaman.
Angka yang membuat saya berhenti scroll: laporan Hoxhunt Phishing Trends Report (2026) mencatat lonjakan 14x phishing ber-AI yang lolos filter email pada Desember 2025 — naik dari sekitar 4% menjadi 56% dari seluruh serangan yang dilaporkan pengguna, lalu turun ke 40% di Januari 2026. Microsoft Threat Intelligence (Q1 2026) juga mencatat deteksi quishing (phishing lewat QR code) melonjak 146% kuartalan, dari 7,6 juta di Januari jadi 18,7 juta di Maret. Bagi saya ini berarti: filter email saja tidak lagi cukup, dan “emailnya rapi dan nyambung” bukan lagi tanda aman.
Deepfake: wajah dan suara bukan bukti lagi
Kasus yang paling saya ingat: tahun 2024 seorang karyawan keuangan memindahkan USD 25 juta setelah panggilan video dengan “CFO”-nya — ternyata pihak CFO di layar itu seluruhnya deepfake (insiden di firma Arup, dilaporkan CrowdStrike 2024). Hoxhunt juga mencatat impersonasi deepfake naik 15% dalam setahun, banyak menyasar fungsi keuangan dan HR.
Ini berarti bagi saya: verifikasi “tahu muka” sudah lemah. Kalau aturan di kantor saya berbunyi “transfer hanya lewat approval berjenjang”, aturan itu masih berlaku — yang harus berubah adalah kanal verifikasinya (telepon balik ke nomor resmi, PIN transfer yang dipisah dari percakapan), bukan percaya pada wajah di layar.
AI penyerang yang sudah beredar
Google Threat Intelligence Group (laporan “Adversarial Misuse of Generative AI”, Januari 2025) memantau aktor yang didukung negara memakai Gemini. Kesimpulannya menenangkan sekaligus tidak: sejauh ini mereka memperoleh productivity gain — membantu riset, ringkasan, kode sederhana — tapi upaya jailbreak yang mereka coba umumnya gagal dan jawaban berbahaya ditolak. Di forum gelap memang beredar model “uncensored” seperti WormGPT dan FraudGPT yang dijanjikan tanpa batas, tapi kualitasnya sering kalah dari model resmi. Pelajaran yang saya ambil: ancaman AI hari ini lebih ke otomatisasi penipuan yang meyakinkan, bukan “AI jahat super” yang bisa menembak sistem sendiri.
Sisi pertahanan: AI sebagai SOC copilot
Di sisi defender, AI paling membantu saya di tiga hal yang selama ini membosankan tapi kritis:
- Merangkum log. Alih-alih grep berjam-jam (kita bahas log analysis di episode #20), saya bisa minta model meringkas ribuan baris jadi beberapa temuan mencurigakan — tetap verifikasi baris aslinya, jangan percaya ringkasan buta.
- Menulis deteksi. Menerjemahkan pola serangan jadi aturan SIEM atau query log jauh lebih cepat dengan bantuan model, tinggal saya uji lagi di lab.
- Menguji awareness. Simulasi phishing internal jadi lebih realistis — tapi di sinilah etika dari episode #22 berlaku: selalu dalam ruang lingkup yang diizinkan, dengan izin tertulis.
Checklist pribadi saya
Dari semua bacaan ini, tiga hal yang saya terapkan langsung: (1) MFA tetap wajib — AI membuat phishing lebih meyakinkan, tapi passkey/FIDO2 yang pernah kita bahas di episode #3 tidak bisa direplikasi hanya dengan teks yang enak dibaca; (2) proses verifikasi transfer atau akses kritis harus lewat kanal kedua yang sudah ditetapkan sebelumnya, bukan kanal yang diminta dalam percakapan berjalan; (3) untuk pesan yang mengaku dari atasan atau vendor, verifikasi ke nomor resmi — nada suara dan wajah di layar tidak lagi jadi bukti.
Di episode #30 (penutup season) saya akan rangkum ke mana semua ini menuju: roadmap karir dan hands-on lab. Tapi inti dari episode ini: AI menaikkan volume dan kualitas serangan sosial, dan pertahanan terbaik yang saya punya bukan alat canggih, melainkan proses yang tidak bisa digoyang oleh pesan yang meyakinkan.
Sumber
- Hoxhunt — Phishing Trends Report (2026)
- Microsoft Threat Intelligence — Email threat landscape Q1 2026
- Google Threat Intelligence — Adversarial Misuse of Generative AI (Januari 2025)
- Harvard Business Review — AI Will Increase the Quantity and Quality of Phishing Scams (2024)
- IBM — Cost of a Data Breach Report 2025
Komentar Terbaru