Kamu mungkin sudah melatih tim buat curiga pada email typo, domain aneh, dan salam “Dear customer”. Masalahnya, AI-generated spear phishing jarang terlihat seperti phishing klasik. Emailnya bisa menyebut project GitHub-mu, komentar terakhirmu di X, jabatan bosmu di LinkedIn, bahkan gaya bahasa vendor yang biasa kamu balas.
Karena itu, ancaman baru ini nggak cuma urusan security team. Developer, eksekutif, finance, HR, dan founder juga masuk target. Semakin rapi jejak publikmu, semakin mudah AI menyusun serangan yang terasa masuk akal.
Apa Itu AI-Generated Spear Phishing?
AI-generated spear phishing adalah serangan phishing tertarget yang memakai AI untuk mengumpulkan konteks, menulis pesan personal, dan menyesuaikan skenario dengan target tertentu. Bedanya dengan phishing biasa, serangan ini tidak mengandalkan volume doang. Ia mengandalkan relevansi.
Contohnya, attacker bisa melihat profil LinkedIn-mu, repo GitHub yang kamu maintain, thread X tentang deploy error, lalu membuat email “urgent” dari CTO palsu. Selain itu, AI bisa meniru tone, memilih waktu kirim, dan membuat alasan yang nyambung dengan pekerjaanmu.
Rantai Serangan: LinkedIn, GitHub, X, Lalu Inbox
1. LinkedIn Memberi Peta Organisasi
LinkedIn membantu attacker memahami jabatan, senioritas, relasi, vendor, dan perubahan kerja. Jadi, email “selamat atas role baru” bisa berubah jadi pintu masuk credential harvesting. Terlebih lagi, update promosi sering membuat orang lebih responsif karena momen itu terasa personal.
2. GitHub Memberi Detail Teknis
GitHub sering membocorkan konteks tanpa terasa berbahaya. Nama service, stack, dependency, issue, branch, bahkan pola commit bisa memberi bahan social engineering. Akibatnya, pesan palsu bisa terdengar seperti bagian normal dari workflow developer.
3. X Memberi Mood dan Timing
X sering memuat opini spontan, keluhan incident, jadwal event, atau diskusi vendor. Karena itu, attacker bisa memilih angle yang tepat. Misalnya, “aku lihat kamu lagi debugging auth issue, coba patch ini” terasa jauh lebih meyakinkan daripada email random.
Counter-Intuitive: Jangan Mulai dari Email Filter
Banyak tim langsung beli tool filter email. Itu membantu, tetapi bukan titik awal terbaik. Untuk AI spear phishing, permukaan data publik sering lebih penting daripada inbox.
Framework veteran yang praktis: Map, Minimize, Misdirect, Monitor.
- Map: audit jejak publik tim eksekutif, developer, finance, dan HR.
- Minimize: hapus detail yang tidak perlu, terutama vendor, arsitektur internal, dan jadwal sensitif.
- Misdirect: pisahkan identitas publik dan kanal operasional. Jangan biarkan DM publik menjadi jalur approval.
- Monitor: pantau domain mirip, akun palsu, repo fork mencurigakan, dan impersonation.
Dengan kata lain, jangan cuma memperkuat gerbang. Kurangi juga peta yang membantu penyerang menemukan gerbang itu.
Sinyal Bahaya yang Sering Terlewat
Karena AI bisa menulis rapi, indikator lama seperti typo makin lemah. Sebagai gantinya, cari sinyal proses.
- Pesan meminta bypass prosedur, walau bahasanya sopan.
- Permintaan muncul lewat kanal yang nggak biasa.
- Konteksnya benar, tetapi aksinya terlalu cepat.
- Link mengarah ke login, file, atau patch yang tidak lewat workflow resmi.
- Pengirim tahu detail publik, tetapi gagal menjawab detail internal.
Tips sederhana: validasi lewat kanal kedua. Kalau pesan datang via email, cek lewat Slack internal atau call singkat. Namun, jangan reply langsung ke thread yang sama.
Checklist Pertahanan Buat Security Team, Developer, Eksekutif
Untuk Security Team
- Jalankan OSINT audit per kuartal untuk role berisiko tinggi.
- Simulasikan phishing berbasis data publik, bukan template generik.
- Pasang DMARC, SPF, DKIM, dan monitoring domain lookalike.
- Buat playbook impersonation untuk LinkedIn, GitHub, dan X.
Untuk Developer
- Jangan taruh nama service internal di bio, README publik, atau issue terbuka.
- Gunakan secret scanning. GitHub punya panduan bagus soal secret scanning.
- Verifikasi patch, package, dan token request lewat repo atau ticket resmi.
- Pisahkan email komunitas, OSS, dan kerja.
Untuk Eksekutif
- Batasi detail agenda, perjalanan, investor call, dan vendor strategis.
- Gunakan approval policy untuk transfer, kontrak, dan akses admin.
- Aktifkan passkey atau MFA tahan phishing. Kamu bisa lanjut baca panduan passkeys.
- Latih asisten dan finance untuk menolak instruksi mendadak.
Kenapa Training Lama Mulai Ketinggalan?
Training lama sering mengajarkan “cari kesalahan”. Padahal AI membuat pesan semakin bersih. Karena itu, training modern harus mengajarkan “cek proses”.
Rujukan seperti CISA phishing guidance dan MITRE ATT&CK phishing technique tetap relevan. Namun, timmu perlu menambahkan konteks OSINT, impersonation, dan approval abuse.
Kalau kamu ingin memperdalam pola phishing modern, baca juga artikel internal tentang email phishing yang makin jago basa-basi dan risiko suara palsu untuk penipuan eksekutif.
Kesimpulan: Data Publik Itu Bahan Bakar Serangan
AI-generated spear phishing menang bukan karena teknologinya aja, tetapi karena datanya dekat dengan hidup kerja kita. LinkedIn memberi struktur organisasi, GitHub memberi konteks teknis, dan X memberi timing. Setelah itu, AI menyusun cerita yang terasa wajar.
Mulai minggu ini, audit jejak publik timmu. Kurangi detail yang nggak perlu, perkuat validasi kanal kedua, dan ubah training dari “cari typo” menjadi “cek proses”.
