Kalau tim-mu masih menilai request penting dari gaya bahasa, suara, atau urgensi, kamu sedang memberi AI fraud jalur VIP ke rekening, data pelanggan, dan akses admin. Penipu sekarang bisa meniru email bos, suara vendor, bahkan konteks rapat terakhir dengan rapi.
Karena itu, solusi terbaik bukan cuma “lebih waspada”. Kamu butuh zero-trust verification, yaitu workflow yang memaksa setiap request berisiko tinggi membuktikan dirinya lewat kanal, approval, MFA, dan passkeys.
Apa Itu Zero-Trust Verification di Era AI Fraud?
Zero-trust verification berarti tim-mu tidak langsung percaya pada identitas, suara, email, nomor telepon, atau jabatan. Sebaliknya, setiap request sensitif harus melewati verifikasi eksplisit sebelum dieksekusi.
Prinsipnya simpel: percaya orangnya boleh, percaya channel-nya jangan. Apalagi ketika generative AI bisa membuat pesan palsu yang terdengar sangat manusiawi.
Dalam praktik ops, konsep ini berlaku untuk:
- Transfer dana mendadak.
- Perubahan rekening vendor.
- Reset MFA atau password.
- Pemberian akses admin.
- Ekspor data pelanggan.
- Approval exception dari policy normal.
Masalah Besarnya: Awareness Nggak Menghentikan Fraud
Banyak perusahaan sudah punya training keamanan. Namun, training sering berhenti di “hati-hati phishing” atau “cek email pengirim”. Itu membantu, tetapi belum cukup.
AI membuat sinyal lama makin lemah. Email bisa tanpa typo. Suara bisa mirip. Profil LinkedIn bisa dipakai sebagai bahan spear phishing. Bahkan, konteks internal bisa bocor dari calendar invite, Slack, atau dokumen publik.
Kalau kamu butuh contoh ancaman serupa, baca juga Email Bos Kini Bisa Ditulis AI dan Bos Menelepon Minta Transfer? Bisa Jadi Itu Suara Palsu.
Framework Veteran: RASA, Bukan Rasa Percaya
Ini ide yang agak kontra-intuitif: jangan mulai dari edukasi user, mulai dari desain friksi. User capek, sibuk, dan sering berada di bawah tekanan. Jadi, workflow harus membuat tindakan berbahaya jadi lebih sulit secara default.
Pakai framework RASA untuk zero-trust verification:
- Risk, klasifikasikan request berdasarkan dampak.
- Auth, pakai MFA atau passkeys untuk identitas digital.
- Separate, verifikasi lewat kanal berbeda.
- Audit, simpan bukti approval dan callback.
Dengan RASA, tim-mu nggak perlu menebak apakah request asli. Mereka cukup mengikuti jalur yang sudah disepakati.
Workflow 1: Callback yang Benar, Bukan Sekadar Telepon Balik
Callback sering gagal karena tim menelepon nomor yang ada di email penipu. Itu bukan verifikasi, itu ikut masuk ke panggung yang disiapkan attacker.
Callback yang benar harus pakai trusted directory, bukan nomor dari pesan masuk. Misalnya, nomor vendor di master data ERP, kontak CFO di HRIS, atau nomor resmi dari kontrak.
Aturan Callback yang Aman
- Gunakan nomor dari sistem internal yang sudah disetujui.
- Jangan pakai nomor dari email, WhatsApp, atau invoice baru.
- Tanyakan detail yang hanya diketahui pihak sah, namun jangan bocorkan data duluan.
- Catat waktu, nama, hasil, dan bukti verifikasi.
Untuk referensi kontrol identitas dan verifikasi, kamu bisa cek panduan NIST tentang MFA.
Workflow 2: Approval Berlapis untuk Request Berisiko
AI fraud paling suka momen mendesak. “Bayar sekarang”, “akses ini darurat”, atau “jangan bilang siapa-siapa dulu” adalah pola klasik yang sekarang tampil jauh lebih meyakinkan.
Karena itu, approval harus berbasis risiko, bukan jabatan pengirim. Bahkan kalau request terlihat datang dari CEO, sistem tetap harus meminta approval tambahan untuk aksi tertentu.
Contoh Matrix Approval Praktis
- Risiko rendah: perubahan jadwal, approval 1 orang cukup.
- Risiko sedang: akses aplikasi internal, butuh manager plus ticket.
- Risiko tinggi: transfer dana, perubahan rekening, ekspor data, butuh 2 approver plus callback.
- Risiko kritikal: override kontrol keamanan, butuh security approval plus logging khusus.
Tambahkan aturan sederhana: urgensi tidak boleh mengurangi kontrol, urgensi justru menaikkan level verifikasi. Ini sering menyelamatkan tim finance dan ops.
Workflow 3: MFA yang Dipasang di Titik Keputusan
MFA jangan cuma ada saat login. Untuk zero-trust verification, MFA perlu muncul saat tindakan berisiko terjadi. Contohnya saat reset password, mengubah rekening vendor, atau membuat API key baru.
Gunakan MFA yang tahan phishing bila memungkinkan. SMS OTP masih lebih baik daripada kosong, tetapi attacker bisa melakukan SIM swap, relay, atau social engineering.
Prioritas MFA yang Lebih Kuat
- Passkeys atau FIDO2 security keys untuk admin dan finance.
- Authenticator app untuk user umum.
- Push approval dengan number matching untuk mengurangi MFA fatigue.
- SMS OTP hanya sebagai fallback terbatas.
Google juga mendorong passkeys sebagai autentikasi yang lebih tahan phishing. Kamu bisa baca penjelasan resminya di Google Passkeys.
Workflow 4: Passkeys untuk Admin, Finance, dan Vendor Portal
Passkeys mengurangi risiko password dicuri, ditebak, atau dipancing lewat halaman login palsu. Selain itu, passkeys terikat ke domain asli, sehingga serangan phishing jadi jauh lebih sulit.
Mulai dari akun yang punya dampak besar dulu. Jangan menunggu seluruh perusahaan siap, karena attacker juga nggak menunggu roadmap-mu rapi.
Urutan Rollout yang Masuk Akal
- Admin cloud, email, IAM, dan endpoint management.
- Finance, procurement, dan payment approver.
- HR, legal, compliance, dan data owner.
- Vendor portal dan partner account.
- User umum setelah playbook stabil.
Checklist Implementasi 30 Hari
Kalau kamu butuh langkah cepat, mulai dari workflow, bukan tool baru. Tool bagus akan mubazir kalau proses approval masih bisa dilewati lewat chat pribadi.
Minggu 1: Petakan Request Berisiko
- Daftar 20 aksi paling berbahaya di finance, IT, HR, dan ops.
- Tentukan owner setiap aksi.
- Beri label rendah, sedang, tinggi, kritikal.
Minggu 2: Buat Jalur Verifikasi
- Tetapkan trusted directory untuk callback.
- Buat template approval di ticketing system.
- Larangan jelas untuk approval lewat chat tanpa ticket.
Minggu 3: Perkuat MFA dan Passkeys
- Wajibkan MFA untuk admin dan approver.
- Aktifkan passkeys untuk akun prioritas.
- Matikan recovery flow yang terlalu mudah.
Minggu 4: Audit dan Simulasi
- Jalankan simulasi invoice palsu.
- Uji deepfake voice callback scenario.
- Review log approval dan celah bypass.
Untuk kontrol keamanan yang lebih luas, framework CISA Zero Trust Maturity Model bisa jadi rujukan kuat.
Kesalahan yang Sering Bikin Zero Trust Gagal
Zero trust sering terdengar keren di slide, tetapi gagal di lapangan karena terlalu teknis. Padahal, AI fraud menyerang momen manusiawi: panik, sibuk, sungkan, dan takut menolak atasan.
- Terlalu percaya jabatan. CEO pun harus melewati workflow.
- Callback ke nomor dari email. Ini celah besar.
- Approval tanpa konteks. Approver harus melihat alasan, bukti, dan risiko.
- MFA cuma saat login. Aksi kritikal tetap perlu step-up auth.
- Exception tanpa expiry. Akses darurat harus otomatis dicabut.
Kesimpulan: Jangan Melawan AI Fraud dengan Perasaan
AI fraud menang ketika tim-mu harus menebak. Zero-trust verification menang ketika tim-mu tinggal mengikuti workflow yang jelas, konsisten, dan bisa diaudit.
Mulai dari callback yang benar, approval berbasis risiko, MFA di titik keputusan, lalu passkeys untuk akun penting. Setelah itu, latih tim lewat simulasi nyata, bukan poster keamanan yang dilupakan setelah seminggu.
Mau workflow keamanan yang lebih tajam buat era AI? Subscribe newsletter Google kami di bawah ini, lalu tinggalkan komentar: bagian mana dari proses approval tim-mu yang paling mudah dibypass hari ini?
