VBSpam Q3 2026: Email Terautentikasi Bukan Jaminan Aman dari Phishing

Email yang lolos autentikasi teknis tidak otomatis aman. Pelaporan mengenai uji komparatif VBSpam Q3 2026 dari Virus Bulletin menggambarkan kampanye phishing yang memadukan infrastruktur pengiriman email yang tampak sah dengan URL cloaking bertahap dan peka terhadap kondisi browser. Akibatnya, perilaku berbahaya baru muncul pada tahap yang tidak selalu terlihat melalui pemeriksaan pengirim atau tautan statis. Uji ini berjalan selama 16 hari berdasarkan rencana pengujian AMTSO dan menilai 103.969 email, termasuk 103.380 pesan spam. 13

Autentikasi valid tidak berarti isi email aman

SPF, DKIM, dan DMARC membantu memverifikasi aspek jalur pengiriman email serta keselarasan domain. Namun, ketiganya tidak membuktikan bahwa isi pesan tidak berbahaya, semua tautannya aman, atau halaman akhir setelah rangkaian pengalihan adalah situs yang sah.

Inilah pembeda utama pada kampanye yang dibahas dalam laporan tersebut. Penyerang menggunakan infrastruktur yang terautentikasi atau tampak tepercaya, lalu menunda aksi berbahaya ke alur web yang dapat memeriksa browser, lokasi, atau waktu akses korban sebelum menampilkan tujuan tertentu. 35

Tiga pola phishing yang disorot

1. Iming-iming tunggakan pembayaran melalui Amazon SES

Satu kampanye berbahasa Jerman memakai tema tunggakan pembayaran dan dikirim melalui Amazon SES dari domain yang selaras dengan DKIM. Alih-alih menggunakan lampiran, email HTML itu dilaporkan berisi markup pengalih perhatian, teks tersembunyi, iframe berukuran nol, serta JavaScript yang diobfusikasi. 35

Alur tautannya dirancang untuk mengevaluasi pengunjung: melakukan fingerprinting terhadap browser dan zona waktu, mengirim permintaan POST tersembunyi, lalu mengalihkan pengunjung yang memenuhi kriteria ke OpenSea. Rangkaian ini dilaporkan konsisten dengan penipuan kripto atau NFT yang disamarkan, sekaligus membuat pemeriksaan sederhana terhadap email atau URL awal menjadi kurang informatif. 35

2. Pembaruan langganan palsu McAfee dan TotalAV

Kampanye berbahasa Belanda meniru McAfee dan TotalAV. Korban diperingatkan soal “631 virus berbahaya” dan ditawari perpanjangan langganan dengan diskon. Umpannya mengandalkan rekayasa sosial berbasis HTML, bukan lampiran berbahaya konvensional. 35

Karakteristik pengelakannya adalah pengiriman tujuan secara bersyarat: halaman tujuan dapat berubah menurut waktu, lokasi, atau profil korban yang terdeteksi. Pola ini menyulitkan pemindaian otomatis karena pemindai bisa saja menerima halaman aman, pesan kesalahan, atau jalur pengalihan berbeda dari yang diberikan kepada target. Tujuan yang dilaporkan adalah penipuan langganan. 35

3. Peniruan BCR S.A. terkait persetujuan PSD2

Pesan phishing berbahasa Rumania meniru BCR S.A. dan mengklaim persetujuan PSD2 harus diperbarui. PSD2 adalah kerangka aturan layanan pembayaran di Eropa. Menurut pelaporan kampanye, tujuan tautan disamarkan memakai alamat IPv6-mapped—teknik yang dapat menyulitkan penguraian URL dan analisis oleh pemindai. 3

Tema pembaruan persetujuan perbankan yang terkesan wajib dapat mendorong korban bertindak cepat dalam alur yang terasa familier. Karena itu, skenario ini cocok digunakan untuk pencurian kredensial. 3

Mengapa pemindaian statis saja makin tertekan

Contoh-contoh tersebut menunjukkan pergeseran lokasi logika phishing. Email awal mungkin berasal dari pengirim yang lolos autentikasi dan memuat tautan yang maksudnya belum jelas. Perilaku penentunya justru berlangsung belakangan, di browser:

• HTML dan JavaScript menyamarkan struktur pesan awal.
• Rantai pengalihan memisahkan URL yang dikirim dari tujuan akhir.
• Pemeriksaan browser, zona waktu, lokasi, dan waktu akses dapat membedakan target potensial dari sistem otomatis.
• Respons bersyarat dapat menjauhkan konten paling berbahaya dari sandbox sederhana atau pemeriksaan reputasi. 35

Bagi tim keamanan, kesimpulannya bukan mengabaikan autentikasi email. Autentikasi tetap penting, tetapi harus diperlakukan sebagai satu sinyal dalam penilaian yang lebih luas atas isi pesan, reputasi pengirim, perilaku tautan, dan risiko tujuan akhir. 35

Prioritas pertahanan yang perlu diperkuat

Alur keamanan email yang lebih kuat harus menilai keseluruhan perjalanan tautan, bukan hanya sinyal pertama:

1. Normalisasi URL yang diobfusikasi. Dekode dan kanonisasi bentuk alamat yang tidak lazim sebelum menerapkan pemeriksaan reputasi atau kebijakan.
2. Telusuri seluruh rantai pengalihan. Evaluasi setiap tahap serta halaman tujuan akhir, bukan hanya tautan semula.
3. Analisis perilaku di sisi browser. Deteksi pengalihan bersyarat, fingerprinting, permintaan tersembunyi, dan perilaku lain yang mungkin baru terlihat setelah halaman dijalankan.
4. Tempatkan autentikasi dalam konteks. SPF, DKIM, dan DMARC dapat mendukung keputusan kepercayaan, tetapi tidak boleh mengalahkan sinyal bahwa konten atau tujuan bersifat berbahaya.
5. Ukur positif palsu bersama tingkat deteksi. Produk yang memblokir ancaman tetapi juga menghambat email sah menciptakan risiko operasional lain. 35

Hasil produk yang dilaporkan memperlihatkan selisih besar

Hasil komposit yang dilaporkan menunjukkan deteksi keseluruhan yang sangat tinggi dapat dicapai oleh produk teratas, tetapi kinerjanya tidak seragam. Net at Work NoSpamProxy mencatat skor akhir 99,995 tanpa positif palsu; Bitdefender GravityZone Premium mendapat 99,994; dan SEPPmail.cloudfilter meraih 99,985. Rspamd dilaporkan berada pada 62,5%. 35

Angka-angka ini perlu dibaca sebagai hasil dari uji komparatif tertentu, bukan jaminan universal untuk setiap lingkungan organisasi. Namun, kesenjangannya mempertegas pelajaran praktis: penanganan pengirim terautentikasi, URL yang disamarkan, dan alur browser bersyarat membutuhkan pemeriksaan berlapis, bukan ketergantungan pada satu kontrol keamanan. 135

Intinya

Pelaporan VBSpam Q3 2026 menggambarkan model phishing dengan pola yang jelas: penyerang dapat membuat email terlihat layak dipercaya saat tiba di kotak masuk, lalu menampilkan penipuan hanya setelah browser penerima memenuhi kondisi tertentu. Autentikasi pengirim tetap merupakan dasar higiene keamanan yang penting—tetapi keputusan keamanan harus mencakup seluruh rantai pengalihan hingga pengalaman web di tujuan akhir. 35