Simulasi phishing adalah uji keamanan terkontrol: perusahaan mengirim pesan tiruan yang meniru serangan phishing asli ke karyawannya sendiri, lalu mencatat siapa yang mengklik, siapa yang mengisi data, dan siapa yang melapor. Hasilnya dipakai untuk mengukur kerentanan manusia dan menutupnya lewat pelatihan, bukan untuk menghukum siapa pun.
Panduan ini membahas cara kerjanya tahap demi tahap, metrik yang perlu Anda pantau, batas etis dan legal yang berlaku di Indonesia, serta langkah memulai kampanye pertama di perusahaan Anda.
Phishing adalah penipuan lewat pesan palsu yang menyamar sebagai pihak tepercaya untuk memancing korban menyerahkan kata sandi, data kartu, atau uang. Dalam sebuah simulasi phishing, tim keamanan menyusun email, pesan WhatsApp, atau panggilan telepon yang menyerupai serangan sungguhan. Pesan itu memakai teknik social engineering yang sama, yaitu manipulasi psikologis: menyamar sebagai atasan atau vendor, menciptakan rasa mendesak, atau menjanjikan sesuatu yang menarik. Bedanya, karyawan yang terpancing tidak kehilangan apa pun. Mereka mendarat di halaman edukasi yang menjelaskan tanda-tanda yang seharusnya mereka kenali.
Tujuannya ada dua. Pertama, memetakan di mana kerentanan berada: departemen mana, jenis umpan apa, jam berapa. Kedua, mengubah perilaku lewat pelatihan singkat yang datang tepat pada momen karyawan melakukan kesalahan, saat konteksnya masih segar.
Banyak hasil pencarian mencampur dua hal yang berbeda. Tutorial membuat halaman login palsu dengan Kali Linux dan Social Engineering Toolkit termasuk latihan ethical hacking: fokusnya teknik menyerang, pesertanya mahasiswa atau praktisi keamanan, dan hasilnya berupa kredensial yang berhasil ditangkap.
Program simulasi phishing korporat bekerja dari sisi sebaliknya. Peserta adalah seluruh karyawan, umpannya dikirim berulang sepanjang tahun, dan hasil yang dikejar adalah tren perilaku lintas kampanye. Perusahaan yang menyamakan keduanya biasanya berhenti setelah satu latihan teknis dan tidak pernah punya angka pembanding.
Skalanya besar. BSSN mencatat sekitar 5,16 miliar anomali trafik internet sepanjang 2025, dan mencatat rata-rata 182 potensi serangan siber setiap detik yang mengarah ke berbagai entitas di Indonesia, meski BSSN menegaskan anomali tersebut belum tentu berujung serangan (data BSSN yang disampaikan Deputi Slamet Aji Pamungkas, Agustus 2026).
Angka sebesar itu tidak bisa dijawab hanya dengan filter email. Sebagian pesan selalu lolos, dan keputusan terakhir tetap ada di tangan karyawan yang sedang buru-buru. Simulasi memberi Anda data tentang keputusan itu sebelum penyerang sungguhan yang mengujinya. Kalau Anda ingin melihat ongkos dari satu kesalahan klik, kami sudah menghitungnya di artikel tentang kerugian yang ditimbulkan satu email phishing.
Konteks Indonesia menambah satu lapis lagi: rapat, tagihan, dan koordinasi vendor berjalan di WhatsApp. Kanal itu jarang tersentuh program kesadaran keamanan, padahal di sanalah pesan masuk tanpa filter perusahaan dan terbaca sebagai percakapan pribadi.
Bentuk serangannya pun sangat lokal. Pesan yang mengaku dari bagian keuangan meminta staf memperbarui nomor rekening vendor menjelang tenggat pembayaran. Tautan yang menjanjikan slip gaji versi baru. Nomor tak dikenal yang mengaku direktur dan meminta pembelian mendadak lewat chat. Umpan seperti ini yang perlu Anda uji, karena persis inilah yang beredar di grup kerja perusahaan Indonesia.
Satu siklus kampanye berjalan dalam lima tahap.
Siklus ini berulang. Satu kampanye hanya menghasilkan potret; deret kampanye menghasilkan tren, dan tren itulah yang bisa Anda laporkan ke manajemen.
Simulasi email masih menjadi fondasi karena volume ancamannya besar dan pustaka templatenya sudah matang. Namun peta ancaman bergeser. Verizon dalam Data Breach Investigations Report 2026 melaporkan bahwa social engineering lewat perangkat seluler, berupa pesan teks dan panggilan suara palsu, memiliki tingkat keberhasilan 40% lebih tinggi dibanding phishing email biasa.
Karena itu program yang hanya menguji inbox membiarkan kanal dengan tingkat keberhasilan lebih tinggi daripada email itu berjalan tanpa pengukuran. Simulasi lewat WhatsApp menguji refleks yang berbeda: tidak ada header pengirim untuk diperiksa, tidak ada tombol lapor bawaan, dan pesan datang di ruang yang terasa personal. Pola serangannya kami bahas terpisah dalam panduan smishing dan phishing WhatsApp.
Simulasi suara (vishing) menyusul sebagai lapis ketiga, biasanya untuk peran berisiko tinggi seperti keuangan dan sekretariat direksi.
Banyak program berhenti pada satu angka: berapa persen yang mengklik. Angka itu perlu, tapi terlalu sempit untuk menilai kematangan. Lima metrik berikut memberi gambaran yang lebih jujur.
| Metrik | Cara menghitung | Yang ditunjukkan | Arah yang sehat |
|---|---|---|---|
| Click rate | Pengklik tautan ÷ total penerima | Seberapa mudah karyawan terpancing | Menurun |
| Submit rate | Pengisi kredensial ÷ total penerima | Kredensial sudah berpindah tangan | Menurun mendekati nol |
| Report rate | Pelapor pesan mencurigakan ÷ total penerima | Kematangan budaya keamanan | Meningkat |
| Waktu lapor pertama | Selisih waktu kirim dan laporan pertama | Kecepatan deteksi organisasi | Makin pendek |
| Repeat clicker | Karyawan gagal pada ≥2 kampanye beruntun | Siapa yang perlu pendampingan | Mengecil |
Report rate layak menjadi metrik utama Anda. Click rate mengukur kegagalan; report rate mengukur pertahanan aktif, dan hanya angka kedua yang menjelaskan apakah tim keamanan akan tahu lebih dulu saat serangan asli datang. Pendekatan pengukuran yang lebih luas kami uraikan dalam panduan cara mengukur tingkat security awareness karyawan secara objektif.
Simulasi phishing legal di Indonesia selama perusahaan menjalankannya atas sistem dan karyawannya sendiri, dengan tujuan pengamanan yang jelas. Batasnya datang dari UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi: data karyawan yang terkumpul selama kampanye tetap data pribadi, sehingga pemrosesannya wajib punya dasar dan tujuan yang sah serta tidak boleh dipakai di luar tujuan itu.
Empat aturan main yang sebaiknya Anda tuangkan tertulis sebelum kampanye pertama:
SiberMate menjalankan tahapan ini lewat fitur simulasi phishing SMPhish untuk email dan WaPhish untuk WhatsApp, dengan microlearning (materi pelatihan singkat beberapa menit) yang terkirim otomatis saat karyawan terpancing.
Legal, selama perusahaan mengujinya pada sistem dan karyawannya sendiri untuk tujuan pengamanan. UU No. 27 Tahun 2022 mengikat pengolahan data karyawan yang terkumpul: perlu dasar dan tujuan yang sah, dan hasilnya tidak boleh dipakai di luar tujuan itu.
Empat sampai enam kampanye per tahun dengan jenis umpan yang berbeda-beda. Frekuensi ini cukup untuk menghasilkan tren, tetapi tidak sesering yang membuat karyawan menebak polanya.
Pelatihan mengukur apa yang karyawan tahu; simulasi mengukur apa yang mereka lakukan saat sedang sibuk. Keduanya saling melengkapi, dan simulasi yang tidak disambungkan ke pelatihan hanya menghasilkan angka tanpa perbaikan.
Tidak ada angka tunggal yang berlaku untuk semua organisasi, karena hasilnya bergantung pada jenis umpan dan profil karyawan. Yang layak dinilai adalah arahnya: click rate menurun dan report rate naik pada kampanye berikutnya.
Langkah paling konkret minggu ini: pilih satu template yang meniru rutinitas kantor Anda, kirim ke seluruh karyawan, lalu catat click rate dan report rate-nya. Angka pertama itu menjadi patokan untuk semua kampanye berikutnya.