Panduan Lengkap Cara Deteksi Email Phishing: Step-by-Step Cek Header, Sender, dan Link

Dulu waktu aku masih NOC junior di sebuah penyedia hosting kecil, ada insiden yang sampai sekarang masih keinget bener-bener. Jam setengah dua pagi, HP di samping kasur bergetar. Client nelpon, suaranya gak karuan, bilang email perusahaan mereka “dibobol”. Aku sempet mikir, kok bisa ya? Server mail kami sehat-sehat aja, gak ada anomali sama sekali. Pas aku cek log, gak ada brute force, gak ada session aneh, gak ada spam keluar. Baru pas ngobrol lebih dalem, ketauan duduk persoalannya: bukan servernya yang kena, tapi staf mereka yang sempet klik link di email phishing yang ngaku dari bank. Sekali klik, credential langsung kecolongan, dan email itu dipake nyebarin phishing ke seluruh kontak. Gak kebayang capeknya malam itu.

Dari insiden jam 2 pagi itu aku sadar satu hal: cara deteksi email phishing itu bukan skill eksklusif tim security. Ini keahlian dasar yang wajib dikuasai siapa pun yang megang server atau email kantor. Dan bagian yang bikin penasaran, mayoritas tanda phishing sebenarnya bisa dideteksi dengan cara yang gampang banget, asal kamu tau mau liat ke mana. Nah, pengalaman dan metode yang aku kumpulin dari ribuan email yang aku analisa itu yang mau aku share di artikel ini.

Kenapa Cara Deteksi Email Phishing Itu Krusial Buat Kita Semua

Kenapa sih kita perlu repot belajar cara deteksi email phishing? Coba bayangin dampaknya kalau satu credential email bocor. Client data hilang, password ke panel hosting ketarik, sampai email kamu bisa dipake nipu relasi bisnis. Di dunia NOC, phishing itu bukan cuma masalah si penerima – ini masalah reputasi server juga. Kalau satu akun di server kamu ke-phishing, attacker biasanya langsung nyebarin spam atau malware dari alamat itu. Ujung-ujungnya IP kamu masuk blacklist, mail score anjlok, dan email legit ikut kena buang ke folder spam. Rasanya kayak nggotong gunung sendiri deh.

Yang bikin gemes, pelaku phishing gak pernah bosen. Mereka terus update caranya. Dulu paling cuma email “Anda memenangkan hadiah”, sekarang udah banyak yang nyamar jadi invoice vendor, notifikasi login Google Cloud atau AWS, sampe email internal HR yang minta reset password. Bahkan yang lebih pinter udah mulai pakai teknik spear phishing – bikin email yang targetnya satu orang spesifik, lengkap dengan nama, jabatan, bahkan nama project yang lagi digarap. Ditambah sekarang ada generative AI yang bikin email phishing makin rapih dan gak gampang dikenali dari grammar-nya. Ngeri kan? Itu sebabnya kita butuh metode deteksi yang jelas dan repeatable, bukan cuma andalan rasa-rasa.

Ngomong-ngomong soal ngecek identitas, phishing itu sebenernya mirip kayak orang nggak dikenal yang ngaku tetangga di depan pagar rumah. “Pak, saya tetangga baru, numpang titip tas ya, nanti saya ambil.” Kalau kita percaya gitu aja tanpa ngecek, ya celaka. Email phishing itu persis begitu – dia ngaku dari bank, ngaku dari direktur, ngaku dari vendor, padahal kalau kita teliti ada banyak tanda yang gak cocok. Ibarat pagar rumah, ada beberapa lapisan yang bisa kita periksa: pintu pagarnya (domain sender), kartu identitasnya (header email), sampai isi tas yang dititipin (link dan lampiran). Nah, di artikel ini kita bedah satu-satu dari yang paling gampang sampai yang agak teknis.

Gejala Umum Email Phishing yang Sering Kelewat

Sebelum masuk ke bagian teknis, kita kenali dulu pola umumnya. Dari pengalaman aku nanganin laporan client dan baca-baca email phishing yang dicegat di server, ada beberapa ciri yang hampir selalu muncul:

• Sense of urgency yang dibuat-buat – email minta aksi secepatnya, ancam akun bakal di-disable dalam 24 jam, atau bilang pembayaran sudah jatuh tempo. Ini trik psikologis biar kamu gak sempet mikir panjang.
• Alamat pengirim aneh – nama yang tampil mirip-mirip, tapi kalau dilihat detail alamat aslinya beda. Contoh: support@go0gle-security.com atau security@bankkliendku.co.id-secure.net.
• Bahasa yang kaku atau aneh – kalimat kayak hasil terjemahan paksa, grammar gak natural, atau tiba-tiba terlalu formal padahal biasanya casual. Sekarang AI bisa bikin ini makin halus, jadi jangan andelin cuma dari sini.
• Link atau lampiran yang gak ditunggu – tombol “Klik di sini untuk login” atau lampiran .zip, .docm, .html yang kamu gak pesan.
• Minta data sensitif – password, OTP, nomor kartu, atau minta kamu login dulu lewat link yang dikasih. Bank gak pernah minta OTP lewat email, inget itu.

Kalau email kamu ketemu 2-3 ciri di atas sekaligus, mending berhenti dulu, jangan klik apa-apa, terus lanjutin ke langkah deteksi di bawah. Jangan dihapus juga – mending di-forward atau di-simpan buat bahan laporan.

Langkah 1: Teliti Alamat Pengirim dan Nama Domain

Langkah paling awal, paling murah, dan paling sering kelewat: lihat siapa yang ngirim. Masalahnya, nama yang tampil di layar itu gampang banget dipalsukan. Bukan cuma sekali aku liat email dengan display name “Bank Mikro Jaya” padahal aslinya dikirim dari domain .xyz. Jadi jangan percaya tampilan, selalu buka detail alamat aslinya.

Di Gmail, klik nama pengirim terus pilih “View details” atau klik tiga titik dan “Show original”. Di Outlook desktop, double-click email, buka File, Properties, dan lihat Internet headers. Di Thunderbird tinggal View > Headers > All. Intinya, cari baris “From:” dan perhatiin bagian setelah tanda @.

Contoh yang sering bikin orang terkecoh:

Nama tampil: Bank Mikro Jaya Security
Alamat asli: security@bankmikrojaya.co.id-secure.net   <-- domain aneh

Nama tampil: Dinas Perpajakan
Alamat asli: info@pajak-nasional.info.top             <-- TLD aneh

Perhatiin bedanya: domain resmi bank itu bankmikrojaya.co.id, tapi si phisher make bankmikrojaya.co.id-secure.net. Sepintas mirip, padahal domain-nya beda total. Teknik kayak gini namanya domain impersonation, dan masih ada yang lebih licik lagi namanya homograph attack – huruf diganti yang bentuknya mirip, misalnya “o” jadi “0”, “l” jadi “1”, atau gabungan “rn” yang sekilas kayak “m”. Makanya jangan buru-buru, teliti satu-satu.

Langkah 2: Baca Header Email, Cek SPF, DKIM, dan DMARC

Nah, ini inti dari cara deteksi email phishing yang paling sering aku pakai. Header email itu kayak fingerprint – di situ ada jejak lengkap perjalanan email dari server asal sampe ke inbox kamu. Kalau kamu bisa baca header, kamu bisa tau email ini beneran dari domain yang diklaim, atau cuma nempelin nama doang.

Ini contoh header yang aku sensor dari email phishing yang pernah nyasar ke salah satu client. Perhatiin baik-baik:

Received: from mail.gw-client-a.com (mail.gw-client-a.com. [203.0.113.25])
        by mx1.client-a.com with ESMTP id 1ABCde-0000XyZ-00
        for staff@client-a.com; Thu, 06 Aug 2026 08:23:11 +0700
Received: from [198.51.100.77] (unknown [198.51.100.77])
        by mail.gw-client-a.com (Postfix) with ESMTPSA id 5f3a1b
        for staff@client-a.com; Thu, 06 Aug 2026 08:22:58 +0700
DKIM-Signature: v=1; a=rsa-sha256; d=bankmikrojaya.co.id-secure.net; s=default;
        c=relaxed/simple; q=dns/txt; bh=9f8e7d6c5b4a3a2b1c0d9e8f7a6b5c4d;
        h=From:Subject:Date:To;
        b=3f2e1d0c9b8a7a6b5c4d3e2f1a0b9c8d
Authentication-Results: mx1.client-a.com;
        spf=fail (203.0.113.25 is not allowed to send mail for
        bankmikrojaya.co.id) smtp.mailfrom=bankmikrojaya.co.id
        dmarc=fail header.from=bankmikrojaya.co.id
From: "Bank Mikro Jaya Security" <security@bankmikrojaya.co.id-secure.net>
To: staff@client-a.com
Subject: Aktivitas tidak biasa pada rekening Anda
Date: Thu, 06 Aug 2026 08:22:50 +0700
Content-Type: text/html; charset="UTF-8"
MIME-Version: 1.0

Mari kita baca baris per baris, karena ini penting banget:

• Baris Received paling atas – email masuk dari mail.gw-client-a.com (IP 203.0.113.25) ke mx1.client-a.com. Ini hop terakhir, normal.
• Baris Received kedua (yang paling bawah Received) – di sini jeleknya. Email dikirim dari IP 198.51.100.77, bukan dari server bank. IP asing ini yang nyambung pakai Postfix. Ini sinyal pertama: pengirim gak sesuai klaim.
• Baris DKIM-Signature – perhatiin bagian d= – domain yang nandatanganin adalah bankmikrojaya.co.id-secure.net, bukan bankmikrojaya.co.id. Signature-nya sah sih, tapi untuk domain yang salah. Phisher bisa bikin DKIM sendiri karena dia punya domainnya.
• Baris Authentication-Results – ini hasil verifikasi resmi di server penerima. Hasilnya spf=fail dan dmarc=fail. Red flag paling gede – email yang ngaku dari bank, tapi SPF dan DMARC-nya gak lolos.
• Baris From – alamat pengirim beneran security@bankmikrojaya.co.id-secure.net. Domain-nya beda sama domain resmi bank.

Jadi polanya: symptom (email ngaku dari bank) – pattern (IP asal aneh, domain DKIM beda, SPF/DMARC fail) – root cause (email dipalsukan/dikirim dari domain tiruan). Kalau kamu nemu pola kayak gini, verdict-nya cuma satu: phishing.

Buat yang pegang server, kamu bisa cek otomatis di log mail server. Misalnya di Exim, lihat hasil autentikasi email yang masuk:

grep -i "spf" /var/log/exim/mainlog | tail -20

Atau kalau mau inspeksi satu email yang lagi nunggu di queue:

exim -Mvh <message-id>

Kalau di Postfix, hasil auth bisa dilihat di /var/log/mail.log. Cara baca log lebih dalem bisa kamu pelajari di artikel cara baca email header lengkap yang udah pernah aku tulis.

Langkah 3: Periksa Link Tanpa Klik Dulu

Ini yang paling sering bikin jebol. Orang udah sadar link-nya aneh, tapi tetep aja kepo dan klik. Jangan. Kalau kamu di desktop, hover mouse di atas link dan perhatiin URL aslinya di pojok kiri bawah browser. Kalau di HP, tahan link-nya sebentar, nanti muncul preview URL-nya.

Kalau URL-nya pendek kayak bit.ly atau tinyurl dan kamu penasaran ke mana arahnya, jangan dibuka langsung. Cek dulu tujuannya pakai curl tanpa ngikutin cookies dan header browser kamu:

curl -sIL "https://bit.ly/xxxxxx" | grep -i "^location"

Perintah itu bakal nunjukin URL tujuan sebelum kamu beneran ngunjungin. Bisa juga pakai layanan web kayak urlscan.io buat dapet analisa halaman-nya tanpa risiko, atau kirim URL-nya ke VirusTotal biar keliatan ada engine yang nge-flag sebagai phishing atau malware.

Hal lain yang perlu dicurigai: domain yang mirip tapi beda satu huruf (typosquatting), atau domain dengan TLD murah kayak .xyz, .top, .club, .site. TLD ginian gak butuh verifikasi ketat dan sering banget dipake phisher. Sekali dua kali boleh lah ngecek link dari domain kayak gitu, tapi kalau email-nya minta login atau minta data, tutup aja.

Langkah 4: Jangan Buru-Buru Buka Lampiran

Lampiran phishing biasanya dikasih format yang bikin orang penasaran: .zip berisi .exe, .docm dengan macro aktif, .pdf berisi link login palsu, atau .html yang isinya form phishing. Kalau kamu gak lagi nunggu file itu, jangan dibuka. Kalau pekerjaan butuh, verifikasi dulu ke pengirim lewat jalur lain – telpon, WhatsApp, atau chat langsung – bukan dengan reply ke email itu.

Kalau kamu dapet lampiran mencurigakan dan mau analisa tanpa risiko, upload ke layanan sandbox kayak any.run atau Hybrid Analysis. Mereka bakal jalanin file-nya di lingkungan terisolasi dan laporin behavior-nya: nyambung ke domain apa, jalanin proses apa, bikin file apa. Ini cara yang aman banget buat mastiin isi file tanpa bahaya ke mesin kamu. Percayalah, jauh lebih enak tau hasil analisa dari sandbox daripada dari mesin production yang tiba-tiba kena ransomware.

Langkah 5: Buat Admin Server – Perkuat Deteksi di Sisi Server

Ini bagian yang jarang dibahas di artikel deteksi phishing umum, tapi penting banget buat kita yang pegang server. Cara deteksi email phishing gak cuma bisa dilakukan dari sisi penerima, tapi juga bisa otomatis di server. Beberapa hal yang bisa kamu lakuin:

5a. Pastikan SPF, DKIM, dan DMARC Domain Kamu Lengkap

Ironisnya, banyak server mail yang domain-nya sendiri gak punya SPF/DKIM/DMARC. Itu bikin email domain kamu gampang dipalsuin orang. Cek dulu dengan dig:

dig +short TXT client-a.com | grep spf
dig +short TXT default._domainkey.client-a.com
dig +short TXT _dmarc.client-a.com

Kalau belum ada, pasang. Ini bukan cuma melindungi reputasi domain, tapi juga bikin mail server lain gampang nolak email phishing yang ngaku dari domain kamu. Kalau butuh panduan lengkap, aku udah pernah nulis panduan lengkap setup SPF DKIM DMARC.

5b. Pantau Mail Log Buat Ngedeteksi Pola Anomali

Ketika satu akun ke-phishing, biasanya ada pola yang keliatan di log. Beberapa hal yang perlu diperhatiin:

grep -i "auth failed" /var/log/exim/mainlog | tail -20
grep "login.*smtp" /var/log/mail.log | awk '{print $4}' | sort | uniq -c | sort -rn | head

• Login dari IP asing yang gak biasanya, apalagi dari alamat VPN atau proxy publik.
• Jumlah email keluar yang naik drastis dalam waktu singkat – indikasi akun dipake nyebarin phishing.
• Email keluar ke banyak domain dalam sekali waktu dengan subject yang mirip-mirip.

Kalau nemu anomali kayak gitu, langkah pertama yang aman: suspend user atau akun, reset password, dan revoke semua session aktif. Jangan tunggu si attacker pindah-pindah akun. Buat detail narik email spam dari queue, cek artikel troubleshoot mail queue di Exim.

5c. Tambahkan Filter Spam Berlapis

SpamAssassin atau Rspamd itu temen baik banget. Di Rspamd, ada modul khusus yang bisa nangkep URL phishing yang ada di body email, kombinasi FANN classifier dan modul phish:

rspamadm configdump phish

Dengan filter berlapis ini, email phishing yang nyasar ke user kamu udah ke-blow di gerbang, bukan sampai ke inbox dan bikin user panik. Ini investasi kecil tapi efeknya gede banget. Cara setup lengkapnya bisa kamu baca di artikel instalasi Rspamd sebagai antispam di cPanel. Dan kalau mau sekalian hardening mail server-nya, ada juga hardening mail server Postfix.

Tabel Troubleshooting Cepat: Tanda-Tanda Phishing

Buat yang gak sempet baca panjang-panjang, ini tabel ringkas yang bisa kamu simpen:

Kalau Udah Terlanjur Klik: Protokol Respons Cepat

Ini bagian yang gak enak, tapi kadang kejadian. Kalau kamu atau user di server kamu ke-phishing, jangan panik dan jangan saling nyalahin. Ini urutan yang biasanya aku lakuin:

1. Putus akses secepat mungkin – ganti password, revoke session, logout semua perangkat, aktifkan 2FA kalau belum.
2. Beresin email keluar – cek mail queue, tarik email yang belum terkirim, dan bersihin yang aneh.

exim -bp | head -30

PERINGATAN KEAMANAN: Backup Sebelum Melanjutkan. Sebelum menjalankan perintah yang menghapus email dari queue, pastikan kamu sudah: (1) backup daftar queue dulu dengan perintah exim -bp > /tmp/queue-backup-$(date +%Y%m%d).txt, (2) verifikasi bahwa message-id yang mau dihapus beneran email spam atau anomali, bukan email legit client, (3) kalau ragu, jangan hapus – tahan dulu di queue. Perintah tanpa backup bisa menyebabkan data loss permanen.

Setelah yakin targetnya bener, baru eksekusi penghapusan satu-satu:

exim -Mrm <message-id>

3. Notifikasi ke semua kontak – kasih tau bahwa email kamu mungkin dipake buat phishing, biar gak ada yang kena susulan. Ini penting banget, orang gak akan bisa waspada kalau gak dikasih tau.
4. Scan perangkat dan akun – jalankan antivirus, cek ekstensi browser yang gak dikenal, cek aplikasi yang terakhir install. Kalau kejadiannya di server, cek proses mencurigakan dan autostart-nya.
5. Laporkan – forward email phishing ke [email protected], terus lapor URL-nya ke Google Safe Browsing atau PhishTank biar ke-blacklist. Siapa tau nolong orang lain yang hampir kena.

Kesimpulan

Gitu aja ceritanya. Lewat insiden jam 2 pagi dulu itu, aku jadi paham bahwa phishing itu bukan cuma masalah antivirus atau filter spam – tapi masalah kesadaran dan metode. Dengan cara deteksi email phishing yang benar, mayoritas serangan bisa dimentahkan dari awal: teliti sender, baca header, cek SPF/DKIM/DMARC, periksa link dan lampiran, dan perkuat pertahanan di sisi server.

Kalau kamu punya pengalaman insiden phishing yang bikin deg-degan, ceritain di kolom komentar dong. Aku penasaran gimana cara kalian ngatasinnya – kadang pelajaran paling bagus justru dari pengalaman orang lain. Kalau belum pernah kena, ya syukur, dan semoga tulisan ini bikin kamu makin waspada. Jangan sampe ngalamin ya. Matur nuwun udah mampir, semoga bermanfaat.