Evolusi spam email

Email spam pertama dikirim oleh Gary Thuerk pada tahun 1978 kepada sekitar 400 orang. Email tersebut menyertakan brosur untuk komputer DECSYSTEM-20. Hasilnya luar biasa sukses dan menghasilkan penjualan sekitar $13 million. Email itu juga membuka jalan bagi email sebagai saluran baru untuk menjangkau pelanggan dan menjual produk.

Ada dua cara untuk memandang spam email.

1. Masuk ke inbox Anda, Anda klik hapus, memangnya apa masalah besarnya?

2. Sebuah permainan kucing dan tikus berskala internasional, di mana inbox Anda, dan apa yang masuk ke dalamnya, berada di garis depan saat perusahaan teknologi besar, lembaga pemerintah, dan organisasi kriminal bertarung demi keamanan Anda, perhatian Anda, dan rekening bank Anda.

Pandangan kedua mungkin terdengar dramatis, tetapi jika itu bisa menghemat beberapa sakit kepala dan mungkin bahkan sejumlah uang, itu layak dipahami, bukan?

Nah… semuanya berawal dari lelucon tentang kaleng daging olahan.

Apa itu email spam, dan mengapa disebut spam?

Ada banyak hal yang termasuk spam, iklan, penipuan, newsletter sampah, dan daftarnya masih panjang. Namun satu hal yang bukan spam adalah sesuatu yang diundang. Seperti kawanan nyamuk yang datang saat musim panas baru disebut, spam hampir selalu datang dalam jumlah besar. Spam tidak diminta, tidak diinginkan, dan sangat mengganggu.

Namun mengapa namanya sama dengan kaleng daging olahan yang dibuat dari bahu babi dan ham? Untuk itu, kita bisa berterima kasih pada sketsa Monty Python yang terkenal, di mana kata “spam” diulang terus-menerus, hampir sampai membuat gila. Hal ini mengukuhkan “spam” sebagai simbol sesuatu yang terus-menerus dan tidak diinginkan. Pada tahun 1993, seorang pengguna internet yang cerdik mengambil ide ini dan menggambarkan banjir kiriman berulang sebagai spam, dan voilà, nama itu pun melekat.

Namun, meskipun asal-usul katanya unik, kata itu sendiri tidak menggambarkan seberapa merusaknya spam – atau betapa sulitnya menyingkirkannya. Seperti nyamuk, email spam sering membawa materi berbahaya yang dapat menimbulkan kekacauan pada perangkat Anda. Belum lagi risiko terhadap data pribadi Anda, dan migrain yang bisa datang saat inbox Anda dibanjiri iklan mencurigakan. Namun memahami sejarahnya membantu. Jika Anda dapat memahami bagaimana spam menemukan jalannya ke inbox Anda, Anda akan lebih baik dalam menjauhkannya.

Kapan email spam pertama dikirim?

Jadi, dari mana asal spam email? Anda mungkin akan terkejut mengetahui bahwa email spam pertama dikirim bahkan sebelum internet ada. Itu bukan berasal dari kelompok kriminal misterius, melainkan dari seorang pemasar yang mencoba menjual lini komputer baru, dan percaya atau tidak, itu menghasilkan jutaan.

Pada tahun 1978, manajer pemasaran Gary Thuerk mengirim email kepada sekitar 400 orang melalui ARPANET, jaringan militer yang ada sebelum internet. Pesannya adalah promosi untuk presentasi komputer DECSYSTEM-20 yang baru. Email itu menghasilkan penjualan sekitar $13 million, tetapi juga membuat hampir semua penerimanya kesal.

Bagian paling menarik dari kisah dalam sejarah spam ini bukanlah kapan email itu dikirim, melainkan pedang bermata dua yang ada di balik spam email. Di satu sisi, ada jumlah uang yang sangat besar yang bisa dihasilkan dari iklan yang dikirim kepada ratusan, ribuan, atau bahkan jutaan orang. Namun, spam jelas sangat mengganggu. Sayangnya, inilah hubungan tarik-ulur yang akan mengikuti spam sepanjang sejarahnya yang penuh gejolak.

Bagaimana spam berkembang selama beberapa dekade?

Jika Anda cukup beruntung tumbuh di era perlindungan Google dan Microsoft, Anda mungkin tidak ingat masa-masa awal internet, ketika mengeluarkan spam dari inbox lebih merupakan tugas manual.

Linimasa evolusi spam email

1980-an–1990-an: Masa liar email

Pada tahun 1983, satu tahun sebelum prediksi George Orwell tentang negara adidaya totaliter, sesuatu yang sangat berbeda mulai terbentuk. Untuk pertama kalinya, beberapa jaringan independen dimungkinkan untuk saling terhubung, menciptakan fondasi bagi jaringan global antarnetwork saat ini, atau internet seperti yang biasa kita sebut.

Selama dekade berikutnya, jutaan pengguna baru online dan mulai membuat alamat email. Tidak ada otoritas pusat yang mengatakan, “Anda tidak boleh melakukan itu” dan email pada dasarnya bisa berfungsi sebagai saluran iklan gratis. Satu pesan dikirim massal kepada ribuan, bahkan jutaan, orang dengan biaya yang nyaris nol.

Apa hasilnya? Pada tahun 1990-an, spam meledak, begitu juga upaya untuk mengendalikannya. Pada tahun 1994, pengacara Canter & Siegel meluncurkan iklan “Green Card Lottery” mereka yang terkenal ke ribuan grup Usenet, yang sering dianggap sebagai kampanye spam komersial besar pertama. Pertahanan pun segera menyusul. Mail Abuse Prevention System (MAPS) meluncurkan Real-time Blackhole List pertama pada tahun 1996, memblokir email dari server spam yang dikenal, dan kelompok seperti Spamhaus membangun blocklist serta berbagi intelijen untuk menjauhkan para spammer.

2000-an: Dekade ketika spam menjadi gelap

Tahun 2000-an mungkin menandai akhir milenium, tetapi bagi banyak orang, itulah awal sebenarnya dari email mengganggu yang membanjiri inbox. Google, Yahoo, dan Microsoft semuanya ikut dalam gerakan menghentikan spam. Namun, itu bukan lagi iklan murahan atau skema cepat kaya, spam berubah menjadi lebih gelap. Para spammer mulai menggunakan “botnet,” jaringan komputer yang terinfeksi, untuk mengirim spam dalam skala besar.

Pemerintah memutuskan sudah waktunya untuk turun tangan. Pada tahun 2003, AS meluncurkan Undang-Undang CAN-SPAM (Controlling the Assault of Non-Solicited Pornography and Marketing). Undang-undang ini memaksa spammer untuk menghormati permintaan opt-out dan menghindari baris subjek yang menipu, tetapi masalahnya tanggung jawab tetap berada pada penerima untuk berhenti berlangganan. Di sisi lain, Eropa mengambil langkah yang lebih ketat. Uni Eropa menerapkan sistem opt-in untuk pemasaran email, yang berarti perusahaan tidak dapat mengirim email komersial tanpa terlebih dahulu mendapatkan izin.

Tahun 2000-an menandai ledakan nyata dari permainan kucing dan tikus yang kemudian mendefinisikan spam. Para spammer akan menciptakan trik baru, dan para pembela akan menemukan cara untuk melawannya. Ambil contoh penyaringan Bayesian, sistem ini memindai kata-kata dalam email, menghitung probabilitasnya, lalu memutuskan apakah itu sampah atau asli. Saat pertama kali muncul, ini merupakan terobosan dalam cara penyedia email menindak spam. Pada tahun 2004, Bill Gates bahkan memprediksi bahwa masalah spam akan terselesaikan dalam dua tahun. Namun, seperti biasa, para spammer cepat beradaptasi.

Contoh aksi saling balas dalam perang spam:

Era modern: Saat spam belajar berpikir

Stephen Hawking pernah memperingatkan bahwa suatu hari manusia bisa menjadi bagi AI seperti anjing bagi manusia, sebuah pemikiran yang menyadarkan. Dan meskipun itu terdengar suram, tidak berlebihan untuk mengatakan bahwa kebangkitan AI bisa sama transformatifnya dengan penemuan mesin uap. Maka tidak heran jika AI membentuk pertempuran antara mereka yang ingin mendapat untung dari spam dan mereka yang mencoba mengendalikannya. Bedanya, tidak seperti filter spam tradisional, AI dapat belajar dan beradaptasi.

Ironinya di sini adalah para penipu menggunakan alat yang sama untuk memperbaiki email spam mereka seperti yang digunakan mahasiswa untuk lulus ujian. Sebelum alat AI, email spam penuh dengan salah ketik, kesalahan tata bahasa, dan tanda bahaya yang jelas. Sekarang, berkat large language models, email spam dengan tata bahasa sempurna, nada yang dilokalkan, dan umpan yang dipersonalisasi dapat dikirim secara massal. Alih-alih mengirim 10’000 email yang identik, para penipu dapat mengirim 10’000 email yang sedikit berbeda dan menghindari sensor. Dengan menjalankan teks melalui model yang mensimulasikan penilaian spam, penyerang dapat menyesuaikan pesan mereka sampai terlihat “aman.”

Raksasa email melakukan hal yang sama. Mereka menggunakan AI dan machine learning bukan hanya untuk memindai konten, tetapi juga untuk menganalisis perilaku pengirim, sinyal jaringan, dan bahkan konteks pesan. Gmail, misalnya, kini dapat mendeteksi pola mencurigakan, seperti lonjakan tiba-tiba email dari domain baru atau konten yang meniru umpan phishing yang sudah dikenal, lalu beradaptasi secara real time untuk menghentikan kampanye spam baru.

Apa dampak spam terhadap email dan bisnis?

Jika kita kembali ke kisah asal-usul spam email, dan nama yang diambil dari Monty Python, temanya sederhana: mengganggu. Dulu, memang begitulah kebanyakan spam dipandang. Namun dalam beberapa dekade sejak itu, spam menjadi jauh lebih berbahaya. Mengklik tautan yang salah kini bisa berarti virus atau kerugian finansial yang serius.

Dan bukan hanya individu yang berisiko. Sejak tahun 2000-an, para penipu telah merancang cara-cara rumit untuk membidik target yang lebih besar. Banyak dari skema ini bahkan memiliki julukan menarik yang meremehkan betapa serius konsekuensinya.

Contoh spam yang menargetkan bisnis:

Spam massal dan penipuan – Email massal masih membanjiri inbox setiap hari, mulai dari iklan yang mengganggu hingga lotre palsu atau skema “pangeran Nigeria”. Ini ancaman tingkat rendah, tetapi membuat inbox berantakan dan tetap bisa menipu karyawan.

Email phishing – Meniru merek tepercaya dan memancing pengguna ke situs palsu. Dulu kikuk, email phishing kini lebih rapi, otomatis, dan sulit dibedakan dari yang asli.

Spear phishing dan whaling – Serangan tertarget yang menggunakan nama atau proyek nyata untuk menipu karyawan tertentu. Jika ditujukan kepada eksekutif, ini disebut “whaling,” dan hasilnya bisa sangat besar.Business Email Compromise (BEC) – Penjahat menyamar sebagai CEO, vendor, atau HR untuk menipu staf agar mentransfer uang atau mengirim data.

Malware dan ransomware – Spam sering membawa lampiran atau tautan berbahaya. Satu klik dapat melepaskan virus atau ransomware, mengunci seluruh sistem dan merugikan bisnis hingga jutaan.

Namun bahaya sebenarnya terletak pada skala konsekuensinya. Spam membuang waktu dalam skala yang sangat besar. Karyawan yang meragukan email atau manajer yang menyelidiki alarm palsu. Semua itu menggerus produktivitas.

Biaya nyata dari spam

FBI memperkirakan bahwa Business Email Compromise saja telah menguras lebih dari $50 billion between 2013 and 2022. Itulah sebabnya perang melawan spam terus berkembang. Filter kini melihat lebih dari sekadar kata kunci untuk memindai pola, lampiran, dan bahkan perilaku pengirim. Undang-undang seperti CAN-SPAM dan GDPR menetapkan aturan seputar persetujuan dan transparansi. Dan penyedia email telah menambahkan perlindungan seperti SPF, DKIM, dan DMARC, sehingga jauh lebih sulit bagi penyerang untuk menyamar sebagai orang lain.

Bagaimana kita melawan spam saat ini?

Filter spam modern didukung oleh AI dan machine learning. Mereka dapat menganalisis perilaku pengirim dan konteks pesan, lalu beradaptasi secara real time.

Namun, kesadaran tetap penting. Bahkan dengan filter spam terbaik, pelatihan karyawan perlu menjadi bagian penting dari menghentikan spam.

Cara melindungi diri dari email spam

Saat ini, perusahaan menjalankan program kesadaran rutin yang mengajarkan orang untuk melambat dan mengenali tanda bahaya, atau memverifikasi permintaan sebelum bertindak. Beberapa di antaranya meliputi:

Pikirkan sebelum mengklik

Saran yang sudah teruji waktu masih berlaku di sini. Jika Anda menerima email yang tidak Anda harapkan dan Anda tidak mengenal pengirimnya, jangan klik tautan acak. Anda dapat mengarahkan kursor ke tautan di desktop, atau menekan lama di ponsel untuk melihat pratinjau tujuan sebenarnya terlebih dahulu. Jika alamat tautan dan alamat sebenarnya berbeda, itu adalah tanda bahaya.

Jika Anda memutuskan untuk mengklik tautan dalam email, jangan tertipu oleh ikon gembok di samping URL, ini tidak berarti situs tersebut aman. Gembok hanya mengonfirmasi bahwa seseorang telah mengenkripsi koneksi. Sayangnya, situs phishing bisa mendapatkan sertifikat SSL semudah situs yang sah.

Verifikasi pengirim 

Nama tampilan pada email tidak selalu merupakan identitas asli pengirim. Itu karena siapa pun bisa mengubahnya menjadi sesuatu yang sama sekali berbeda. Untuk memverifikasi identitas sebenarnya, Anda perlu memeriksa alamat email persis tempat email itu berasal.

Terkadang ini terlihat jelas, misalnya jika email berasal dari email gratis murahan yang sekali pakai. Namun tidak selalu semudah itu. Penyerang sering menyamarkan email dengan mengubah beberapa karakter, seperti @p4ypal.com. Jika Anda tidak yakin apakah email itu asli, sebaiknya hubungi saluran komunikasi resmi.

Pilih penyedia dengan SPF, DKIM, DMARC

Dalam hal spam, SPF, DKIM, dan DMARC adalah standar emas autentikasi email. Ini adalah cara terbaik untuk mengetahui apakah email yang dikirim dari domain Anda benar-benar berasal dari Anda, atau dari penyamar. SPF memeriksa bahwa email berasal dari server yang diizinkan untuk mengirim atas nama Anda. DKIM menambahkan tanda tangan anti-rusak, sehingga pesan tidak dapat diubah diam-diam di tengah jalan. DMARC menghubungkan keduanya dan memberi tahu server penerima apa yang harus dilakukan ketika sebuah pesan gagal dalam pemeriksaan.

Kabar baiknya adalah Anda tidak perlu menyiapkan semua ini secara manual. Penyedia email yang baik seharusnya melakukannya untuk Anda. Jadi saat Anda memilih tempat untuk meng-host email Anda, carilah yang mendukung SPF, DKIM, dan DMARC sebagai standar.

Gunakan 2FA

2FA menambahkan lapisan keamanan kedua ke akun Anda. Ini adalah singkatan dari two-factor authentication dan pada dasarnya berarti membuktikan siapa Anda dengan dua hal, bukan satu. Yang pertama adalah kata sandi Anda, yang kedua bisa berupa ponsel Anda, aplikasi autentikator, sidik jari, atau kunci keamanan.

Ini berarti jika kata sandi Anda dicuri, penyerang tidak dapat mengakses akun Anda tanpa memiliki bentuk autentikasi kedua. 2FA apa pun lebih baik daripada tanpa 2FA. Carilah penyedia email yang menawarkannya dan aktifkan di mana pun Anda bisa, dimulai dari email Anda.

Berhati-hatilah dengan lampiran

Manusia itu penasaran, dan penyerang memanfaatkan hal itu. Cara terbaik untuk melindungi diri adalah dengan menghindari membuka lampiran email yang tidak Anda harapkan. Ini tetap berlaku bahkan jika lampiran itu berasal dari seseorang yang Anda kenal. Itu karena akun sering dibajak dan pengirim sering dipalsukan.

Selalu perlakukan PDF, dokumen Word dan Excel, arsip ZIP dan RAR, file HTML, image disk ISO, dan terutama file .exe dengan ekstra hati-hati. Jika ragu, konfirmasikan dengan pengirim melalui saluran terpisah sebelum membuka apa pun.

Pastikan tim Anda terlatih

Pada akhirnya, manusia adalah garis pertahanan terakhir dalam hal serangan. Filter, autentikasi, dan pemindaian lampiran memang menghentikan banyak hal, tetapi pesan apa pun yang lolos dirancang untuk menipu manusia.

Di sinilah pelatihan dapat membuat perbedaan besar. Yang terpenting, perusahaan harus melatih untuk serangan masa kini, bukan serangan masa lalu. Itu berarti umpan yang ditulis AI tanpa salah ketik, suara dan video deepfake, serta penipuan melalui SMS, kode QR, dan prompt MFA, bukan hanya email.