Business Email Compromise Rugikan Perusahaan Rp5,6 Miliar, Bareskrim Ungkap Modusnya

JAKARTA — Business Email Compromise Bareskrim menjadi pengingat bahwa penipuan digital bernilai besar tidak selalu membutuhkan malware yang rumit. Direktorat Tindak Pidana Siber Bareskrim Polri mengungkap perkara BEC yang membuat sebuah perusahaan Amerika Serikat mentransfer USD350.325 atau sekitar Rp5,6 miliar ke rekening yang telah disiapkan di Indonesia.

Pengungkapan diumumkan pada 19 Agustus 2026 dan melibatkan koordinasi Bareskrim Polri, PPATK, serta Federal Bureau of Investigation (FBI). Polisi menyebut korban sedang bertransaksi dengan mitra bisnis di China ketika komunikasi email dimanipulasi sehingga instruksi pembayaran palsu tampak meyakinkan.

Bagaimana modus Business Email Compromise bekerja?

Menurut keterangan Bareskrim, pelaku menyamarkan dan memanipulasi komunikasi melalui email bisnis agar terlihat seolah berasal dari pihak yang sah. Korban kemudian diarahkan mengirim pembayaran ke rekening perusahaan di Indonesia. Pola ini memanfaatkan kepercayaan pada percakapan bisnis yang sudah berjalan.

Risiko terbesar BEC muncul ketika perubahan nomor rekening, nama penerima, atau instruksi transfer diterima melalui email dan langsung diproses tanpa verifikasi melalui kanal kedua. Karena itu, perusahaan perlu memperlakukan perubahan detail pembayaran sebagai peristiwa berisiko tinggi.

Sebagian besar dana berhasil diblokir

Polri menyatakan sekitar USD70.000 sempat diteruskan ke sejumlah rekening di China. Sementara saldo sekitar USD285.859 atau kurang lebih Rp5 miliar berhasil dihentikan dan diblokir untuk kepentingan proses hukum serta kemungkinan pemulihan aset.

Dua tersangka yang ditangkap di Indonesia diduga berperan menyiapkan legalitas perusahaan dan rekening penampung serta membantu transaksi. Seorang pihak lain yang diduga berada di China masih dicari. Seluruh dugaan tersebut tetap tunduk pada asas praduga tak bersalah sampai ada putusan berkekuatan hukum tetap.

Verifikasi pembayaran lebih penting daripada hanya mengandalkan filter spam

Organisasi dapat mengurangi risiko BEC dengan menerapkan verifikasi dua kanal untuk perubahan rekening, pembatasan kewenangan transfer, autentikasi multifaktor, pelatihan deteksi rekayasa sosial, dan pemeriksaan domain atau alamat email yang menyerupai mitra bisnis.

Untuk transfer bernilai besar, konfirmasi melalui nomor telepon yang sudah tercatat sebelumnya jauh lebih aman daripada membalas email yang sama. Perusahaan juga perlu memiliki prosedur respons cepat agar bank, penyedia email dan aparat dapat segera dihubungi ketika transaksi mencurigakan ditemukan.

Verifikasi dua kanal menjadi pengaman utama

Kasus ini menunjukkan mengapa perubahan rekening atau instruksi pembayaran tidak cukup diverifikasi melalui rangkaian email yang sama. Perusahaan perlu memakai nomor atau kontak yang sudah tersimpan sebelumnya, menerapkan persetujuan berlapis, dan mengaktifkan autentikasi multifaktor.

PPATK dan FBI disebut terlibat dalam koordinasi lintas negara. Bagi organisasi, pelajaran praktisnya adalah menyiapkan prosedur respons cepat untuk menghubungi bank, penyedia email, dan aparat ketika transfer mencurigakan terdeteksi.