Volume Phishing Turun 20%. Itulah Bagian yang Sebenarnya Menakutkan.

NewsPals · Jun 12, 2026

Laporan Zscaler tahun 2026 menyajikan ulang penurunan jumlah serangan sebagai tanda peringatan, bukan sebuah kemenangan. Semakin sedikit upaya phishing berarti setiap serangannya semakin tajam, lebih personal, dan lebih sulit dideteksi.

Sebagian besar berita keamanan tentang angka yang menurun biasanya masuk ke kolom "kabar baik yang perlu diwaspadai." Maka ketika laporan phishing tahunan Zscaler 2026 muncul dengan penurunan volume phishing sebesar 20%, naluri pertama adalah memasukkannya ke kolom kemenangan kecil. Namun para peneliti Zscaler dengan tegas menolak hal itu. Mereka menyebut tren ini sebagai "penyeimbangan ulang," dan begitu kamu memahami apa yang dimaksud kata itu dalam kalimat tersebut, angkanya tidak lagi terasa seperti kemajuan sama sekali.

Kualitas di Atas Kuantitas: Model Bisnis Baru Para Penyerang

Framing dari Zscaler, sebagaimana dilaporkan oleh Nate Nelson di Dark Reading, sangat tepat dan sengaja membuat tidak nyaman: para pelaku ancaman tidak mengirim lebih sedikit pesan phishing karena para pembela keamanan semakin pintar menghentikannya. Mereka mengirim lebih sedikit pesan karena alat-alat AI telah membuat setiap upaya individu jauh lebih berbahaya. Model lama adalah permainan angka: kirim email yang cukup meyakinkan dalam jumlah besar, dan sebagian persen akan berhasil. Model baru lebih mirip kalkulasi seorang penembak jitu — lebih sedikit tembakan, masing-masing lebih tepat sasaran.

Menurut laporan Dark Reading tentang temuan Zscaler, pergeseran ini berarti penurunan volume secara berlawanan intuisi justru menandakan ancaman yang lebih besar, bukan lebih kecil, karena sistem deteksi dan program pelatihan pengguna yang dikalibrasi untuk menangkap kampanye semprotan volume tinggi kini menghadapi masalah yang secara fundamental berbeda.

Latar belakang statistik yang lebih luas membuat penyeimbangan ulang ini lebih mudah dibayangkan. Data phishing 2026 yang dikumpulkan StationX menempatkan volume email phishing harian di 3,4 miliar pesan, dengan 82,6% di antaranya kini mengandung beberapa bentuk konten yang dihasilkan AI. CNiC Solutions, yang mengompilasi data dari sumber termasuk FBI IC3 dan Verizon DBIR, melaporkan bahwa email phishing yang dihasilkan AI mencapai tingkat klik 4,5 kali lebih tinggi dibanding yang tradisional. Gabungkan dua fakta itu dan aritmatika ancamannya berubah sepenuhnya. Penurunan 20% dalam total volume hampir tidak berarti apa-apa ketika volume yang tersisa lebih personal sekaligus terbukti lebih efektif dalam memicu satu klik yang penting.

Infrastruktur Penipuan Juga Semakin Murah

Presisi tidak datang sendirian. Ia hadir dalam infrastruktur pengiriman yang semakin profesional dan terotomatisasi. Menurut StationX, lebih dari 80.000 situs web phishing terdeteksi setiap tahun, masing-masing bertahan rata-rata hanya 12 jam sebelum dihapus — yang berarti para pelaku ancaman telah mengindustrialisasi proses mendirikan dan membuang halaman-halaman menipu lebih cepat dari yang bisa ditandai oleh sebagian besar jalur deteksi.

APWG, juga dikutip oleh StationX, melacak 3,8 juta serangan phishing sepanjang tahun 2025, dengan satu kuartal saja, Q2 2025, mencatat 1.130.393 serangan sendiri. Basis volume itu, yang ditetapkan sebelum alat AI matang ke bentuknya saat ini, adalah yang membuat framing "penyeimbangan ulang" Zscaler begitu signifikan: kapasitas infrastruktur untuk phishing massal tidak pernah hilang, ia hanya diarahkan ulang menuju pekerjaan presisi bernilai lebih tinggi.

Laporan lanskap ancaman email Q1 2026 Microsoft secara independen menguatkan arah perjalanan ini. Visibilitas Microsoft di seluruh ekosistem emailnya menempatkannya pada posisi untuk mengamati pergeseran kualitas dalam skala besar, dan temuan Q1 2026-nya selaras dengan gambaran yang dijelaskan Zscaler: lingkungan ancaman email berkembang dalam karakter, bukan hanya dalam hitungan. Konvergensi dua kumpulan data besar yang independen — satu dari vendor keamanan yang memantau lalu lintas web dan satu dari platform yang memproses volume email global — yang menunjuk ke arah yang sama adalah jenis bukti yang seharusnya mengubah cara para pembela keamanan memikirkan metrik keberhasilan.

Mengapa Intuisimu tentang "Serangan yang Lebih Sedikit" Sedang Dieksploitasi

Inilah dinamika adversarial yang membuat tren ini benar-benar instruktif bagi siapa pun yang mempelajari keamanan. Ketika volume turun, organisasi terkadang menafsirkannya sebagai bukti bahwa pertahanan mereka bekerja. Pelatihan kesadaran keamanan menjadi tidak diprioritaskan. Ambang deteksi yang dikalibrasi untuk sinyal frekuensi tinggi dibiarkan tidak berubah. Pembicaraan anggaran bergeser. Para pelaku ancaman, secara sadar atau tidak, mendapat manfaat dari respons tersebut. Postur pertahanan mengendur tepat ketika bahaya per upaya sedang meningkat.

CNiC Solutions mencatat bahwa satu dari tiga karyawan yang tidak terlatih masih akan mengklik tautan phishing simulasi hari ini, dan phishing muncul dalam 36% dari semua pelanggaran data menurut StationX. Angka-angka itu tidak bergerak ketika volume turun; mereka hanya menjadi lebih konsekuensial ketika setiap upaya yang tersisa semakin tajam.

Pelajaran yang sebenarnya diajarkan oleh framing "penyeimbangan ulang" Zscaler adalah meta-pelajaran tentang metrik: volume adalah indikator tingkat ancaman yang tertinggal dan mudah dimainkan. Pertanyaan yang tepat untuk diajukan adalah tentang tingkat keberhasilan per upaya, tingkat panen kredensial, dan waktu-hingga-deteksi — bukan total hitungan pesan. Pekerjaan lanskap ancaman Q1 2026 Microsoft, dikombinasikan dengan temuan tahunan Zscaler, memberi para pembela keamanan mandat yang jelas: kalibrasi ulang logika deteksimu dan program pelatihanmu untuk serangan volume rendah dan fidelitas tinggi, karena itulah lingkungan yang kamu operasikan sekarang, entah dasbor-mu menunjukkannya atau belum.

Cerita yang perlu diperhatikan selanjutnya adalah bagaimana deteksi berbantuan AI menutup kesenjangan dengan serangan berbantuan AI. Kesenjangan itu nyata, semakin melebar, dan memahami mengapa statistik volume bisa menyesatkan adalah langkah pertama menuju membangun pertahanan yang benar-benar melacak sinyal yang tepat.

Sumber