Defaults.Exposed › Perbaikan › Guides

Seseorang Mengirim Email dari Domain Anda: Panduan Respons Darurat (2026)

Diterbitkan 2026-07-08

Angka per 2026-06-29 · metodologi v7. Data sensus agregat dari 261 juta domain yang dinilai. Lihat cara kami menilai.

Periksa dulu apakah email palsu menggunakan domain Anda yang tepat atau sebuah lookalike, karena cara perbaikannya benar-benar berbeda. Pemalsuan domain tepat bisa dimatikan melalui DNS — dan sebagian besar domain belum melakukannya: 89.41% tidak memiliki kebijakan DMARC yang ditegakkan, dan 46.4% tidak menerbitkan SPF sama sekali, menurut sensus Defaults.Exposed dari 261,086,232 domain yang dinilai.

Ini adalah daftar periksa insiden: satu jam pertama — konfirmasi apa yang terjadi tanpa memperburuk situasi; hari pertama — tutup celah yang terbuka, atau mulai proses penghapusan jika celah itu bukan milik Anda; minggu pertama — pantau, peringatkan orang-orang yang mungkin dirugikan, tegakkan. Hanya ingin tahu apakah ini bisa terjadi? Mulai dengan bisakah seseorang memalsukan domain saya? — halaman ini untuk kasus ketika sudah terjadi.

Pertama: apakah ini benar-benar domain Anda, atau tiruan?

Dapatkan salah satu email palsu dan baca alamat pengirim karakter demi karakter. Segalanya bergantung pada ini:

Data per 2026-06-29.

Baris yang dicetak tebal adalah yang paling umum dan paling bisa diperbaiki. Protokol inti email tidak pernah memverifikasi baris From — siapa pun bisa mengetik domain Anda di sana — sehingga solusinya adalah menerbitkan record DNS yang memungkinkan penerima memeriksa sendiri. Angka sensus yang mengkhawatirkan: 121,145,609 dari 261,086,232 domain yang dinilai (46.4%) tidak menerbitkan record SPF sama sekali, dan 36,014 dari 138,927,207 domain yang menerbitkan SPF mengakhirinya dengan +all — secara harfiah mengotorisasi seluruh internet untuk mengirim sebagai mereka (data per 2026-06-29).

Satu jam pertama: konfirmasi, jangan bereaksi

1. Jalankan pemindaian gratis di defaults.exposed. Tiga puluh detik, tanpa pendaftaran. Ini memberi tahu Anda apakah domain Anda saat ini dapat dipalsukan — SPF ada dan ketat atau tidak, DMARC ditegakkan atau tidak — sebelum Anda menyentuh DNS.
2. Jangan balas email palsu, jangan klik apa pun di dalamnya, dan jangan kirim email massal ke kontak Anda dulu. Pesan panik “abaikan email dari kami!” yang dikirim dari domain yang sama terlihat persis seperti penipuannya. Peringatan datang belakangan, tertarget dan melalui saluran lain.
3. Kumpulkan satu sampel lengkap dengan header penuh. Minta penerima untuk meneruskan email palsu sebagai lampiran (Gmail: “Tampilkan asli” → unduh; Outlook: “Lihat sumber pesan”). Tangkapan layar baris From tidak cukup — header adalah bukti untuk semua yang mengikutinya.
4. Baca verdict yang sudah dicapai server penerima. Di header, temukan Authentication-Results: — dmarc=fail terhadap domain Anda yang tepat mengkonfirmasi pemalsuan domain Anda; lookalike di header.from= mengkonfirmasi jalur 2. Satu nuansa: penerima mengevaluasi SPF terhadap domain Return-Path (RFC5321.MailFrom, alamat bounce), bukan header From yang dilihat penerima Anda — email yang dipalsukan bahkan bisa menampilkan spf=pass untuk domain spammer sambil memalsukan domain Anda di From. Pemeriksaan keselarasan DMARC menutup celah tersebut.

Jalur 1 — domain tepat Anda: hari pertama

Pemalsuan domain tepat Anda hanya berhasil selama DNS Anda tidak mengatakan apapun yang memungkinkan penerima menolaknya. Hari ini Anda menerbitkan (atau memperketat) tiga record; penegakan menyusul dalam seminggu.

1. SPF: terbitkan satu record yang mendaftar pengirim nyata Anda, diakhiri dengan -all (“semua orang lain: gagal”). Jika record Anda diakhiri +all atau ?all, perbaiki itu dulu — itu adalah pintu terbuka yang Anda terbitkan sendiri. Panduan: cara memperbaiki SPF, klik provider di SPF di GoDaddy.
2. DKIM: aktifkan penandatanganan domain di provider email Anda dan setiap alat newsletter/faktur (biasanya beberapa record CNAME masing-masing).
3. DMARC: terbitkan v=DMARC1; p=none; rua=mailto:... hari ini agar laporan mulai mengalir; p=reject adalah proyek minggu ini, bukan jam ini — referensi lengkap di cara memperbaiki DMARC. Jika domain tidak mengirim email sah sama sekali — merek lama, domain terparkir — lewati kehati-hatian dan kunci hari ini: domain lama dari rebranding Anda adalah pintu yang Anda tinggalkan terbuka.

Peringatan jujur, sebelum Anda lega: kebijakan DMARC yang ditegakkan memberi tahu server penerima untuk menyingkirkan atau menolak pemalsuan domain tepat — dan provider besar menghormatinya. Tetapi ini hanya mengikat penerima yang memeriksanya, dan sama sekali tidak melakukan apapun terhadap domain lookalike: begitu penipu tidak bisa mengirim sebagai yourcompany.com, mendaftarkan yourcompany-billing.com hanya butuh beberapa euro. DMARC memperkecil serangan; bukan mengakhiri ceritanya — langkah-langkah minggu pertama juga penting untuk Anda.

Jalur 2 — ini lookalike: ini bukan perbaikan DNS

Tidak ada record yang Anda terbitkan di domain Anda yang mempengaruhi email dari domain yang tidak Anda miliki — tidak ada yang ada di DNS Anda yang bahkan dilihat. Langkah yang tepat adalah penghapusan plus peringatan:

1. Cari tahu siapa di balik lookalike tersebut. Cari di RDAP/WHOIS (mis. lookup.icann.org) untuk mendapatkan registrar-nya, dan periksa apakah ada website yang di-host.
2. Laporkan ke kontak penyalahgunaan registrar dengan sampel header lengkap terlampir — registrar menangguhkan domain phishing setiap hari; bukti yang jelas mempercepatnya. Ada situs phishing? Laporkan juga ke host, Google Safe Browsing dan Microsoft SmartScreen.
3. Laporkan email sebagai phishing di kotak surat penerima (Gmail/Outlook “Laporkan phishing”) — ini melatih filter besar melawan lookalike lebih cepat dari surat apapun.
4. Peringatkan target yang kemungkinan terdampak melalui saluran lain — langkah yang benar-benar mencegah uang mengalir keluar. Hubungi atau kirimi pesan (jangan hanya email) kepada pelanggan, pemasok, dan akuntan Anda: sebutkan domain palsu, dan jadikan perubahan detail rekening bank “dari Anda” dapat diverifikasi melalui telepon. Kebiasaan itu adalah pertahanan terbaik terhadap cerita penipuan faktur yang Anda dengar.
5. Jika lookalike menyalahgunakan merek dagang Anda, pengaduan UDRP dapat mentransfer domain — lebih lambat dari penghapusan, tetapi permanen.

Dan jalankan jalur 1 juga: penyerang jarang repot-repot menggunakan lookalike sementara domain asli masih terbuka, dan 89.41% domain tidak memiliki DMARC yang ditegakkan (hanya 27,640,987 dari 261,086,232 — 10.59% — yang memiliki, per 2026-06-29). Tutup pintu Anda sendiri bagaimanapun juga.

Minggu pertama: pantau, peringatkan, tegakkan

1. Baca laporan DMARC Anda. Dalam satu atau dua hari setelah tag rua= aktif, laporan agregat menampilkan setiap server yang mengirim sebagai domain Anda — yang sah dan penipu, dengan volume dan verdict. Inilah cara Anda mengamati serangan mereda.
2. Konfirmasi pengirim sah Anda lulus. Setiap sumber nyata (provider email, alat newsletter, aplikasi faktur, formulir kontak website) harus lulus SPF atau DKIM yang selaras dengan domain Anda sebelum Anda menegakkan — jika tidak, reject juga memblokir email Anda sendiri.
3. Tingkatkan DMARC ke p=quarantine, lalu p=reject. Di bawah pemalsuan aktif Anda memampatkan bulan-bulan biasa menjadi seminggu atau dua — tetapi Anda memampatkan tahapannya, bukan melewatinya. Peluncuran bertahap, ramp pct dan kebijakan subdomain: dari p=none ke p=reject tanpa kehilangan email sah.
4. Kirim satu pemberitahuan tenang dan tertarget kepada pihak terkait yang mungkin menerima email palsu: apa yang terjadi, apa yang diminta email palsu, aturan verifikasi-melalui-telepon untuk perubahan pembayaran, dan (jalur 2) domain lookalike yang tepat untuk diblokir.
5. Pindai ulang dan simpan laporannya. Perusahaan asuransi dan pelanggan semakin sering bertanya apa yang Anda lakukan soal keamanan email; laporan yang dinilai dan bertanggal menjawab secara tertulis.

Pertanyaan yang Sering Diajukan

Saya mendapat email penipuan dari alamat saya sendiri. Apakah saya diretas? Hampir selalu tidak — email pemerasan “dari Anda, kepada Anda” adalah trik pemalsuan yang sama, mengeksploitasi fakta bahwa domain Anda tidak menolak email palsu. Periksa folder Terkirim dan login terakhir Anda; jika bersih, itu adalah pemalsuan, dan kebijakan DMARC yang ditegakkan menghentikan varian tersebut di penerima yang menghormatinya. Per 2026-06-29, 89.41% dari 261,086,232 domain yang dinilai belum melakukan ini.

Apakah DMARC akan menghentikan email domain lookalike? Tidak. Kebijakan DMARC Anda mengatur domain tepat Anda (dan subdomainnya) saja — lookalike adalah domain milik orang lain dengan DNS-nya sendiri, tidak pernah diperiksa terhadap record Anda. Lookalike dilawan dengan laporan penyalahgunaan registrar, laporan phishing dan peringatan kepada pihak terkait, bukan DNS.

Seberapa cepat p=reject benar-benar menghentikan pemalsuan? Perubahan DNS menjangkau penerima dalam hitungan jam, dan Gmail, Outlook dan sebagian besar provider besar menegakkan verdict DMARC — pemalsuan domain tepat mulai berhenti pada hari kebijakan berlaku. Dua batasan yang jujur: penerima kecil yang tidak pernah memeriksa DMARC mungkin masih mengirimkan email palsu, dan menegakkan sebelum pengirim sah Anda selaras akan memblokir email legitim Anda — percepat tahapannya, jangan lewati.

Kirimkan laporan kepada pemilik

Jika Anda adalah kontraktor IT yang menangani ini: setelah record aktif, jalankan ulang pemindaian dan teruskan laporan yang dinilai kepada pemilik bisnis. Ini menampilkan, dalam bahasa mudah dipahami, apa yang membuat pemalsuan bisa terjadi, apa yang Anda ubah dan di mana domain saat ini berada — jawaban tertulis untuk “apakah kita sudah aman sekarang?”, dan bukti untuk perpanjangan asuransi atau kuesioner pelanggan. Jika Anda adalah pemilik: minta tepat laporan itu, dan simpan sebelum dan sesudahnya.

Periksa apakah domain Anda dapat dipalsukan secara gratis

Lihat apakah server milik orang asing saat ini bisa berpura-pura sebagai Anda — dan tepat apa yang harus diperbaiki — secara privat dan hanya untuk pemilik.

Periksa domain Anda → · Dari p=none ke p=reject → · Perbaiki DMARC → · Bisakah seseorang memalsukan domain saya? → · Hanya data agregat. Data disimpan dan diproses di EU.