Barracuda: Satu Email Phishing Kini Menargetkan Penerima Sekaligus AI Kotak Masuk Mereka

Pada 7 Oktober 2026, Barracuda Research menerbitkan analisis tentang kampanye phishing yang dirancang untuk mengenai dua pembaca dengan pesan yang sama: orang yang menerimanya, dan asisten AI yang merangkum kotak masuk mereka. Bagian yang menghadap manusia tidak istimewa — lampiran yang dilindungi kata sandi yang kata sandinya ditulis di badan pesan, kombinasi yang menurut Barracuda "menciptakan titik buta bagi kontrol keamanan email tradisional." Bagian kedua adalah hal baru. Tersembunyi di dalam email yang sama — dalam komentar HTML, teks yang tidak terlihat oleh CSS, blok berenkode Base64, dan karakter lebar nol — terdapat instruksi yang ditujukan kepada model mana pun yang mengurai email tersebut, dimaksudkan untuk membuat asisten "menyajikan email phishing sebagai sah atau mendesak" atau membuatnya bertindak sendiri.

Barracuda mengatakan bahwa sampel yang diperiksanya dikemas sebagai korespondensi internal rutin dan membawa skor spam yang tepercaya, serta berasal dari domain sektor publik. Arsip tersebut tidak mencatat adanya korban yang terkonfirmasi dan tidak ada laporan kerugian: ini adalah temuan riset tentang pola serangan, bukan pengungkapan organisasi yang telah disusupi. Barracuda tidak mengungkap skala kampanye tersebut, dan baik Infosecurity Magazine maupun The Hacker News — yang keduanya meliput riset itu — tidak dapat menambahkan angkanya.

Apa yang sebenarnya diterbitkan oleh Barracuda

Tulisan ini adalah postingan blog riset ancaman dari vendor, berjudul "Sorotan Ancaman: Serangan email menyasar manusia dan AI dalam pesan yang sama", dan dengan nama penulis Guruprasad Kenja, yang digambarkan sebagai analis ancaman Barracuda. Tulisan itu bertanggal 7 Oktober 2026 di jalur URL-nya dan memuat stempel "Diperbarui: 6 Okt. 2026" di halaman itu sendiri; berita Infosecurity Magazine, oleh Alessandro Mascellino, bertanggal 7 Oktober dan rangkuman ThreatsDay di The Hacker News, yang diterbitkan 8 Oktober, menautkan postingan Barracuda yang sama. Selisih satu hari antara tanggal URL dan stempel di halaman adalah milik Barracuda sendiri dan tidak dijelaskan oleh satu pun dari ketiganya.

Kerangka Barracuda adalah bahwa asisten telah menjadi permukaan serangan kedua. Dalam kata-katanya, organisasi "harus mengamankan tidak hanya pengguna dan kotak masuk, tetapi juga sistem AI yang mengonsumsi dan bertindak atas data email." Penelitian tersebut menggambarkan satu pesan dengan dua payload, bukan eksploitasi baru: umpan rekayasa sosial konvensional adalah hal yang dirancang untuk ditangkap oleh filter, dan injeksi prompt ditempatkan di tempat yang secara historis belum diperiksa filter.

Sampel: dibuat untuk lolos pemeriksaan reputasi

Barracuda mencantumkan tiga properti pesan yang, menurut versinya, membuatnya lolos dari pemfilteran berbasis reputasi:

• Alamat Dari dan Kepada berada di kotak surat yang sama, sehingga pesan tersebut terbaca sebagai catatan untuk diri sendiri, bukan sebagai surat eksternal.

• Itu membawa skor keyakinan spam yang tepercaya.

• Itu berasal dari domain sektor publik.

Barracuda tidak menyebutkan nama domain sektor publik tersebut, tidak mengatakan apakah domain itu merupakan asal yang sah dari pesan tersebut atau domain yang dipalsukan, dan tidak memberikan tanggal kapan pesan itu terlihat. Kesenjangan tersebut penting bagi siapa pun yang mencoba menilai seberapa dekat kampanye itu dengan keberhasilan, dan kesenjangan itu ada pada sumber primer, bukan sesuatu yang diisi oleh media lain.

Separuh tersembunyi: empat cara instruksi diselundupkan

Barracuda menyebut empat teknik sebagai teknik yang sering dijumpainya. Keempatnya mengandalkan asimetri yang sama: klien email merender pesan dengan satu cara, sementara model yang membaca sumber mentah melihat semua yang disembunyikan klien.

Setiap item dalam daftar itu adalah deskripsi tentang pembawa, bukan tentang efek, dan Barracuda secara eksplisit menyatakan bahwa injeksi tersebut dirancang untuk bekerja pada asisten, bukan pada orangnya. Tag tipe catatan itu adalah IPI — indirect prompt injection — yaitu istilah standar untuk instruksi yang datang di dalam konten yang diminta untuk dibaca oleh model, bukan yang diketik oleh penggunanya.

Apa yang seharusnya dilakukan oleh suntikan-suntikan itu

Deskripsi Barracuda tentang tujuan payload berjalan di sepanjang dua jalur. Jalur yang lebih lunak mencoba membelokkan ringkasan: jika manusia mengabaikan lampiran, teks tersembunyi itu dimaksudkan untuk membuat asisten menggambarkan pesan sebagai sah atau mendesak, sehingga mendorong penerima untuk membuka dan mengklik. Barracuda mengatakan tidak satu pun dari instruksi ini yang terlihat oleh pengguna. Jalur yang lebih keras mencoba mengubah asisten menjadi pelaku — dengan memberitahunya untuk "mengabaikan arahan sebelumnya" dan sebagai gantinya mengirim permintaan mendesak untuk mentransfer dana, membocorkan data, atau menampilkan tindakan mendesak palsu.

Contoh-contoh dunia nyata yang disertakan yang dikutip Barracuda menunjukkan mekanisme yang sama yang diterapkan pada alur kerja lain yang dimediasi AI:

• Email faktur yang berisi blok teks tersembunyi yang memberi tahu model peringkas untuk menambahkan tindakan prioritas palsu yang mengubah detail pembayaran vendor, mendorong seorang karyawan untuk mentransfer uang kepada penyerang.

• Resume yang teks tersembunyinya menginstruksikan alat penyaringan AI untuk menilai pelamar 10 dari 10 dan merekomendasikan wawancara langsung tanpa memandang kualifikasi.

• Permintaan yang dibingkai sebagai "mode pemeliharaan atau admin" resmi, yang meminta bot dukungan untuk mengungkapkan konfigurasinya sendiri.

• Dokumentasi yang diracuni pada halaman yang dibaca oleh asisten coding, yang menginstruksikannya untuk menyisipkan baris eksfiltrasi kredensial setiap kali ia menghasilkan kode autentikasi.

Ini digambarkan sebagai contoh teknik tersebut, bukan sebagai pelanggaran yang terkonfirmasi. Tidak ada apa pun dalam postingan Barracuda yang menyatakan bahwa model peringkas, alat penyaring, bot dukungan, atau asisten pengodean benar-benar mematuhi dalam penerapan nyata, dan arsip mencatat real_harm sebagai false.

Apa yang sudah mapan, dan apa yang belum

Perbedaan ini lebih penting di sini dibandingkan pada sebagian besar laporan insiden, karena catatan tersebut menggambarkan sebuah rancangan, bukan sebuah hasil.

• Ditetapkan: Barracuda Research meneliti kampanye phishing yang menggabungkan lampiran yang dilindungi kata sandi dengan injeksi prompt tersembunyi dalam pesan yang sama, dan menerbitkan analisisnya pada 7 Oktober 2026. Empat teknik penyembunyian dan empat contoh penggunaan dinyatakan dalam tulisan tersebut. Dua outlet independen — Infosecurity Magazine dan The Hacker News — melaporkan temuan yang sama tanpa saling bertentangan, itulah sebabnya tingkat keyakinan catatan tersebut dinilai A.

• Belum dipastikan: apakah ada asisten yang benar-benar dibajak, berapa banyak pesan yang dikirim, siapa yang menerimanya, dan apakah uang berpindah atau data keluar. Barracuda menolak memberikan skala kampanye tersebut. Tidak ada regulator, organisasi korban, atau vendor keamanan yang mengonfirmasi kompromi spesifik, dan tidak ada pihak yang disebutkan namanya yang dikaitkan dengan sampel tersebut.

• Tidak disengketakan: tidak ada apa pun dalam liputan yang bertentangan dengan keterangan Barracuda. Pertanyaan-pertanyaan yang belum terjawab adalah tentang hal-hal yang tidak disebutkan, bukan ketidaksepakatan — dan arsip tidak mencatat temuan itu sebagai disengketakan.

Catatan ini diklasifikasikan sebagai temuan riset dengan tingkat keparahan sedang, dengan keterlibatan AI yang terkonfirmasi — asisten AI adalah target yang menjadi dasar perancangan kampanye, dan itulah alasan pesan ini tidak biasa. Catatan ini tidak diklasifikasikan sebagai landmark, dan tidak ada rentang tanggal: analisis ini menggambarkan satu titik waktu, 7 Oktober 2026, bukan jendela kampanye.

Mitigasi yang direkomendasikan Barracuda

Posisi Barracuda adalah bahwa "tidak ada satu kontrol pun yang akan menghentikan setiap variasi," sehingga rekomendasinya berupa serangkaian lapisan, bukan perbaikan tunggal. Barracuda menyarankan menghilangkan elemen tersembunyi, komentar, dan karakter tak terlihat dari konten sebelum konten tersebut mencapai sistem AI; mendeteksi frasa yang menimpa instruksi sebagai ciri injeksi prompt; menjalankan asisten di dalam sandbox agar jangkauannya terbatas; memvalidasi output sebelum respons asisten memicu suatu tindakan; dan mewajibkan persetujuan manusia atas pembayaran, perubahan vendor, dan keputusan sensitif lainnya. Barracuda juga merekomendasikan pemantauan terhadap upaya injeksi yang berulang, dan menyatakan prinsip dasarnya sebagai memperlakukan konten eksternal "selalu hanya sebagai data dan tetap terpisah dari instruksi."

Postingan itu juga menyoroti produk-produk Barracuda sendiri — Email Gateway Defense, Behavioral AI, dan Automated Threat Response — sebagai kontrol yang dijualnya untuk sisi pemfilteran dan remediasi. Itu adalah vendor yang merekomendasikan katalognya sendiri, dan layak dibaca sebagai demikian: rekomendasi teknisnya independen dari produk-produknya, tetapi postingan tersebut tidak menguji keduanya terhadap kampanye yang diuraikannya.

Mengapa catatan itu layak disimpan

Nilai spesifik dari entri ini adalah bahwa entri ini mendokumentasikan titik di mana dua pertahanan yang sebelumnya terpisah berhenti mencakup pesan yang sama. Lampiran yang dilindungi kata sandi menggagalkan pemindaian konten karena pemindai tidak dapat membuka file; injeksi prompt tersembunyi menggagalkan penilaian reputasi karena penilaian reputasi melihat pengirim, bukan pada apa yang akan dilakukan model bahasa terhadap isi pesan. Tempatkan keduanya dalam satu email dan mode kegagalannya bertumpuk: filter yang meloloskan pesan berdasarkan skor yang tepercaya juga telah meloloskan payload yang ditujukan kepada apa pun yang membaca kotak masuk berikutnya. Sampel Barracuda adalah demonstrasi bahwa komposisi ini bukanlah hipotetis.

Catatan ini — temuan phishing target ganda Barracuda — merupakan salah satu entri dalam OrcaRouter AI Incident Archive, yang melacak insiden AI, temuan riset, dan evaluasi dengan bidang yang sama seperti yang digunakan di atas: tingkat keparahan, keyakinan, status yang diperdebatkan, dan kerugian nyata.