Dua istilah ini sering dipakai bergantian, padahal cakupannya berbeda.
Social engineering adalah istilah umum untuk segala bentuk manipulasi psikologis yang bertujuan membuat seseorang membocorkan informasi atau melakukan tindakan tertentu. Bentuknya bermacam-macam: pretexting (berpura-pura jadi teknisi IT), baiting (memancing dengan flash drive berlabel menarik), tailgating (menyusup masuk area terbatas), vishing (manipulasi lewat telepon), dan phishing.
Phishing secara spesifik merujuk pada penipuan lewat media digital, email, pesan singkat, atau situs web palsu, untuk mencuri kredensial atau data pribadi. Variasinya meliputi spear phishing (tertarget ke individu tertentu), smishing (lewat SMS), dan quishing (lewat QR code berbahaya).
Perbedaan utamanya ada di dua hal:
- Cakupan social engineering adalah payung besar, phishing hanya salah satu tekniknya
- Media social engineering bisa lewat interaksi langsung atau telepon, phishing selalu lewat jalur digital
Dengan kata lain, semua phishing adalah social engineering, tapi tidak semua social engineering adalah phishing.
Kenapa penting dibedakan: strategi mitigasinya berbeda. Phishing bisa ditangani dengan filter email dan deteksi domain palsu. Social engineering butuh pendekatan lebih luas, mulai dari verifikasi identitas hingga prosedur akses fisik ke gedung. Kesalahan umum organisasi, karyawan hanya dilatih mengenali phishing lewat email, tapi lupa social engineering bisa datang dari panggilan telepon meyakinkan atau kurir palsu di lobi kantor.
