Akhir-akhir ini, semakin banyak kasus penipuan dengan modus phishing yang dilakukan oknum yang mengaku sebagai instansi resmi, mulai dari Direktorat Jenderal Pajak, Kepolisian, hingga lembaga keuangan/perbankan.
Tujuannya tidak lain untuk mendapatkan informasi sensitif dari korbannya, seperti data pribadi atau akses akun keuangan.
Funfact:
Faktanya, di kawasan Asia Tenggara, Indonesia menempati posisi kedua setelah Thailand sebagai negara dengan jumlah serangan phishing finansial tertinggi dengan total 48.439 kasus (Data Kaspersky, 2024).
Apa itu Phishing?
Istilah Phishing berasal dari kata “fishing” yang berarti memancing.
Sesuai namanya, phishing adalah teknik penipuan di mana pelaku “memancing” korban agar mau memberikan informasi pentingnya sendiri, seperti data pribadi, data akun rekening, atau informasi finansial lainnya.
Begitu data tersebut didapat, pelaku akan memanfaatkannya untuk berbagai tindakan kejahatan, mulai dari pencurian identitas hingga pembobolan rekening.
Kenapa sih kita bisa terjebak phishing?
1. Pelaku phishing menyamar sebagai pihak terpercaya
Pelaku phishing kerap menyamar sebagai pihak yang dipercaya, baik itu instansi resmi maupun orang yang kita kenal.
Mereka bisa berpura-pura menjadi pihak berwenang seperti polisi, petugas pajak, lembaga keuangan, atau instansi pemerintah lainnya.
Tak jarang pula mereka mengaku sebagai teman, keluarga, rekan kerja, atau bahkan petugas yang sering kita temui sehari-hari, seperti kurir paket atau rekan bisnis.
Modus yang dilakukan pun beragam, mulai dari mengirim pesan, email, atau tautan palsu, hingga menelpon langsung dengan alasan mendesak agar korban segera mengikuti instruksi mereka.
Dalam aksinya, pelaku sering menggunakan identitas dan tampilan yang sangat mirip dengan yang asli, sehingga korban yang kurang berhati-hati bisa dengan mudah percaya dan tanpa sadar memberikan data pribadi, informasi penting, atau bahkan akses kepada pelaku.
2. Pelaku phishing sering memanfaatkan momen dan emosi korban
Pelaku phishing kerap memanfaatkan emosi korban sebagai celah utama untuk melancarkan aksinya. Rasa takut, panik, terkejut, penasaran, atau rasa urgensi sering dijadikan alat untuk membuat korban bereaksi cepat tanpa sempat berpikir panjang.
Contohnya, pelaku berpura-pura menjadi polisi yang menargetkan orang tua, lalu menipu korban melalui telepon dengan mengatakan bahwa anaknya mengalami kecelakaan.
Karena panik dan takut, korban pun langsung menuruti permintaan pelaku, termasuk mengirimkan sejumlah uang tanpa sempat memverifikasi kebenarannya.
Untuk membuat aksinya semakin meyakinkan, pelaku biasanya juga sudah mengumpulkan informasi pribadi korban dari media sosial, situs web, atau data yang bocor di internet.
Dengan begitu, pesan atau panggilan yang mereka kirim terasa sangat relevan dengan situasi korban dan tampak benar-benar berasal dari pihak yang sah.
Akibatnya, banyak orang tertipu dan tanpa sadar memberikan data pribadi atau mengikuti instruksi yang berisiko.
Terus, apa aja sih ciri-ciri phishing?
Berikut indikator yang dapat membantu kamu untuk mengidentifikasi potensi phishing:
1. Mengaku dari instansi resmi
Pelaku sering berpura-pura sebagai petugas bank, polisi, atau lembaga pemerintah untuk membangun kepercayaan, baik melalui email, pesan, atau bahkan panggilan telepon.
2. Menggunakan salam umum
Pesan dikirim secara massal tanpa menyebut nama penerima secara spesifik. Contoh: “Dear Customer, akun Anda terdeteksi aktivitas mencurigakan. Silakan verifikasi sekarang.”
3. Memuat pesan/nada yang bersifat mendesak, mengancam, atau memberikan tawaran yang sangat menggiurkan
Pelaku berusaha membuat korban panik agar segera menuruti instruksi tanpa berpikir panjang. Contoh: “Akun Anda akan diblokir dalam 24 jam!” atau “Selamat! Anda memenangkan hadiah Rp50.000.000, klaim sekarang!”
4. Meminta untuk segera mengikuti instruksi tertentu
Pelaku biasanya mendesak korban untuk segera melakukan tindakan, seperti mengklik tautan, mengunduh file, membagikan data pribadi, atau mentransfer uang dengan alasan mendesak.
5. Terdapat permintaan informasi pribadi
Pelaku sering meminta informasi sensitif seperti kata sandi, PIN, kode OTP, nomor kartu debit/kredit, atau data pribadi lainnya dengan alasan keamanan atau verifikasi akun. Contoh: “Untuk keamanan, kirimkan kode OTP atau nomor kartu ATM Anda agar akun tetap aktif.”
6. Terdapat lampiran atau tautan yang mencurigakan
Pelaku sering menyertakan lampiran atau tautan agar korban tertarik membuka. Contoh: Email dengan subjek “Tagihan Bank Saqu Bulan Oktober” berisi file Tagihan_Oktober2025.pdf.exe atau Invoice_BankSaqu.zip.
7. Terdapat kesalahan ejaan atau tata bahasa dalam pesan/email
Pesan phishing sering memiliki kesalahan karena dibuat secara tidak profesional. Contoh: “Akun Anda sudah di nonaktifkan. Segera klik link ini untuk aktifkan kembali.”
Jenis-jenis Phishing
Selain ciri-ciri phishing di atas, kalian juga perlu mengetahui jenis-jenis phishing yang seringkali digunakan, berikut ini adalah jenis phishing yang paling sering kita temui:
1. Email phishing
Phishing ini dilakukan melalui media email. Pelaku akan menggunakan email palsu yang mirip dengan email asli instansi resmi yang berisi pesan untuk menarik perhatian atau membuat panik pengguna, seperti mendapatkan bonus atau ancaman pemblokiran akun yang disertai dengan link palsu atau file yang sudah terinfeksi virus.
2. Spear phishing
Jenis phishing yang menargetkan individu atau organisasi tertentu dengan pesan yang sangat personal, contohnya serangan phishing yang menargetkan karyawan bank.
3. Whaling phishing
Jenis phishing yang menargetkan eksekutif tingkat tinggi atau pejabat penting, seperti CEO, direktur, atau pejabat tinggi lainnya yang memiliki akses yang sangat strategis dan informasi yang sangat confidential.
4. Smishing dan Vishing
Jenis phishing yang dilakukan melalui SMS phishing (Smishing) dan Voice phishing (Vishing).
Pelaku akan mengirimkan teks melalui sms atau telepon kepada korban untuk melakukan tindakan kejahatan. Terlebih, di zaman yang semakin canggih ini, banyak pelaku yang sudah memanfaatkan teknologi AI untuk melancarkan aksinya sehingga semakin sulit untuk membedakan mana yang asli dan mana yang palsu.
5. Social Media phishing
Jenis phishing yang dilakukan melalui media sosial, seperti Instagram, Facebook, TikTok dan platform lainnya. Biasanya pelaku akan memanfaatkan tren atau konten viral untuk memancing korban. Contohnya penawaran giveaway palsu, informasi lowongan kerja, penipuan jual beli, dan sebagainya.
Kenapa sih phishing berbahaya?
Pada dasarnya, phishing bekerja dengan cara menipu korban melalui penyamaran sebagai orang terdekat atau pihak dari instansi resmi agar korban mau menyerahkan data pribadi, atau tanpa sadar memasang malware ke perangkatnya.
Pelaku biasanya mengirim pesan yang tampak resmi dan mendesak, seperti “akun Anda akan diblokir” atau “harap segera verifikasi.” Ketika korban mengklik tautan tersebut, ia akan diarahkan ke situs palsu yang dibuat menyerupai situs asli.
Begitu korban memasukkan informasi seperti username, password, atau kode OTP, data tersebut langsung dikirim ke pelaku dan digunakan untuk mengakses akun korban.
Selain melalui tautan, phishing juga dapat dilakukan lewat lampiran berisi malware. Pelaku biasanya mengirimkan email dengan dokumen palsu seperti “Invoice Pembayaran” atau “Surat Keputusan” dalam format APK atau PDF.
Saat file tersebut dibuka, malware akan otomatis terpasang di perangkat korban, memberi pelaku akses untuk mencuri data, memantau aktivitas, hingga mengambil alih sistem.
Agar kita lebih mengenali phishing lebih dalam, yuk kita coba identifikasi ciri-ciri phishing berikut ini!
Dari email tersebut kita dapat mengetahui bahwa:
- Alamat pengirim sangat mirip dengan yang asli, tapi bukan alamat resmi karena alamat resmi Bank Saqu adalah dibantu@banksaqu.co.id.
- Gaya mendesak dan ancaman, (“URGENT”, “transaksi mencurigakan”, “30 menit”, “dibatasi”) untuk memicu rasa panik korban.
- Permintaan informasi sensitif (meminta kode verifikasi/OTP lewat tautan).
- Terdapat tautan umum/placeholder alih-alih mengarahkan ke aplikasi atau kanal resmi bank.
- Salam umum tanpa menyebut nama nasabah.
Berdasarkan ciri-ciri di atas, maka dapat disimpulkan bahwa email tersebut merupakan email phishing yang harus diabaikan dan dilaporkan.
Tips agar tetap aman!
Berikut tips yang dapat dilakukan agar kalian tetap aman dan terjaga dari serangan phishing:
1. Selalu terapkan 2 why questions, “can we?” dan “should we”
- Can we? Apakah tindakan ini memang boleh dan aman dilakukan?
- Should we? Apakah kita benar-benar perlu melakukannya?
2. Tetap tenang dan jangan panik
Jangan langsung percaya dengan pesan yang mengancam, memaksa, atau memberi tawaran yang menggiurkan lewat pesan/telepon pribadi.
3. Selalu verifikasi keasliannya
Periksa nomor dan alamat email, pastikan domain tersebut merupakan domain resmi (contoh: @go.id, @bi.go.id, @polri.go.id).
4. Periksa tautan sebelum diklik (hover link)
Arahkan kursor ke tautan tanpa mengkliknya. Jika alamat berbeda dari situs resmi, abaikan dan jangan dibuka.
5. Jangan mengunduh file sembarangan
Hindari membuka lampiran atau file dari sumber yang tidak dikenal, meskipun terlihat seperti dokumen penting.
6. Selalu berhati-hati ketika membagikan data sensitif
Contoh data sensitif seperti OTP, PIN, atau password. Ingat! Pihak resmi tidak akan pernah memintanya melalui media apa pun.
7. Perbarui sistem dan aplikasi secara rutin
Pembaruan perangkat lunak akan membantu menutup celah keamanan yang bisa dimanfaatkan pelaku phishing atau malware.
8. Gunakan password yang kuat dan berbeda untuk setiap akun
Hindari memakai kombinasi yang mudah ditebak seperti tanggal lahir atau nama sendiri.
9. Gunakan autentikasi dua faktor (2FA)
Aktifkan 2FA di akun penting seperti email, perbankan, atau media sosial untuk mencegah akses tidak sah.
10. Laporkan segera
Jika menemukan indikasi penipuan, segera laporkan ke iasc.ojk.go.id, polri.go.id, atau layanan pengaduan instansi terkait.
Terus bagaimana kalau sudah terjebak?
Berikut beberapa langkah yang bisa kamu lakukan jika kamu telanjur mengklik atau memberikan data pribadi.
- Segera putuskan koneksi internet, misalnya matikan Wi-Fi sementara. Langkah ini penting untuk mencegah pelaku mengakses perangkat secara jarak jauh atau menghentikan aktivitas berbahaya dari malware yang mungkin sudah berjalan.
- Ubah semua kata sandi (password) akun penting yang mungkin terdampak, terutama email, akun bank, dan media sosial.
- Lakukan pemindaian antivirus di perangkat yang digunakan untuk memastikan tidak ada malware yang terpasang.
- Pantau aktivitas akun dan rekeningmu beberapa hari ke depan untuk mendeteksi hal janggal.
- Laporkan kejadian ke pihak terkait, misalnya:
- Tim keamanan IT atau helpdesk di kantor.
- Bank atau instansi resmi terkait jika kamu sudah memberikan data finansial.
- Situs atau kanal resmi untuk melaporkan penipuan (misalnya, iasc.ojk.go.id, polri.go.id).
Ingat! Pada intinya, pelaku phishing selalu berusaha untuk membuat kamu panik dan bertindak tanpa berpikir. Mereka bisa menyamar sebagai pihak resmi dan meminta kamu mengklik tautan, membuka file, atau bahkan memberikan data pribadi. Jadi, tetap waspada dan jangan mudah percaya!
Think before you click — Stay Alert, Stay Safe from Phishing!
