Cara Mengenali Phishing di Email, WhatsApp, dan SMS untuk Pegawai

Cara mengenali phishing yang paling andal adalah memeriksa tiga hal sebelum bertindak: siapa pengirimnya sebenarnya, ke mana tautan atau lampiran mengarah, dan apakah pesan itu mendesak Anda memberi data atau uang. Phishing adalah upaya penipuan yang menyamar sebagai pihak tepercaya, seperti bank, kurir, atasan, atau instansi, untuk mencuri kata sandi, kode OTP, atau dana.

Poin penting

• Phishing datang lewat email, WhatsApp, SMS, telepon, dan media sosial, bukan hanya email.
• Ciri paling umum: rasa mendesak, permintaan data rahasia, tautan aneh, dan lampiran yang tidak diminta.
• Lembaga resmi tidak pernah meminta kode OTP, PIN, atau kata sandi Anda.
• Bila terlanjur klik, segera ganti kata sandi, hubungi bank lewat saluran resmi, dan laporkan ke tim TI.
• Pelatihan pegawai secara rutin adalah pertahanan yang paling murah dan efektif.

Ciri-ciri pesan phishing

Penipu terus mengganti cara, tetapi polanya cenderung sama. Gunakan daftar periksa berikut setiap kali menerima pesan yang meminta Anda bertindak.

Satu tanda saja belum tentu penipuan. Namun bila dua atau lebih tanda muncul bersamaan, anggap pesan itu berbahaya sampai terbukti sebaliknya.

Cara memeriksa tautan tanpa mengkliknya

Di komputer, arahkan kursor ke tautan dan lihat alamat yang muncul di pojok bawah peramban. Di ponsel, tekan lama tautan untuk melihat alamatnya. Perhatikan nama domain utama, yaitu bagian tepat sebelum ".com", ".co.id", atau ".go.id". Penipu sering meletakkan nama lembaga di depan, misalnya namabank.login-aman.xyz, padahal domain sebenarnya adalah login-aman.xyz.

Modus phishing yang umum di Indonesia

Secara umum, beberapa modus berikut sering dilaporkan dan dibahas media serta lembaga keuangan. Bentuknya bisa berubah, tetapi intinya serupa.

• Undangan atau resi palsu. Berkas yang tampak seperti undangan pernikahan, surat tilang, atau resi paket ternyata aplikasi berbahaya (APK) yang bisa membaca SMS dan OTP.
• Mengaku petugas bank. Menawarkan perubahan tarif, peningkatan kartu, atau pemblokiran akun, lalu meminta data atau mengarahkan ke situs palsu.
• Mengaku atasan atau pejabat. Memakai foto profil pimpinan dan meminta bantuan transfer mendesak atau pembelian voucher.
• Lowongan kerja dan tugas berbayar. Menjanjikan uang untuk tugas ringan, lalu meminta setoran dengan berbagai alasan.
• Pembajakan akun WhatsApp. Meminta kode verifikasi enam digit yang "tidak sengaja terkirim", lalu mengambil alih akun.
• Email tagihan atau dokumen bersama. Mengaku dari layanan email atau penyimpanan berkas, meminta login ulang di halaman tiruan.

Phishing lewat telepon dan pesan yang sangat personal

Tidak semua phishing berupa tautan. Ada yang dilakukan lewat telepon, ketika penelepon mengaku petugas dan membacakan sebagian data Anda agar terdengar meyakinkan, lalu meminta kode yang masuk ke ponsel. Bila ragu, tutup telepon dan hubungi sendiri nomor resmi lembaga tersebut.

Ada pula pesan yang disusun khusus untuk satu orang atau satu unit, memakai nama rekan, nama proyek, atau jadwal kegiatan yang memang sedang berjalan. Informasi semacam ini sering diambil dari media sosial dan website publik. Semakin personal sebuah pesan, semakin penting memverifikasinya lewat saluran lain.

Di lingkungan instansi dan perusahaan, modus mengaku pimpinan dan email dokumen palsu patut mendapat perhatian khusus karena menyasar akses ke sistem kantor.

Langkah bila terlanjur mengklik atau memberi data

Jangan panik dan jangan menunda. Kecepatan bertindak sering menentukan seberapa besar kerugiannya.

1. Putuskan koneksi. Bila Anda memasang aplikasi atau membuka lampiran mencurigakan, matikan data seluler dan Wi-Fi, lalu hapus aplikasi tersebut.
2. Ganti kata sandi. Ubah kata sandi akun yang terdampak dari perangkat lain yang aman, mulai dari email utama dan perbankan. Aktifkan verifikasi dua langkah.
3. Hubungi bank. Bila menyangkut rekening atau kartu, segera hubungi bank lewat nomor resmi di kartu atau aplikasinya untuk memblokir akses.
4. Laporkan ke tim TI kantor. Bila terjadi di perangkat atau akun kerja, laporkan segera agar tim TI bisa memeriksa dan mencegah penyebaran ke rekan lain.
5. Peringatkan kontak. Bila akun WhatsApp atau media sosial diambil alih, beri tahu keluarga dan rekan agar tidak menanggapi permintaan atas nama Anda.
6. Laporkan ke saluran resmi. Nomor penipu bisa dilaporkan lewat AduanNomor.id milik Komdigi, rekening yang dipakai penipu lewat CekRekening.id, dan tindak pidana siber lewat patrolisiber.id atau kantor polisi terdekat.

Simpan bukti berupa tangkapan layar pesan, nomor pengirim, dan bukti transfer. Bukti ini dibutuhkan saat melapor ke bank maupun kepolisian.

Pelatihan pegawai: pertahanan yang paling efektif

Filter email dan antivirus membantu, tetapi tidak bisa menangkap semua pesan. Pada akhirnya, keputusan untuk mengklik ada di tangan manusia. Karena itu, kesadaran pegawai adalah lapisan pertahanan yang sangat penting.

Isi pelatihan yang disarankan

• Contoh nyata pesan phishing yang relevan dengan pekerjaan sehari-hari.
• Latihan memeriksa alamat pengirim dan tautan.
• Prosedur verifikasi: konfirmasi permintaan transfer atau data lewat saluran lain, misalnya menelepon langsung nomor yang sudah dikenal.
• Cara melapor yang mudah dan tanpa rasa takut disalahkan.

Kebiasaan organisasi yang mendukung

• Adakan simulasi phishing berkala dengan izin pimpinan, lalu bahas hasilnya tanpa mempermalukan siapa pun.
• Wajibkan verifikasi dua langkah untuk email dan sistem penting.
• Pakai email dengan domain resmi organisasi, bukan email gratis, agar pegawai dan warga mudah membedakan pesan asli.
• Tetapkan aturan bahwa permintaan transfer atau perubahan rekening tidak pernah diproses hanya berdasarkan chat.

Keamanan akun dibahas lebih lengkap di artikel keamanan akun dengan password dan 2FA.

Peran website dan sistem resmi dalam mencegah penipuan

Penipu memanfaatkan kebingungan publik tentang mana kanal resmi dan mana yang palsu. Organisasi bisa mempersempit celah ini dengan website resmi yang mudah ditemukan, mencantumkan kontak resmi dengan jelas, dan memuat pengumuman bila ada modus penipuan yang mencatut namanya.

Sistem internal juga perlu dirancang aman: halaman login dengan HTTPS, pembatasan percobaan login, dan pencatatan aktivitas. Panduan teknisnya ada di artikel keamanan website instansi pemerintah.

Langkah berikutnya

Bagikan daftar periksa di atas kepada rekan kerja dan jadikan bahan pelatihan singkat. Setelah itu, tinjau apakah kanal resmi organisasi Anda sudah jelas bagi publik.

• Pelajari praktik keamanan untuk situs instansi di halaman website instansi pemerintah.
• Lindungi data yang Anda kelola dengan memahami UU PDP untuk sistem informasi.

Bila website atau sistem organisasi Anda perlu ditinjau dari sisi keamanan, tim Rajonet siap berdiskusi lewat konsultasi gratis.