Jangan Asal Klik! Kenali 7 Tanda Phishing Sebelum Data Pribadi Dicuri

KebonCinta.com – Sebuah pesan masuk ke ponsel. Isinya membuat panik: rekening akan diblokir, paket tertahan, akun media sosial bermasalah, atau ada transaksi mencurigakan yang harus segera dibatalkan.

Di bawah pesan tersebut tersedia sebuah tautan. Korban hanya diminta login atau mengisi beberapa data untuk menyelesaikan masalah.

Sekilas terlihat sederhana. Namun satu klik pada tautan yang salah dapat membawa pengguna ke situs palsu yang sengaja dibuat untuk mencuri kata sandi, informasi rekening, nomor kartu, atau data pribadi lainnya.

Modus semacam ini dikenal sebagai phishing. Microsoft menjelaskan phishing sebagai serangan yang mencoba mencuri uang atau identitas dengan memancing korban memberikan informasi pribadi melalui situs yang berpura-pura sebagai layanan resmi. Modusnya tidak hanya lewat email, tetapi juga pesan teks dan layanan komunikasi digital lainnya.

Di Indonesia, Kementerian Keuangan juga mengingatkan pelaku phishing kerap membuat alamat situs yang sangat mirip dengan situs resmi sehingga perbedaannya dapat luput dari perhatian pengguna.

Phishing Tidak Selalu Terlihat Seperti Penipuan

Kesalahan terbesar adalah menganggap pesan penipuan selalu terlihat berantakan.

Pelaku dapat menggunakan logo perusahaan, nama bank, foto profil, desain halaman login, bahkan bahasa yang dibuat menyerupai komunikasi resmi.

Alamat situs pun bisa sengaja dibuat hanya berbeda satu atau dua karakter.

Kementerian Keuangan memberi contoh alamat resmi berdomain kemenkeu.go.id dapat ditiru menggunakan domain yang sekilas terlihat hampir sama. Teknik seperti ini memanfaatkan kebiasaan pengguna yang hanya melihat tampilan halaman tanpa memeriksa alamat sebenarnya.

Karena itu, tampilan profesional bukan bukti sebuah pesan benar-benar berasal dari perusahaan yang namanya dicatut.

1. Pesan Membuat Anda Panik dan Meminta Bertindak Sekarang

Salah satu senjata utama phishing bukan teknologi, melainkan emosi.

Pelaku ingin korban terburu-buru sehingga tidak sempat memeriksa kebenaran pesan.

Kalimat seperti “akun Anda akan diblokir”, “verifikasi dalam 10 menit”, “transaksi akan diproses”, atau “klik sekarang agar akun tidak dihapus” perlu membuat pengguna lebih waspada.

Microsoft memasukkan rasa mendesak dan ancaman sebagai salah satu tanda umum phishing. Penipu sengaja menciptakan tekanan agar korban mengambil keputusan sebelum sempat berpikir atau meminta pendapat orang lain.

Kementerian Keuangan juga mengingatkan rasa takut, kaget, dan panik sering dimanfaatkan penipu untuk memengaruhi tindakan korban.

Jika sebuah pesan membuat panik, justru jangan langsung mengikuti instruksinya.

2. Periksa Alamat Pengirim, Bukan Hanya Namanya

Nama pengirim sangat mudah dibuat menyerupai lembaga resmi.

Sebuah email dapat tampil dengan nama “Bank XYZ”, “Customer Service”, atau “Admin”, tetapi alamat sebenarnya berasal dari domain yang sama sekali berbeda.

Microsoft menyarankan pengguna memeriksa domain email dengan teliti. Penipu bahkan dapat menggunakan variasi huruf yang sulit terlihat, misalnya mengganti huruf “o” dengan angka nol atau menggabungkan huruf “r” dan “n” agar terlihat seperti “m”.

Karena itu, jangan berhenti pada nama yang terlihat di kotak masuk.

Buka detail pengirim dan perhatikan alamat lengkapnya.

3. Jangan Langsung Percaya Tautan yang Terlihat Resmi

Tulisan pada sebuah tombol tidak harus sama dengan alamat tujuan sebenarnya.

Tombol bertuliskan “Login Sekarang” dapat mengarah ke situs lain.

Pada komputer, Google menyarankan pengguna mengarahkan kursor ke tautan tanpa mengkliknya. Alamat tujuan sebenarnya akan terlihat sehingga pengguna bisa memeriksa apakah domain tersebut sesuai dengan situs yang seharusnya.

Microsoft memberikan saran serupa. Pada ponsel, tautan dapat ditekan agak lama untuk melihat tujuan sebenarnya sebelum membukanya.

Kalau menerima pemberitahuan yang mengatasnamakan bank, marketplace, atau layanan digital, cara yang lebih aman adalah jangan masuk melalui link di pesan.

Buka aplikasi resminya atau ketik alamat situs yang sudah Anda kenal secara manual.

4. Waspadai Permintaan Password, OTP dan Data Keuangan

Pesan phishing biasanya mempunyai tujuan.

Pelaku ingin mendapatkan sesuatu dari korban.

Bisa berupa username, kata sandi, informasi rekening, nomor kartu, data identitas, atau informasi lain yang nantinya dapat digunakan untuk mengambil alih akun maupun melakukan penipuan lanjutan.

Google secara tegas menyarankan pengguna tidak memberikan password melalui email, pesan, atau telepon yang mencurigakan. Google juga menyebut pihaknya tidak meminta password melalui saluran tersebut.

Prinsip yang sama dapat diterapkan untuk OTP.

Kode verifikasi satu kali dibuat sebagai lapisan keamanan. Jika seseorang yang mengaku petugas meminta kode tersebut, jangan langsung memberikannya.

Verifikasi permintaan melalui kanal resmi perusahaan.

5. Lampiran yang Tidak Dikenal Jangan Asal Dibuka

Phishing tidak selalu berakhir di halaman login palsu.

Pesan juga dapat membawa lampiran berbahaya.

File yang dikirim secara tiba-tiba dapat digunakan sebagai bagian dari serangan untuk memasukkan malware ke perangkat. CISA mengingatkan phishing sering mencoba membuat pengguna membuka lampiran berbahaya atau menyerahkan informasi sensitif.

Karena itu, berhati-hatilah dengan lampiran yang tidak diminta, terutama jika datang dari pengirim yang belum pernah berkomunikasi sebelumnya.

Jika sebuah instansi mengirim dokumen yang terasa tidak biasa, konfirmasi dahulu kepada instansi tersebut melalui kontak resminya.

6. Aktifkan Verifikasi Dua Langkah

Kata sandi saja tidak selalu cukup.

Google merekomendasikan penggunaan 2-Step Verification sebagai lapisan keamanan tambahan untuk akun.