Waspada Phishing! Begini Cara Mengenali Link Penipuan dan Melindungi Data Pribadi

Aktivitas digital yang semakin tinggi membuat masyarakat perlu semakin waspada terhadap phishing, salah satu modus penipuan yang bertujuan mencuri informasi pribadi maupun finansial.

Pelaku biasanya menyamar sebagai pihak terpercaya seperti bank, marketplace, perusahaan ekspedisi, layanan pembayaran digital, operator telekomunikasi, hingga instansi pemerintah.

Korban kemudian diarahkan membuka sebuah tautan, mengisi formulir, mengunduh file, memasukkan kata sandi, memberikan kode OTP, atau melakukan pembayaran.

Kementerian Komunikasi dan Digital menyebut phishing sebagai salah satu bentuk serangan siber yang mencoba mendapatkan informasi pribadi, termasuk kata sandi dan nomor kartu pembayaran.

Masalahnya, halaman phishing saat ini dapat dibuat sangat menyerupai situs resmi sehingga korban yang terburu-buru bisa tidak menyadari perbedaannya.

Modus phishing terus mengikuti tren

Pesan phishing tidak selalu datang dalam bentuk email berbahasa asing dengan tata bahasa buruk.

Pelaku kini dapat membuat pesan yang terlihat rapi dan relevan dengan kondisi masyarakat.

Pada 2026, misalnya, Komdigi menemukan tautan palsu yang mengatasnamakan program undian BRI. Tautan tersebut tidak menuju kanal resmi dan meminta data pribadi hingga akhirnya mengarah pada permintaan transfer uang.

Kasus lain menggunakan iming-iming internet gratis selama Ramadan 2026. Korban diarahkan menuju halaman yang meminta nama dan nomor Telegram, padahal situs tersebut bukan kanal resmi penyedia layanan yang dicatut. Komdigi mengategorikannya sebagai modus phishing untuk memperoleh data pribadi.

Artinya, modus phishing dapat menggunakan hampir semua tema yang sedang menarik perhatian masyarakat.

Mulai dari bantuan sosial, undian, paket tertahan, tagihan, lowongan pekerjaan, pendaftaran guru, promo bank, hingga pemberitahuan bahwa sebuah akun akan diblokir.

Phishing memanfaatkan rasa panik dan penasaran

Keberhasilan phishing tidak hanya bergantung pada teknologi.

Pelaku justru sering memanfaatkan psikologi korban.

Pesan dibuat sedemikian rupa agar penerima merasa harus mengambil tindakan sesegera mungkin.

Misalnya, muncul peringatan bahwa rekening akan diblokir dalam 24 jam, paket tidak dapat dikirim, transaksi mencurigakan ditemukan, atau akun harus diverifikasi sekarang.

FTC menjelaskan pesan phishing sering menggunakan cerita mengenai aktivitas login mencurigakan, masalah pembayaran, tagihan yang tidak dikenal, atau permintaan verifikasi data agar penerima terdorong membuka tautan.

Ketika panik, seseorang cenderung tidak memeriksa alamat situs secara teliti.

Inilah alasan sederhana mengapa tidak langsung menekan tautan menjadi salah satu perlindungan paling efektif.

Ciri-ciri pesan phishing yang patut dicurigai

Tidak ada satu ciri yang dapat memastikan sebuah pesan pasti phishing. Namun, kombinasi beberapa tanda berikut seharusnya membuat pengguna berhenti dan melakukan verifikasi:

1. Pesan datang secara tiba-tiba dan meminta tindakan mendesak.
2. Pengirim meminta pengguna membuka link yang tidak dikenal.
3. Alamat situs sangat mirip dengan domain resmi tetapi mempunyai tambahan huruf, angka, atau ejaan berbeda.
4. Pengguna diminta memasukkan kata sandi, PIN, kode OTP, nomor kartu, atau data rekening.
5. Ada hadiah atau keuntungan yang terlalu menarik untuk dipercaya.
6. Pesan mengancam akun akan ditutup apabila tidak segera melakukan verifikasi.
7. Lampiran atau aplikasi diminta diunduh dari sumber tidak resmi.
8. Nama perusahaan atau instansi terlihat benar, tetapi alamat email dan domainnya berbeda.
9. Pesan meminta transfer uang dengan alasan verifikasi, administrasi, atau pencairan hadiah.
10. Informasi tersebut tidak ditemukan pada aplikasi atau kanal resmi lembaga yang bersangkutan.

Komdigi bahkan menemukan kasus hoaks seleksi pengangkatan guru swasta 2026 yang menggunakan logo instansi pemerintah. Tautannya mengarah ke domain nonpemerintah dan meminta data melalui formulir serta Telegram.

Logo resmi dengan demikian tidak dapat dijadikan bukti bahwa sebuah halaman benar-benar milik pemerintah.

Jangan percaya hanya karena ada HTTPS

Sebagian pengguna masih menganggap situs yang menampilkan ikon gembok atau menggunakan https otomatis aman.

Anggapan tersebut perlu diperbaiki.

HTTPS membantu mengenkripsi komunikasi antara perangkat dan situs yang dikunjungi, tetapi penipu juga dapat membuat situs phishing menggunakan HTTPS.

Yang harus diperiksa adalah alamat domain sebenarnya.

Jika mendapat pesan dari bank, marketplace, sekolah, pemerintah, atau perusahaan tertentu, jangan login melalui tautan di pesan.

Buka sendiri aplikasi resminya atau ketik alamat situs yang sudah diketahui benar.

FTC juga merekomendasikan menghubungi perusahaan melalui nomor telepon atau situs yang memang diketahui resmi, bukan menggunakan kontak dan tautan yang terdapat dalam pesan mencurigakan.

OTP tidak boleh diberikan kepada siapa pun

Kode One Time Password dibuat sebagai lapisan tambahan untuk memastikan transaksi atau login benar-benar dilakukan pemilik akun.

Karena itu, OTP tidak boleh diberikan kepada pihak lain, termasuk orang yang mengaku sebagai pegawai bank, layanan pelanggan, marketplace, maupun instansi pemerintah.

Komdigi secara khusus memasukkan larangan membagikan OTP sebagai salah satu langkah perlindungan data pribadi. Masyarakat juga dianjurkan menggunakan autentikasi dua langkah dan kata sandi yang kuat.

Jika seseorang meminta kode OTP yang baru saja masuk ke ponsel, itu merupakan tanda bahaya besar.

Dalam banyak kasus, kode tersebut sedang digunakan untuk mengambil alih akun, mengganti kata sandi, menambahkan perangkat baru, atau menyelesaikan transaksi.

Aktifkan autentikasi dua faktor

Password yang kuat tetap dapat bocor melalui phishing, kebocoran database, maupun penggunaan kata sandi yang sama di banyak layanan.

Karena itu, autentikasi multifaktor atau MFA sebaiknya diaktifkan pada email, rekening keuangan, media sosial, marketplace, dan akun penting lainnya.

CISA menjelaskan MFA membuat pengambilalihan akun menjadi jauh lebih sulit meskipun penyerang telah memperoleh password pengguna.

Jika layanan mendukung passkey atau autentikasi berbasis FIDO/WebAuthn, metode tersebut memberikan perlindungan yang lebih kuat terhadap phishing dibandingkan password biasa.

Yang tidak kalah penting, jangan menyetujui notifikasi login atau MFA yang muncul tiba-tiba apabila Anda tidak sedang masuk ke akun tersebut.

Gunakan password berbeda pada setiap akun

Satu kata sandi sebaiknya tidak dipakai untuk email, marketplace, media sosial, dan rekening digital sekaligus.

Bayangkan pengguna memiliki satu password untuk lima layanan.

Ketika password salah satu layanan berhasil dicuri, pelaku dapat mencoba kombinasi email dan password yang sama pada layanan lainnya.

Email utama merupakan salah satu akun yang sangat penting karena sering digunakan untuk melakukan reset password layanan lain.

Karena itu, gunakan kata sandi unik dan panjang. Password manager dapat membantu menyimpan banyak password tanpa harus mengingat semuanya.

Jangan asal mengunduh APK atau lampiran

Phishing tidak selalu bertujuan meminta korban mengisi formulir.

Sebagian modus mencoba membuat korban mengunduh file berbahaya.

File dapat dikirim dengan nama yang tampaknya penting, misalnya undangan, resi paket, surat tilang, tagihan, dokumen sekolah, atau formulir bantuan.

Jika file berasal dari pengirim tidak dikenal, jangan langsung membukanya.

Aplikasi Android sebaiknya diunduh melalui toko aplikasi resmi atau sumber yang benar-benar diketahui berasal dari pengembangnya.

FTC memperingatkan bahwa tautan dan lampiran phishing juga dapat digunakan untuk memasang malware ke perangkat korban.

Bagaimana jika sudah terlanjur klik?

Terlanjur membuka sebuah link belum tentu berarti seluruh akun langsung dibobol.

Risikonya bergantung pada tindakan berikutnya.

Apabila hanya membuka halaman lalu segera keluar tanpa memasukkan data maupun mengunduh file, risikonya berbeda dengan seseorang yang telah memasukkan password atau menginstal aplikasi.

Jika terlanjur memberikan password, segera ganti kata sandi dari perangkat yang dipercaya.

Apabila password yang sama digunakan pada akun lain, ubah seluruhnya.

Aktifkan MFA, keluarkan sesi login perangkat yang tidak dikenal, kemudian periksa email atau notifikasi tentang perubahan keamanan akun.

Jika sempat mengunduh file mencurigakan, perbarui sistem dan perangkat lunak keamanan lalu lakukan pemindaian. FTC juga merekomendasikan langkah tersebut apabila tautan atau lampiran dicurigai telah memasang malware.

Jika sudah memberikan OTP atau informasi bank

Situasinya lebih mendesak apabila korban telah memasukkan PIN, OTP, nomor kartu, password internet banking, atau data finansial lainnya.

Segera hubungi bank atau penyedia layanan melalui kanal resmi.

Minta pemeriksaan transaksi dan, bila diperlukan, pemblokiran akun atau kartu.

Jangan menunggu sampai saldo benar-benar hilang karena peluang menangani transaksi mencurigakan umumnya lebih baik ketika laporan dibuat segera.

Apabila sudah terjadi penipuan transaksi keuangan, masyarakat Indonesia dapat melapor melalui Indonesia Anti-Scam Centre atau IASC.

IASC merupakan forum koordinasi yang dipimpin OJK melalui Satgas PASTI untuk mempercepat respons terhadap laporan penipuan dan menghubungkannya dengan bank maupun penyedia dompet elektronik terkait.

IASC menyarankan korban segera membuat laporan untuk jalur penanganan finansial dan membuat laporan kepolisian untuk proses hukum. Bukti transfer, rekening pelaku, data rekening korban, serta percakapan perlu disimpan.

Jangan hapus bukti terlalu cepat

Korban sering langsung menghapus percakapan karena panik atau malu.

Padahal, bukti tersebut dapat diperlukan.

Simpan tangkapan layar pesan, nomor telepon, username media sosial, alamat situs, email pengirim, rekening tujuan, bukti transaksi, serta waktu kejadian.

Jangan kembali berkomunikasi dengan pelaku hanya untuk mencari bukti tambahan apabila hal tersebut justru meningkatkan risiko.

Gunakan bukti yang sudah tersedia untuk laporan.

Modus phishing semakin relevan di Indonesia

Ancaman penipuan digital bukan masalah kecil.

Komdigi menyebut spam call, phishing, penyalahgunaan OTP, hingga penggunaan kartu SIM anonim sebagai bagian dari persoalan yang terus dihadapi ruang digital Indonesia.

Berdasarkan data IASC dan Satgas PASTI yang dikutip Komdigi, hingga April 2026 total dana korban kejahatan siber yang dilaporkan mencapai sekitar Rp9,5 triliun.

Pemerintah juga mengembangkan sistem anti-spam dan anti-scam pada jaringan telekomunikasi. Komdigi melaporkan pada Februari 2026 bahwa sistem tersebut telah membantu mencegah potensi kerugian masyarakat hingga hampir Rp8 triliun dalam enam bulan implementasinya.

Namun, teknologi penyaringan tidak mungkin menangkap seluruh pesan berbahaya.

Kewaspadaan pengguna tetap menjadi lapisan pertahanan penting.

Penipu bisa memakai nama instansi resmi

Salah satu taktik yang paling efektif adalah impersonation atau penyamaran identitas.

Komdigi pernah menemukan email phishing yang bahkan mengatasnamakan Badan Siber dan Sandi Negara.

Email tersebut membawa narasi mengenai pemeriksaan kebocoran pusat data dan bertujuan memperoleh informasi sensitif dengan menyamar sebagai lembaga terpercaya.

Karena itu, nama pengirim tidak cukup untuk menentukan keaslian pesan.

Akun WhatsApp dapat menggunakan foto pejabat. Email dapat mencantumkan logo instansi. Situs dapat meniru warna dan desain bank.

Yang harus diverifikasi adalah alamat pengirim, domain, kanal resmi, dan konteks pesan.

Waspadai phishing berkedok bantuan dan hadiah

Iming-iming keuntungan juga sering digunakan.

Pelaku dapat menawarkan bantuan sosial, paket data gratis, voucher belanja, hadiah undian, investasi, pekerjaan, atau pengembalian uang.

Korban kemudian diminta mengisi identitas agar hadiah bisa “dicairkan”.

Pada Februari 2026, Komdigi menemukan unggahan palsu mengenai pendaftaran bantuan sosial yang mengarahkan pengguna untuk menyerahkan data melalui Messenger, termasuk nomor rekening dan WhatsApp aktif. Modus tersebut dinilai sebagai phishing dan penipuan.

Aturan sederhananya adalah jangan menyerahkan data hanya karena halaman terlihat meyakinkan.

Cari pengumuman yang sama pada situs atau aplikasi resmi.

Pendidikan digital tetap menjadi pertahanan utama

Tidak ada aplikasi keamanan yang dapat sepenuhnya menggantikan kebiasaan pengguna.

Sebelum menekan tombol, berhenti beberapa detik dan tanyakan: siapa pengirimnya, mengapa data ini diminta, apakah ada alasan harus buru-buru, dan apakah informasi yang sama tersedia pada kanal resmi?

Kebiasaan kecil tersebut sangat penting.

Pengguna juga perlu membantu anggota keluarga yang belum terbiasa menghadapi penipuan digital, terutama anak-anak dan pengguna lanjut usia.

Jika mendapatkan pesan yang terlihat mencurigakan, jangan langsung meneruskannya ke banyak grup tanpa penjelasan.

Hal tersebut justru dapat memperbesar kemungkinan orang lain menekan tautannya.

Data pribadi adalah aset yang harus dijaga

Nama lengkap, nomor telepon, email, NIK, alamat, tanggal lahir, rekening, kata sandi, hingga kode OTP dapat menjadi pintu masuk bagi berbagai modus kejahatan digital.

Tidak semua data mempunyai tingkat sensitivitas yang sama, tetapi semakin banyak informasi yang dimiliki pelaku, semakin mudah mereka membuat penipuan yang terlihat meyakinkan.

Komdigi mengingatkan masyarakat agar tidak sembarangan memberikan maupun mengunggah data pribadi dan menganjurkan penggunaan autentikasi dua langkah.

Perlindungan terbaik bukan berarti berhenti menggunakan layanan digital.

Yang dibutuhkan adalah kebiasaan memverifikasi sebelum mempercayai.

Ketika memperoleh pesan yang meminta klik link, memasukkan password, memberikan OTP, atau melakukan transfer dengan segera, anggap hal tersebut sebagai sinyal untuk melakukan pemeriksaan lebih dahulu.

Beberapa menit untuk memastikan keaslian informasi dapat mencegah kehilangan akun, data, bahkan uang dalam jumlah besar.