Pesan yang bikin kamu panik itu biasanya yang paling bahaya. Phishing adalah trik nipu di mana penjahat nyamar jadi pihak yang kamu percaya — bank, marketplace, "admin" giveaway, bahkan temenmu — buat ngebujuk kamu nyerahin password, kode OTP, atau data kartu. Begitu kamu kasih, akun atau saldomu bisa raib dalam hitungan menit. Kabar baiknya: hampir semua phishing punya pola yang sama, dan begitu kamu hafal polanya, kamu jadi susah dikadalin.

Tiga hal yang wajib nempel di kepala

  • Bank dan layanan resmi nggak akan pernah minta OTP, PIN, atau password kamu — lewat chat, telepon, atau link mana pun. Titik.
  • Urgensi itu senjata mereka. "Akun diblokir 1×24 jam", "klaim sekarang sebelum hangus" — dibikin biar kamu panik dan nggak sempat mikir.
  • Cek alamatnya, jangan cuma lihat logonya. Logo gampang dipalsuin; alamat email dan URL jauh lebih susah disembunyiin.

Phishing itu apa, sih?

Phishing (dibaca "fishing", alias mancing) adalah serangan rekayasa sosial: penyerang bukan nge-hack komputernya, tapi nge-hack kamu. Mereka ngirim umpan yang kelihatan resmi, lalu ngarahin kamu ke halaman login palsu atau minta kamu bales dengan data sensitif. Yang diincar: kredensial (username + password), kode OTP, nomor kartu, atau akses ke akun media sosialmu.

Intinya satu: mereka pengen kamu ngelakuin sesuatu buru-buru, tanpa ngecek dulu.

Bukan cuma email: kenali medianya

Phishing ngikutin ke mana pun kamu aktif:

  • Email — yang klasik. Tagihan palsu, "verifikasi akun", lampiran berbahaya.
  • SMS / WhatsApp (smishing) — "Paket kamu tertahan, bayar di sini", atau file APK "undangan"/"resi" yang sebenarnya aplikasi pencuri data.
  • Telepon (vishing) — orang ngaku CS bank, minta OTP buat "membatalkan transaksi mencurigakan".
  • DM media sosial — akun "giveaway" atau "admin" yang ngaku kamu menang, tinggal isi data.
  • QR code (quishing) — stiker QR palsu ditempel di tempat parkir, meja resto, atau mesin e-wallet.

5 tanda kamu lagi dipancing

  1. Maksa cepat-cepat. Ada ancaman atau hitungan mundur biar kamu nggak sempat verifikasi.
  2. Minta data rahasia. Password, OTP, PIN, CVV — pihak resmi nggak pernah butuh itu dari kamu.
  3. Alamat yang "mirip tapi beda". Contoh dari banner ini: free-prize.click/claim. Domain aneh, kebanyakan strip, atau typo halus seperti bcaa.com atau tokopedla.com.
  4. Hadiah yang terlalu indah. Kamu "menang" undian yang nggak pernah kamu ikutin.
  5. Sapaan generik + bahasa kaku. "Pelanggan yang terhormat", typo, atau terjemahan yang janggal.

Mitos yang justru bikin orang kena

"Yang ketipu phishing cuma orang gaptek." — Salah besar.

Phishing modern rapi banget; bisa niru email asli sampai detail terkecil. Yang kena bukan cuma orang awam — orang IT pun pernah. Beberapa salah kaprah lain:

  • "Ada gembok/HTTPS berarti aman." Gembok cuma berarti koneksinya terenkripsi, bukan situsnya jujur. Penipu juga pakai HTTPS.
  • "Phishing cuma lewat email." Sekarang justru SMS, WhatsApp, dan telepon yang paling sering makan korban di Indonesia.
  • "Kalau aku nggak masukin password, pasti aman." Sebagian serangan cuma butuh kamu klik atau instal file (APK) buat nyusupin malware.

Kadung keklik atau kepencet? Lakuin ini sekarang

  1. Stop & jangan isi apa-apa lagi. Tutup halamannya. Kalau terlanjur masukin password, lanjut ke langkah berikut.
  2. Ganti password akun itu — dan akun lain yang pakai password sama — dari perangkat yang kamu yakin aman.
  3. Nyalain 2FA (verifikasi dua langkah) biar password doang nggak cukup buat masuk.
  4. Hubungi bank lewat nomor resmi (di belakang kartu atau di aplikasi resmi) kalau menyangkut uang. Jangan pakai nomor dari pesan tadi.
  5. Lapor (lihat bagian bawah) dan kabarin orang yang mungkin kena imbas, misalnya kalau akunmu dipakai nyebar link.

Cara ngejaga diri (dan circle kamu)

  • Verifikasi lewat jalur resmi. Ragu sama "email bank"? Buka aplikasi banknya langsung atau telepon CS resmi. Jangan klik link di pesan.
  • Pakai 2FA di semua akun penting. Lebih kuat lagi pakai authenticator app atau passkey ketimbang OTP via SMS.
  • Pakai password manager. Selain bikin password unik tiap akun, dia nggak akan ngisi otomatis di domain palsu — itu alarm gratis buat kamu.
  • Pelan-pelan sama link & lampiran. Tahan dulu (hover) buat lihat tujuan aslinya; jangan instal APK dari chat.
  • Kabarin keluarga & temen yang lebih rentan. Adik, orang tua, kakek-nenek — mereka sering jadi target empuk.

Lapor ke mana? (Indonesia)

Coba inget

Tanpa scroll ke atas: satu hal apa yang nggak akan pernah diminta bank resmi lewat link atau telepon?

Coba terapin

Kamu dapat SMS: "BCA: akun Anda akan diblokir. Verifikasi di bca-verify.click dalam 1×24 jam." Sebutin minimal dua tanda phishing di pesan itu — lalu langkah aman apa yang bakal kamu ambil?

Masih penasaran?

  • Apa bedanya phishing, smishing, dan vishing?
  • Kenapa OTP via SMS dianggap lebih lemah dari authenticator app?
  • Passkey itu apa, dan kenapa katanya "anti-phishing"?
  • Gimana cara lihat alamat email pengirim yang sebenarnya?
  • Apa yang harus dilakuin kalau yang kena malah adik atau orang tua?

Sumber & tempat resmi