Email phishing di Indonesia jarang terlihat seperti surat penipuan lawas yang penuh salah ketik. Yang lebih sering lolos adalah pesan yang meniru bank, marketplace, ekspedisi, atau “petugas pajak”, lengkap dengan logo yang familiar dan nama tampilan yang hampir identik. Tujuannya satu: membuat Anda menyerahkan kata sandi, kode OTP, atau menginstal sesuatu sebelum sempat berpikir.
Yang perlu dilatih bukan hafalan semua modus baru, melainkan kebiasaan memeriksa tiga hal: siapa pengirimnya, apa yang diminta, dan apakah Anda sedang menunggu proses itu.
Nama tampilan bukan bukti identitas
Kotak masuk menampilkan nama, bukan identitas. Nama “Halo BCA” atau “CS Shopee” bisa dipalsukan. Yang lebih berguna adalah alamat email lengkap. Bandingkan domain pengirim dengan domain resmi yang biasa Anda pakai di aplikasi. Selisih kecil — tambahan kata, angka, atau negara domain yang tidak biasa — sering menjadi petunjuk.
Jika email mengatasnamakan bank atau marketplace, jangan lanjutkan lewat tautan di pesan. Buka aplikasi resmi yang sudah terpasang, atau ketik alamat yang Anda hafal. Proses sah hampir selalu bisa dicek dari dalam akun, bukan dari satu email mendadak.
Desakan waktu adalah alat, bukan layanan
Kalimat seperti “akun akan diblokir dalam satu jam” atau “paket tertahan, bayar bea sekarang” dirancang mematikan kewaspadaan. Lembaga resmi jarang meminta tindakan kritis hanya lewat satu email tanpa konteks, apalagi meminta Anda mengirim kode atau foto KTP ke alamat yang baru muncul.
Beri jarak beberapa menit. Jika benar ada masalah, notifikasi yang sama biasanya muncul juga di aplikasi. Jika hanya ada di email atau SMS, anggap itu sinyal, bukan perintah.
Tautan, lampiran, dan halaman login tiruan
Tekan lama tautan untuk melihat tujuan. Jangan mengandalkan teks biru. Halaman tiruan sering meniru warna dan formulir login dengan sangat mirip; yang membedakan biasanya domain di bilah alamat. Jangan masukkan kata sandi jika domain tidak tepat.
Lampiran tak terduga — terutama berkas yang meminta makro atau mengunduh pemasang di luar toko aplikasi — lebih aman tidak dibuka. Jika Anda memang menunggu dokumen kerja, konfirmasi ke pengirim lewat chat atau telepon yang sudah Anda kenal.
Contoh yang sering terjadi di Indonesia
Modus “rekening terblokir” meniru bank, meminta Anda “verifikasi ulang” di halaman palsu, lalu mengambil OTP. Modus “paket tertahan” meniru ekspedisi dan meminta biaya kecil ke rekening pribadi. Modus “restitusi pajak” menjanjikan pengembalian dan meminta data NPWP plus selfie. Ketiganya memakai rasa panik atau rasa beruntung.
Petugas sah tidak meminta OTP, PIN, atau akses jarak jauh lewat email. Jika diminta, itu penipuan — terlepas dari seberapa rapi kop suratnya.
Jika sudah terlanjur klik
Tutup halaman. Ganti kata sandi dari perangkat yang Anda percaya, mulai dari email utama. Aktifkan autentikasi dua faktor. Periksa perangkat masuk yang tidak dikenal. Jika data keuangan terlibat, hubungi bank atau penerbit dompet lewat saluran yang Anda cari sendiri, bukan nomor di email.
Simpan bukti pesan. Jangan meneruskan email penipuan ke grup besar lengkap dengan tautannya; cukup jelaskan polanya.
Kebiasaan di tempat kerja
Phishing ke karyawan sering menyamar sebagai invoice PDF atau reset VPN. Tim yang sehat membuat pelaporan email mencurigakan terasa mudah, bukan memalukan. Satu laporan cepat sering mencegah banyak korban di organisasi yang sama.
Pertanyaan yang sering muncul
Apakah gmail.com di ujung alamat berarti aman? Tidak. Siapa pun bisa membuat akun di layanan email umum. Yang dinilai adalah apakah domain itu memang domain resmi lembaga yang diklaim.
Bagaimana jika atasan meminta segera klik? Konfirmasi lewat kanal lain yang sudah biasa dipakai tim Anda. Penipu kadang menyusup ke percakapan dengan meniru gaya bahasa.
Intinya: perlakukan email yang meminta data atau uang sebagai klaim yang belum terbukti. Verifikasi di aplikasi resmi dulu. Beberapa menit jeda hampir selalu lebih murah daripada memulihkan akun.
Pemisahan akun yang mengurangi kerusakan
Pakai email utama hanya untuk pemulihan bank dan dokumen penting. Buat alamat kedua untuk toko online dan undian. Jika alamat kedua kebobolan, rantai ke rekening tidak langsung terbuka. Jangan memakai kata sandi yang sama di kedua alamat itu.
Di kantor, teruskan phishing ke kanal laporan yang sudah ditentukan, lalu hapus dari kotak masuk agar tidak diklik rekan yang membuka utas yang sama. Jangan menguji tautan “sekadar ingin tahu” di perangkat yang masih login akun keuangan.
Perbarui aplikasi email dan sistem. Peringatan bawaan penyedia email semakin baik menandai domain baru yang meniru merek. Jika peringatan muncul, percayai peringatan itu lebih dari logo di badan surat.