Phising adalah penipuan yang meniru pihak tepercaya
Bukan peretasan sistem, melainkan pembajakan kepercayaan. Yang diserang bukan komputernya, melainkan penilaian orang yang membacanya.
Ringkasan
- Phising adalah upaya memperoleh data Anda dengan menyamar sebagai pihak yang Anda percaya.
- Sasarannya bukan sistem, melainkan penilaian Anda dalam beberapa detik pertama.
- Nasihat lama soal salah ketik dan bahasa kaku sudah tidak bisa diandalkan.
- Yang paling jarang berubah adalah alamat domain dan permintaan datanya.
- Tidak ada layanan sah yang meminta kata sandi, PIN, atau kode sekali pakai.
Apa itu phising
Phising adalah upaya memperoleh data pribadi Anda dengan cara menyamar sebagai pihak yang Anda percaya. Bentuknya bisa surel, pesan singkat, panggilan telepon, atau halaman masuk palsu.
Yang membedakannya dari peretasan biasa terletak pada sasarannya. Peretasan menyerang celah pada sistem. Modus ini menyerang penilaian orang yang membaca pesannya.
Karena itu perangkat lunak keamanan saja tidak cukup. Sebuah pesan yang meyakinkan tetap lolos ke kotak masuk Anda. Keputusan terakhir tetap ada pada orang yang membacanya.
Data yang biasanya diincar
Sasarannya hampir selalu tiga hal. Kredensial akun berupa nama pengguna dan kata sandi. Data finansial seperti nomor kartu dan PIN. Dan kode sekali pakai yang dikirim ke ponsel Anda.
Kode sekali pakai adalah incaran yang paling sering berhasil. Banyak orang mengira kode itu aman diberikan kepada petugas. Padahal kode itulah kunci terakhirnya.
Phising atau phishing, mana yang benar
Ejaan yang benar adalah phishing, dengan dua huruf h. Kata itu berasal dari bahasa Inggris, plesetan dari fishing yang berarti memancing.
Meski begitu, ejaan phising dengan satu huruf h jauh lebih sering dipakai pembaca Indonesia. Kami memakai keduanya di sini karena keduanya menunjuk hal yang sama.
Perbedaan ejaan tidak mengubah apa pun soal bahayanya. Yang perlu Anda kenali adalah polanya, bukan cara menulisnya.
Empat tanda yang masih bisa dikenali
Nasihat lama menyuruh mencari salah ketik dan bahasa yang kaku. Nasihat itu sudah usang. Pesan penipuan sekarang rapi, sopan, dan sering memakai logo yang benar. Empat hal berikut jauh lebih sulit dipalsukan.
| Tanda | Cara memeriksanya | Kenapa sulit dipalsukan |
|---|---|---|
| Alamat domain yang tidak cocok | Baca bagian tepat sebelum garis miring pertama. | Nama merek boleh ditaruh di mana saja, tetapi domain aslinya tidak bisa diambil alih. |
| Tenggat yang mendesak | Perhatikan ancaman pemblokiran dalam hitungan jam. | Tekanan waktu memang alat utamanya; tanpa itu orang sempat memeriksa. |
| Tautan yang menyamar | Tekan lama tautannya untuk melihat tujuan sebenarnya. | Teks tautan bebas ditulis apa saja, tujuannya tidak bisa disembunyikan. |
| Permintaan kata sandi atau kode | Berhenti begitu diminta menyebutkan kode atau PIN. | Tidak ada layanan sah yang membutuhkannya; ini pembeda yang paling tegas. |
Kalau terlanjur diklik
Mengklik tautan saja biasanya belum berakibat apa-apa. Yang berbahaya adalah bila Anda sempat memasukkan data di halaman yang terbuka.
Bila itu terjadi, urutannya menentukan. Ganti kata sandi layanan tersebut lebih dulu. Lalu keluarkan semua sesi aktif dari pengaturan keamanan akun. Panduan lengkap urutannya ada di tulisan kami tentang langkah setelah data Anda bocor.
Bila data perbankan ikut masuk, hubungi bank sebelum melakukan hal lain. Pemblokiran kartu adalah satu-satunya tindakan yang nilainya menurun setiap menit.
Melapor tetap ada gunanya
Banyak orang melewatkan langkah ini karena merasa percuma. Padahal laporan membantu dua hal. Halaman palsu bisa lebih cepat ditutup, dan nomor laporan berguna bila Anda menyengketakan transaksi.
Google menyediakan pelaporan langsung dari dalam kotak masuk Gmail. Untuk kerugian yang lebih besar, ada saluran resmi yang menangani pidananya.
Yang tidak perlu Anda lakukan
Tidak perlu membalas pesannya untuk menegur pelaku. Balasan justru menandai nomor Anda sebagai nomor aktif.
Tidak perlu pula memasang aplikasi pembersih yang dijanjikan pesan itu. Aplikasi semacam itu kerap menjadi bagian dari penipuannya sendiri.
Panduan lain di IDN96
Internet lemot: salah siapa
Uji berjenjang menentukan letak masalah, dan cara komplain yang didengar.
Membaca ulasan secara kritis
Mengenali metodologi, konflik kepentingan, dan tanda ulasan yang tidak teruji.
Tentang tulisan ini
- Ditulis oleh
- Dian Eko Nasution, editor keamanan siber, kanal Keamanan Siber. Bidang yang ia kuasai dan susunan penanggung jawab ada di halaman Redaksi.
- Jenis tulisan
- Penjelas evergreen. Menjelaskan cara kerja dan cara menilai, bukan melaporkan peristiwa bertanggal.
- Cara kami menyusun
- Setiap klaim ditelusuri ke sumber primer dan disunting oleh editor yang tidak menulis artikel ini. Alur lengkapnya dijelaskan di pedoman redaksi.
- Menemukan kekeliruan?
- Kirim ke [email protected] dengan menyertakan tautan halaman ini. Ditanggapi dalam satu hari kerja lewat prosedur koreksi.
- Kepentingan komersial
- Tulisan ini bukan konten bersponsor dan tidak dibayar pihak mana pun.
Rujukan
- Bantuan Gmail — panduan resmi Google berbahasa Indonesia untuk mengenali dan melaporkan surel penipuan: support.google.com.
- Tim Tanggap Insiden Siber BMKG — panduan mengenali ciri phising dan cara menghindarinya: csirt.bmkg.go.id.
- Badan Siber dan Sandi Negara — kanal bantuan insiden siber: bssn.go.id/layanan.