Phishing dan BEC: Modus Penipuan yang Menguras Rekening

Tidak semua kejahatan siber butuh malware canggih atau peretas jenius. Banyak penipuan besar justru berhasil hanya dengan satu pesan yang meyakinkan. Inilah dunia phishing dan Business Email Compromise atau BEC, dua modus yang setiap hari mengincar nasabah bank dan perusahaan, termasuk di Indonesia.

Apa itu phishing

Phishing adalah upaya menipu korban agar menyerahkan informasi rahasia, seperti kata sandi, nomor kartu, atau kode OTP, dengan menyamar sebagai pihak tepercaya. OTP (One Time Password) adalah kode sekali pakai yang dikirim bank untuk memverifikasi transaksi. Pelaku biasanya mengirim email, SMS, atau pesan yang tampak berasal dari bank, lalu mengarahkan korban ke situs palsu yang mirip aslinya.

Begitu korban memasukkan data di situs palsu itu, informasinya langsung jatuh ke tangan penipu. Dengan OTP dan PIN di tangan, mereka bisa menguras rekening dalam sekejap.

Apa itu Business Email Compromise

BEC adalah modus yang menyasar perusahaan. Pelaku menyusup atau meniru email seorang pimpinan, rekan kerja, atau pemasok, lalu mengirim permintaan transfer dana yang terlihat sah. Karena email itu tampak datang dari orang yang dikenal, bagian keuangan sering kali menurutinya tanpa curiga.

Modus ini sederhana tetapi sangat merugikan. Menurut laporan lembaga seperti FBI di Amerika Serikat, BEC telah menyebabkan kerugian hingga miliaran dolar di seluruh dunia selama bertahun-tahun. Yang diserang bukan sistem komputer, melainkan kepercayaan manusia.

Ciri-ciri pesan penipuan

Ada pola yang sering muncul pada pesan phishing. Pertama, menciptakan rasa mendesak, misalnya "akun Anda akan diblokir dalam 24 jam". Kedua, meminta data rahasia seperti OTP, PIN, atau kata sandi, yang tidak pernah diminta oleh bank resmi. Ketiga, memakai alamat pengirim atau tautan yang mirip tetapi tidak persis sama dengan yang asli. Keempat, menjanjikan hadiah atau justru menakut-nakuti dengan denda dan sanksi.

Modus yang marak di Indonesia

Di Indonesia, phishing hadir dalam banyak bentuk. Ada pesan berisi file aplikasi dengan nama seperti undangan pernikahan, tagihan, atau informasi paket kurir. Begitu file itu dipasang, diam-diam ia bisa mencuri data dan kode OTP dari ponsel korban. Ada pula telepon yang mengatasnamakan petugas bank dan menakut-nakuti soal transaksi mencurigakan, lalu memancing korban menyebutkan OTP atau PIN.

Modus lewat SMS dikenal sebagai smishing, sedangkan lewat telepon disebut vishing. Semuanya bertujuan sama, yaitu membuat korban panik lalu menyerahkan data penting tanpa sempat berpikir jernih. Mengenali polanya adalah separuh dari perlindungan.

Cara melindungi diri

Kabar baiknya, sebagian besar penipuan ini bisa dicegah dengan kebiasaan sederhana. Jangan pernah membagikan OTP, PIN, atau kata sandi kepada siapa pun, termasuk yang mengaku petugas bank. Bank resmi tidak akan pernah memintanya. Selalu periksa alamat pengirim dan jangan mengeklik tautan dari pesan yang mencurigakan.

Jika ragu, jangan balas pesan itu. Hubungi bank langsung lewat nomor atau aplikasi resmi, bukan lewat kontak yang tercantum dalam pesan mencurigakan. Untuk perusahaan, biasakan verifikasi ulang setiap permintaan transfer melalui saluran lain, misalnya menelepon langsung orang yang bersangkutan, sebelum memproses pembayaran.

Pelajaran untuk kita

Phishing dan BEC mengandalkan kelengahan, bukan kelemahan teknologi. Karena itu, pertahanan terbaik justru ada pada diri kita sendiri, yaitu sikap tenang, teliti, dan tidak mudah panik saat menerima pesan yang mendesak.

Biasakan berhenti sejenak sebelum bertindak, verifikasi ke sumber resmi, dan ingat bahwa bank tidak pernah meminta OTP atau PIN Anda. Untuk panduan lebih lengkap mengenali berbagai modus penipuan, baca juga artikel kami tentang waspada penipuan daring.