--- title: "Cara Mengenali Phishing di Email, WhatsApp, dan SMS" description: "Langkah memeriksa pesan mencurigakan di email, WhatsApp, dan SMS, modus APK kurir dan CS palsu, serta apa yang dilakukan kalau sudah terklik." url: "https://nivelva.com/insight/cara-mengenali-phishing" category: "Keamanan \u0026 CVE" tags: ["phishing","penipuan apk","keamanan email","social engineering","passkey"] author: "Theresia Candiawan" published: "2026-11-04T09:36:00+07:00" updated: "2026-11-04T09:36:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Cara Mengenali Phishing di Email, WhatsApp, dan SMS > **Jawaban singkat:** Phishing adalah pesan palsu yang menyamar sebagai pihak tepercaya untuk mencuri data, kode OTP, atau uang. Cirinya: mendesak, meminta data atau kode, membawa tautan atau file APK asing, dan alamat pengirim yang janggal. Verifikasi lewat kanal resmi, jangan pernah bagikan OTP. Pernah menerima pesan "paket kamu tertahan" lengkap dengan file untuk diunduh, atau telepon dari "CS bank" yang meminta kode OTP? Kemungkinan besar itu phishing: pesan palsu yang menyamar sebagai pihak tepercaya, misalnya bank, kurir, kantor pajak, atau atasanmu sendiri, supaya kamu mengklik tautan, memasang aplikasi, atau menyerahkan data dan kode OTP. Pesannya bisa datang lewat email, WhatsApp, SMS, atau media sosial. Polanya hampir selalu sama: membuat kamu panik atau tergiur, lalu meminta kamu bertindak cepat. Begitu pola itu dikenali, sebagian besar jebakan bisa dihindari dengan beberapa langkah di bawah. ## Langkah memeriksa pesan yang mencurigakan ### Langkah 1: Berhenti sejenak dan perhatikan nadanya Rasa terburu-buru adalah senjata utama pelaku. CISA, badan keamanan siber Amerika Serikat, dan Google mencatat beberapa tanda bahaya yang hampir selalu muncul[^1][^2]. Yang pertama adalah **bahasa mendesak atau menakutkan**: "akun kamu diblokir dalam 1 jam", "paket kamu tertahan", atau "tagihan belum dibayar". Yang kedua adalah **tawaran yang terlalu bagus**, seperti hadiah, cashback besar, atau lowongan kerja dengan gaji tidak wajar. Jangan tertipu oleh tulisan yang rapi. CISA mengingatkan bahwa tata bahasa yang baik tidak lagi bisa dijadikan patokan, karena pelaku kini bisa memakai AI untuk menulis pesan tanpa salah ketik. Fokus pada permintaannya, bukan gaya bahasanya. ### Langkah 2: Lihat apa yang diminta Pesan phishing ujungnya **meminta data pribadi atau keuangan**: nomor kartu, PIN, password, atau kode OTP. Di titik ini keputusannya sudah jelas. OJK menegaskan tidak pernah meminta dana, data, atau informasi akun konsumen di industri keuangan[^4]. Prinsip yang sama berlaku untuk bank: petugas resmi tidak akan meminta OTP atau PIN. Kalau ada yang meminta, itu cukup menjadi alasan untuk menutup percakapan. ### Langkah 3: Periksa pengirim dan tautannya Di email, lihat alamat lengkapnya, bukan hanya nama tampilan. **Nama pengirim yang tidak cocok dengan alamat emailnya** adalah tanda bahaya. Di WhatsApp, nomor baru yang mengaku "CS" patut dicurigai. Jangan klik dulu. Di komputer, arahkan kursor ke tautan untuk melihat tujuan aslinya. Waspadai **tautan pendek atau alamat yang mirip tapi salah**, misalnya satu huruf diganti. ### Langkah 4: Jangan pasang file APK dari chat BSSN pernah menerbitkan imbauan soal file .apk berkedok undangan pernikahan elektronik yang dikirim lewat WhatsApp. Bila dipasang, aplikasi itu meminta izin membaca, menerima, dan mengirim SMS, sehingga pelaku bisa melihat SMS dari bank dan memakainya untuk memindahkan uang korban[^3]. Pola yang sama dipakai dengan kedok "foto paket" dari kurir, surat tilang, atau tagihan. Saran BSSN: pasang aplikasi hanya dari Play Store atau App Store dan teliti izin yang diminta aplikasi. ### Langkah 5: Verifikasi lewat jalur yang kamu cari sendiri CISA menyarankan untuk tidak memakai tautan atau nomor telepon yang tercantum di pesan mencurigakan. Ketik sendiri alamat situs resmi atau hubungi orangnya lewat cara lain[^1]. Buka aplikasi resmi, situs yang kamu ketik sendiri, atau nomor di balik kartu bank. ### Langkah 6: Laporkan dan hapus Di Gmail, buka pesan, pilih menu titik tiga di samping Balas, lalu **Laporkan phishing**[^2]. Setelah itu hapus pesannya. ## Apa yang harus dilakukan kalau sudah terlanjur klik? Jangan malu, segera bertindak. Semakin cepat, semakin besar peluang membatasi kerugian. Urutannya tergantung apa yang sudah terjadi: 1. **Sudah memasukkan password:** segera ganti password akun itu dan akun lain yang memakai password sama, lalu keluarkan semua sesi login yang tidak dikenal. 2. **Sudah memasang APK:** putuskan internet di HP, hapus aplikasinya, lalu hubungi bank lewat nomor resmi untuk mengamankan rekening dan mobile banking. 3. **Sudah memberi OTP atau mentransfer uang:** hubungi bank saat itu juga, lalu laporkan ke Indonesia Anti-Scam Centre (IASC) di iasc.ojk.go.id. OJK menyebut kecepatan laporan membantu menyelamatkan sisa dana korban[^5]. 4. **Memakai perangkat kantor:** lapor ke tim IT sebelum melakukan hal lain, supaya mereka bisa memeriksa apakah ada akun atau data lain yang ikut terdampak. > **Hati-hati dengan 'pemulihan dana':** > > Setelah menjadi korban, sering datang pesan lanjutan yang menawarkan bantuan mengembalikan uang dengan imbalan biaya. Itu biasanya penipuan kedua. Gunakan hanya kanal resmi bank dan OJK (kontak 157). ## Bagaimana perusahaan melindungi karyawan dari phishing? Phishing paling sering menyasar orang, bukan sistem. Perlindungan yang baik menggabungkan kebiasaan tim dan pengaturan teknis. ### Langkah 1: Latih tim dengan contoh nyata Pelatihan singkat tapi rutin lebih efektif daripada satu sesi panjang setahun sekali. Tunjukkan contoh pesan palsu yang relevan dengan pekerjaan mereka, misalnya invoice vendor palsu untuk tim keuangan. Buat aturan sederhana: **perubahan rekening tujuan wajib dikonfirmasi lewat telepon ke nomor yang sudah tercatat**. Karyawan yang melapor setelah salah klik harus dihargai, bukan dimarahi, supaya insiden cepat diketahui. ### Langkah 2: Pasang SPF, DKIM, dan DMARC Pelaku sering memalsukan alamat email dengan domain perusahaanmu. Ketiga record DNS ini membantu server penerima menolak email palsu tersebut. Cara memasangnya dibahas di [SPF, DKIM, DMARC](https://nivelva.com/insight/spf-dkim-dmarc). ### Langkah 3: Aktifkan 2FA, utamakan passkey Verifikasi dua langkah (2FA) membuat password curian saja tidak cukup untuk masuk. Namun tidak semua 2FA sama kuat. CISA mencatat kode SMS, kode aplikasi authenticator, dan notifikasi push masih bisa dilewati pelaku, sedangkan metode berbasis FIDO mencegah pengguna tertipu memasukkan kredensial ke situs palsu[^6]. Passkey memakai teknologi ini, dan Google menyebutnya lebih aman terhadap phishing karena tidak bisa dibagikan, disalin, atau ditulis[^7]. Untuk password bersama tim, gunakan password manager agar tidak ada yang mengirim password lewat chat. Contohnya ada di [password manager untuk tim](https://nivelva.com/insight/password-manager-tim-vaultwarden). Bila ada tanda akun website kantor sudah disusupi, periksa juga [tanda website diretas](https://nivelva.com/insight/tanda-website-diretas). ## Ringkasan modus yang sering muncul di Indonesia | Modus | Kanal | Yang diminta | Tanda bahaya | |:--|:--|:--|:--| | File APK "foto paket" atau "undangan" | WhatsApp | Memasang file .apk | Aplikasi dikirim lewat chat, bukan dari Play Store | | CS bank palsu | WhatsApp, telepon, media sosial | Kode OTP, PIN, data kartu | Bank resmi tidak meminta OTP atau PIN | | Invoice atau tagihan palsu | Email | Membuka lampiran, transfer ke rekening baru | Rekening tujuan berubah, alamat pengirim janggal | | Login palsu (email, marketplace) | Email, SMS | Password di halaman tiruan | Alamat situs berbeda dari aslinya | | Mengatasnamakan lembaga resmi | WhatsApp, SMS | Uang, data, "biaya pemutihan" | Lembaga resmi tidak meminta dana lewat chat | ## Pertanyaan yang sering diajukan ### Apakah membuka pesan phishing saja sudah berbahaya? Membaca pesan umumnya tidak berbahaya. Risiko muncul saat kamu mengklik tautan, membuka lampiran, memasang file APK, atau mengisi data. Hapus dan laporkan pesannya. ### Kenapa file APK dari WhatsApp berbahaya? File APK adalah aplikasi Android. Menurut BSSN, APK palsu bisa meminta izin membaca dan mengirim SMS, sehingga pelaku dapat melihat SMS dari bank. Pasang aplikasi hanya dari Play Store atau App Store. ### Ke mana melapor kalau sudah tertipu dan kehilangan uang? Hubungi bank kamu lewat nomor resmi secepatnya, lalu laporkan ke Indonesia Anti-Scam Centre di iasc.ojk.go.id. Untuk pertanyaan ke OJK, gunakan kontak 157. ### Apakah 2FA lewat SMS sudah cukup aman? Lebih baik daripada tanpa 2FA, tapi kode SMS masih bisa dicuri lewat phishing atau APK jahat. Bila layanan mendukung, pilih passkey atau kunci keamanan berbasis FIDO. Checklist singkat saat pesan mencurigakan masuk: - Pesannya mendesak atau menjanjikan hadiah? Berhenti dulu. - Meminta OTP, PIN, atau password? Tutup percakapan. - Alamat pengirim atau tautan janggal? Jangan klik. - Ada file .apk? Jangan dipasang. - Ragu? Verifikasi lewat aplikasi, situs, atau nomor resmi yang kamu cari sendiri. - Terlanjur klik? Hubungi bank dan laporkan ke iasc.ojk.go.id secepatnya. [^1]: CISA, "Recognize and Report Phishing" (cisa.gov). [^2]: Bantuan Gmail, "Menghindari dan melaporkan email phishing" (support.google.com/mail/answer/8253). [^3]: BSSN, "Imbauan Keamanan Modus Penipuan Menggunakan Undangan Pernikahan Elektronik .APK" (bssn.go.id). [^4]: OJK, "Waspada Penipuan Mengatasnamakan OJK" (ojk.go.id). [^5]: OJK, siaran Satgas PASTI tentang Indonesia Anti-Scam Centre (ojk.go.id). [^6]: CISA, studi kasus MFA tahan phishing berbasis FIDO (cisa.gov). [^7]: Bantuan Akun Google, "Login dengan kunci sandi" (support.google.com/accounts/answer/13548313). ## Sumber - - - - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/cara-mengenali-phishing Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com