Deepfake Suara dan Video: Modus Penipuan dan Cara Cek

Deepfake adalah suara, video, atau foto palsu yang dibuat dengan AI sehingga terlihat dan terdengar seperti orang sungguhan. Dalam penipuan, teknologi ini dipakai untuk meniru atasan, rekan kerja, mitra bisnis, atau anggota keluarga, lalu meminta sesuatu yang mendesak: transfer dana, kode OTP, atau dokumen rahasia.

Satu transfer yang disetujui karena "suaranya persis Pak Direktur" bisa langsung hilang, dan bank belum tentu bisa menarik kembali dana yang sudah berpindah ke rekening penampung. Pertahanannya justru sederhana: kebiasaan verifikasi yang dijalankan semua orang, termasuk saat permintaan datang dari pimpinan. Mencoba menebak asli atau palsu dari suara saja bukan strategi yang bisa diandalkan.

Bagaimana modus deepfake bekerja?

Pelaku biasanya tidak mulai dari teknologi, tetapi dari informasi. Mereka mengumpulkan rekaman suara atau video target dari media sosial, webinar, podcast, atau video profil perusahaan. Rekaman suara yang jelas dari sumber seperti itu bisa menjadi bahan alat kloning suara untuk menghasilkan tiruan yang terdengar meyakinkan di telepon.

Setelah itu pelaku menyusun cerita. Ceritanya hampir selalu punya tiga unsur: mendesak, rahasia, dan di luar prosedur biasa.

Modus "atasan menelepon"

Staf keuangan menerima telepon atau pesan suara WhatsApp dari nomor baru. Suaranya mirip direktur: "Saya lagi meeting dengan klien, nomor lama bermasalah. Tolong transfer DP ke rekening vendor ini sekarang, nanti saya jelaskan." Kadang disusul email yang tampak resmi berisi nomor rekening dan dokumen palsu.

Variasi yang lebih rumit memakai panggilan video. Wajah di layar terlihat seperti atasan, tetapi kualitas gambar sengaja dibuat buruk dengan alasan sinyal jelek. Panggilan dibuat singkat, dan pelaku menolak pindah ke saluran lain.

Modus "keluarga dalam bahaya"

Di ranah pribadi, pola yang sama muncul sebagai telepon dari "anak" atau "keponakan" yang menangis, mengaku kecelakaan, ditahan polisi, atau butuh biaya rumah sakit. Kepanikan membuat korban tidak sempat berpikir. Pola ini sudah lama dikenal sebagai penipuan telepon, tetapi suara tiruan AI membuatnya jauh lebih meyakinkan.

Modus akun dan dokumen

Deepfake juga dipakai untuk menembus verifikasi wajah atau video, misalnya saat pembukaan akun atau pemulihan akun. Selain itu, video palsu tokoh publik yang "merekomendasikan" investasi atau produk tertentu beredar di media sosial untuk menggiring korban ke situs penipuan.

Tanda bahaya: apa yang perlu dicurigai?

Kualitas deepfake terus membaik, jadi jangan bergantung pada mendeteksi cacat suara atau wajah. Lebih andal mencurigai polanya.

Satu tanda saja belum tentu penipuan. Gabungan dua atau tiga tanda, apalagi melibatkan uang, sudah cukup alasan untuk berhenti dan memverifikasi.

Protokol verifikasi untuk tim keuangan

Prosedur yang baik membuat staf tidak perlu menilai "asli atau palsu". Mereka cukup menjalankan aturan yang sama setiap kali.

Pertama, verifikasi lewat jalur kedua. Setiap permintaan transfer di luar jadwal, atau perubahan rekening penerima, wajib dikonfirmasi dengan menghubungi balik orang tersebut melalui nomor yang sudah tercatat di sistem, bukan nomor yang tertera di pesan. Kalau permintaan datang lewat email, konfirmasinya lewat telepon, dan sebaliknya.

Kedua, dua orang untuk transaksi tertentu. Tetapkan batas nominal yang mewajibkan persetujuan dua orang. Bila internet banking bisnis yang kamu pakai menyediakan pemisahan peran pembuat dan penyetuju transaksi (maker dan approver), aktifkan dan pakai.

Ketiga, kata sandi verbal. Beberapa tim menyepakati kata atau pertanyaan rahasia yang hanya diketahui orang tertentu, dipakai saat ada permintaan mendesak lewat telepon. Kata ini tidak pernah ditulis di chat atau email.

Keempat, pimpinan ikut menjalankan aturan. Penipu memanfaatkan rasa sungkan staf kepada atasan. Direktur yang mengumumkan "saya tidak akan pernah meminta transfer mendadak lewat WA, dan kalau saya melakukannya, tolak saja" memberi staf izin untuk menolak.

Kelima, catat dan laporkan. Upaya yang gagal pun perlu dicatat dan dibagikan ke tim, karena pelaku sering mencoba lagi dengan cerita berbeda.

Kapan cukup dengan prosedur, kapan perlu langkah tambahan?

Untuk usaha kecil dengan sedikit pemegang akses rekening, prosedur di atas biasanya sudah cukup: verifikasi jalur kedua, batas nominal, dan kebiasaan menolak permintaan mendesak. Kuncinya konsistensi, bukan alat.

Situasinya berbeda bila perusahaanmu sering menjadi sorotan publik, pimpinannya aktif tampil di video, atau tim keuangan memproses banyak pembayaran vendor setiap hari. Di sini masuk akal menambah pelatihan simulasi social engineering, meninjau ulang alur persetujuan pembayaran, dan memastikan email perusahaan terlindungi dari peniruan domain. Pelatihan simulasi juga membantu melihat siapa yang masih mudah terpancing, tanpa harus menunggu kejadian sungguhan.

Ingat juga bahwa deepfake sering menjadi satu bagian saja dari serangan yang lebih besar. Telepon suara palsu biasanya didahului email phishing atau akun yang diretas. Pola dasarnya sama dengan yang dibahas di cara mengenali phishing, dan pengamanan email domain seperti SPF, DKIM, dan DMARC mempersulit pelaku meniru alamat email perusahaanmu.

Bagaimana mengurangi bahan baku pelaku?

Kamu tidak bisa menghapus semua jejak suara dan wajah di internet, tetapi bisa mengurangi informasi yang membuat cerita penipu terdengar masuk akal.

• Batasi informasi struktur organisasi yang rinci di publik, terutama siapa yang memegang keuangan.
• Hati-hati mengumumkan jadwal perjalanan pimpinan secara real time di media sosial.
• Pisahkan nomor pribadi dan nomor kerja untuk urusan pembayaran.
• Aktifkan verifikasi dua langkah di WhatsApp dan email, agar akun asli tidak diambil alih lalu dipakai menipu kontakmu.

Untuk keluarga, sepakati satu pertanyaan rahasia sederhana yang hanya diketahui anggota keluarga. Saat ada telepon panik meminta uang, tutup teleponnya dan hubungi balik nomor yang kamu simpan sendiri.