Anda membuka tautan dari email, SMS, atau WhatsApp, lalu mengisi password, kode OTP, atau data kartu di halaman yang ternyata palsu. Data itu bisa dipakai pelaku dalam hitungan menit, jadi kerjakan langkah di bawah secepatnya.
Tanda-tanda
- Alamat situs di browser berbeda dari alamat resmi: ada huruf tambahan, tanda hubung, angka, atau domain lain.
- Halaman login dibuka dari tautan di pesan, tidak dari aplikasi atau alamat yang biasa Anda ketik sendiri.
- Pesan pemicunya mendesak, misalnya akun akan diblokir, tagihan belum dibayar, atau hadiah harus diklaim hari ini.
- Sesudah password diisi, halaman hanya memuat ulang atau langsung pindah ke situs asli.
- Muncul notifikasi login atau permintaan OTP yang tidak Anda minta.
Lakukan sekarang
- Kalau Anda mengisi data kartu, PIN, atau OTP bank, hubungi call center resmi bank yang tertera di belakang kartu atau di aplikasi resmi, lalu minta kartu dan akses mobile banking diblokir.
- Ganti password akun yang Anda isikan. Buka situs resminya dengan mengetik alamatnya sendiri, jangan lewat tautan tadi.
- Ganti juga password akun lain yang memakai password yang sama.
- Pakai menu keamanan akun untuk logout dari semua perangkat.
- Aktifkan verifikasi dua langkah (2FA).
- Periksa pengaturan yang sering diubah pelaku: email dan nomor pemulihan, aturan penerusan (forwarding) email, dan daftar perangkat terhubung.
- Simpan bukti: tangkapan layar pesan dan halaman palsu, alamat tautan lengkap, dan jam kejadian.
- Kalau Anda sempat mengunduh atau membuka berkas dari tautan itu, putuskan perangkat dari internet dan ikuti halaman perangkat terinfeksi malware.
Jangan
- Jangan membalas pelaku atau mengirim kode OTP kepada siapa pun, termasuk yang mengaku petugas bank atau admin.
- Jangan meneruskan tautan itu ke grup untuk dicoba orang lain.
- Jangan menghapus pesan aslinya sebelum bukti disimpan.
- Jangan menulis password Anda di formulir laporan atau di email ke KUTIM-CSIRT.
Laporkan
Laporkan lewat /lapor dengan kategori Phishing / Rekayasa Sosial. Pilih tingkat keparahan Tinggi bila password akun dinas, data kartu, atau OTP sudah terisi, dan Sedang bila Anda hanya membuka tautan tanpa mengisi apa pun. Lampirkan tangkapan layar pesan dan halaman palsu (maksimal 5 berkas, masing-masing 5 MB) dan tulis alamat tautannya di uraian. Simpan nomor tiket dan token yang muncul sesudah laporan terkirim untuk memantau di /lacak-tiket.
Kalau sudah ada uang yang terdebet, laporkan juga ke bank dan ke Indonesia Anti-Scam Centre (IASC) OJK.
Supaya tidak terulang
- Buka layanan penting lewat aplikasi resmi atau alamat yang Anda simpan sebagai bookmark.
- Pakai password berbeda untuk tiap akun dan simpan di password manager.
- Aktifkan 2FA di email, media sosial, dan aplikasi keuangan.
- Kalau ragu dengan sebuah tautan, periksa dulu di /cek-phishing sebelum dibuka.
- Ingat bahwa bank dan admin aplikasi tidak meminta OTP atau password lewat pesan maupun telepon.