Email yang mengaku dari otoritas pajak dan memberitahukan "audit" atau "daftar pelanggaran pajak" bekerja dengan sangat sederhana: membuat penerimanya panik, lalu mendorongnya membuka lampiran sebelum sempat berpikir. Itulah inti kampanye phishing yang diperingatkan BSSN dan menyasar organisasi di Indonesia.

Apa yang Terjadi

Lebih dari 1.600 email berbahaya tercatat pada Januari–Februari 2026 dan menyasar organisasi di Indonesia, India, Afrika Selatan, dan Rusia. Menurut analisis vendor keamanan yang dirujuk BSSN, kampanye ini dikaitkan dengan kelompok yang dikenal sebagai SilverFox. Gelombang serangannya sudah teridentifikasi sejak Desember 2025. Kaspersky memublikasikan temuannya pada akhir April hingga awal Mei 2026, dan pada 24 September 2026 temuan itu kembali disampaikan kepada publik di Indonesia.

BSSN juga mencatat bahwa kelompok ransomware FunkSec dilaporkan memanfaatkan AI untuk mengembangkan perangkat berbahaya. AI belum menjadi teknik serangan tersendiri, tetapi membuat pelaku bisa menyusun email dan situs phishing yang lebih meyakinkan dan lebih personal dengan lebih cepat, menyiapkan peniruan identitas lewat deepfake dan kloning suara, serta mempercepat pembuatan malware.

Cara Kerja Rantai Serangannya

1. Korban menerima email yang menyerupai pemberitahuan audit pajak, atau diminta mengunduh arsip berisi "daftar pelanggaran pajak".
2. Kesan otoritas dan urgensi mendorong korban mengunduh serta membuka arsip tanpa verifikasi.
3. Di dalam arsip terdapat loader berbasis Rust, hasil modifikasi dari kode yang tersedia di repositori publik.
4. Loader mengunduh dan menjalankan ValleyRAT di perangkat korban.
5. ValleyRAT dipakai untuk memasang ABCDoor, backdoor berbasis Python.
6. Pelaku dapat mengendalikan perangkat dari jarak jauh dan mencuri data sensitif organisasi.

Untuk menyulitkan deteksi, pelaku memakai beberapa cara: menyebarkan email secara bertahap lewat banyak alamat dan domain, membatasi eksekusi berdasarkan negara (termasuk Indonesia) sambil mendeteksi mesin virtual dan sandbox, serta teknik yang menghalangi sinyal shutdown dan memicu reboot menyerupai pembaruan sistem agar loader berjalan lagi saat perangkat menyala. Karena itu, mematikan atau menyalakan ulang komputer saja tidak cukup untuk menganggap masalahnya selesai.

Dampak yang Dapat Terjadi

• Pencurian data sensitif setelah penyerang memperoleh akses jarak jauh.
• Kredensial dan kode autentikasi dicuri untuk akses lanjutan.
• Backdoor yang menjadi pintu masuk serangan berikutnya, termasuk ransomware.
• Penipuan dan pengalihan dana melalui peniruan identitas atau pembajakan email organisasi.
• Kebocoran data yang berisiko melanggar ketentuan pelindungan data pribadi dan menurunkan kepercayaan masyarakat.

Ciri-ciri Email Phishing Bertema Pajak

Tidak ada satu tanda yang pasti, tetapi kombinasi ciri berikut layak membuat Anda berhenti dan memeriksa:

• Mengaku audit, pemeriksaan, atau pelanggaran pajak dan menuntut tindakan segera, dengan ancaman sanksi atau denda bila tidak dibuka.
• Meminta Anda mengunduh dan mengekstrak arsip (misalnya ZIP, RAR, atau 7z) atau membuka lampiran untuk "melihat daftar pelanggaran".
• Alamat pengirim tidak cocok dengan domain resmi instansi pajak, memakai alamat email gratis, atau nama tampilan terlihat resmi tetapi alamat aslinya berbeda. Periksa alamat lengkapnya, bukan hanya nama pengirim.
• Tautan yang tujuan sebenarnya berbeda dengan teks yang tampak. Arahkan kursor ke tautan (tanpa mengklik) untuk melihat alamat aslinya.
• Salam umum tanpa nama atau nomor yang bisa Anda cocokkan dengan urusan pajak instansi Anda.
• Pajak yang dimaksud tidak pernah Anda ketahui, atau pemberitahuan datang tanpa Anda atau bagian keuangan pernah berurusan dengan hal tersebut.
• Bahasa atau format janggal, seperti salah ketik, logo buram, atau tanda tangan dan kop yang tidak lazim.

Cara memeriksa paling aman: jangan membuka lampiran maupun tautan dari email itu. Buka situs atau aplikasi resmi otoritas pajak lewat alamat yang Anda ketik sendiri atau aplikasi yang sudah terpasang, lalu cek apakah ada pemberitahuan di sana. Bila ragu, tanyakan ke bagian keuangan atau perpajakan di instansi Anda sebelum bertindak.

Bila Terlanjur Membuka Lampiran atau Mengklik Tautan

Bertindaklah dengan tenang dan cepat. Urutan berikut membatasi kerusakan:

1. Putuskan perangkat dari jaringan: cabut kabel jaringan atau matikan Wi-Fi. Jangan memakai perangkat itu untuk masuk ke akun apa pun, termasuk email dinas.
2. Jangan membuka atau menjalankan berkas itu lagi, dan jangan menghapusnya dulu bila Anda tidak yakin. Berkas dan email asli adalah bukti yang dibutuhkan untuk pemeriksaan.
3. Segera laporkan ke atasan dan ke KUTIM-CSIRT melalui kanal pelaporan resmi atau csirt@kutaitimurkab.go.id. Sebutkan waktu kejadian, apa yang dibuka, dan apakah ada kata sandi yang sempat dimasukkan.
4. Ganti kata sandi dari perangkat lain yang bersih: email dinas, aplikasi layanan, dan akun lain yang pernah dipakai di perangkat tersebut. Hentikan juga sesi yang masih aktif (sign out from all devices) dan aktifkan autentikasi berlapis bila belum.
5. Serahkan perangkat untuk diperiksa. Antivirus yang tidak menemukan apa-apa belum membuktikan perangkat bersih; backdoor dari kampanye ini dirancang menghindari deteksi dan bertahan setelah reboot. Perangkat yang positif terinfeksi sebaiknya dipulihkan dengan pemasangan ulang.
6. Periksa dampak pada akun dan keuangan: adakah aturan penerusan email yang tidak dikenal, login dari lokasi tidak wajar, atau permintaan perubahan rekening dan transfer dana yang mencurigakan setelah kejadian.
7. Beri tahu rekan kerja bila email itu juga masuk ke mereka atau sempat Anda teruskan, supaya tidak ada yang ikut membukanya.

Apa Artinya bagi Perangkat Daerah

Pemberitahuan pajak adalah umpan yang efektif karena hampir setiap instansi, terutama bagian keuangan, kepegawaian, dan pengadaan, memang berurusan dengan perpajakan. Satu pegawai yang membuka lampiran sudah cukup bagi pelaku untuk memegang kendali atas komputer dan, dari sana, mengakses email dinas, aplikasi layanan, dan data yang dikelola Perangkat Daerah.

Langkah pencegahan yang dianjurkan BSSN dan layak diterapkan Perangkat Daerah:

1. Ingatkan seluruh pegawai agar tidak membuka lampiran atau tautan dari email notifikasi pajak yang belum diverifikasi; verifikasi lewat situs atau aplikasi resmi.
2. Tinjau log email gateway untuk email bertema pajak atau audit yang membawa lampiran arsip, dan karantina pesan yang mencurigakan.
3. Pastikan antivirus dan EDR selalu diperbarui serta penyaringan email aktif. Sediakan kanal bagi pegawai untuk melaporkan email mencurigakan.
4. Terapkan autentikasi berlapis (MFA) pada seluruh akses ke portal administrasi perkantoran.
5. Terapkan DMARC dengan kebijakan reject agar email yang gagal autentikasi dan menyamar sebagai domain organisasi ditolak.
6. Blokir makro secara bawaan, batasi hak administrator pengguna, dan terapkan application allowlisting untuk memperkecil dampak bila malware sempat berjalan.
7. Verifikasi lewat jalur kedua setiap permintaan transfer dana atau perubahan rekening, memakai nomor kontak resmi dan bukan kontak yang tercantum di dalam email permintaan.

Laporkan email mencurigakan sekalipun tidak dibuka. Satu laporan dini dapat membantu memperingatkan Perangkat Daerah lain sebelum email serupa membuat korban berikutnya.

Referensi

• BSSN/Id-SIRTII – Security Advisory Kampanye Phising Dokumen Pajak (publikasi sumber)
• Bisnis.com – 1.600 Email Jahat Sasar Perusahaan Indonesia, Dokumen Pajak Jadi Umpan (24 September 2026)
• Kaspersky – New SilverFox campaign targeting Indian and Indonesian companies
• The Hacker News – Silver Fox Deploys ABCDoor Malware via Tax-Themed Phishing in India and Russia (Mei 2026)
• Intelligent CIO Africa – Kaspersky identifies new SilverFox campaign targeting companies in South Africa (30 April 2026)
• CISA – Recognize and Report Phishing
• NIST – Phishing (Small Business Cybersecurity Corner)
• CISA, NSA, FBI, dan MS-ISAC – Phishing Guidance: Stopping the Attack Cycle at Phase One (Oktober 2023)