02/09/2026

Ciri-Ciri Phishing di WhatsApp: Kenali Pesan Penipuan Sebelum Terlambat

Sebuah pesan WhatsApp masuk dari nomor yang tidak dikenal. Foto profilnya terlihat resmi, nama pengirimnya meyakinkan, dan isi pesannya menyebutkan ada paket yang belum diterima, tagihan yang harus segera dibayar, undangan yang perlu dibuka, atau transaksi yang harus dikonfirmasi.

Di dalam pesan tersebut terdapat sebuah tautan atau file. Pengirim meminta penerima segera membukanya.

Situasi seperti ini sering terlihat sederhana. Namun, satu tindakan yang dilakukan terburu-buru dapat membuka jalan bagi pencurian data, pengambilalihan akun, hingga kerugian finansial.

Penipuan melalui aplikasi percakapan seperti WhatsApp terus berkembang karena pelaku tidak hanya mengandalkan kelemahan teknologi. Mereka memanfaatkan sesuatu yang jauh lebih sulit diamankan: rasa percaya, kepanikan, rasa penasaran, dan kebiasaan manusia merespons pesan dengan cepat.

Oleh karena itu, memahami ciri-ciri phishing di WhatsApp bukan hanya persoalan keamanan bagi pengguna teknologi. Bagi perusahaan dan pelaku usaha, kemampuan mengenali pesan mencurigakan juga menjadi bagian dari perlindungan data, akun bisnis, pelanggan, dan transaksi keuangan.

Phishing Tidak Selalu Terlihat Seperti Penipuan

Phishing pada dasarnya merupakan upaya memanipulasi seseorang agar memberikan informasi, membuka tautan, menjalankan file, atau melakukan tindakan tertentu yang menguntungkan pelaku.

Masalahnya, pesan phishing hampir tidak pernah datang dengan tulisan yang secara terang-terangan mengatakan bahwa pesan tersebut berbahaya.

Sebaliknya, pelaku berusaha membuat pesan terlihat masuk akal.

Seseorang dapat mengaku sebagai kurir dan mengatakan bahwa terdapat masalah dengan pengiriman. Pengirim lain dapat menyamar sebagai bank, kantor pajak, kepolisian, perusahaan, pimpinan tempat bekerja, kerabat, bahkan teman yang nomornya sudah dikenal.

WhatsApp sendiri menjelaskan bahwa beberapa pola pesan mencurigakan antara lain meminta penerima membuka tautan, mengunduh aplikasi, memberikan informasi pribadi atau keuangan, mengirimkan uang, meneruskan sebuah pesan, atau menggunakan identitas seseorang yang dikenal korban. Penipu juga dapat membangun percakapan terlebih dahulu untuk mendapatkan kepercayaan sebelum meminta informasi tertentu.

Inilah alasan foto profil, nama akun, dan bahasa yang terdengar resmi tidak dapat dijadikan satu-satunya dasar untuk mempercayai sebuah pesan.

Tidak Semua Penipuan WhatsApp adalah Phishing

Istilah phishing sering digunakan untuk hampir semua bentuk penipuan digital, padahal ada perbedaan yang perlu dipahami.

Jika seseorang mengirimkan halaman login palsu dengan tujuan memperoleh kata sandi, tindakan tersebut merupakan bentuk phishing yang cukup jelas.

Namun, ketika seseorang menyamar sebagai pimpinan perusahaan lalu meminta staf keuangan mentransfer uang ke rekening tertentu, modus tersebut lebih tepat dipahami sebagai impersonation scam atau rekayasa sosial.

Keduanya mempunyai persamaan: pelaku berusaha membuat korban mengambil keputusan berdasarkan informasi yang dimanipulasi.

Bagi pengguna awam, nama teknis modusnya sebenarnya bukan bagian yang paling penting. Hal yang perlu dipahami adalah pola manipulasi yang digunakan.

Ketika sebuah pesan membuat seseorang merasa harus segera bertindak sebelum sempat memeriksa kebenarannya, kewaspadaan perlu ditingkatkan.

Rasa Panik dan Mendesak Sering Menjadi Senjata

Salah satu pola paling efektif dalam penipuan digital adalah menciptakan urgensi.

Korban dapat menerima pesan bahwa rekening akan diblokir, paket akan dikembalikan, akun akan dinonaktifkan, pembayaran harus segera dilakukan, atau sebuah transaksi mencurigakan baru saja terjadi.

Tujuannya sederhana: membuat korban bertindak lebih cepat daripada berpikir.

Dalam situasi normal, seseorang mungkin akan memeriksa nomor pengirim, mengecek alamat website, menelepon perusahaan terkait, atau bertanya kepada orang lain.

Namun, ketika pesan mengatakan bahwa tindakan harus dilakukan dalam beberapa menit, proses verifikasi sering dilewati.

Karena itu, semakin besar tekanan yang diberikan sebuah pesan untuk segera membuka link, membayar, mengunduh file, atau memberikan kode, semakin penting bagi penerima untuk tidak langsung mengikuti instruksi tersebut.

Pesan yang benar tidak menjadi salah hanya karena kita meluangkan beberapa menit untuk melakukan verifikasi.

Nomor dan Foto Profil Bukan Bukti Identitas

Kesalahan lain yang sering terjadi adalah menganggap sebuah akun pasti benar hanya karena menggunakan logo perusahaan atau foto orang yang dikenal.

Foto profil WhatsApp relatif mudah diperoleh.

Nama akun juga dapat dibuat menyerupai siapa saja.

Bahkan nomor yang tampak familier belum tentu berarti orang yang mengirim pesan berada dalam kondisi normal. Akun seseorang dapat disalahgunakan, perangkatnya dapat terinfeksi, atau pelaku memperoleh informasi mengenai hubungan korban dari sumber lain.

Pada Januari 2026, CSIRT Komdigi bahkan mempublikasikan peringatan mengenai kampanye malware yang memanfaatkan WhatsApp untuk menyebarkan diri melalui kontak korban. Kasus tersebut menargetkan pengguna di Brasil, tetapi memberikan pelajaran yang relevan secara umum: pesan berbahaya tidak selalu datang dari nomor asing. Dalam kondisi tertentu, akun atau perangkat orang yang dikenal dapat menjadi bagian dari penyebaran serangan.

Karena itu, verifikasi sebaiknya didasarkan pada konteks dan isi pesan, bukan hanya identitas yang terlihat pada layar.

Jika seorang rekan kerja tiba-tiba meminta transfer dengan prosedur yang tidak biasa, konfirmasi melalui saluran lain tetap diperlukan meskipun nomor dan foto profilnya tampak benar.

Berhati-Hati terhadap Link yang Terlihat Hampir Sama

Tautan merupakan salah satu sarana yang sering digunakan untuk mengarahkan korban menuju situs palsu.

Tampilannya dapat dibuat menyerupai halaman login bank, marketplace, layanan pemerintah, media sosial, atau perusahaan tertentu.

Alamatnya pun kadang dibuat sangat mirip.

Perbedaannya mungkin hanya satu huruf, tambahan tanda, subdomain, atau karakter yang secara visual menyerupai karakter asli.

WhatsApp menjelaskan bahwa tautan mencurigakan dapat menggunakan kombinasi karakter yang tidak biasa agar terlihat seperti alamat website resmi. Pengguna karena itu perlu memperhatikan alamat tujuan, bukan hanya teks yang ditampilkan pada pesan.

Jika sebuah pesan mengaku berasal dari bank, perusahaan, marketplace, atau instansi pemerintah dan meminta pengguna melakukan login melalui tautan yang dikirim, pilihan yang lebih aman adalah tidak menggunakan link tersebut.

Buka aplikasi atau website resmi secara mandiri dan periksa informasi dari sana.

Prinsip sederhananya adalah: jangan biarkan pengirim pesan menentukan pintu masuk menuju akun penting Anda.

File yang Terlihat Seperti Dokumen Belum Tentu Dokumen

Di Indonesia, salah satu pola penipuan yang cukup dikenal adalah pengiriman file dengan berbagai kedok.

File dapat disebut sebagai undangan pernikahan, resi paket, surat tilang, pemberitahuan pajak, surat panggilan, atau dokumen administrasi lainnya.

Namun, yang dikirim ternyata bukan dokumen biasa.

Komdigi sebelumnya telah mengklarifikasi berbagai modus pengiriman file Android Package Kit atau APK melalui WhatsApp yang menyamar sebagai dokumen resmi. Dalam salah satu kasus, pelaku bahkan menggunakan nama “Surat PHK dari kantor pusat” dan menyamar sebagai pimpinan perusahaan. Komdigi menjelaskan bahwa modus seperti ini serupa dengan file APK berkedok undangan, paket, surat pajak, atau surat tilang.

Karena itu, penerima tidak cukup hanya membaca nama file.

Jenis file juga perlu diperhatikan.

Jika seseorang mengaku mengirim surat, invoice, undangan, atau dokumen PDF tetapi sebenarnya meminta pengguna memasang aplikasi, situasi tersebut harus dianggap mencurigakan.

Aplikasi sebaiknya diperoleh dari sumber resmi dan bukan dipasang hanya karena dikirim melalui percakapan pribadi.

OTP dan Kode Verifikasi Bukan untuk Dibagikan

Salah satu target penting dalam pengambilalihan akun adalah kode verifikasi.

Pelaku dapat mencoba mendaftarkan nomor WhatsApp korban pada perangkat lain, kemudian mencari cara agar korban memberikan kode yang dikirim melalui SMS atau mekanisme verifikasi lainnya.

WhatsApp secara eksplisit menyatakan bahwa kode verifikasi tidak boleh dibagikan kepada orang lain. Jika pengguna menerima kode yang tidak pernah diminta, hal tersebut dapat berarti seseorang salah memasukkan nomor atau sedang mencoba mendaftarkan nomor tersebut pada perangkat lain. Tanpa kode verifikasi itu, pihak lain tidak dapat menyelesaikan proses pendaftaran akun menggunakan nomor korban.

Karena itu, jika seseorang meminta kode WhatsApp dengan alasan apa pun, permintaan tersebut tidak semestinya dipenuhi.

Prinsip yang sama layak diterapkan pada OTP perbankan, PIN, password, CVV kartu, kode pemulihan, dan informasi autentikasi lainnya.

Data tersebut bukan informasi pelayanan pelanggan.

Data tersebut adalah kunci akses.

Waspadai Permintaan yang Keluar dari Pola Normal

Dalam lingkungan bisnis, penipuan tidak selalu berbentuk link atau file.

Pelaku dapat memanfaatkan pola organisasi.

Misalnya seseorang mengaku sebagai direktur dan meminta admin segera membeli sesuatu. Ada yang menyamar sebagai supplier lalu menginformasikan perubahan nomor rekening. Ada pula yang mengaku sebagai pelanggan dan meminta informasi tertentu mengenai perusahaan.

Pesan tersebut mungkin disusun dengan bahasa yang baik dan tidak mengandung link sama sekali.

Inilah alasan keamanan digital perusahaan tidak cukup hanya mengandalkan antivirus.

Perusahaan membutuhkan prosedur verifikasi.

Perubahan rekening supplier, permintaan pembayaran dengan nilai tertentu, perubahan akses sistem, permintaan data pelanggan, atau instruksi yang berada di luar kebiasaan sebaiknya mempunyai mekanisme konfirmasi yang jelas.

Dengan demikian, ketika seseorang mencoba menyamar sebagai pihak berwenang, pegawai tidak perlu menebak apakah pesan tersebut benar.

Mereka cukup mengikuti prosedur.

Semakin Menarik Tawaran, Semakin Penting Memeriksa Sumbernya

Penipuan tidak selalu menggunakan rasa takut.

Sebagian menggunakan harapan.

Korban dapat menerima informasi mengenai hadiah, pekerjaan, investasi, pinjaman, komisi, keuntungan besar, atau kesempatan usaha yang terlihat menarik.

WhatsApp juga memasukkan pesan mengenai lotere, pekerjaan, investasi, atau pinjaman sebagai contoh konteks yang perlu mendapat kewaspadaan ketika dikirim oleh pihak yang tidak dapat dipercaya.

Masalahnya bukan berarti seluruh penawaran melalui WhatsApp pasti palsu.

Masalahnya adalah keputusan finansial tidak seharusnya dibuat hanya berdasarkan percakapan yang tidak diverifikasi.

Semakin besar uang atau data yang dipertaruhkan, semakin tinggi standar verifikasi yang diperlukan.

Jangan Hanya Bertanya “Nomornya Siapa?”

Ketika mendapat pesan mencurigakan, banyak orang langsung bertanya siapa pemilik nomor tersebut.

Pertanyaan itu berguna, tetapi belum cukup.

Pertanyaan yang lebih kuat adalah apakah permintaan dalam pesan tersebut masuk akal.

Apakah bank biasanya meminta PIN melalui WhatsApp?

Apakah kantor pajak mengirim aplikasi APK untuk membuka surat?

Apakah direktur biasanya meminta transfer ke rekening baru tanpa prosedur?

Apakah kurir membutuhkan kode OTP perbankan untuk mengantarkan paket?

Apakah teman yang dikenal biasanya meminta uang dengan gaya komunikasi seperti itu?

Dengan menguji logika permintaan, pengguna tidak lagi bergantung sepenuhnya pada kemampuan mengenali nomor penipu.

Ini penting karena teknik penipuan akan terus berubah, tetapi prinsip verifikasinya relatif tetap.

Jika Ragu, Putus Rantai Interaksi

Ketika pesan terlihat mencurigakan, tindakan paling aman biasanya bukan melanjutkan percakapan untuk “menguji” penipu.

Berhenti berinteraksi, jangan membuka file atau link, kemudian lakukan verifikasi melalui kanal lain.

Jika pengirim mengaku sebagai rekan kerja, hubungi orang tersebut menggunakan nomor atau saluran yang sudah diketahui sebelumnya.

Jika mengaku sebagai bank, buka aplikasi resmi atau hubungi layanan resmi bank secara mandiri.

Jika mengaku sebagai marketplace atau layanan digital, masuk melalui aplikasi resmi.

Jangan menggunakan nomor telepon, website, atau instruksi verifikasi yang justru diberikan oleh pihak yang sedang dicurigai.

WhatsApp sendiri menyediakan pilihan untuk memblokir dan melaporkan kontak yang tidak diinginkan serta menganjurkan pengguna berhati-hati terhadap pesan dari nomor tak dikenal, permintaan uang, maupun permintaan informasi pribadi.

Perlindungan Akun Tidak Berhenti pada Kemampuan Mengenali Scam

Manusia tetap dapat melakukan kesalahan.

Karena itu, akun perlu mempunyai lapisan pengamanan tambahan.

WhatsApp menyediakan verifikasi dua langkah yang menambahkan lapisan keamanan pada proses akses akun. WhatsApp juga menyarankan pengguna memeriksa perangkat yang tertaut secara berkala agar perangkat yang tidak dikenal dapat dikeluarkan dari akun.

Bagi perusahaan, prinsip ini dapat diperluas ke akun email, media sosial, marketplace, sistem keuangan, website, server, dan aplikasi operasional.

Keamanan digital yang baik tidak bergantung pada satu perlindungan.

Ia dibangun dari kombinasi teknologi, prosedur, dan kebiasaan pengguna.

Bagaimana Jika Sudah Terlanjur Membuka Pesan?

Menerima atau membaca pesan saja tidak otomatis berarti akun sudah diretas.

Risiko meningkat ketika pengguna mulai memberikan kredensial, menjalankan file, memasang aplikasi, memberikan izin tertentu, memasukkan password pada situs palsu, atau menyerahkan kode verifikasi.

Jika sebuah link sudah dibuka tetapi belum ada data yang dimasukkan atau file yang dijalankan, pengguna sebaiknya menutup halaman tersebut dan tidak melanjutkan interaksi.

Jika password telah dimasukkan pada halaman yang dicurigai palsu, password akun terkait perlu segera diganti melalui aplikasi atau website resmi. Password yang sama pada layanan lain juga perlu diganti karena penggunaan ulang password dapat memperluas dampak kebocoran.

Jika kode WhatsApp diberikan kepada orang lain atau akun terlihat telah diambil alih, WhatsApp menyediakan mekanisme pemulihan dengan melakukan login dan pendaftaran ulang nomor menggunakan kode verifikasi yang dikirim kepada pemilik nomor. WhatsApp juga menyarankan mengaktifkan verifikasi dua langkah dan memeriksa perangkat yang tertaut setelah akun dipulihkan.

Situasinya menjadi lebih mendesak apabila sudah terjadi transfer uang atau terdapat indikasi transaksi keuangan tidak sah.

Jika Uang Sudah Ditransfer, Kecepatan Pelaporan Menjadi Penting

Penipuan digital bukan persoalan kecil di Indonesia.

Otoritas Jasa Keuangan mencatat bahwa sejak Indonesia Anti-Scam Centre mulai beroperasi pada 22 November 2024 hingga 30 Juli 2026, pusat tersebut telah menerima 636.014 laporan penipuan. Sebanyak 1.176.571 rekening telah dilaporkan dan terverifikasi, 604.923 rekening telah diblokir, serta Rp723,7 miliar dana korban berhasil diblokir. Dalam periode yang sama terdapat 145.061 nomor telepon yang dilaporkan oleh korban.

Angka tersebut menunjukkan bahwa penipuan digital bukan kejadian langka yang hanya menimpa orang yang tidak memahami teknologi.

Siapa pun dapat menjadi sasaran.

Jika korban baru saja melakukan transfer kepada penipu, OJK melalui IASC meminta korban segera melakukan pelaporan untuk jalur penanganan finansial dan juga membuat laporan kepada penegak hukum untuk proses hukum. Bukti transaksi, rekening pelaku, dan percakapan perlu disimpan untuk mendukung laporan.

Semakin lama korban menunggu, semakin besar kemungkinan dana telah dipindahkan melalui beberapa rekening.

Karena itu, rasa malu atau takut setelah menjadi korban tidak seharusnya membuat pelaporan ditunda.

Literasi Digital adalah Kebiasaan Memverifikasi

Teknologi keamanan akan terus berkembang.

Platform dapat mendeteksi spam, menandai link mencurigakan, memblokir akun tertentu, dan memberikan sistem autentikasi tambahan.

Namun, pelaku juga terus beradaptasi.

Mereka dapat mengganti cerita, menggunakan teknologi baru, mengambil foto profil orang lain, meniru gaya bahasa, atau memanfaatkan informasi yang tersedia secara terbuka.

Karena itu, pertahanan yang paling bertahan lama bukan menghafal seluruh jenis penipuan.

Yang lebih penting adalah membangun kebiasaan untuk tidak langsung percaya pada permintaan yang datang melalui ruang digital.

Ketika sebuah pesan meminta uang, data, password, kode, instalasi aplikasi, atau tindakan yang tidak biasa, beri waktu untuk memeriksa.

Ketika sebuah pesan membuat panik, jangan biarkan rasa panik menentukan tindakan.

Ketika sebuah link terlihat resmi, periksa kembali alamatnya.

Ketika seseorang mengaku sebagai orang yang dikenal, verifikasi melalui saluran lain jika permintaannya tidak biasa.

Satu kebiasaan sederhana tersebut dapat menghentikan banyak modus sebelum mencapai tujuannya.

Keamanan Digital juga Menjadi Tanggung Jawab Perusahaan

Bagi perusahaan, satu akun pegawai yang diambil alih dapat menjadi pintu masuk menuju persoalan yang lebih besar.

Penipu dapat menggunakan akun tersebut untuk meminta pembayaran, menghubungi pelanggan, mencari informasi internal, atau menyebarkan pesan kepada rekan kerja.

Karena itu, keamanan perusahaan tidak boleh hanya menjadi tugas staf TI.

Owner, manajer, admin, bagian keuangan, customer service, hingga pengguna sistem perlu memahami pola dasar penipuan digital.

Perusahaan yang sedang melakukan digitalisasi juga perlu menempatkan keamanan sebagai bagian dari sistem sejak awal.

Tidak cukup membangun jaringan, menggunakan ERP, memakai cloud, atau mengintegrasikan berbagai aplikasi apabila budaya penggunanya masih mudah memberikan password atau menjalankan file tanpa pemeriksaan.

Transformasi digital yang sehat bukan hanya membuat pekerjaan lebih cepat.

Transformasi digital juga harus membuat informasi dan akses perusahaan lebih terkendali.

Umbul Sandhi Yudha (USY) memandang literasi dan keamanan digital sebagai bagian yang tidak terpisahkan dari pemanfaatan teknologi. Sistem yang baik membutuhkan infrastruktur yang memadai, proses yang jelas, pembagian akses yang tepat, dan pengguna yang memahami tanggung jawabnya.

Sebelum membuka sebuah tautan, mengunduh file, mengirim uang, atau menyerahkan informasi melalui WhatsApp, biasakan satu pertanyaan sederhana:

“Apakah saya sudah memverifikasi bahwa permintaan ini benar?”

Beberapa detik untuk memeriksa dapat jauh lebih murah dibandingkan waktu dan biaya yang diperlukan untuk memulihkan akun, data, reputasi, atau dana setelah penipuan terjadi.

Karena dalam keamanan digital, tindakan yang paling sederhana sering kali menjadi perlindungan yang paling penting:

jangan terburu-buru percaya hanya karena sebuah pesan terlihat meyakinkan.