Sebagian besar email phishing bisa dikenali dalam dua puluh detik lewat tiga pemeriksaan: lihat domain pengirim yang sebenarnya, arahkan kursor ke tautan dan baca alamat aslinya, lalu tanyakan apakah pesan itu sedang memburu-buru Anda. Kalau salah satu saja mencurigakan, jangan klik apa pun. Berikut daftar periksa lengkapnya, termasuk kasus-kasus sulit yang belakangan paling sering berhasil menipu orang.
1. Baca domain pengirim, bukan nama tampilan
Nama tampilan bisa diisi apa saja: nama bank, "Tim Keamanan", bahkan nama atasan Anda. Yang menentukan adalah bagian setelah tanda @. Buka detail pengirim dan periksa hurufnya satu per satu. Penipu memakai domain yang mirip, misalnya menambahkan tanda hubung, menggandakan satu huruf, atau memakai karakter yang menyerupai (angka 1 menggantikan huruf l, rn yang terlihat seperti m). Perhatikan juga subdomain yang menyesatkan: bank.co.id.aman-login.xyz sebenarnya milik aman-login.xyz. Kalau ragu apakah alamat pengirim itu benar-benar ada dan domainnya terkonfigurasi, periksa lewat pemeriksa alamat email kami.
2. Arahkan kursor ke tautan sebelum mengklik
Di komputer, arahkan kursor ke tombol atau tautan dan baca alamat yang muncul di pojok bawah layar. Di ponsel, tekan lama untuk melihat pratinjaunya. Bacalah dari kiri sampai garis miring pertama, lalu ambil dua bagian terakhir sebelum garis miring itu, karena di situlah nama host yang sesungguhnya berada. Kalau teks tautan berbunyi alamat bank tetapi tujuannya sama sekali berbeda, pesan itu sudah gugur. Tautan pemendek dan pengalihan lewat layanan pihak ketiga juga patut dicurigai di dalam pesan yang mengaku berasal dari bank atau kantor Anda.
3. Waspadai bahasa yang memburu-buru
Ancaman dan tenggat adalah alat utama phishing: "akun akan diblokir dalam 24 jam", "tagihan Anda belum dibayar", "paket tertahan, bayar bea sekarang". Rasa panik membuat orang melewati pemeriksaan yang biasanya mereka lakukan. Perusahaan sungguhan jarang memberi tenggat beberapa jam lewat email, dan hampir tidak pernah mengancam menutup akun tanpa saluran pemberitahuan lain.
4. Tidak ada perusahaan yang meminta kode atau kata sandi
Kode OTP, kode 2FA, PIN, dan kata sandi tidak pernah diminta lewat email, chat, atau telepon oleh layanan yang sah. Kalau ada yang memintanya, itu penipuan, tanpa pengecualian. Hal yang sama berlaku untuk permintaan mengisi data kartu pada formulir yang dilampirkan. Sapaan yang terlalu umum seperti "Pelanggan yang terhormat" pada layanan yang jelas tahu nama Anda juga patut menaikkan kewaspadaan, walaupun sapaan yang benar bukan jaminan pesan itu asli.
5. Lampiran yang tidak Anda minta
Berkas .html, .htm, .zip, .iso, .js, dan dokumen kantor yang meminta "aktifkan konten" adalah tanda bahaya. Faktur berbentuk berkas HTML hampir selalu berisi halaman masuk palsu. Kalau Anda memang menunggu faktur, bukalah dari akun resmi penyedianya, bukan dari lampiran.
Kasus sulit yang sering lolos
- Faktur yang tampak asli. Penipu menyalin templat asli, mengubah nomor rekening, lalu mengirim pada waktu yang tepat. Konfirmasikan setiap perubahan rekening lewat nomor telepon yang sudah Anda kenal, bukan nomor di dalam email.
- Serbuan notifikasi 2FA. Anda dibanjiri permintaan persetujuan sampai akhirnya menekan "izinkan" karena lelah. Jangan pernah menyetujui permintaan yang tidak Anda mulai sendiri, dan segera ganti kata sandi.
- Phishing lewat kode QR. QR di email, poster parkir, atau stiker menyembunyikan alamat tujuan. Pindai, baca alamatnya, baru putuskan.
- Balasan pada percakapan asli. Bila kotak surat rekan Anda dibajak, pesan penipuan muncul menyelip di percakapan lama. Curigai perubahan gaya bahasa atau permintaan mendadak.
Untuk membiasakan diri memeriksa dengan cepat, panduan kami tentang cara mengecek email asli atau tidak bisa dipakai sebagai latihan singkat.
Kalau Anda terlanjur mengklik
- Jangan memasukkan apa pun lagi, lalu tutup halamannya.
- Kalau kata sandi sudah terlanjur diketik, ganti sekarang juga di layanan aslinya, lalu ganti di semua tempat yang memakai kata sandi sama.
- Periksa daftar sesi aktif dan keluarkan semua perangkat yang tidak Anda kenali.
- Aktifkan atau pasang ulang 2FA. Kalau Anda perlu memasang ulang autentikator dan masih menyimpan kunci rahasianya, generator TOTP kami bisa membantu sementara.
- Bila menyangkut rekening atau kartu, hubungi bank lewat nomor yang tertera di kartu Anda dan laporkan kejadiannya.
- Pindai perangkat bila Anda sempat mengunduh atau membuka lampiran.
Pertahanan yang bekerja diam-diam
Pemeriksaan manual berguna, tetapi lapisan teknis membuat penipuan lebih sulit sejak awal. Kalau Anda punya domain sendiri, pasang SPF, DKIM, dan DMARC supaya orang lain tidak bisa mengirim surat atas nama Anda; penjelasan sederhananya ada di artikel SPF, DKIM dan DMARC. Gunakan 2FA atau passkey di semua akun penting agar kata sandi yang bocor saja tidak cukup untuk masuk. Lalu pisahkan alamat: untuk undian, unduhan, uji coba, atau wifi publik, pakai kotak masuk sekali pakai 1mail.lt, sehingga kebocoran dari layanan pihak ketiga tidak pernah sampai ke kotak masuk utama Anda. Bila sebuah pesan tetap meragukan, salin alamat pengirimnya dan periksa lebih dulu dengan validator email 1mail.lt sebelum membalas apa pun.
FAQ
Apakah membuka email phishing sudah berbahaya?
Membuka pesannya sendiri hampir selalu aman di aplikasi email modern. Bahaya baru muncul saat Anda mengklik tautan, membuka lampiran, atau mengisi formulir di halaman tujuan.
Bagaimana kalau alamat pengirimnya benar-benar milik perusahaan itu?
Alamat pengirim bisa dipalsukan pada domain yang tidak memasang DMARC, dan kotak surat asli pun bisa dibajak. Karena itu isi pesannya tetap harus masuk akal: tautan, permintaan, dan konteksnya.
Perlukah saya membalas untuk memastikan?
Tidak. Membalas hanya memberi tahu penipu bahwa alamat Anda aktif. Hubungi perusahaannya lewat aplikasi resmi atau nomor yang sudah Anda simpan sendiri.
Ke mana saya melaporkan email phishing?
Laporkan ke bagian keamanan perusahaan yang namanya dicatut, tandai pesannya sebagai phishing di aplikasi email Anda, dan bila sudah ada kerugian uang, laporkan ke bank serta pihak berwenang setempat.
