Jakarta, 9 September 2026 — WEBPEDIA. Phishing masih menjadi salah satu ancaman keamanan digital yang banyak ditemui pengguna internet. Modus ini dilakukan dengan menyamar sebagai pihak tepercaya melalui email, pesan singkat, aplikasi percakapan, media sosial, telepon, hingga situs web palsu. Tujuannya biasanya untuk membuat korban memberikan kata sandi, kode OTP, informasi perbankan, atau data pribadi lainnya. Seiring berkembangnya teknologi, tampilan pesan dan situs phishing juga semakin menyerupai layanan asli sehingga pengguna perlu lebih teliti sebelum mengklik tautan atau memberikan informasi.

Ancaman tersebut bukan sekadar persoalan teknis. Phishing pada dasarnya memanfaatkan kepercayaan, rasa takut, rasa penasaran, atau kebutuhan mendesak seseorang agar mengambil keputusan tanpa melakukan pemeriksaan terlebih dahulu.

Data FBI Internet Crime Complaint Center (IC3) menunjukkan phishing dan spoofing menjadi kategori kejahatan dengan jumlah pengaduan tertinggi pada 2025 di Amerika Serikat, mencapai 191.561 pengaduan. Kerugian yang dilaporkan dari kategori tersebut mencapai sekitar US$215,8 juta. Data ini memang berasal dari Amerika Serikat, tetapi menunjukkan besarnya skala ancaman phishing terhadap pengguna layanan digital.

Di Indonesia, persoalan penipuan digital juga mendapat perhatian serius. Kementerian Komunikasi dan Digital pada Juli 2026 menyebut total kerugian akibat spam dan scam mencapai sekitar Rp7,5 triliun, berdasarkan data Global Anti-Scam Alliance. Pemerintah pun mendorong penyedia layanan telekomunikasi memperkuat sistem perlindungan konsumen dari penipuan digital. (Kementerian Komunikasi dan Digital)

Apa Itu Phishing?

Phishing adalah bentuk penipuan digital yang digunakan pelaku untuk memperoleh informasi sensitif dengan menyamar sebagai pihak yang dikenal atau dipercaya korban.

Informasi yang menjadi sasaran antara lain:

• nama pengguna dan kata sandi
• nomor kartu debit atau kartu kredit
• informasi rekening bank
• kode OTP;
• PIN
• alamat email dan nomor telepon
• data identitas pribadi
• akses ke akun media sosial atau akun perusahaan.

Federal Trade Commission (FTC) menjelaskan bahwa pelaku phishing sering mengirim email atau pesan yang tampak berasal dari perusahaan yang dikenal korban. Pesan tersebut kemudian mengarahkan pengguna untuk mengklik tautan, membuka lampiran, atau memasukkan informasi pribadi. (Consumer Advice)

Sebagai contoh, seseorang menerima pesan yang mengatasnamakan bank:

“Akun Anda terdeteksi melakukan aktivitas mencurigakan. Verifikasi sekarang agar akun tidak diblokir.”

Pesan tersebut kemudian menyediakan sebuah tautan. Setelah dibuka, korban diarahkan menuju halaman login yang tampak hampir sama dengan situs resmi bank. Namun, halaman itu sebenarnya dikendalikan oleh pelaku.

Ketika korban memasukkan username, password, atau OTP, informasi tersebut dapat langsung diterima oleh penipu.

Mengapa Phishing Masih Efektif?

Salah satu alasan phishing tetap menjadi ancaman adalah karena serangan ini lebih banyak menargetkan perilaku manusia dibandingkan kelemahan teknis perangkat.

Pelaku berusaha menciptakan situasi yang membuat seseorang bertindak cepat.

Misalnya, korban diberi tahu bahwa rekening akan diblokir dalam beberapa menit. Pada kasus lain, seseorang mendapat pesan mengenai paket yang gagal dikirim atau hadiah yang harus segera diklaim.

Tekanan waktu tersebut membuat pengguna lebih mudah mengabaikan tanda-tanda mencurigakan.

Selain itu, teknologi membuat pesan palsu semakin mudah dibuat menyerupai komunikasi resmi. Logo perusahaan, desain email, halaman login, bahkan gaya bahasa sebuah organisasi dapat ditiru.

FBI pada 2025 juga memperingatkan penggunaan pesan teks dan suara hasil kecerdasan buatan untuk menyamar sebagai pihak tertentu. Hal tersebut menunjukkan bahwa teknik penipuan berbasis identitas dapat berkembang bersama kemajuan teknologi. (IC3)

Ciri-Ciri Phishing yang Perlu Diwaspadai

Meski terlihat meyakinkan, sebagian besar phishing masih memiliki beberapa tanda yang dapat dikenali.

1. Pesan Menciptakan Rasa Mendesak

Pelaku sering menggunakan kalimat seperti:

“Akun akan diblokir.”

“Pembayaran Anda gagal.”

“Konfirmasi dalam 10 menit.”

“Hadiah hanya berlaku hari ini.”

Tujuannya adalah membuat penerima bertindak sebelum sempat memeriksa kebenaran informasi.

CISA menyarankan pengguna untuk berhati-hati terhadap pesan yang meminta tindakan segera atau menggunakan bahasa emosional untuk memengaruhi penerima. (CISA)

2. Alamat Pengirim Terlihat Tidak Biasa

Nama pengirim dapat terlihat resmi, tetapi alamat email sebenarnya mungkin berbeda.

Sebagai contoh:

layanan@bankresmi.com

bisa dipalsukan menjadi alamat yang sekilas terlihat mirip, tetapi memiliki tambahan karakter atau domain berbeda.

Karena itu, jangan hanya melihat nama pengirim. Periksa alamat email dan domain secara keseluruhan.

3. Tautan Mengarah ke Domain yang Berbeda

Pelaku dapat membuat teks tautan terlihat resmi meskipun tujuan sebenarnya adalah situs lain.

Sebelum membuka link melalui komputer, pengguna dapat mengarahkan kursor ke tautan untuk melihat alamat tujuan.

Periksa dengan teliti ejaan nama domain.

FBI bahkan memperingatkan bahwa situs palsu dapat menggunakan variasi ejaan atau domain berbeda untuk meniru situs resmi dan mengumpulkan informasi pribadi maupun perbankan. (IC3)

4. Meminta Password, PIN, atau OTP

Permintaan informasi sensitif secara tiba-tiba merupakan tanda yang perlu dicurigai.

Kode OTP khususnya tidak seharusnya diberikan kepada orang lain.

Panduan dari Komdigi turut mengingatkan pengguna agar tidak membagikan OTP serta mewaspadai berbagai bentuk phishing, smishing, vishing, dan pharming. (BPT Komdigi)

5. Menggunakan Lampiran Tidak Dikenal

Pesan phishing tidak selalu meminta korban memasukkan data.

Beberapa serangan menggunakan lampiran untuk mengirim malware.

Lampiran dapat dibuat menyerupai:

• faktur;
• bukti pembayaran;
• surat undangan;
• dokumen perusahaan;
• pemberitahuan pajak;
• laporan transaksi.

Jika dokumen datang tanpa konteks yang jelas, jangan langsung membukanya.

FTC memperingatkan bahwa tautan atau lampiran dalam pesan phishing dapat membawa pengguna ke halaman pencurian informasi atau memasang perangkat lunak berbahaya. (Consumer Advice)

6. Penawaran Terlalu Menggiurkan

Hadiah besar, voucher gratis, bantuan pemerintah, kuota internet gratis, atau pengembalian dana sering digunakan untuk menarik perhatian.

Pada Februari 2026, misalnya, Komdigi menemukan tautan palsu yang beredar di Facebook dengan klaim menawarkan internet gratis selama Ramadan. Tautan tersebut bukan mengarah ke situs resmi layanan yang dicatut, melainkan meminta nama lengkap serta nomor Telegram. Komdigi mengategorikannya sebagai modus phishing untuk memperoleh data pribadi. (Kementerian Komunikasi dan Digital)

Kasus seperti itu menunjukkan pentingnya mengecek promosi langsung melalui saluran resmi penyedia layanan.

Jenis-Jenis Phishing yang Banyak Digunakan

Phishing kini tidak terbatas pada email.

Email phishing merupakan bentuk paling umum, yaitu pengiriman pesan palsu kepada banyak pengguna.

Spear phishing lebih terarah. Pelaku mempelajari calon korban terlebih dahulu sebelum mengirim pesan yang dibuat seolah relevan dengan pekerjaan atau aktivitas korban.

Smishing menggunakan SMS atau aplikasi pesan untuk menyebarkan tautan palsu.

Sementara itu, vishing dilakukan melalui panggilan telepon atau pesan suara. Pelaku dapat berpura-pura menjadi petugas bank, perusahaan teknologi, aparat, atau anggota keluarga.

Ada pula website spoofing, yaitu pembuatan situs palsu yang tampilannya menyerupai situs resmi.

Teknik lain menggunakan QR code yang mengarahkan pengguna menuju halaman berbahaya. Bentuk ini sering disebut QR phishing atau quishing.

Meskipun media yang digunakan berbeda, prinsipnya tetap sama: membuat korban percaya bahwa komunikasi tersebut berasal dari pihak yang sah.

Bagaimana Cara Menghindari Phishing?

Langkah pertama adalah tidak terburu-buru.

Apabila menerima pesan mengenai akun, transaksi, pembayaran, atau keamanan, buka aplikasi atau situs resmi secara terpisah.

Jangan menggunakan link dalam pesan tersebut.

FTC menyarankan pengguna yang menerima pesan mencurigakan untuk menghubungi perusahaan melalui nomor telepon atau situs yang sudah diketahui keasliannya, bukan melalui informasi kontak yang tercantum dalam pesan mencurigakan. (Consumer Advice)

Selanjutnya, aktifkan autentikasi dua faktor atau multi-factor authentication (MFA) pada akun penting. Sistem ini memberikan lapisan perlindungan tambahan apabila password berhasil diketahui oleh pihak lain.

Pengguna juga sebaiknya:

• menggunakan password berbeda untuk setiap akun penting;
• memperbarui sistem operasi dan aplikasi;
• mengaktifkan filter spam;
• memeriksa alamat domain sebelum login;
• tidak membagikan OTP;
• menghindari membuka lampiran mencurigakan;
• memverifikasi permintaan pembayaran melalui saluran lain;
• melaporkan dan menghapus pesan phishing.

Langkah sederhana tersebut dapat mengurangi kemungkinan seseorang menjadi korban.

Jangan Mengandalkan Tampilan Situs Saja

Salah satu kesalahan yang cukup umum adalah menganggap sebuah situs aman hanya karena tampilannya profesional.

Halaman phishing modern dapat menyalin warna, logo, tombol, gambar, dan susunan halaman layanan asli.

Karena itu, perhatikan nama domain, bukan sekadar desain.

Jika biasanya pengguna membuka:

perusahaan.com

kemudian diarahkan ke:

perusahaan-verifikasi.xyz

alamat tersebut perlu dicurigai meskipun tampilannya identik.

Cara yang lebih aman adalah mengetik alamat layanan secara langsung atau menggunakan aplikasi resmi yang sudah terpasang.

Apa yang Harus Dilakukan Jika Terlanjur Mengklik Link Phishing?

Mengklik tautan tidak selalu berarti akun langsung diretas. Namun, tindakan selanjutnya perlu dilakukan dengan hati-hati.

Jika hanya membuka halaman dan belum memasukkan informasi, segera tutup situs tersebut.

Apabila sudah memberikan password, ubah kata sandi melalui situs atau aplikasi resmi.

Kemudian keluarkan sesi login dari perangkat lain jika layanan menyediakan fitur tersebut.

Jika informasi perbankan atau kartu pembayaran sudah diberikan, segera hubungi penyedia layanan keuangan melalui kanal resmi.

Sementara itu, apabila file mencurigakan sempat diunduh atau dibuka, perbarui perangkat lunak keamanan dan lakukan pemeriksaan terhadap perangkat. FTC merekomendasikan pemeriksaan keamanan ketika pengguna menduga lampiran atau tautan telah memasang perangkat lunak berbahaya. (Consumer Advice)

Kode OTP yang telanjur diberikan juga perlu ditangani dengan cepat karena dapat memberi pelaku akses terhadap transaksi atau akun tertentu.

Phishing dan Tantangan di Era AI

Kemajuan kecerdasan buatan membuat tantangan keamanan digital semakin kompleks.

Pesan penipuan kini dapat dibuat dengan bahasa yang lebih alami. Suara seseorang juga dapat ditiru, sementara gambar atau identitas digital dapat digunakan untuk meningkatkan kepercayaan korban.

Komdigi pada 2026 turut menyoroti semakin canggihnya scam dengan teknologi AI, termasuk kemampuan meniru suara seseorang. (Komdigi Portal)

Kondisi tersebut membuat metode lama seperti hanya mencari kesalahan ejaan tidak lagi cukup.

Pengguna harus mulai menerapkan prinsip verifikasi melalui saluran berbeda.

Jika atasan mengirim pesan mendadak meminta transfer uang, misalnya, hubungi orang tersebut melalui nomor yang sudah tersimpan.

Jika bank mengirim notifikasi mencurigakan, buka aplikasi bank secara langsung.

Dengan demikian, keputusan tidak hanya didasarkan pada tampilan atau isi sebuah pesan.

Kesimpulan

Phishing tetap menjadi ancaman serius karena menyerang salah satu bagian yang paling sulit diamankan dalam teknologi: kepercayaan manusia.

Modusnya dapat muncul melalui email, SMS, aplikasi pesan, telepon, media sosial, QR code, maupun website palsu. Pelaku kemudian menggunakan rasa takut, rasa penasaran, atau tawaran menarik untuk membuat korban mengklik tautan dan menyerahkan informasi penting.

Data IC3 menunjukkan 191.561 pengaduan phishing dan spoofing pada 2025, menjadikannya kategori dengan jumlah laporan tertinggi dalam laporan tersebut.

Karena itu, kebiasaan sederhana seperti memeriksa alamat pengirim, mengecek domain, menghindari tautan mencurigakan, tidak membagikan OTP, serta mengaktifkan autentikasi tambahan menjadi semakin penting.

Di tengah perkembangan teknik penipuan digital, prinsip yang paling aman tetap sederhana: jangan langsung percaya pada sebuah pesan hanya karena terlihat resmi. Verifikasi terlebih dahulu melalui saluran yang benar.