Smishing adalah penipuan siber yang memakai SMS atau aplikasi pesan seperti WhatsApp untuk menipu korban agar mengeklik tautan berbahaya, memasang aplikasi jahat, atau menyerahkan data pribadi. Istilahnya gabungan dari kata "SMS" dan "phishing". Phishing WhatsApp adalah bentuk smishing yang kini paling sering menyasar karyawan di Indonesia.
Banyak orang mengira ancaman ini hanya soal SMS dari nomor asing. Kenyataannya pelaku sudah pindah ke WhatsApp, lengkap dengan file APK palsu, QRIS tiruan, dan akun bisnis yang dibajak.
Panduan ini menjelaskan cara kerja smishing, bedanya dengan phishing dan vishing, modus yang paling aktif di Indonesia, contoh pesan nyata, langkah pencegahan, dan apa yang harus dilakukan jika Anda terlanjur mengeklik.
Smishing menggabungkan dua hal: pesan yang terlihat tepercaya dan rasa mendesak. Pelaku menyamar sebagai bank, kurir, instansi pemerintah, atau bahkan rekan kerja, lalu menyisipkan satu ajakan untuk bertindak cepat.
Pola serangannya hampir selalu sama:
Pesan teks dan WhatsApp punya satu keunggulan bagi penyerang: hampir semua pesan dibaca dalam hitungan menit, sering tanpa kewaspadaan yang sama seperti saat membuka email. Satu pesan yang meyakinkan bisa memancing korban sebelum sempat berpikir panjang.
Smishing mengandalkan tekanan psikologis, bukan kecanggihan teknis. Pelaku memakai empat pemicu yang sudah terbukti efektif. Pertama, otoritas: pesan seolah datang dari bank, kantor pajak, atau atasan. Kedua, urgensi: korban diberi tenggat singkat seperti "24 jam" agar tidak sempat memverifikasi. Ketiga, rasa takut: ancaman "akun diblokir" atau "rekening dibekukan" memancing kepanikan. Keempat, iming-iming: hadiah, cashback, atau diskon yang terlalu bagus untuk jadi kenyataan.
Ketika korban panik atau bersemangat, kemampuan berpikir kritis menurun. Di sinilah letak kerentanan utama, dan inilah alasan pelatihan kesadaran keamanan lebih ampuh daripada sekadar memasang filter teknis.
Ketiganya adalah serangan rekayasa sosial dengan tujuan sama, yaitu mencuri data atau uang. Yang membedakan hanya saluran yang dipakai.
| Jenis | Saluran | Umpan khas |
|---|---|---|
| Phishing | Tautan atau lampiran berbahaya | |
| Smishing | SMS dan WhatsApp | Tautan pendek atau file APK |
| Vishing | Telepon atau pesan suara | Manipulasi langsung lewat suara |
Dalam praktik, satu serangan bisa memakai beberapa saluran sekaligus. Pelaku kerap mengirim smishing terlebih dulu, lalu menelepon korban (vishing) untuk meyakinkan bahwa pesan tadi asli. Karena itu, mengenali pola umumnya lebih berguna daripada menghafal satu jenis saja.
Di Indonesia, phishing adalah kategori penyalahgunaan domain yang paling dominan. Data IDADX yang dikelola PANDI pada kuartal IV 2024 mencatat 85.414 laporan phishing pada domain .id, dengan sektor finansial sebagai target utama, yaitu sekitar 41,7% dari total laporan.
Bisnis juga menjadi sasaran langsung. Sepanjang 2024, Kaspersky memblokir 85.908 upaya phishing keuangan yang menargetkan perusahaan di Indonesia, menempatkan Indonesia di posisi kedua se-Asia Tenggara.
Bagi perusahaan, risikonya berlipat. Satu karyawan yang ponselnya terinfeksi lewat APK palsu, sementara perangkat yang sama dipakai membuka email kerja atau VPN, bisa membuka jalan masuk ke seluruh jaringan. Inilah yang disebut risiko BYOD (bring your own device), saat perangkat pribadi yang kurang terlindungi dipakai untuk urusan kerja.
Indonesia punya karakter serangan yang khas. Berikut empat modus yang paling aktif saat ini, lengkap dengan cara mengenalinya.
Korban menerima pesan WhatsApp berisi file bernama "Undangan Pernikahan Digital.apk" atau "Surat Tilang Elektronik.apk". Setelah dipasang, aplikasi meminta izin membaca SMS, termasuk kode OTP perbankan. Pelaku lalu menguras rekening korban dalam hitungan menit.
Cara mengenali: file resmi tidak pernah dibagikan dalam format .apk lewat WhatsApp. Undangan digital yang asli berupa tautan ke situs atau gambar, bukan aplikasi yang harus dipasang.
Pelaku menempel stiker QRIS palsu di atas QRIS asli sebuah toko atau warung. Pembeli yang memindai kode tersebut justru mengirim uang ke rekening penipu. Modus ini tidak melibatkan tautan, sehingga lebih sulit dikenali.
Cara mengenali: periksa nama penerima di layar konfirmasi sebelum menekan bayar. Nama itu harus sama dengan nama toko, bukan nama pribadi yang tidak dikenal.
Pelaku mengumpulkan data pribadi korban dari media sosial atau kebocoran data, lalu menghubungi operator seluler sambil menyamar sebagai korban untuk memindahkan nomor ke SIM baru. Setelah berhasil, semua OTP yang dikirim ke nomor itu masuk ke perangkat pelaku.
Cara mengenali: sinyal di ponsel Anda tiba-tiba hilang tanpa alasan, padahal area sekitar normal. Ini tanda nomor mungkin sudah dipindahkan.
Pesan datang dari akun WhatsApp Business yang tampak resmi, sering kali hasil pembajakan akun bisnis terverifikasi. Isinya khas: "Akun WhatsApp Anda akan dinonaktifkan, klik tautan ini untuk verifikasi." Tautan mengarah ke halaman login WhatsApp palsu yang mencuri nomor dan OTP.
Cara mengenali: WhatsApp tidak pernah meminta kode verifikasi lewat tautan. Kode hanya muncul di aplikasi resmi, dan tidak boleh dibagikan kepada siapa pun.
Keempat modus ini punya satu kesamaan: semuanya memanfaatkan rasa percaya, baik pada nomor yang dikenal, merek yang familiar, maupun situasi mendesak.
Berikut tiga contoh pesan smishing yang beredar di Indonesia (nama dan angka diubah).
Contoh 1, mengatasnamakan bank:
"Yth Nasabah BCA, kartu debit Anda terblokir. Segera verifikasi di: bit.ly/[kodeacak]. CS BCA"
Tanda bahaya: alamat tautan disingkat dan bukan domain resmi (klikbca.com), serta menimbulkan panik lewat kata "terblokir".
Contoh 2, paket tertahan:
"Paket Anda tertahan di gudang. Bayar bea Rp15.000 via link: j.mp/[kodeacak] atau paket dikembalikan."
Tanda bahaya: nominal kecil agar tidak mencurigakan, padahal tautan menuju halaman yang mencuri data kartu.
Contoh 3, hadiah palsu:
"[TOKOPEDIA] Selamat! Anda memenangkan hadiah Rp5.000.000. Klaim sebelum 24 jam: toped-promo.xyz"
Tanda bahaya: domain tidak resmi (toped-promo.xyz, bukan tokopedia.com) dan desakan waktu 24 jam.
Polanya selalu berulang: ada urgensi, iming-iming, atau ancaman, ditambah tautan yang tidak cocok dengan domain resmi pengirim. Untuk daftar yang lebih lengkap, lihat panduan kami soal ciri SMS atau telepon penipuan yang harus diwaspadai.
Pencegahan yang andal menggabungkan kebiasaan pribadi yang waspada dengan kebijakan perusahaan yang jelas. Keduanya saling melengkapi.
Untuk individu:
Untuk perusahaan:
Jika Anda atau karyawan Anda sudah mengeklik tautan atau memasang APK mencurigakan, kecepatan menentukan besar kecilnya kerugian. Ikuti urutan ini.
Apa yang dimaksud dengan smishing?
Smishing adalah serangan phishing yang memakai SMS atau aplikasi pesan seperti WhatsApp untuk menipu korban agar mengeklik tautan berbahaya, memasang aplikasi jahat, atau menyerahkan data pribadi. Istilahnya gabungan dari kata SMS dan phishing.
Apa bedanya smishing dengan phishing biasa?
Phishing umumnya merujuk pada serangan lewat email, sedangkan smishing memakai pesan teks atau aplikasi chat seperti WhatsApp. Smishing cenderung lebih cepat berhasil karena pesan SMS dan WhatsApp hampir selalu dibaca dalam hitungan menit.
Apakah phishing WhatsApp termasuk smishing?
Ya. Phishing WhatsApp adalah bentuk smishing yang paling umum saat ini. Pelaku memilih WhatsApp karena pengguna lebih percaya pada pesan dari kontak dibanding SMS dari nomor asing.
Apa yang terjadi jika saya membuka link smishing?
Jika tautan mengarah ke situs phishing, data yang Anda masukkan seperti username, password, atau PIN langsung dikirim ke pelaku. Jika tautan mengunduh file APK, perangkat Anda bisa terinfeksi malware yang mencuri kode OTP dan data keuangan.
Bagaimana cara melaporkan smishing di Indonesia?
Anda dapat melaporkan konten penipuan ke Komdigi melalui aduankonten.id atau ke BSSN di bssn.go.id. Untuk kerugian finansial, laporan dapat diajukan ke kepolisian melalui patrolisiber.id.