Rekayasa sosial lewat WhatsApp dan telepon: modus dan pencegahan
Dari berkas APK berkedok undangan hingga permintaan kode OTP, penipu menyasar orangnya, bukan sistemnya.
Modus umum: berkas APK berkedok dokumen, permintaan kode OTP, dan penyamaran sebagai atasan atau petugas.
Jangan pasang aplikasi dari berkas kiriman chat, dan jangan pernah membagikan OTP.
Aktifkan verifikasi dua langkah di WhatsApp dan konfirmasi permintaan janggal lewat saluran lain.
Rekayasa sosial adalah teknik memanipulasi orang agar melakukan sesuatu yang menguntungkan penyerang. Aplikasi pesan dan telepon menjadi jalur favorit karena terasa pribadi, cepat, dan jarang terpantau oleh sistem keamanan perusahaan.
Modus yang banyak beredar
- Berkas APK berkedok dokumen. Pesan berisi "undangan pernikahan", "resi paket", atau "surat tilang" dengan lampiran berakhiran
.apk. Bila dipasang, aplikasi itu bisa membaca SMS, termasuk kode OTP perbankan. - Permintaan kode OTP. Penipu mengaku salah kirim kode atau menyamar sebagai layanan pelanggan, lalu meminta enam digit yang baru masuk. Kode itu dipakai untuk mengambil alih akun.
- Menyamar sebagai atasan. Nomor baru dengan foto profil direktur meminta staf membeli voucher atau mentransfer dana secepatnya.
- Petugas palsu. Telepon dari "bank", "kurir", atau "instansi pemerintah" yang menyebut ada masalah dan mengarahkan korban ke tautan atau aplikasi tertentu.
- Akun teman yang dibajak. Permintaan pinjaman uang dari kontak yang dikenal, padahal akunnya sudah diambil alih.
Mengapa orang mudah terjebak
Hampir semua modus memakai tekanan yang sama: desakan waktu, wibawa pihak yang berwenang, rasa takut akan denda atau pemblokiran, dan keengganan menolak permintaan atasan. Mengenali tekanan itu sering lebih berguna daripada menghafal daftar modus, karena modusnya terus berganti.
Pencegahan untuk karyawan
- Jangan memasang aplikasi dari berkas yang dikirim lewat chat. Dokumen asli tidak berformat
.apk. - Jangan pernah membagikan kode OTP atau PIN kepada siapa pun, termasuk orang yang mengaku petugas.
- Aktifkan verifikasi dua langkah di WhatsApp (Setelan → Akun → Verifikasi dua langkah).
- Bila ada permintaan uang atau data, hubungi orangnya lewat nomor yang sudah lama tersimpan.
- Akhiri panggilan yang mendesak, lalu hubungi sendiri nomor resmi instansinya.
Pencegahan untuk perusahaan
- Tetapkan bahwa perintah pembayaran tidak pernah sah bila hanya datang lewat chat.
- Sediakan satu saluran pelaporan yang mudah, dan jangan menghukum karyawan yang melapor setelah terlanjur tertipu.
- Pisahkan data kerja di ponsel dengan pengelolaan perangkat (MDM), dan blokir pemasangan aplikasi dari luar toko resmi.
- Bagikan contoh modus terbaru secara rutin dalam pesan singkat, bukan pelatihan panjang setahun sekali.
Jika sudah terlanjur
Putuskan koneksi internet ponsel, hubungi bank untuk memblokir rekening dan kartu, ganti kata sandi dari perangkat lain, lalu hapus aplikasi yang mencurigakan atau setel ulang ponsel. Laporkan ke tim TI agar akun kerja bisa diperiksa, dan kabari kontak Anda bila akun WhatsApp sempat diambil alih.