Pencuri akun lebih suka membujuk daripada membobol
Membobol sistem keamanan pedagang aset kripto itu sulit dan mahal. Membujuk satu orang untuk mengetikkan sandinya di tempat yang salah jauh lebih murah. Itulah mengapa dua modus ini begitu sering muncul: phishing, yang menipu korban agar menyerahkan data login, dan SIM swap, yang merebut nomor telepon korban untuk menerima kode verifikasi.
Phishing: umpan yang terlihat resmi
Istilah phishing berasal dari kata fishing, memancing. Pelaku melempar umpan berupa pesan, surel, iklan, atau situs yang tampak resmi, lalu menunggu korban "menggigit" dengan mengetikkan data rahasia.
Bentuk yang sering ditemui
- Surel atau SMS mendesak. "Akun Anda akan dibekukan dalam 24 jam, verifikasi sekarang." Tautannya mengarah ke situs tiruan.
- Iklan di hasil pencarian. Situs palsu bisa membeli iklan agar muncul di atas situs asli saat orang mengetik nama aplikasi.
- Akun layanan pelanggan palsu. Anda mengeluh di media sosial, lalu "admin" menghubungi lewat pesan pribadi dan meminta data.
- Tautan hadiah atau airdrop. Situs meminta Anda "menghubungkan dompet" atau memasukkan seed phrase untuk klaim.
- Aplikasi tiruan. Berkas aplikasi yang dikirim lewat pesan, atau aplikasi dengan nama mirip di luar toko resmi.
Cara mengenali situs tiruan
Periksa alamat situs secara utuh, bukan hanya logonya. Perhatikan huruf yang ditukar (misalnya huruf l dengan angka 1), tambahan kata seperti "-login" atau "-verify", dan akhiran domain yang berbeda. Cara paling aman adalah tidak pernah masuk lewat tautan, melainkan selalu dari aplikasi resmi yang sudah terpasang atau dari penanda (bookmark) yang Anda buat sendiri.
SIM swap: nomor Anda dipindah ke tangan orang lain
Pada SIM swap, pelaku berusaha agar nomor telepon korban dipindahkan ke kartu SIM baru miliknya. Caranya bisa lewat rekayasa sosial ke gerai atau layanan operator dengan data pribadi korban yang sudah bocor, atau dengan bantuan orang dalam. Begitu berhasil, semua SMS dan panggilan, termasuk kode verifikasi dan tautan reset sandi, jatuh ke tangan pelaku.
Tanda-tanda yang perlu diwaspadai
- Sinyal tiba-tiba hilang total ("tidak ada layanan") padahal biasanya kuat di lokasi itu.
- Pemberitahuan dari operator tentang penggantian kartu yang tidak Anda minta.
- Surel pemberitahuan perubahan sandi atau login dari perangkat baru.
- Teman melaporkan menerima pesan aneh dari nomor Anda.
Cara mengurangi risikonya
- Jangan jadikan SMS sebagai satu-satunya 2FA untuk akun keuangan. Pindah ke aplikasi autentikator atau kunci fisik seperti dijelaskan di pelajaran 2FA.
- Batasi penyebaran data pribadi seperti nomor KTP, nama ibu kandung, dan tanggal lahir, karena data inilah yang dipakai pelaku untuk menyamar.
- Tanyakan ke operator apakah tersedia pengamanan tambahan untuk penggantian kartu SIM pada nomor Anda.
- Jangan memamerkan kepemilikan kripto di media sosial. Target yang terlihat "kaya kripto" lebih menarik bagi pelaku.
Skenario: pesan dari "tim keamanan"
Sari menerima SMS: "Ada upaya penarikan dari akun Anda. Jika bukan Anda, batalkan di tautan ini." Tautannya membuka halaman yang sangat mirip aplikasi pedagangnya. Sari mengetik surel dan sandi, lalu diminta kode 2FA. Beberapa detik kemudian, pelaku memakai sandi dan kode yang baru saja diketik Sari untuk masuk ke akun asli.
Apa yang seharusnya dilakukan Sari? Mengabaikan tautan, membuka aplikasi resmi secara langsung, dan memeriksa riwayat aktivitas di sana. Jika memang ada aktivitas mencurigakan, aplikasi resmi akan menampilkannya.
Langkah darurat jika akun sudah dibobol
- Bekukan akun. Hubungi pedagang aset kripto melalui kanal resmi di aplikasi atau situsnya, minta akun dibekukan sementara.
- Amankan surel dan nomor telepon. Ganti sandi surel dari perangkat yang bersih, keluarkan semua sesi, dan hubungi operator bila curiga SIM swap.
- Kumpulkan bukti. Tangkapan layar pesan, alamat situs palsu, waktu kejadian, riwayat transaksi, dan alamat tujuan aset.
- Laporkan. Ke pedagang terkait, ke bank bila ada dana rupiah yang terlibat, dan ke kanal pengaduan OJK. Untuk penawaran investasi ilegal, laporkan juga ke Satgas PASTI.
- Waspadai "jasa pemulihan". Setelah menjadi korban, Anda mungkin dihubungi pihak yang menjanjikan bisa mengembalikan aset dengan bayaran di muka. Ini hampir selalu penipuan lapis kedua.
Pencurian akun hanyalah satu bentuk kejahatan. Bentuk lain membujuk korban menyetor sendiri dengan janji keuntungan, dan polanya kita bedah di pelajaran modus penipuan kripto.
