Mengenali phishing

Pada alamat example.com.account-check.example, situs yang sebenarnya memiliki halaman itu adalah account-check.example; example.com di depan hanyalah label yang dipilih pemiliknya.

SMS paket yang tidak pernah dikirim kurir

Ini contoh SMS rekaan yang sering kita lihat: "Paket Anda tidak dapat dikirim karena alamat tidak lengkap. Perbarui dalam 24 jam", lalu sebuah tautan pendek. Kalau kamu sedang menunggu kiriman, jempolmu sudah siap menekan tautan itu. Itulah phishing: pesan yang dirancang agar kamu membuka lampiran berbahaya, mengeklik tautan ke situs palsu, atau menyerahkan data pribadi atau keuangan. Phishing datang lewat email, SMS (sering disebut smishing), aplikasi pesan, dan telepon.

Tanda-tanda dalam satu SMS pendek itu

CISA mendaftar tanda-tanda yang umum, dan SMS paket tadi punya sebagian besar di antaranya. Bahasa yang mendesak atau emosional, dengan ancaman masalah kalau kamu tidak bertindak sekarang. Permintaan data pribadi atau keuangan. Tautan pendek yang tidak tepercaya. Alamat pengirim atau tautan yang sedikit salah, dengan satu huruf tertukar atau kata tambahan. Namun, satu tanda lama tidak berlaku lagi. Dulu phishing mudah dikenali dari ejaan dan tata bahasanya yang buruk, tetapi CISA mencatat bahwa di era AI sebagian pesan kini tata bahasa dan ejaannya sempurna. Jadi, lihat apa yang diminta pesan itu darimu, bukan seberapa bagus tulisannya. Rekening bank yang "diblokir demi keamananmu", hadiah dari undian yang tidak pernah kamu ikuti, anggota keluarga dengan nomor baru yang butuh uang hari ini: semuanya mendorongmu bertindak sebelum berpikir.

Membaca tautan dari kanan

Sebelum mengetuk tautan, lihat nama host-nya: bagian setelah https:// dan sebelum garis miring tunggal pertama. Bacalah dari kanan. Dua bagian terakhir (atau tiga, untuk alamat seperti .co.kr) menyebut organisasi yang mengendalikannya, dan semua yang ada di kirinya adalah label pilihan organisasi itu. Jadi login.example.com milik example.com, tetapi example.com.account-check.example milik account-check.example. Di ponsel, tekan lama sebuah tautan untuk melihat alamat lengkapnya tanpa membukanya. Passkey juga membantu di sini, karena passkey sama sekali tidak mau bekerja di situs yang bukan aslinya. (Semua alamat di halaman ini memakai nama yang dicadangkan untuk contoh, seperti example.com dan akhiran .example, jadi tidak ada yang merupakan situs sungguhan.)

Periksa lewat jalur lain, lalu laporkan

CISA memberi tiga kiat: kenali, tahan diri, lalu hapus, dan tanda-tanda di atas adalah kiat pertama. Tahan diri artinya kamu tidak mengeklik tautan atau membuka lampiran dalam pesan yang meragukan, dan tidak membalasnya, bahkan ke tautan "berhenti berlangganan". Kalau pesan itu mengaku dari perusahaan yang kamu pakai, buka aplikasinya atau ketik sendiri alamatnya dan periksa di sana. Kalau mengaku dari orang yang kamu kenal, telepon dia di nomor yang sudah kamu simpan. Lalu hapus pesannya, setelah melaporkannya dengan pilihan "laporkan spam" atau "laporkan phishing" di aplikasi email atau pesanmu. Di Korea, KISA mengelola saluran gratis 118 untuk masalah peretasan, spam, dan data pribadi; menunya juga meneruskan laporan voice phishing dan smishing ke polisi. Situs Boho Nara milik KISA (boho.or.kr) menyediakan layanan untuk memeriksa SMS yang mencurigakan.

Panggilan telepon mengikuti pola yang sama. Penelepon mengaku dari bankmu, perusahaan pengiriman, polisi, atau kantor kejaksaan, mengatakan rekeningmu terlibat kejahatan, lalu memintamu memindahkan uang, memasang aplikasi, atau membacakan sebuah kode. Lembaga sungguhan tidak meminta hal itu lewat telepon. Tutup teleponnya, cari sendiri nomor resminya, lalu telepon balik. Jangan pernah memasang aplikasi atau program kendali jarak jauh karena disuruh penelepon.