Cara Mengenali Email Phishing: 12 Tanda Bahaya (Lengkap dengan Contoh yang Mirip Asli)

Apa sebenarnya phishing itu (dalam satu menit)

Phishing adalah pesan yang berpura-pura datang dari pihak yang kamu percaya, misalnya bank, jasa pengiriman, Netflix, atasanmu, atau bahkan teman sendiri, supaya kamu menyerahkan sesuatu yang berharga. Biasanya itu berupa kata sandi, kode sekali pakai (OTP), data kartu, atau sekadar satu klik pada link yang diam-diam memasang sesuatu yang berbahaya.

Phishing laku karena murah. Penipu bisa mengirim sejuta email nyaris tanpa biaya, dan kalau cuma segelintir orang yang tertipu, itu sudah untung. Jadi email-email ini dirancang untuk kecepatan: mereka ingin kamu bereaksi sebelum sempat berpikir. Memperlambat diri selama sepuluh detik jujur saja adalah pertahanan terbaik yang kamu punya, dan tanda-tanda bahaya di bawah ini memberi tahu apa yang perlu kamu perhatikan selama sepuluh detik itu.

12 tanda bahaya

1. Alamat pengirim tidak cocok dengan perusahaannya

Nama tampilan bisa diisi apa saja. "PayPal Support" hanyalah teks biasa. Yang penting adalah alamat email sebenarnya di belakang nama itu. Ketuk atau arahkan kursor ke nama pengirim untuk melihatnya.

• Terlihat aman: [email protected]
• Tanda bahaya: [email protected]
• Tanda bahaya: [email protected]

Perusahaan besar mengirim email dari domain mereka sendiri. Mereka tidak akan mengirimimu email dari alamat Gmail atau Outlook gratisan, dan mereka juga tidak menempelkan kata tambahan seperti "secure", "verify", atau "account" pada nama mereka.

2. Ejaan domain yang dibuat mirip

Penipu mendaftarkan domain yang sekilas terlihat benar: arnazon.com (r + n mirip m), paypa1.com (angka 1, bukan huruf l), atau micros0ft.com (angka nol, bukan huruf o). Di layar HP yang kecil, ini sangat sulit dikenali, dan justru karena itulah trik ini dipakai. Baca domainnya pelan-pelan, huruf demi huruf.

3. Mendesak dan mengancam

"Akun kamu akan ditutup dalam 24 jam." "Pemberitahuan terakhir." "Kami akan mengambil tindakan hukum." Perusahaan asli jarang sekali memberimu hitung mundur lewat email. Rasa mendesak itu sengaja dibuat supaya kamu berhenti berpikir. Setiap kali sebuah email membuatmu merasa terburu-buru atau takut, anggap perasaan itu sendiri sebagai tanda peringatan.

4. Link-nya mengarah ke tempat lain

Tombolnya mungkin bertuliskan "Masuk ke akun kamu", tapi sebenarnya mengarah ke mana? Di komputer, arahkan kursor ke link tersebut dan lihat alamatnya di pojok bawah browser. Di HP, tekan dan tahan link-nya untuk melihat pratinjau tanpa membukanya.

• Emailnya mengaku dari bank kamu, tapi link-nya mengarah ke secure-login-bank.xyz
• Link-nya diawali nama yang benar, tapi domain aslinya ada di belakang: https://netflix.com.account-update.info/login (situs sebenarnya di sini adalah account-update.info, bukan Netflix)

5. Sapaan yang umum

"Pelanggan yang terhormat", "Pengguna yang terhormat", atau "Halo member setia". Perusahaan tempat kamu punya akun biasanya tahu namamu. Sapaan umum memang tidak otomatis membuktikan email itu palsu, tapi kalau digabung dengan tanda bahaya lain di daftar ini, itu petunjuk yang kuat.

6. Meminta kata sandi, kode, atau data kartu

Yang ini simpel: tidak ada bank, toko, atau penyedia email asli yang akan memintamu membalas dengan kata sandi, nomor kartu lengkap, atau kode OTP yang baru saja mereka kirim lewat SMS. Kode itu ada justru supaya hanya kamu yang bisa memakainya. Kalau ada yang memintanya, entah lewat email, chat, atau telepon, itu penipuan. Selalu.

7. Lampiran yang tidak kamu harapkan

"Invoice_0423.zip", "Payment_details.html", "Scanned_document.pdf.exe". Lampiran tak terduga, terutama file ZIP, file HTML, atau apa pun yang memintamu "aktifkan pengeditan" atau "aktifkan makro", adalah cara klasik untuk memasang malware. Kalau kamu tidak sedang menunggu tagihan, jangan buka tagihannya.

8. Penawaran yang terlalu bagus untuk jadi kenyataan

"Kamu memenangkan iPhone 16." "Klaim voucher belanja senilai $500." "Pengembalian pajak sebesar $1.240 sedang menunggumu." Kamu tidak ikut undian apa pun, jadi kamu juga tidak menang apa-apa. Email seperti ini biasanya mengarah ke formulir yang meminta data kartumu "untuk biaya pengiriman".

9. Tata bahasa dan format yang aneh (tapi jangan terlalu mengandalkannya)

Kalimat yang janggal, huruf kapital acak, dan logo yang buram dulu jadi ciri paling gampang. Sekarang banyak email phishing ditulis dengan bantuan AI dan terlihat sangat rapi. Jadi anggap tata bahasa yang buruk sebagai petunjuk tambahan saja, jangan jadikan tes utama. Email yang ditulis dengan baik pun tetap bisa palsu.

10. Alamat balasan (reply-to) berbeda dengan pengirim

Ada email phishing yang datang dari alamat yang tampak asli, tapi diam-diam memasang alamat "reply-to" yang berbeda. Kamu tekan Balas, dan jawabanmu malah terkirim ke penipu. Kalau kamu mau membalas dengan informasi sensitif, cek dulu alamat di kolom "Kepada" pada balasanmu.

11. Sesuatu yang tidak pernah kamu daftarkan

Notifikasi pengiriman dari kurir yang tidak pernah kamu pakai, reset kata sandi yang tidak kamu minta, atau struk pembelian yang tidak pernah kamu lakukan. Penipu mengirim ini dengan harapan kamu akan klik untuk "membatalkan" atau "mengajukan komplain" atas pesanan itu. Jangan pakai link di email tersebut. Kalau khawatir, buka aplikasi perusahaannya atau ketik sendiri alamat situsnya.

12. Peringatan autentikasi dari aplikasi email kamu

Gmail, Outlook, dan Apple Mail diam-diam memeriksa apakah sebuah email benar-benar berasal dari domain yang diakuinya. Kalau pemeriksaan itu gagal, kamu mungkin melihat peringatan seperti "Pesan ini mungkin bukan dari pengirim yang tertera", atau tanda tanya di tempat foto pengirim. Tanggapi peringatan itu dengan serius. Kalau kamu penasaran bagaimana pemeriksaan itu bekerja, saya menjelaskannya dengan bahasa sederhana di penjelasan SPF, DKIM, dan DMARC.

Contoh yang mirip asli, kita bedah bersama

Ini contoh email yang masuk ke kotak masuk orang setiap hari:

Dari: Amazon Customer Service <[email protected]>
Subjek: Tindakan diperlukan: pesanan #112-8842 kamu telah ditangguhkan

Pelanggan yang terhormat,
Kami tidak dapat memverifikasi informasi pembayaran Anda. Pesanan dan akun Anda akan dibatalkan dalam 24 jam kecuali Anda mengonfirmasi data Anda.

[Verifikasi akun saya]

Yuk, kita hitung tanda bahayanya:

1. Domainnya amaz0n-orders-support.com, pakai angka nol dan kata-kata tambahan. Amazon tidak mengirim email dari sana.
2. "Pelanggan yang terhormat", bukan namamu.
3. Ancaman 24 jam.
4. Pesanan yang kemungkinan besar tidak kamu kenali.
5. Tombol yang, kalau kamu tekan dan tahan, ternyata mengarah ke situs yang tidak ada hubungannya.

Lima tanda bahaya hanya dalam beberapa baris. Langkah yang tepat: hapus emailnya, atau buka sendiri aplikasi Amazon dan cek pesananmu. Kalau memang ada masalah, kamu akan melihatnya di sana.

Apa yang harus dilakukan kalau sudah terlanjur klik

Pertama: jangan panik, dan jangan merasa bodoh. Email seperti ini dibuat oleh orang-orang yang pekerjaan utamanya memang menipu orang lain. Yang penting sekarang adalah bertindak cepat:

1. Kalau kamu hanya membuka emailnya: hampir pasti kamu aman. Hapus saja.
2. Kalau kamu klik link-nya tapi tidak mengetik apa pun: tutup halamannya. Jalankan pemindaian keamanan di perangkatmu kalau ada.
3. Kalau kamu memasukkan kata sandi: segera ganti kata sandinya di situs yang asli (ketik sendiri alamatnya), dan ganti juga di semua tempat lain yang memakai kata sandi yang sama.
4. Kalau kamu memasukkan data kartu: telepon bank kamu lewat nomor yang tertera di balik kartu dan minta kartunya diblokir.
5. Kalau kamu membagikan kode OTP: segera masuk ke akun tersebut, ganti kata sandinya, dan keluarkan semua sesi lain.
6. Aktifkan verifikasi dua langkah untuk email, bank, dan akun belanja kamu kalau belum.

Laporkan, karena itu membantu semua orang

Gunakan opsi "Laporkan phishing" atau "Laporkan spam" di aplikasi email kamu. Di Gmail, opsinya ada di menu titik tiga, dan di Outlook ada di bawah "Laporkan". Ini melatih filter yang melindungi jutaan orang lain. Banyak perusahaan juga punya alamat khusus untuk ini, misalnya kamu bisa meneruskan email PayPal palsu ke [email protected]. Di AS kamu juga bisa melapor ke FTC di reportfraud.ftc.gov, dan di Inggris ke [email protected].

Kurangi email phishing sejak awal

Kamu tidak akan pernah bisa bebas sepenuhnya dari phishing, tapi kamu bisa membuat kotak masukmu jadi target yang jauh lebih kecil:

• Jangan berikan alamat email utamamu ke setiap situs, kuis berhadiah, dan unduhan gratis. Makin sedikit tempat alamatmu tersimpan, makin sedikit pula daftar yang memuatnya.
• Untuk pendaftaran sekali pakai, gunakan alamat email sementara. Kalau situs itu kelak dibobol atau menjual daftarnya, sampahnya masuk ke kotak masuk yang akan hilang dengan sendirinya.
• Pakai pengelola kata sandi (password manager). Aplikasi ini tidak akan mengisi otomatis kata sandimu di paypa1.com, sehingga ternyata jadi pendeteksi phishing yang cukup andal.
• Selalu perbarui HP dan browser kamu, karena pembaruan menutup celah yang ingin dimanfaatkan oleh link berbahaya.

Kalau alamatmu sudah pernah bocor, lihat apa yang harus dilakukan saat email kamu bocor dalam kebocoran data, dan untuk kebiasaan sehari-hari, baca praktik terbaik privasi email ini.

Kebiasaan sepuluh detik

Kalau kamu cuma ingat satu hal dari artikel ini, ingat yang ini: saat sebuah email ingin kamu bertindak cepat, berhentilah sejenak selama sepuluh detik. Cek siapa pengirim sebenarnya, tahan link-nya untuk melihat ke mana arahnya, dan kalau ada yang terasa janggal, buka sendiri situsnya alih-alih mengeklik. Jeda kecil itu sudah cukup untuk mengalahkan sebagian besar email phishing di luar sana.

Tetap aman, ya. Dan kalau kamu pernah menemukan trik phishing cerdik yang belum ada di daftar ini, saya benar-benar ingin mendengarnya. Kamu bisa menemukan kontak saya tepat di bawah ini.