Phising: Membongkar Bagaimana Satu Klik Bisa Membuka Jalan ke Pencurian Data

Phising bukan sekadar pesan mencurigakan yang masuk ke ponsel. Di balik tautan yang tampak biasa, dapat terdapat situs palsu, pencurian kredensial, pengambilalihan akun, hingga akses menuju kerugian finansial. Karena itu, memahami cara kerja serangan lebih penting daripada sekadar menghafal ciri-ciri pesan mencurigakan.

PANDI melalui Indonesia Domain Abuse Data Exchange (IDADX) mencatat 32.535 URL terindikasi penyalahgunaan domain sepanjang Januari–Juni 2026. Dari temuan tersebut, 6.491 laporan dikategorikan sebagai phishing. Data itu menunjukkan bahwa penyalahgunaan domain merupakan bagian dari ekosistem kejahatan digital yang terus dipantau.

Apa Itu Phising?

Phising adalah metode penipuan digital yang memancing korban agar menyerahkan informasi sensitif atau melakukan tindakan yang menguntungkan pelaku. Modusnya dapat menggunakan email, pesan instan, media sosial, situs web palsu, atau komunikasi lain yang dibuat menyerupai pihak tepercaya.

Istilah yang benar dalam literatur keamanan siber adalah phishing. Namun, istilah phising juga kerap digunakan dalam komunikasi publik berbahasa Indonesia. Keduanya merujuk pada teknik serangan yang sama.

Tujuan utamanya bukan sekadar membuat korban membuka tautan. Pelaku dapat mengejar username, password, PIN, kode OTP, informasi kartu, data pribadi, atau akses ke akun. Data yang dicuri kemudian dapat digunakan untuk serangan berikutnya.

Bagaimana Phising Bekerja?

Serangan biasanya dimulai dengan situasi yang membuat korban merasa harus segera bertindak. Pesan dapat mengatasnamakan bank, marketplace, kurir, instansi pemerintah, perusahaan, atau orang yang dikenal.

Setelah korban percaya, pelaku mengarahkan korban ke sebuah tautan. Tautan tersebut dapat membawa korban menuju halaman login palsu yang menyerupai layanan asli. Ketika korban memasukkan data, informasi tersebut dapat diterima oleh pelaku.

Satu klik belum tentu langsung menguras rekening. Risiko bergantung pada tindakan berikutnya. Jika korban memasukkan kredensial, memberikan OTP, mengunduh perangkat lunak berbahaya, atau memberikan izin tertentu, dampaknya dapat menjadi jauh lebih serius.

Mengapa Korban Bisa Percaya?

Kekuatan phishing terletak pada rekayasa sosial. Pelaku tidak hanya mengandalkan teknologi, tetapi juga memanfaatkan psikologi korban.

Pesan dapat dibuat seolah-olah ada masalah yang harus segera diselesaikan: paket tertahan, rekening perlu diverifikasi, pembayaran gagal, akun akan ditutup, atau korban mendapatkan hadiah. Rasa takut, penasaran, dan dorongan untuk segera menyelesaikan masalah dapat mengurangi kewaspadaan.

Inilah sebabnya serangan phishing sering terlihat sederhana. Teknologi di belakangnya mungkin kompleks, tetapi pesan yang diterima korban justru dibuat sesederhana mungkin.

Apa yang Dicari Pelaku?

Data yang dicari bergantung pada tujuan serangan. Kredensial login dapat digunakan untuk mengambil alih akun. Kode OTP dapat digunakan untuk melewati lapisan autentikasi tertentu. Informasi kartu atau rekening dapat menjadi bagian dari penipuan finansial.

Tidak semua serangan phishing memiliki hasil yang sama. Ada yang berhenti pada pencurian data, sementara yang lain menjadi pintu masuk menuju account takeover, malware, atau penipuan finansial.

Hubungannya dengan Penipuan Online

Phishing dan penipuan online tidak selalu identik. Phishing adalah salah satu teknik yang dapat digunakan dalam rangkaian penipuan digital. Korban dapat diarahkan dari pesan palsu menuju halaman yang mengambil kredensial, kemudian data tersebut digunakan dalam tahap berikutnya.

Karena itu, pembahasan tentang phishing juga berkaitan dengan bagaimana penipuan online berkembang menjadi sebuah rangkaian. BERITANDA.ID sebelumnya membahas bagaimana komunikasi digital dapat dimanfaatkan dalam penipuan melalui WhatsApp dan social engineering.

Seberapa Besar Ancaman Phising?

Ancaman ini bukan hanya terjadi di Indonesia. Anti-Phishing Working Group (APWG) mencatat 425.808 serangan phishing pada Juni 2026, angka bulanan tertinggi yang mereka catat sejak April 2023. APWG juga melaporkan serangan phishing meningkat 10,1 persen pada kuartal kedua 2026, sementara smishing meningkat 40 persen dibanding kuartal sebelumnya.

Di Indonesia, data IMDI 2025 menunjukkan 36,3 persen responden tidak mengetahui sama sekali tanda-tanda phishing. Hanya 11,2 persen yang menyatakan tahu, dapat mengatasi, dan mencegah phishing.

Angka tersebut menunjukkan bahwa persoalannya bukan hanya kemampuan pelaku membuat situs palsu, tetapi juga kemampuan masyarakat mengenali ancaman.

Apa yang Harus Dilakukan Jika Terlanjur Membuka Link Phising?

Jika baru membuka tautan tetapi belum memasukkan data atau memberikan izin, jangan melanjutkan interaksi. Tutup halaman dan jangan mengunduh file atau aplikasi yang ditawarkan.

Jika sudah memasukkan username, password, OTP, atau informasi sensitif lain, segera ubah kredensial melalui kanal resmi. Jika data keuangan telah diberikan atau terdapat transaksi yang tidak dikenal, hubungi bank atau penyedia jasa pembayaran secepat mungkin.

Simpan alamat situs, pesan, nomor pengirim, tangkapan layar, dan waktu kejadian. Bukti tersebut dapat membantu proses pelaporan dan penanganan insiden.

Untuk organisasi, BSSN dalam panduan penanganan insiden phishing menekankan pengumpulan informasi yang akurat, meminimalkan dampak, serta mencegah serangan lanjutan.

Mengapa Phising Sulit Dihentikan?

Phishing dapat berubah mengikuti kebiasaan pengguna dan platform yang digunakan. Ketika masyarakat berpindah dari email ke pesan instan atau media sosial, pelaku dapat menyesuaikan kanal yang digunakan.

PANDI menunjukkan bahwa penyalahgunaan domain dapat muncul dalam jumlah besar dan membutuhkan proses deteksi serta validasi. Penanganan tidak cukup hanya menghapus satu situs. Ekosistemnya mencakup domain, hosting, halaman palsu, akun komunikasi, hingga data yang diperoleh dari korban.

FAQ: Phising

Apakah membuka link phising langsung membuat rekening terkuras?

Tidak selalu. Membuka tautan tidak otomatis berarti uang hilang. Risiko meningkat jika korban kemudian memasukkan kredensial, memberikan OTP, mengunduh malware, atau memberikan akses yang diminta pelaku.

Apa yang harus dilakukan setelah terkena phishing?

Hentikan interaksi, jangan berikan data tambahan, ubah kredensial melalui kanal resmi jika sudah memasukkan data, dan hubungi penyedia layanan keuangan jika ada informasi atau transaksi yang terancam.

Apakah phising sama dengan penipuan online?

Tidak persis. Phising merupakan salah satu teknik yang dapat digunakan dalam penipuan online. Penipuan online memiliki cakupan lebih luas, sedangkan phishing secara khusus menggunakan penyamaran atau rekayasa untuk memperoleh informasi atau tindakan dari korban.

Kesimpulan

Phising bekerja dengan menggabungkan teknologi dan rekayasa sosial. Tautan hanyalah pintu masuk; kerugian biasanya muncul dari tindakan setelah korban percaya dan mengikuti instruksi pelaku.

Memahami mekanisme serangan lebih berguna daripada sekadar menghafal daftar ciri-ciri. Ketika pesan meminta pengguna bertindak terburu-buru, membuka tautan, memasukkan kredensial, atau memberikan kode keamanan, verifikasi melalui kanal resmi menjadi langkah penting.

Phishing tidak selalu dapat dicegah dengan satu teknologi. Pertahanan membutuhkan kewaspadaan pengguna, keamanan akun, respons lembaga, serta kemampuan mendeteksi dan menghentikan infrastruktur yang digunakan pelaku.