Apa Itu Phishing? Ciri-Ciri dan Cara Mengenalinya

Phishing adalah penipuan digital yang menyamar sebagai pihak tepercaya, seperti bank, kurir, atasan, atau layanan daring, untuk membuat korban menyerahkan kata sandi, kode OTP, data kartu, atau mengunduh malware. Serangan ini bertahan puluhan tahun karena yang disasar adalah kepercayaan dan rasa panik manusia, bukan celah perangkat lunak. Artikel ini menjelaskan cara kerja, jenis, ciri-ciri, dan apa yang harus dilakukan jika Anda terlanjur terkena.

Apa Itu Phishing dan Bagaimana Cara Kerjanya?

Pelaku mengirim pesan yang tampak sah, lalu mengarahkan korban ke tindakan tertentu: mengklik tautan, membuka lampiran, membalas dengan data, atau menelepon nomor yang diberikan. CISA, badan keamanan siber Amerika Serikat, menyebut tujuan utama phishing ada dua: mencuri kredensial login dan memasang malware. Tautan biasanya membawa korban ke halaman tiruan yang meniru situs asli, sehingga apa pun yang diketik langsung sampai ke pelaku.

Alurnya sederhana. Pelaku memilih identitas yang dikenal korban, membuat pesan yang mendesak, dan menyediakan jalur untuk bertindak cepat. Begitu kredensial didapat, akun bisa dipakai untuk menguras saldo, mengirim penipuan ke kontak korban, atau menjadi pijakan masuk ke jaringan perusahaan.

Jenis-Jenis Phishing yang Perlu Dikenali

• Email phishing. Email massal yang berpura-pura dari layanan populer, biasanya dengan tautan atau lampiran.
• Spear phishing. Pesan yang dipersonalisasi untuk orang atau jabatan tertentu memakai informasi yang tersedia secara publik, sehingga lebih meyakinkan. Whaling adalah versi yang menyasar eksekutif.
• Smishing. Phishing lewat SMS atau aplikasi pesan, misalnya notifikasi paket palsu atau tagihan palsu.
• Vishing. Phishing lewat telepon, sering dengan nomor yang dipalsukan dan penelepon yang mengaku petugas bank atau instansi.
• Business email compromise. Penipuan yang meniru atasan atau vendor untuk meminta transfer atau perubahan rekening pembayaran.

MITRE ATT&CK mengelompokkan teknik ini sebagai T1566 dengan empat subteknik: spearphishing attachment, spearphishing link, spearphishing via service, dan spearphishing voice. Kerangka itu dibahas di artikel MITRE ATT&CK.

Ciri-Ciri Phishing yang Bisa Anda Kenali

Tidak ada satu tanda yang pasti, tetapi kombinasi tanda berikut layak membuat Anda berhenti sejenak.

1. Alamat pengirim atau domain yang mirip tapi berbeda. CISA mencontohkan alamat yang sangat mirip perusahaan asli dengan beberapa karakter diubah atau dihilangkan.
2. Sapaan generik. Misalnya Yth. Pelanggan, tanpa nama Anda, atau tanda tangan tanpa kontak yang jelas.
3. Desakan waktu atau ancaman. Akun akan diblokir, paket ditahan, atau ada denda jika tidak segera bertindak.
4. Permintaan data sensitif lewat pesan. Bank dan layanan resmi tidak meminta kata sandi, PIN, atau kode OTP lewat tautan atau chat.
5. Tautan yang tujuannya tidak sesuai tampilan. Arahkan kursor, atau tekan lama di ponsel, untuk melihat alamat sebenarnya sebelum mengklik.
6. Lampiran tak terduga. Terutama dokumen yang meminta Anda mengaktifkan makro atau mengunduh pembaruan.
7. Tawaran terlalu bagus. Hadiah, lowongan, atau investasi dengan imbal hasil tak wajar.

Tampilan yang terlihat rapi tidak lagi menjamin keaslian. Penipu kini membuat halaman tiruan yang nyaris sempurna, jadi andalkan pemeriksaan alamat dan verifikasi lewat jalur resmi, bukan kesan visual.

Seberapa Besar Ancaman Phishing Saat Ini?

• Laporan APWG kuartal kedua 2026 mencatat serangan phishing naik 10,1 persen, dari 971.181 pada kuartal pertama menjadi 1.069.681 pada kuartal kedua. Sebanyak 941 merek unik menjadi sasaran, dan layanan SaaS atau webmail adalah kategori yang paling banyak diserang pada kuartal itu.
• Verizon Data Breach Investigations Report 2026 menyebut unsur manusia hadir dalam 62 persen pelanggaran data. Phishing tetap menjadi vektor akses awal pada 16 persen pelanggaran, sama seperti tahun sebelumnya.
• Di Indonesia, data PANDI melalui IDADX untuk semester pertama 2026 mencatat 6.491 laporan phishing di antara 32.535 URL penyalahgunaan domain.

Apa yang Harus Dilakukan Jika Terlanjur Terkena Phishing?

1. Putuskan interaksi. Jangan membalas atau mengklik lebih lanjut.
2. Segera ganti kata sandi akun yang mungkin terbuka, dan di akun lain yang memakai kata sandi sama. Aktifkan autentikasi dua faktor.
3. Jika data keuangan terlibat, hubungi bank atau penyedia dompet digital secepatnya agar rekening atau kartu dapat diamankan.
4. Laporkan kerugian finansial ke Indonesia Anti-Scam Centre (IASC) milik OJK dan buat laporan polisi. IASC menyarankan keduanya, serta menyiapkan bukti transfer, data rekening, dan tangkapan layar percakapan. Laporan ke IASC tidak menjamin dana kembali.
5. Di lingkungan kerja, segera beri tahu tim IT atau keamanan agar akun dan perangkat dapat diperiksa.

Langkah pencegahan jangka panjang untuk individu dan perusahaan dibahas di cara mencegah serangan phishing. Phishing juga bagian dari keluarga manipulasi yang lebih luas, seperti dijelaskan di artikel social engineering, dan menjadi pintu masuk umum serangan email pada perusahaan.

Pertanyaan yang Sering Diajukan

Apa perbedaan phishing dan spam?

Spam adalah pesan massal yang tidak diminta, biasanya iklan. Phishing sengaja menipu untuk mencuri data atau uang. Sebuah email bisa keduanya, tetapi niat menipulah yang membedakan.

Apakah hanya mengklik tautan phishing sudah berbahaya?

Tergantung. Mengklik bisa membuka halaman tiruan atau memicu unduhan berbahaya. Risiko terbesar muncul saat Anda memasukkan data atau membuka lampiran. Jika sudah mengklik, pantau akun dan ganti kata sandi bila ada keraguan.

Bisakah phishing terjadi lewat WhatsApp atau telepon?

Bisa. Smishing memakai SMS dan aplikasi pesan, sedangkan vishing memakai panggilan suara. Verizon DBIR 2026 mencatat bahwa dalam simulasi phishing, tingkat klik pada kanal seluler seperti suara dan pesan teks median 40 persen lebih tinggi daripada email.

Bagaimana cara mengecek apakah sebuah situs phishing?

Periksa domain dengan teliti, buka layanan lewat aplikasi resmi atau alamat yang Anda ketik sendiri, dan jangan memasukkan kredensial dari tautan yang diterima. Anda juga dapat melaporkan halaman mencurigakan ke Google Safe Browsing.

Kesimpulan

Phishing berhasil karena memanfaatkan kebiasaan: terburu-buru, percaya pada tampilan, dan mengklik tanpa memeriksa. Kebiasaan sebaliknya, yaitu memeriksa alamat, memverifikasi lewat kanal resmi, dan memakai autentikasi berlapis, menghentikan sebagian besar serangan. Untuk membekali karyawan dengan kesadaran ini, lihat program pelatihan Linuxhackingid bagi tim dan organisasi.