Tautan mencurigakan bisa muncul di mana saja, mulai dari WhatsApp, SMS, email, media sosial, hingga kolom komentar. Sekilas alamatnya terlihat seperti situs resmi, tetapi ketika diperiksa lebih teliti ternyata mengarah ke halaman palsu yang dirancang untuk mengambil data pribadi.
Cara cek link phishing sebenarnya bisa dilakukan tanpa harus membuka tautan tersebut. Pemeriksaan dapat dimulai dengan melihat alamat domain, mengenali pola pesan yang mendesak, memeriksa tujuan tautan, dan menggunakan layanan keamanan sebelum memasukkan informasi apa pun.
Hal terpenting adalah tidak terburu-buru mengeklik link hanya karena pesan menyebut hadiah, bantuan pemerintah, paket, rekening bermasalah, atau akun akan segera diblokir.
Link Phishing Sering Dibuat Semirip Mungkin dengan Situs Asli
Phishing merupakan upaya untuk mengelabui seseorang agar memberikan informasi penting atau melakukan tindakan tertentu melalui pesan, situs, atau tautan palsu. Pelaku biasanya meniru tampilan perusahaan, bank, marketplace, lembaga pemerintah, atau layanan populer agar korban percaya.
Tautan phishing bahkan tidak selalu terlihat mencurigakan pada pandangan pertama. Pelaku dapat menggunakan nama domain yang mirip, menambahkan kata tertentu, atau membuat halaman dengan logo dan desain yang menyerupai situs resmi.
Modus seperti ini juga masih ditemukan dalam berbagai kasus yang ditangani pemerintah. Tautan palsu dapat mengarahkan pengguna ke halaman yang meminta nama, nomor telepon, akun pesan instan, hingga data pribadi lainnya.
Karena itu, pemeriksaan sebaiknya dilakukan sebelum link dibuka, bukan setelah data sudah dimasukkan.
Periksa Nama Domain Sebelum Membuka Link
Cara paling sederhana untuk mengenali link mencurigakan adalah memperhatikan nama domain.
Misalnya terdapat pesan yang mengaku berasal dari sebuah bank, tetapi alamat yang diberikan menggunakan domain yang tidak berkaitan dengan situs resmi bank tersebut. Kondisi ini patut dicurigai.
Perhatikan bagian utama domain, bukan hanya kata-kata yang muncul di awal alamat.
Sebagai contoh, alamat:
https://login.contoh-resmi.com
berbeda dengan:
https://contoh-resmi.com.login-sistem.net
Pada alamat kedua, domain sebenarnya adalah login-sistem.net, bukan contoh-resmi.com.
Kesalahan membaca domain seperti ini sering dimanfaatkan untuk membuat tautan palsu terlihat meyakinkan.
Jangan Tertipu dengan Kata “Resmi” dalam Link
Pelaku phishing dapat memasukkan kata seperti official, resmi, login, secure, verification, bantuan, hadiah, atau nama lembaga tertentu ke dalam alamat situs.
Kehadiran kata tersebut tidak membuktikan bahwa sebuah website benar-benar resmi.
Contohnya, alamat yang mengandung nama sebuah bank di bagian subdomain belum tentu merupakan website milik bank tersebut.
Hal yang perlu diperiksa adalah domain utamanya.
Jika sebuah pesan mengaku berasal dari lembaga pemerintah, cari alamat website resmi lembaga tersebut secara terpisah melalui mesin pencari atau dokumen resmi. Jangan menggunakan alamat yang diberikan dalam pesan mencurigakan sebagai patokan.
Periksa Apakah Alamat Menggunakan HTTPS
HTTPS merupakan salah satu tanda bahwa koneksi antara browser dan situs menggunakan enkripsi. Alamat website biasanya diawali dengan https:// dan browser juga menampilkan ikon gembok.
Namun, HTTPS bukan jaminan bahwa sebuah situs aman atau resmi.
Situs phishing juga dapat menggunakan HTTPS. Jadi, pemeriksaan tidak boleh berhenti hanya karena terdapat ikon gembok.
Alamat domain tetap harus diperiksa. Jika domainnya mencurigakan, adanya HTTPS tidak membuat situs tersebut otomatis dapat dipercaya.
HTTPS lebih tepat dipandang sebagai salah satu pemeriksaan tambahan, bukan bukti bahwa website bebas phishing.
Cek Link Tanpa Mengekliknya
Pada komputer, arahkan kursor ke tautan tanpa mengekliknya. Browser biasanya akan menampilkan alamat tujuan di bagian bawah layar.
Cara ini memungkinkan alamat diperiksa terlebih dahulu.
Jika teks pada pesan mengatakan:
“Login ke akun bank melalui tautan berikut”
tetapi ketika kursor diarahkan ke link ternyata tujuannya menuju domain yang tidak berhubungan dengan bank tersebut, jangan klik.
Pada ponsel, pemeriksaan dapat dilakukan dengan menekan dan menahan tautan hingga muncul pilihan seperti melihat alamat atau menyalin link, tergantung aplikasi yang digunakan.
Setelah alamat terlihat, periksa domain sebelum memutuskan untuk membukanya.
Waspadai Link yang Dipendekkan
Tautan pendek memang banyak digunakan untuk kebutuhan yang sah, tetapi alamat semacam ini membuat tujuan sebenarnya sulit diketahui sebelum dibuka.
Contohnya link yang menggunakan layanan pemendek URL dapat terlihat hanya berupa kombinasi karakter pendek.
Jika link tersebut dikirim oleh orang yang tidak dikenal atau disertai pesan mencurigakan, sebaiknya jangan langsung dibuka.
Cari informasi mengenai pengirim atau akses website resmi secara langsung daripada mengikuti tautan pendek yang tidak diketahui tujuannya.
Gunakan Google Safe Browsing untuk Pemeriksaan Tambahan
Salah satu cara tambahan untuk memeriksa sebuah website adalah menggunakan Google Safe Browsing.
Google menyediakan fitur pemeriksaan status situs yang dapat menunjukkan apakah sebuah website saat ini terdeteksi memiliki konten berbahaya berdasarkan sistem Safe Browsing.
Google Safe Browsing Site Status
Cara menggunakannya cukup sederhana:
- Salin alamat website yang ingin diperiksa.
- Buka layanan pemeriksaan Google Safe Browsing.
- Masukkan alamat website.
- Jalankan pemeriksaan.
- Perhatikan hasil status keamanan yang diberikan.
Hasil pemeriksaan tersebut dapat menjadi salah satu pertimbangan sebelum membuka situs.
Namun, hasil aman dari sebuah pemeriksaan tidak boleh dianggap sebagai jaminan mutlak. Situs baru atau modus phishing tertentu mungkin belum terdeteksi.
Cek Rekening Jika Link Mengarah ke Pembayaran
Jika link mencurigakan berkaitan dengan transaksi dan akhirnya meminta transfer ke rekening tertentu, pemeriksaan dapat dilanjutkan dengan layanan CekRekening.id.
CekRekening.id merupakan layanan pemerintah yang dapat digunakan untuk memeriksa rekening bank atau e-wallet yang pernah dilaporkan terkait dugaan tindak pidana.
Pemeriksaan ini berguna ketika sebuah link menawarkan produk, hadiah, investasi, bantuan, atau transaksi lainnya dan meminta pembayaran ke rekening tertentu.
Perlu diingat, rekening yang tidak ditemukan dalam database laporan bukan berarti otomatis aman. Hasil pemeriksaan hanya menjadi salah satu bahan pertimbangan.
Kenali Pesan yang Mendesak
Phishing sering memanfaatkan rasa takut atau rasa penasaran.
Pesan dapat dibuat seolah-olah penerima harus segera melakukan sesuatu agar tidak mengalami kerugian.
Contohnya:
- “Akun akan diblokir dalam 24 jam.”
- “Segera verifikasi data.”
- “Saldo akan hangus jika tidak dikonfirmasi.”
- “Klik sekarang untuk mendapatkan bantuan.”
- “Hadiah akan diberikan kepada 100 orang pertama.”
- “Paket tidak dapat dikirim sebelum alamat diperbarui.”
Bahasa yang mendesak membuat orang tidak sempat melakukan pemeriksaan.
Ketika sebuah pesan meminta tindakan cepat sekaligus menyertakan link, berhenti sejenak dan lakukan verifikasi melalui saluran resmi.
Jangan Percaya Hanya karena Pengirimnya Dikenal
Pesan phishing tidak selalu berasal dari nomor atau akun asing.
Akun WhatsApp, email, atau media sosial milik orang yang dikenal juga bisa disalahgunakan atau diretas.
Jika tiba-tiba ada teman mengirim link dengan pesan yang tidak biasa, jangan langsung mengekliknya.
Hubungi orang tersebut melalui saluran lain dan tanyakan apakah benar mengirim link tersebut.
Cara ini jauh lebih aman daripada menganggap tautan pasti aman hanya karena pengirimnya dikenal.
Periksa Alamat Website dengan Teliti
Beberapa teknik yang sering digunakan pelaku adalah membuat domain yang sangat mirip dengan situs asli.
Perbedaan bisa hanya berupa satu huruf, tanda tambahan, angka, atau ekstensi domain yang berbeda.
Misalnya nama sebuah layanan resmi memiliki satu alamat domain, sementara link yang dikirim menggunakan variasi nama yang hampir sama.
Perhatikan juga penggunaan karakter yang dapat membuat huruf terlihat menyerupai huruf lain.
Semakin mirip sebuah alamat dengan situs resmi tetapi domainnya berbeda, semakin besar alasan untuk melakukan pemeriksaan lebih lanjut.
Jangan Masukkan Password dari Link Pesan
Jika menerima pesan yang meminta login, cara paling aman adalah membuka aplikasi atau website resmi secara manual.
Misalnya ada pesan yang mengatakan akun marketplace bermasalah. Jangan mengeklik link di pesan tersebut.
Buka aplikasi marketplace langsung dari ponsel atau ketik alamat website resmi melalui browser.
Jika memang ada masalah pada akun, biasanya informasi tersebut dapat ditemukan setelah login melalui saluran resmi.
Cara ini mengurangi risiko memasukkan username dan password ke halaman phishing.
Jangan Berikan OTP kepada Siapa Pun
OTP merupakan kode keamanan yang digunakan untuk melakukan verifikasi. Kode tersebut bersifat rahasia.
Jika sebuah link meminta OTP setelah memasukkan username dan password, pengguna harus sangat berhati-hati.
Pelaku phishing dapat menggunakan halaman palsu untuk mengambil username dan password terlebih dahulu, kemudian meminta OTP untuk menyelesaikan proses login.
Jangan pernah memberikan OTP kepada orang lain, termasuk pihak yang mengaku sebagai petugas bank, marketplace, operator seluler, atau layanan pemerintah.
Jika ada pihak yang meminta kode OTP melalui chat atau telepon, hentikan komunikasi dan hubungi layanan resmi perusahaan terkait.
Link Hadiah Gratis Perlu Diperiksa Lebih Ketat
Tawaran hadiah, saldo gratis, voucher, kuota internet, bantuan tunai, dan promo besar sering digunakan untuk menarik perhatian.
Tidak semua promosi semacam itu merupakan phishing. Namun, link yang meminta data pribadi sebelum hadiah diberikan perlu diperiksa secara hati-hati.
Jika sebuah program benar-benar berasal dari perusahaan atau lembaga tertentu, cari pengumuman yang sama di website dan akun resmi mereka.
Jangan menggunakan link yang diberikan oleh akun tidak dikenal sebagai satu-satunya sumber informasi.
Pemerintah sendiri beberapa kali mengingatkan masyarakat mengenai tautan palsu yang mengatasnamakan program tertentu dan meminta data pribadi.
Jangan Percaya Situs yang Meminta Data Berlebihan
Situs phishing biasanya memiliki tujuan mengambil informasi yang dapat digunakan untuk mengakses akun atau melakukan penipuan.
Jika sebuah halaman hanya menawarkan hadiah sederhana tetapi meminta data yang sangat banyak, hal tersebut patut dicurigai.
Data yang perlu diwaspadai antara lain:
- Password.
- PIN.
- OTP.
- Nomor kartu.
- CVV.
- NIK.
- Foto KTP.
- Data rekening.
- Informasi login.
- Kode verifikasi.
Tidak semua permintaan data tersebut selalu berarti phishing, tetapi konteks dan siapa pengelola situs harus diperiksa terlebih dahulu.
Cek Link dari Email dengan Lebih Hati-Hati
Email phishing sering dibuat menyerupai email perusahaan atau layanan resmi.
Selain melihat alamat link, periksa alamat email pengirim. Nama pengirim dapat dibuat menyerupai perusahaan, sementara alamat email sebenarnya menggunakan domain yang berbeda.
Jika email meminta login, pembayaran, atau perubahan data, jangan langsung mengikuti link.
Buka website resmi perusahaan secara manual dan cari informasi yang sama dari sana.
Langkah tersebut membantu membedakan antara pemberitahuan resmi dan pesan yang sengaja dibuat untuk menipu.
Jangan Mengandalkan Tampilan Website
Website phishing bisa dibuat sangat mirip dengan situs asli.
Logo, warna, menu, gambar, bahkan halaman login dapat dibuat menyerupai layanan yang ditiru.
Karena itu, tampilan profesional bukan bukti bahwa website tersebut aman.
Alamat domain tetap menjadi bagian penting yang perlu diperiksa. Jika masih ragu, tutup halaman dan masuk melalui aplikasi atau website resmi.
Bagaimana Jika Sudah Terlanjur Klik Link?
Mengeklik link tidak selalu berarti perangkat langsung terkena serangan atau akun otomatis dicuri.
Risiko sangat bergantung pada apa yang terjadi setelah link dibuka.
Jika baru membuka halaman tetapi belum memasukkan data atau mengunduh file, segera tutup halaman tersebut dan jangan melanjutkan interaksi.
Jika link meminta download, jangan membuka file tersebut.
Jika sudah memasukkan username dan password, segera ganti password melalui website resmi dan aktifkan autentikasi multifaktor jika tersedia.
Jika informasi perbankan sudah diberikan, segera hubungi bank melalui nomor layanan resmi.
Jika Sudah Memasukkan Data Kartu atau Rekening
Kondisinya menjadi lebih serius apabila data perbankan sudah diberikan kepada situs mencurigakan.
Segera hubungi bank melalui kanal resmi. Jangan menggunakan nomor telepon atau link yang diberikan dalam pesan phishing.
Minta bank membantu mengamankan rekening atau kartu jika diperlukan.
Periksa transaksi rekening dan aktifkan notifikasi transaksi agar setiap aktivitas mencurigakan dapat segera diketahui.
Semakin cepat tindakan dilakukan, semakin besar peluang untuk membatasi dampak yang mungkin terjadi.
Jika Sudah Mengunduh File dari Link Mencurigakan
File yang diunduh dari tautan tidak dikenal dapat berisi malware atau program berbahaya.
Jangan membuka file tersebut jika belum diperiksa.
Jika sudah terlanjur dibuka, lakukan pemeriksaan menggunakan perangkat lunak keamanan yang terpercaya dan perbarui sistem operasi serta aplikasi keamanan.
Perhatikan juga apakah muncul aplikasi baru, notifikasi aneh, pop-up berlebihan, perubahan pengaturan browser, atau aktivitas perangkat yang tidak biasa.
Jika perangkat digunakan untuk perbankan atau menyimpan data penting, pertimbangkan meminta bantuan teknisi atau layanan keamanan yang terpercaya.
Cara Singkat Mengecek Link Phishing
Bagi yang membutuhkan cara cepat, pemeriksaan dapat dilakukan dengan urutan berikut:
- Jangan langsung klik link.
- Periksa nama pengirim.
- Lihat alamat tujuan link.
- Periksa domain utama.
- Waspadai domain yang menyerupai situs resmi.
- Jangan percaya hanya karena ada HTTPS.
- Periksa website menggunakan layanan keamanan jika diperlukan.
- Cari informasi yang sama melalui website resmi.
- Jangan masukkan password, PIN, atau OTP.
- Jika mencurigakan, tutup dan laporkan.
Urutan sederhana ini dapat digunakan ketika menerima tautan melalui WhatsApp, SMS, email, media sosial, atau platform lainnya.
Cara Paling Aman: Datang dari Situs Resmi
Kebiasaan yang paling efektif untuk menghindari phishing adalah tidak menjadikan link dari pesan sebagai jalan utama menuju layanan penting.
Jika ingin masuk ke bank, marketplace, layanan pemerintah, email, atau media sosial, buka aplikasi resminya atau ketik alamat website yang sudah diketahui.
Dengan cara tersebut, risiko diarahkan ke website palsu dapat dikurangi.
Pemeriksaan link tetap berguna, tetapi menghindari link mencurigakan sejak awal merupakan langkah yang lebih aman.
Jangan Tunggu Sampai Data Dicuri
Cara cek link phishing dapat dimulai dari hal sederhana: jangan terburu-buru mengeklik, periksa domain, lihat tujuan tautan, dan jangan memasukkan data rahasia pada halaman yang belum terverifikasi.
Layanan seperti Google Safe Browsing dapat digunakan sebagai pemeriksaan tambahan, sedangkan CekRekening.id berguna untuk memeriksa rekening atau e-wallet yang pernah dilaporkan terkait dugaan penipuan. Namun, tidak ada satu pemeriksaan yang dapat menjamin sebuah link aman 100 persen.
Kebiasaan membuka layanan penting melalui aplikasi atau website resmi, menggunakan password berbeda, dan mengaktifkan autentikasi multifaktor akan memberikan perlindungan tambahan. Ketika sebuah pesan membuat panik, menawarkan hadiah yang terlalu menarik, atau meminta data penting dalam waktu singkat, justru saat itulah pemeriksaan perlu dilakukan lebih teliti.