Pelaku kejahatan siber tidak hanya mengandalkan email palsu. Mereka juga kerap memanfaatkan SMS karena media ini masih dianggap lebih personal dan lebih dipercaya oleh banyak orang. Fenomena ini dikenal dengan sebutan smishing. Lantas, bagaimana cara smishing bekerja, dan apa bahayanya?
Apa itu Smishing (SMS Phishing)?
Smishing adalah bentuk serangan siber yang memanfaatkan SMS (Short Message Service) untuk menipu korban agar memberikan informasi sensitif, mengunduh malware, atau mengklik tautan berbahaya.
Istilah smishing sendiri merupakan gabungan dari dua kata, yaitu SMS dan phishing. Jika phishing umumnya dilakukan melalui email, maka smishing secara khusus menggunakan pesan singkat sebagai media untuk menjalankan aksi penipuan.
Bagaimana Cara Kerja Smishing?
Pada dasarnya, smishing bekerja dengan memanfaatkan rasa percaya dan emosi korban (social engineering) untuk mengelabui korban agar secara sukarela memberikan informasi penting. Umumnya, pelaku menjalankan aksinya melalui tahapan berikut.
1. Mengirim SMS yang Tampak Resmi
Pelaku mengirimkan SMS yang mengatasnamakan bank, marketplace, perusahaan ekspedisi, operator seluler, atau instansi pemerintah agar korban merasa pesan tersebut dapat dipercaya.
2. Menciptakan Rasa Panik atau Urgensi
Isi pesan biasanya dibuat mendesak, misalnya akun akan diblokir, ada transaksi mencurigakan, paket tertahan, atau korban memenangkan hadiah. Tujuannya agar korban segera bertindak tanpa sempat berpikir kritis.
3. Mengarahkan Korban ke Tautan Berbahaya
SMS menyertakan tautan yang mengarah ke situs palsu atau halaman login tiruan. Pada beberapa kasus, tautan tersebut juga dapat mengunduh malware ke perangkat korban.
4. Meminta Informasi Sensitif
Setelah membuka tautan, korban diminta memasukkan data penting seperti username, password, PIN, nomor kartu kredit, atau kode OTP yang nantinya akan dicuri oleh pelaku.
5. Menyalahgunakan Data yang Berhasil Diperoleh
Informasi yang dicuri kemudian dimanfaatkan untuk mengambil alih akun, melakukan transaksi ilegal, mencuri identitas, atau bahkan mengakses sistem internal perusahaan.
Modus Smishing yang Paling Sering Digunakan
Modus smishing terus berkembang mengikuti kebiasaan masyarakat dalam menggunakan layanan digital. Meski demikian, ada beberapa pola yang cukup sering digunakan oleh pelakunya.
1. SMS Mengatasnamakan Bank
Modus yang satu ini termasuk contoh smishing yang sering dijumpai. Dalam modus ini, korban akan menerima SMS yang menyatakan terdapat transaksi mencurigakan atau rekening akan diblokir jika tidak segera melakukan verifikasi.
2. Penawaran Hadiah atau Giveaway Palsu
Pelaku mengirim SMS yang menyatakan korban memenangkan hadiah, voucher belanja, atau undian berhadiah. Untuk mengklaim hadiah, korban diminta mengklik tautan atau mengisi data pribadi.
3. Informasi Pengiriman Paket
Modus ini mengatasnamakan perusahaan ekspedisi dengan alasan paket tertahan, gagal dikirim, atau membutuhkan pembayaran tambahan. Tautan yang disertakan mengarah ke situs palsu yang bertujuan mencuri informasi pengguna.
Tanda-Tanda SMS Smishing yang Perlu Diwaspadai
Semakin cepat Anda mengenali ciri-ciri SMS Smishing, semakin kecil peluang jadi korban. Jika Anda menemukan tanda-tanda berikut ini, sudah seharusnya Anda mulai curiga.
-
Pengirim tidak jelas atau menggunakan nomor yang tidak biasa.
-
Pesan terkesan “memaksa” Anda agar segera bertindak.
-
Ada tautan dengan alamat website yang mencurigakan atau berbeda dari domain resmi perusahaan.
-
Meminta data sensitif, seperti password, PIN, nomor kartu kredit, atau kode OTP.
-
Menawarkan hadiah yang terlalu menggiurkan tanpa alasan yang jelas.
Dampak Smishing Bagi Individu dan Bisnis
Serangan smishing tidak hanya mengincar individu, tetapi juga dapat menimbulkan kerugian besar bagi bisnis. Saat data atau akun berhasil diambil alih, dampaknya bisa meluas hingga mengganggu operasional perusahaan.
-
Smishing bisa menyebabkan kerugian finansial akibat transaksi ilegal, pencurian rekening, atau penyalahgunaan informasi pembayaran.
-
Kebocoran data pribadi pelanggan, informasi karyawan, maupun dokumen penting perusahaan yang berpotensi menimbulkan masalah hukum sekaligus mengurangi kepercayaan pelanggan.
-
Aktivitas bisnis terganggu, mulai dari akses karyawan yang terblokir hingga terhentinya layanan digital yang digunakan pelanggan.
-
Ancaman kerusakan sistem yang lebih luas, terlebih jika smishing tersebut juga mengandung malware.
-
Pencurian identitas untuk membuka akun baru, atau melakukan berbagai tindak penipuan atas nama individu maupun perusahaan yang menjadi korban smishing.
Cara Menghindari Smishing
Smishing sebenarnya dapat dihindari. Kuncinya ada pada membangun kebiasaan digital yang lebih aman, seperti:
1. Jangan Langsung Percaya pada SMS yang Mengatasnamakan Institusi Tertentu
Saat menerima pesan yang meminta tindakan segera, jangan langsung mengikuti instruksinya. Luangkan waktu beberapa menit untuk berpikir dan memeriksa kembali apakah informasi tersebut benar-benar berasal dari pihak resmi.
2. Hindari Mengklik Tautan yang Mencurigakan
Jika Anda menerima SMS berisi tautan, sebaiknya jangan langsung membukanya. Apabila pesan tersebut mengatasnamakan bank, marketplace, atau perusahaan tertentu, lebih baik akses layanan tersebut lewat aplikasi resmi atau mengetik alamat website secara manual.
3. Jangan Pernah Memberikan Informasi Rahasia
Perusahaan yang kredibel tidak akan meminta password, PIN, maupun kode OTP melalui SMS. Karena itu, jangan pernah membagikan informasi tersebut kepada siapa pun, meski pengirim mengaku berasal dari institusi resmi.
4. Edukasi Seluruh Karyawan
Teknologi keamanan yang canggih tidak akan banyak membantu jika penggunanya tidak memahami ancaman yang ada. Untuk itu, ada baiknya mengadakan pelatihan keamanan siber secara berkala akan membantu karyawan mengenali ciri-ciri smishing agar risikonya dapat dikurangi.
5. Perbarui Sistem Keamanan Secara Berkala
Pastikan perangkat, aplikasi, dan sistem operasi yang digunakan rutin update ke versi terbaru. Pembaruan keamanan sering kali berisi perbaikan celah yang dapat dimanfaatkan oleh pelaku kejahatan siber.
Pentingnya Metode Autentikasi yang Lebih Aman untuk Mengurangi Risiko Smishing
Sebagai langkah antisipasi, sebenarnya sudah banyak perusahaan mengandalkan kode OTP. Masalahnya, metode ini memiliki celah. Untuk itu, Telco Verify dari Telkomsel Enterprise hadir sebagai solusi verifikasi berbasis jaringan seluler (silent authentication). Solusi ini memungkinkan proses autentikasi dilakukan tanpa mengirimkan kode OTP melalui SMS.
Dengan memanfaatkan verifikasi langsung melalui jaringan operator, Telco Verify membantu mengurangi risiko smishing karena tidak ada kode OTP yang perlu diterima maupun dimasukkan oleh pengguna. Selain meningkatkan perlindungan terhadap pencurian data verifikasi, solusi ini juga memberikan pengalaman login yang lebih praktis dan aman.
FAQ
Smishing adalah apa?
Smishing adalah bentuk serangan siber yang menggunakan SMS (Short Message Service) untuk menipu korban agar memberikan informasi sensitif, seperti password, PIN, kode OTP, atau data perbankan. Pelaku biasanya mengirimkan SMS yang tampak berasal dari bank, marketplace, perusahaan ekspedisi, atau institusi resmi lainnya agar korban percaya dan mengikuti instruksi yang diberikan.
Apa perbedaan smishing dan phishing?
Perbedaan utama smishing dan phishing terletak pada media yang digunakan. Phishing umumnya dilakukan melalui email, sedangkan smishing menggunakan SMS sebagai sarana untuk mengelabui korban.
Apa saja contoh smishing yang sering digunakan penipu?
Beberapa contoh smishing yang paling sering digunakan antara lain SMS yang mengatasnamakan bank dan meminta verifikasi karena ada transaksi mencurigakan, pesan hadiah atau giveaway palsu yang meminta korban mengklik tautan untuk mengklaim hadiah, serta SMS dari perusahaan ekspedisi yang menyatakan paket tertahan atau membutuhkan biaya tambahan.
Apakah smishing hanya dilakukan melalui SMS?
Secara umum, smishing merujuk pada serangan phishing yang menggunakan SMS sebagai media utama. Namun seiring berkembangnya layanan komunikasi digital, modus serupa juga dapat ditemukan melalui aplikasi pesan instan yang mengirimkan pesan berisi tautan berbahaya atau permintaan data pribadi.
