Waktu baca:

Pada hari Sabtu, 15 Agustus 2026, PERIN+1S – C2O dan Codayati menyelenggarakan lokakarya Ngoprek Ngopitech yang bertujuan untuk membangun kapasitas mengenali dan menghindari phishing serta memberikan cara membuat lokakarya mandiri kepada peserta agar dapat diteruskan ke organisasi masing-masing.

Dalam lokakarya ini peserta akan menggunakan aplikasi edukasi anti-phishing, Shira, sebagai medium untuk mempraktikkan pemahaman dalam mengenali ciri-ciri pesan berkedok phishing serta membuat simulasi pesan phishing yang dapat diubahsuai oleh sesama peserta lokakarya. Shira merupakan aplikasi edukasi buatan Horizontal, sebuah organisasi non-profit di bidang keamanan dan privasi digital, yang juga mendanai lokakarya Ngoprek Ngopitech kali ini. 

Sebelum masuk ke sesi mengenal phishing lebih dalam, Kat, selaku salah satu instruktur lokakarya Ngopitech, membuka lokakarya dengan mengajak peserta mengingat-ingat kembali pengalaman pertama bersentuhan dengan teknologi digital, lewat pertanyaan seperti: 

“Apa teknologi informasi digital pertamamu?”

Sekilas pertanyaan ini terlihat mudah, namun ternyata cukup sulit bagi peserta untuk menemukan jawabannya secara langsung dan otomatis, karena ternyata setiap peserta memiliki pemahaman yang beragam soal apa itu teknologi informasi digital. Untuk membantu peserta, Kat pun memberikan pertanyaan bantuan berikutnya: 

“Kapan pertama kali menggunakan internet?”

Sebagian besar peserta menjawab televisi tabung merupakan teknologi informasi digital pertama yang mereka kenal, sementara beberapa lainnya menjawab telepon genggam jadul seperti Nokia.  Jawaban peserta menjadi begitu beragam ketika menyangkut penggunaan internet: ada yang pertama kali menggunakan internet saat berada di lab komputer sekolah, ada yang sudah menggunakan sejak tahun 1995 di tempat kursus bahasa inggris, ada yang baru mulai mengakses ketika kuliah, hingga ada yang menggunakan internet ketika bisa mengakses smartphone. Keberagaman jawaban tersebut menunjukkan bahwa setiap peserta memiliki titik berangkat pengalaman yang berbeda-beda, namun yang pasti penggunaan teknologi informasi digital melekat dan merentang di berbagai fase kehidupan peserta.

Karena beberapa peserta juga merupakan peserta dari dua pelatihan sebelumnya tentang keamanan digital dan diskusi mengenai AI, Kat melanjutkan dengan pertanyaan berikutnya seputar pengalaman peserta: 

Bagaimana dengan pelatihan keamanan digital-atau diskusi hak “digital”- pertamamu? Apa yang kamu sukai, dan apa yang ingin kamu dalami?” 

Salah satu peserta dari Malang menjawab bahwa ia pertama kali mengikuti pelatihan keamanan digital yang diselenggarakan Codayati dan pelatihan tersebut memberikan pemahaman baru untuk melatih keterampilan tentang keamanan digital baik di tingkat personal maupun organisasi. Kat menambahkan, bahwa pelatihan keamanan digital diharapkan bukan hanya sekadar memberikan ketrampilan teknis, namun juga sebagai upaya bersama untuk memperkuat solidaritas. 

---

🧐 Melihat dengan kaca pembesar: apa itu phishing dan seperti apa bentuknya?

Sebagai pengantar awal, Kat menjelaskan bahwa phishing merupakan upaya jahat untuk memperoleh informasi sensitif seperti nama pengguna, kata sandi, dan detail kartu kredit dengan menyamar sebagai entitas terpercaya dalam komunikasi elektronik. Meskipun pada awalnya istilah phishing merujuk pada penipuan melalui email, saat ini phishing terjadi melalui berbagai macam media seperti kode QR, SMS, aplikasi pesan WhatsApp, Telegram, platform media sosial, dan panggilan telepon. 

Hingga saat ini, phishing masih menempati peringkat pertama ancaman digital yang paling umum dialami baik oleh individu dan organisasi. Hal ini terjadi karena metode phishing tidak membutuhkan biaya yang mahal, dapat disebar massal di berbagai platform, serta memanfaatkan kelengahan emosi manusia alih-alih membangun teknologi canggih untuk meretas.

Lantas apakah phishing hanya identik dengan pesan yang disebar massal? Ternyata tidak selalu. Menurut kat, secara garis besar phishing dapat dikategorikan sebagai berikut:

1. Phishing: Metode ini sering digunakan dan bentuk pesannya cenderung disebar massal, tidak tertarget secara spesifik.
2. Spear Phishing: Metode ini lebih tertarget. Bentuk pesannya lebih spesifik dan khusus, dan biasanya pelaku sudah profiling dulu untuk memahami titik lemah korban.
3. Voice Phishing: Metode ini menggunakan pesan suara (telepon dan voice note) untuk menipu korban.
4. QR code phishing: Metode ini memancing korban untuk melakukan scan QR code.

Apa yang diharapkan pelaku dengan melakukan serangan phishing ke korban? Biasanya: kata sandi, uang, informasi pribadi atau rahasia, dan agar korban menginstal malware dalam perangkatnya, yang kemudian membuat perangkat korban dapat dikendalikan oleh pelaku. Serangan phishing dapat menimbulkan dampak serius, antara lain:

• Pencurian Identitas: Pelaku dapat menggunakan informasi pribadimu untuk menyamar sebagai dirimu.
• Kerugian Finansial: Transaksi tidak sah menguras rekening.
• Pelanggaran Data: Pengungkapan informasi sensitif, perusakan reputasi.
• Gangguan Operasional: Downtime & hilangnya waktu kerja

Walaupun jebakan phishing bermacam-macam, tetapi ada benang merah yang membuat skenario jahat ini gampang berhasil yaitu eksploitasi lonjakan emosi korban. Kat menjelaskan bahwa pelaku phishing biasanya memanfaatkan 4 hal yaitu dorongan untuk bersikap sopan, dorongan untuk membantu orang lain, perasaan takut akan rasa malu, dan perasaan panik akibat pesan mendadak. Selain itu, minimnya pengetahuan keamanan digital dan perasaan euforia spekulatif juga menjadi celah yang kerap dimanfaatkan oleh pelaku phishing. 

Serangan phishing biasanya memiliki ciri-ciri: (1) mendesak atau menakut-nakuti, (2) menyamar sebagai pihak terpercaya (brand, kawan, figur pemerintah / otoritas seperti imigrasi, visa, dan (3) iming-iming peluang (duit, hasrat). Namun pintu masuk serangan pun variatif dan tidak melulu berupa pesan teks yang bernuansa mendesak yang mengarahkan korban mengeklik tautan eksternal di email maupun aplikasi komunikasi.

Bagaimana phishing bekerja?

Di titik ini kat membuka ruang untuk peserta berbagi pengalaman mereka — atau kawan, keluarga — terkena phishing. Salah satu peserta, A, menceritakan bahwa ia merupakan korban serangan phishing akibat mendapatkan informasi palsu mengenai pembagian ‘uang kaget’ berdurasi 1 jam oleh ikon internet, Mr.Beast, dari DM Instagram akun temannya yang ternyata sedang diretas. Ia mengaku mengikuti rute skenario ke situs web tertentu dan memberikan informasi pribadi (meskipun palsu) karena ia percaya dengan ‘foto bukti’ yang terlihat meyakinkan dan sosok temannya yang memang kerap bersentuhan dengan hal-hal seputar crypto dan blockchain.

Peserta B menceritakan pengalaman rekan kerjanya yang terkena voice phishing di waktu jam kerja. Ia bercerita bahwa rekan kerjanya didesak untuk segera mengirimkan sejumlah uang guna membantu ‘biaya pengobatan’ saudaranya yang disebut mengalami kecelakaan di jalan raya. Setelah mengirimkan sejumlah uang dan menelpon anggota keluarga lain untuk mengonfirmasi kondisi saudaranya (yang ternyata tidak terkena kecelakaan sama sekali), barulah ia sadar bahwa ia telah menjadi korban penipuan.

Beberapa peserta lain juga menceritakan bagaimana modus QR phishing bekerja serta job scam yang kerap dialami oleh pencari kerja saat ini. Dari beberapa cerita peserta, kerugian yang harus diterima korban tidak hanya sebatas finansial dan pencurian identitas saja, tetapi juga perasaan malu dan bodoh terhadap diri sendiri juga kerap muncul ketika teringat momen terjebak phishing.

kat membedah lebih jauh contoh-contoh yang disampaikan peserta. Pemalsuan situs web / aplikasi sangat banyak digunakan, dan makin mudah dilakukan melalui vibe coding. Search engine seperti Google pun bisa menampilkan situs-situs palsu ini (lihat contoh di bawah: bagaimana kamu meastikan situs PirateBay yang muncul di Google “asli” dan tidak berbahaya?). Ada banyak juga phishing yang menumpang memanfaatkan platform yang kita pakai sehari-hari seperti Google Calendar, yang disusupi tautan pertemuan wawancara kerja palsu.

Dalam kasus peserta A dan Mr. Beast, kawan A yang mendadak bisa menyebarkan pesan phishing secara massal melalui DM Instagram, tampaknya mengalami pencurian session cookie dari malware yang menyusupi krepekean game atau piranti bajakan yang pernah dia unduh.

Secara teknis, saat session cookie sudah tercolong, penyerang tidak perlu kata sandi ataupun 2FA-mu untuk bisa menerabas. Dan berbeda dengan malware di tahun 2000an, malware sekarang banyak yang bisa dormant atau diam beberapa lama, terkadang berbulan-bulan atau bahkan lebih dari setahun.

Perlu diingat: malware sekarang tidak melulu dalam format .zip atau executable file seperti .exe, .apk, tapi bisa disusupkan dalam file-file yang terlihat “jinak” seperti PDF, bahkan video maupun file gambar svg. Jadi, file buku digital berbentuk .pdf, hingga tawaran mod gratisan untuk mendapatkan akses premium di situs porno tertentu, bisa disusupi malware.

Bukan berarti kami melarang pornografi ataupun menggunakan piranti, buku, film bajakan atau mod. Tapi periksalah tautan-tautan ataupun file-file sebelum mengklik atau mengunduhnya. Misal, bisa gunakan virustotal.com atau emailveritas.com, untuk memastikan mereka tidak mengandung malware.

Phishing Sebagai Isu Struktural, Bukan Semata Masalah Literasi Keamanan Digital

Seusai beberapa peserta menceritakan pengalaman terkena phishing, kat melanjutkan bahwa permasalahan phishing merupakan isu struktural, bukan sekadar masalah literasi keamanan digital. Sembari menunjukkan salindia presentasinya, ia menceritakan bahwa praktik scam dan phishing tidak lagi sebatas upaya jahat yang dilakukan individu, tetapi telah berkembang hingga level kota atau industri.

Ambil contoh, kota Sihanoukville (Preah Sihanouk) yang berada di Kamboja. Saat ini, kota tersebut telah menjadi pusat industri kejahatan siber yang meraup untung ratusan ribu dolar dari korban-korbannya, Selain itu, pesatnya perkembangan skala operasi scam dan phishing membuka peluang industri layanan ekosistem kejahatan digital atau fenomena “scam as a service”. Industri layanan ini mencakup penyediaan basis data calon korban, skrip manipulasi psikologis, hingga layanan pencucian uang digital. 

---

📚 Ngomong-ngomong, buku-buku seputar industri scam penipuan siber Asia Tenggara tersedia untuk dipinjam di C2O lho (cek katalog daring):

---

Saat ini, sindikat kejahatan digital semakin banyak menggunakan teknologi akal imitasi (AI), perangkat otomatis, dan penargetan multisaluran untuk meningkatkan skala serangan phishing dan rekayasa sosial. Kat menjelaskan bahwa penggunaan AI semakin memperbesar peluang seseorang terkena serangan phishing. AI kerap digunakan untuk mempercepat produksi foto/video palsu (deepfake), mengotomasi phishing dan pembuatan situs ataupuan identitas palsu (dulu bikin web palsu butuh mungkin 1-2 hari kerja, sekarang, siapapun bisa dengan vibe coding), tata bahasa dan ejaan yang jauh lebih rapi dan meyakinkan, dan mengorganisir data-data calon korban yang tersebar di internet dengan lebih cepat.

Jebakan phishing atau scam tak bisa menjadi beban yang mesti ditanggung sendirian oleh masyarakat. Sebagai negara yang menduduki posisi paling rentan terhadap penipuan, idealnya pemerintah Indonesia membuat perangkat hukum dan sistem penanganan kasus penipuan yang mumpuni agar dapat memberikan perlindungan tambahan bagi masyarakat. Namun sayangnya, upaya penanganan terhadap penipuan kerap terkendala oleh laporan yang terlambat dan regulasi yang terbatas. Lantas, apa yang bisa dilakukan untuk memitigasi dan menghindari jebakan phishing?

kat menjelaskan bahwa peserta dapat menghindari bentuk-bentuk jebakan phishing dengan mempraktikkan beberapa upaya, antara lain:

1. Tetap mawas ketika diminta memberikan informasi pribadi
2. Berhati-hati sebelum scan kode QR atau klik tautan
3. Cek tautan direct maupun redirect dengan URL scanner
4. Melaporkan URL atau akun phishing ke safebrowsing,google.com
5. Memasang aplikasi anti virus
6. Menggunakan VPN terpercaya saat harus terkoneksi wifi publik
7. Menggunakan password yang kuat, unik, dan update secara berkala
8. Mencadangkan data secara berkala
9. Simulasi & berlatih mengenali phishing. Tidak hanya untuk diri sendiri tetapi ajak juga keluarga, kawan organisasi, dan kolega. 

Di akhir sesi, kat menekankan kepada peserta pentingnya senantiasa berbagi pengetahuan mengenai cara-cara menghindari phishing kepada lingkaran terdekat seperti keluarga, kawan dekat, kawan organisasi, hingga kolega kerja. Bagaimanapun, ini bukan beban literasi individu. Pengetahuan dan kecakapan dalam hal keamanan digital tidak boleh dibebankan pada satu orang saja, melainkan perlu dibagikan dan disebarluaskan agar semakin memperkecil kemungkinan lingkaran terdekat terjebak phishing.

---

Berlatih Mengidentifikasi Jebakan Phishing Menggunakan Aplikasi Edukasi Shira

Pada sesi pelatihan berikutnya, Edo memandu peserta untuk melakukan simulasi dan berlatih mengidentifikasi phishing menggunakan aplikasi edukasi Shira. Edo menjelaskan bahwa Shira merupakan aplikasi belajar yang menggunakan pendekatan kuis sebagai alternatif yang lebih efektif dibandingkan metode simulasi phishing lainnya.

Melalui tampilan yang meniru antarmuka berbagai aplikasi, pengguna diajak untuk mengenali dan menebak bentuk-bentuk jebakan phishing yang muncul di berbagai platform seperti email, SMS, WhatsApp, Facebook Messenger, dan dating apps. Yang menarik, pertanyaan kuis dapat diubahsuai sesuai dengan kebutuhan pengguna dan organisasi.

Setelah pemaparan singkat, peserta diajak untuk mengakses dan menggunakan Shira melalui laptop dan handphone masing-masing. Edo memberikan pengantar bahwa peserta akan bersama-sama menebak pesan mana yang merupakan phishing dan mana yang bukan. Berpegang pada materi sebelumnya, peserta diminta untuk mengingat dan memperhatikan ciri-ciri pesan phishing seperti format pesan yang membujuk, bernuansa mendesak dan mendorong lonjakan emosi, dan ajakan untuk mengeklik tautan redirect. 

Pada pertanyaan pertama, muncul tampilan pesan email yang sekilas sulit dibedakan apakah pesan tersebut phishing atau bukan. Beberapa peserta meyakini bahwa pesan tersebut adalah phishing karena terdapat nuansa mendesak dan alamat email pengirim yang meragukan, sementara sebagian lain masih berusaha mencari dan mengidentifikasi ciri-cirinya. Setelah melalui diskusi singkat, peserta sepakat untuk mengunci jawaban “looks like phishing” untuk tampilan pesan tersebut. Hasilnya, jawaban peserta benar dan pesan tersebut ternyata memang phishing. Berikutnya, Shira langsung menampilkan elemen-elemen spesifik dalam pesan itu yang menjadi indikator phishing seperti penggunaan sapaan umum seperti “Dear customer” dan isi pesan yang bernuansa mendesak untuk segera mengeklik tautan asing.

Selanjutnya, Edo memandu peserta untuk simulasi membuat pesan phishing yang dapat disesuaikan dengan kebutuhan atau keinginan. Pembuatan simulasi pesan phishing di Shira cukup mudah: peserta memilih tampilan aplikasi akan digunakan sebagai medium pesan, merancang isi pesan memuat elemen phishing (atau bukan), serta memberikan penjelasan singkat pada elemen spesifik yang menjadi indikatornya. Setelah membuat simulasi pesan phishing, peserta membagikan hasilnya agar dapat diuji coba oleh sesama peserta lainnya. 

Hasil pesan tiruan yang dibuat oleh peserta beragam dan unik. Ada peserta yang membuat pesan SMS phishing yang memuat personalisasi pembacaan primbon, membuat pesan WhatsApp berisi job scam yang spesifik dan ditargetkan pada korban tertentu, hingga membuat pesan phishing melalui email yang berisi digital money drop dan mengarahkan korban untuk segera klik tautan jebakan. Dalam sesi ini, dengan berlatih membuat simulasi pesan phishing. sebagian besar peserta—walaupun masih ada beberapa yang masih kesulitan—berhasil mengidentifikasi pesan phishing sekaligus memahami logika penipu.  Kat menambahkan jika kita akhirnya terkena jebakan phishing dan kesulitan untuk menghadapinya, jangan ragu dan jika perlu segera meminta pertolongan kepada organisasi yang fokus pada kemampuan digital seperti Codayati, SAFEnet, dan AccessNow helpline. 

Meskipun aplikasi Shira ini membantu peserta untuk belajar mengidentifikasi pesan phishing, ada beberapa catatan kritis yang disampaikan oleh beberapa peserta untuk dikembangkan lebih jauh oleh tim Horizontal. Catatan kritis tersebut antara lain:

1. Aplikasi simulasi ini dirasa terlalu mudah karena terasa situasinya sudah disiapkan/dikondisikan dan peserta tahu sedang berada dalam mode kuis, berbeda dari phising di keseharian yang datang secara acak dan seringkali memanfaatkan faktor rekayasa sosial seperti rasa percaya dan kedekatan personal. Sehingga level kewaspadaan dalam simulasi tidak benar-benar mencerminkan kondisi sesungguhnya.
2. Pesan simulasi yang ditampilkan oleh Shira masih generik dan mudah diidentifikasi karena tidak ada penyesuaian dengan konteks lokal yang lebih relevan bagi peserta.
3. Beberapa fitur di aplikasi Shira tidak bekerja/responsif sehingga perlu diperbaiki dan dikembangkan lebih jauh.
4. Pengembangan aplikasi Shira perlu memasukkan pendekatan yang inklusif, sehingga dalam salah satu pengembangannya aplikasi ini dapat memuat fitur simulasi voice phishing yang diperlukan bagi kawan disabilitas.

Menjelang akhir acara, beberapa peserta berbagi refleksi penting dari pelatihan ini. Berlatih teknis mengenali phishing memang penting, namun kita juga perlu memahami bahwa skema ini bertumpu pada respon dari rekayasa sosial yang dirancang oleh penipu. Untuk itu, kita perlu membekali dan melatih diri untuk tetap mawas, kritis, dan memperhitungkan konsekuensi serta dampak yang mungkin akan terjadi ketika berhadapan dengan jebakan penipuan digital.

Di akhir pelatihan, untuk menjaring kesan dan masukan, peserta dipersilakan untuk menuliskan apa yang disukai dan apa yang bisa ditingkatkan melalui kertas post-it agar bisa menjadi bahan perbaikan untuk pelatihan berikutnya. Sebagai penutup yang menyenangkan, peserta bisa membawa pulang berbagai printilan seperti kartu pos berisi tautan ke kumpulan font feminist, aneka stiker, hingga voucher seputar keamanan digital. 

---

Tulisan dan foto dokumentasi oleh: Achmad Assifa dan Veronica Ajeng

Salindia dapat diunduh dari Canva di sini.