Email phishing adalah pesan palsu yang dirancang untuk membuat penerima menyerahkan kata sandi, kode verifikasi, atau informasi pribadi, atau membuka tautan dan lampiran berbahaya. Pesan seperti ini bisa meniru bank, layanan email, marketplace, hingga rekan kerja. Kabar baiknya, ada sejumlah tanda yang bisa diperiksa sebelum mengeklik apa pun.
1. Alamat pengirim terlihat janggal
Jangan hanya melihat nama yang muncul di kotak masuk. Periksa alamat email lengkap setelah nama pengirim. Penipu bisa memakai nama tampilan yang meyakinkan, tetapi domainnya berbeda sedikit dari domain resmi, misalnya dengan tambahan kata, tanda hubung, atau ejaan yang menyerupai merek asli. Jika ragu, buka situs atau aplikasi resmi secara langsung untuk memeriksa pesan tersebut.
2. Pesan menciptakan rasa panik atau mendesak
Kalimat seperti “akun akan ditutup dalam 10 menit”, “transaksi mencurigakan”, atau “paket tertahan” sering digunakan untuk membuat orang bertindak tanpa berpikir. Urgensi bukan bukti pasti phishing, tetapi merupakan alasan untuk berhenti sejenak dan memverifikasi klaim melalui kanal resmi.
3. Tautan tidak menuju alamat yang semestinya
Di komputer, arahkan kursor ke tautan untuk melihat alamat tujuan tanpa membukanya. Di ponsel, tekan dan tahan dengan hati-hati bila aplikasi menampilkan pratinjau tautan. Waspadai domain yang salah eja, subdomain membingungkan, atau alamat pendek yang tidak bisa diverifikasi. HTTPS dan ikon gembok hanya menunjukkan koneksi terenkripsi; keduanya tidak menjamin bahwa situs tersebut asli.
4. Meminta kata sandi atau kode verifikasi
Jangan membagikan kata sandi, PIN, kode OTP, atau kode pemulihan melalui balasan email maupun formulir dari tautan yang tidak dipercaya. Kode sekali pakai tetap bisa dicuri jika dimasukkan ke halaman login palsu. Lembaga yang sah tidak seharusnya meminta kata sandi lengkap melalui email.
5. Ada lampiran yang tidak diharapkan
File arsip, dokumen dengan makro, atau lampiran yang meminta pemasangan aplikasi perlu dicurigai jika datang tanpa konteks. Konfirmasikan kepada pengirim melalui saluran lain sebelum membuka file yang tidak diharapkan, bahkan jika nama pengirim tampak dikenal.
6. Isi pesan tidak sesuai konteks
Kesalahan bahasa, sapaan terlalu umum, atau detail transaksi yang tidak dikenal bisa menjadi petunjuk. Namun, email phishing modern dapat ditulis dengan rapi dan menggunakan informasi pribadi yang benar. Jangan mengandalkan tata bahasa sebagai satu-satunya cara mendeteksi penipuan.
7. Alur pembayaran atau login terasa tidak biasa
Waspadai permintaan untuk memindahkan percakapan ke kanal lain, membayar ke rekening baru, mengubah detail rekening pemasok, atau login ulang melalui tautan email. Untuk urusan uang dan akun, buka aplikasi resmi atau hubungi organisasi melalui nomor yang sudah diketahui, bukan nomor dalam pesan mencurigakan.
8. Pesan meminta melewati prosedur keamanan
Instruksi untuk menonaktifkan perlindungan, mengabaikan peringatan browser, memasang aplikasi akses jarak jauh, atau merahasiakan permintaan dari tim lain merupakan tanda bahaya. Jangan mengikuti instruksi semacam itu tanpa verifikasi independen.
Apa yang harus dilakukan jika menerima email mencurigakan?
- Jangan klik tautan, membuka lampiran, atau membalas pesan.
- Periksa alamat pengirim dan klaim melalui aplikasi atau situs resmi yang dibuka sendiri.
- Laporkan pesan sebagai phishing melalui fitur email atau tim keamanan organisasi.
- Jika sudah memasukkan kata sandi, buka situs resmi dari browser, ganti kata sandi, keluarkan sesi yang tidak dikenal, dan aktifkan autentikasi multifaktor.
- Jika menggunakan kata sandi yang sama di layanan lain, ganti juga kata sandi tersebut.
Untuk perlindungan lebih kuat, gunakan kata sandi unik yang disimpan dalam pengelola kata sandi dan aktifkan autentikasi multifaktor. Jika tersedia, passkey atau kunci keamanan FIDO memberikan perlindungan yang lebih baik terhadap phishing dibandingkan kode SMS. Tidak ada satu tanda yang selalu membuktikan sebuah email palsu; yang terpenting adalah memverifikasi permintaan sensitif melalui jalur resmi.
Kesimpulan
Email phishing memanfaatkan rasa panik, kebiasaan, dan kepercayaan pada nama yang dikenal. Periksa alamat pengirim, jangan terburu-buru mengeklik tautan, dan verifikasi permintaan login atau pembayaran secara terpisah. Kebiasaan sederhana ini dapat mengurangi risiko akun diambil alih.
Sumber dan bacaan lanjutan
CISA: Require Multifactor Authentication — panduan untuk memperkuat keamanan akun dengan autentikasi multifaktor.