Waspada Smishing Modus Baru via Fake BTS

Key Takeaways:

• Smishing adalah bentuk phishing yang menggunakan media SMS untuk menipu korban agar menyerahkan data pribadi, sering kali dengan menyamar sebagai institusi tepercaya.
• Modus baru yang sangat berbahaya menggunakan perangkat ilegal bernama Fake BTS (Base Transceiver Station) yang bisa mencegat dan memanipulasi SMS, termasuk kode OTP.
• Waspadai pesan yang menciptakan urgensi, seperti notifikasi pemenang undian, tagihan palsu, atau peringatan keamanan akun yang mengarahkan Anda untuk mengklik tautan.
• Lindungi diri dengan tidak pernah mengklik tautan dari SMS asing, menggunakan otentikasi dua faktor (2FA) via aplikasi (bukan SMS), dan segera melaporkan pesan mencurigakan.
• Bagi bisnis, penting untuk mengedukasi seluruh tim tentang bahaya smishing dan memilih mitra pembayaran yang memiliki sistem keamanan berlapis seperti DOKU.

Pernahkah Anda menerima SMS yang mengabarkan bahwa Anda baru saja memenangkan undian besar dari sebuah perusahaan ternama? Atau mungkin pesan singkat yang menyatakan ada paket atas nama Anda yang tertahan dan perlu segera diurus? Hati-hati. Bisa jadi itu adalah bentuk penipuan smishing alias SMS phishing.

Istilah smishing sendiri merupakan gabungan dari "SMS" dan "phishing". Ini adalah modus kejahatan yang bertujuan mencuri data sensitif Anda melalui pesan teks. Menurut data dari Cyber Crime Unit Polri, kasus ini di Indonesia melonjak hingga 30% pada tahun 2023. Angka ini menunjukkan bahwa para penjahat siber semakin aktif dan kreatif dalam melancarkan aksinya, menargetkan siapa saja yang lengah. Mari kita kenali lebih dalam ancaman ini dan bagaimana cara melindungi diri serta bisnis Anda.

Memahami Apa Itu Smishing Sebenarnya

Secara sederhana, smishing adalah upaya penipuan untuk mendapatkan informasi pribadi atau keuangan Anda melalui pesan SMS. Pelaku akan mengirimkan pesan yang dirancang sedemikian rupa agar terlihat seolah-olah berasal dari sumber yang sah dan tepercaya, seperti bank, lembaga pemerintah, penyedia layanan kurir, atau bahkan atasan di tempat kerja Anda.

Tujuan akhir dari pesan ini adalah untuk memanipulasi Anda secara psikologis. Mereka biasanya menciptakan rasa urgensi, rasa takut, atau rasa penasaran yang besar agar Anda segera mengambil tindakan tanpa berpikir panjang. Tindakan yang mereka harapkan adalah Anda mengklik sebuah tautan berbahaya, mengunduh aplikasi palsu, atau membalas pesan dengan memberikan data rahasia seperti kata sandi, PIN, atau kode OTP (One-Time Password).

Baca Juga: Hindari Phishing dan Lindungi Data Bisnis denganTepat

Modus Baru Smishing Menggunakan Fake BTS

Ancaman smishing kini menjadi jauh lebih berbahaya karena para pelaku telah meningkatkan permainannya. Mereka tidak lagi hanya mengandalkan nomor acak yang mudah dicurigai. Modus operandi terbaru yang sangat mengkhawatirkan adalah penggunaan teknologi Fake BTS (Base Transceiver Station). Ini adalah sebuah evolusi serangan yang membuatnya semakin sulit untuk dideteksi.

Dengan perangkat Fake BTS, penipu dapat mengirimkan pesan penipuan yang seolah-olah berasal dari nomor resmi atau sender ID yang sah, misalnya "INFO-BANK" atau "PEMERINTAH". Ini membuat pesan palsu mereka tampak sangat otentik dan meyakinkan. Anda mungkin merasa aman karena pengirimnya terlihat benar, padahal Anda sebenarnya sudah masuk ke dalam perangkap sinyal palsu yang mereka ciptakan.

Mengenal Perangkat Fake BTS dan Cara Kerjanya

Fake BTS pada dasarnya adalah sebuah menara seluler mini ilegal yang daya jangkaunya terbatas. Perangkat ini dirancang untuk meniru sinyal dari menara operator seluler resmi seperti Telkomsel, XL, atau Indosat. Ketika Anda berada dalam jangkauan sinyal Fake BTS ini, ponsel Anda secara otomatis akan terhubung kepadanya karena sinyalnya dibuat tampak lebih kuat daripada sinyal menara asli.

Begitu ponsel Anda terhubung ke jaringan palsu ini, pelaku memiliki kendali. Mereka bisa mencegat, membaca, bahkan memodifikasi semua lalu lintas SMS yang masuk dan keluar dari ponsel Anda, tanpa melalui sistem keamanan milik operator seluler. Inilah yang membuat serangan ini sangat berbahaya. Pelaku bisa menyadap informasi paling sensitif, yaitu kode OTP, yang merupakan kunci terakhir untuk mengakses akun keuangan digital Anda.

Alur Serangan Smishing via Fake BTS

Serangan yang menggunakan Fake BTS dirancang secara sistematis untuk mengambil alih akun keuangan digital korban, seperti mobile banking atau dompet digital. Alurnya sangat terencana dan memanfaatkan kelengahan korban di setiap tahapannya.

Tahapan Serangan Fake BTS yang Perlu Diwaspadai

Pertama, pelaku akan menempatkan perangkat Fake BTS di lokasi yang ramai, seperti pusat perbelanjaan atau area perkantoran, untuk menjangkau sebanyak mungkin korban. Perangkat ini kemudian akan memancarkan sinyal kuat yang menyamar sebagai sinyal operator resmi. Tanpa peringatan apa pun, ponsel-ponsel di sekitarnya akan beralih koneksi ke jaringan palsu ini.

Selanjutnya, pelaku akan menunggu momen yang tepat, yaitu saat korban melakukan transaksi atau mencoba masuk ke aplikasi keuangan. Ketika sistem bank mengirimkan SMS berisi kode OTP, pesan tersebut tidak akan langsung masuk ke ponsel korban. Fake BTS akan mencegatnya terlebih dahulu. Pelaku kemudian bisa memodifikasi pesan tersebut, misalnya dengan menambahkan tautan phishing, sebelum meneruskannya ke korban, atau bahkan tidak meneruskannya sama sekali dan langsung menggunakan kode OTP tersebut.

Jika korban terjebak dan mengklik tautan phishing yang disisipkan, mereka akan diarahkan ke sebuah situs web palsu yang tampilannya dibuat sangat mirip dengan aslinya. Di sanalah korban, yang tidak menaruh curiga, akan memasukkan nama pengguna, kata sandi, dan data rahasia lainnya. Dengan semua informasi ini, pelaku memiliki akses penuh untuk menguras isi rekening atau dompet digital korban.

Baca juga: Waspada! Ini Jenis Penipuan Online Terbaru

Contoh Pesan Smishing yang Harus Diwaspadai

Untuk membuat Anda lebih waspada, penting untuk mengenali beberapa narasi atau skenario yang paling sering digunakan oleh pelaku smishing. Mereka selalu bermain dengan emosi untuk memancing reaksi cepat dari Anda.

Salah satu contoh yang paling umum adalah pesan yang mengklaim ada paket yang tertahan untuk Anda. Pesan tersebut biasanya menyertakan nomor resi palsu dan sebuah tautan untuk "melacak" atau "membayar biaya tambahan" agar paket bisa dikirim. Tautan inilah yang menjadi jebakannya.

Skenario populer lainnya adalah pesan yang berpura-pura sebagai tagihan yang belum dibayar, misalnya tagihan listrik atau telepon, yang mengancam akan adanya pemutusan layanan jika tidak segera dilunasi melalui tautan yang diberikan. Ada juga pesan yang mengatasnamakan bank, memberitahukan bahwa akun Anda terkunci karena aktivitas mencurigakan dan meminta Anda untuk melakukan verifikasi data melalui sebuah tautan. Semua skenario ini memiliki satu tujuan, yaitu membuat Anda panik dan mengklik tautan berbahaya.

Cara Melindungi Bisnis dan Tim dari Serangan Smishing

Melindungi diri dari ancaman smishing membutuhkan kombinasi antara kewaspadaan pribadi dan penerapan kebijakan keamanan yang baik, terutama di lingkungan bisnis.

1. Jangan Mengklik Tautan dari SMS Asing

Ini adalah aturan utama yang harus ditanamkan kepada diri sendiri dan seluruh tim Anda. Berikan edukasi bahwa tautan yang datang melalui SMS, bahkan dari pengirim yang terlihat resmi, harus selalu dicurigai. Ajarkan kebiasaan untuk tidak pernah mengklik tautan tersebut. Jika pesan seolah-olah dari bank, lebih baik buka aplikasi resmi bank secara manual.

2. Aktifkan Lapisan Keamanan Tambahan (2FA)

Jangan pernah hanya mengandalkan kode OTP yang dikirim melalui SMS. Mengingat SMS bisa disadap oleh Fake BTS, metode ini tidak lagi menjadi yang paling aman. Dorong seluruh tim untuk mengaktifkan Otentikasi Dua Faktor (Two-Factor Authentication atau 2FA) yang menggunakan aplikasi autentikator seperti Google Authenticator atau Authy. Aplikasi ini menghasilkan kode yang berubah setiap beberapa detik dan tidak dikirim melalui SMS, sehingga jauh lebih aman dari penyadapan.

3. Ciptakan Budaya Melapor di Lingkungan Kerja

Buatlah sebuah prosedur standar di perusahaan Anda tentang apa yang harus dilakukan jika seorang karyawan menerima pesan yang mencurigakan. Mereka harus tahu kepada siapa harus melapor, misalnya kepada tim IT atau manajer langsung. Budaya yang terbuka untuk melapor tanpa takut disalahkan akan membuat potensi serangan bisa dideteksi lebih dini sebelum ada yang menjadi korban. Anda juga bisa melaporkan nomor mencurigakan ke kanal resmi Kominfo seperti aduannomor.id, cekrekening.id, aduankonten.id.

4. Gunakan Perangkat Lunak Keamanan di Perangkat Bisnis

Untuk perangkat yang digunakan untuk keperluan bisnis, seperti ponsel atau laptop perusahaan, wajibkan pemasangan perangkat lunak keamanan. Aplikasi seperti antivirus, anti-malware, atau VPN dapat memberikan lapisan pertahanan tambahan terhadap berbagai jenis serangan siber. Ini adalah investasi kecil yang dapat mencegah kerugian besar di kemudian hari.

Pilih Mitra Pembayaran yang Aman dan Tepercaya

Di tengah maraknya ancaman siber seperti smishing, kewaspadaan individu memang penting. Namun, bagi sebuah bisnis, memilih mitra teknologi yang juga menempatkan keamanan sebagai prioritas utamanya adalah langkah yang tak kalah krusial. Keamanan transaksi pelanggan adalah cerminan dari reputasi dan integritas bisnis Anda.

Inilah mengapa memilih DOKU sebagai payment gateway Anda adalah sebuah keputusan strategis. DOKU dibangun di atas fondasi keamanan berlapis yang dirancang untuk melindungi setiap transaksi dari berbagai jenis penipuan. Kami secara proaktif memantau aktivitas mencurigakan dan terus memperbarui sistem kami untuk menghadapi ancaman siber yang terus berkembang. Kami memahami bahwa kepercayaan pelanggan Anda adalah aset terbesar Anda.

Jangan biarkan kerja keras Anda membangun bisnis dirusak oleh celah keamanan. Percayakan urusan pembayaran Anda kepada platform yang telah berpengalaman dan terbukti andal dalam menjaga keamanan transaksi jutaan pengguna di Indonesia. Mari bangun bisnis yang aman dan tepercaya bersama. Daftarkan bisnis Anda di DOKU sekarang!