Cara Menghindari Phishing Berbasis AI: Panduan Aman untuk Pengguna Internet

Phishing berbasis AI menjadi tantangan baru dalam keamanan digital. Dengan bantuan kecerdasan buatan (AI), pelaku kejahatan siber dapat membuat email, pesan singkat, situs palsu, hingga suara tiruan yang terlihat atau terdengar meyakinkan. Akibatnya, pengguna internet tidak bisa lagi mengandalkan kesalahan ejaan atau tata bahasa untuk mengenali pesan penipuan.

Microsoft melaporkan bahwa pelaku ancaman memanfaatkan ketertarikan masyarakat terhadap teknologi AI untuk membuat kampanye phishing yang menyamar sebagai layanan populer. Karena itu, memahami cara menghindari phishing berbasis AI penting untuk melindungi akun, data pribadi, dan informasi keuangan.

Artikel ini membahas ciri-ciri phishing berbasis AI, langkah pencegahan, serta tindakan yang perlu dilakukan jika telanjur mengeklik tautan atau memberikan informasi sensitif.

Apa Itu Phishing Berbasis AI?

Phishing berbasis AI adalah penipuan digital yang memanfaatkan kecerdasan buatan untuk membuat pesan atau identitas palsu agar korban percaya kepada pelaku. Tujuan serangan ini biasanya mencuri kata sandi, kode autentikasi, data pribadi, informasi kartu pembayaran, atau akses ke akun.

Berbeda dari phishing konvensional yang terkadang mudah dikenali karena bahasa yang janggal, AI dapat membantu pelaku menyusun pesan yang lebih rapi, personal, dan sesuai dengan konteks korban. AI juga bisa digunakan untuk membuat gambar, suara, atau video tiruan guna mendukung upaya penipuan.

Contoh phishing berbasis AI

• Email palsu: pesan yang mengatasnamakan bank, marketplace, layanan email, atau platform AI dan meminta pengguna memverifikasi akun.
• Pesan personal: pesan yang menyebut nama, pekerjaan, atau informasi lain tentang penerima agar terlihat terpercaya.
• Peniruan suara: panggilan yang menggunakan suara tiruan seseorang untuk meminta uang atau informasi rahasia.
• Deepfake: audio atau video hasil manipulasi yang digunakan untuk menyamar sebagai rekan kerja, atasan, anggota keluarga, atau tokoh tertentu.
• Situs login palsu: halaman yang meniru layanan asli untuk mencuri kredensial pengguna.

FBI dan lembaga keamanan lainnya telah memperingatkan bahwa AI generatif dapat dimanfaatkan untuk mendukung penipuan melalui gambar, audio, dan video palsu. Karena itu, penampilan pesan yang profesional bukan bukti bahwa pesan tersebut aman.

Mengapa Phishing Berbasis AI Sulit Dikenali?

Ada beberapa alasan mengapa phishing berbasis AI bisa lebih meyakinkan dibandingkan sebagian penipuan digital konvensional.

1. Bahasa pesan terlihat profesional

AI dapat menghasilkan teks dengan tata bahasa yang baik, gaya komunikasi formal, dan struktur yang menyerupai pemberitahuan resmi. Oleh sebab itu, jangan menganggap pesan bebas salah ketik pasti berasal dari pengirim yang sah.

2. Isi pesan terasa personal

Pelaku dapat menggunakan informasi yang tersedia secara publik untuk menyesuaikan pesan dengan minat, pekerjaan, atau aktivitas korban. Pesan yang menyebut nama atau detail tertentu tetap perlu diverifikasi.

3. Identitas suara dan video dapat ditiru

Teknologi generatif bisa digunakan untuk meniru suara atau membuat video manipulatif. Jika seseorang meminta transfer dana, kode OTP, kata sandi, atau tindakan mendesak melalui telepon maupun video, verifikasi permintaan tersebut melalui saluran komunikasi lain yang sudah dikenal.

4. Penipuan dapat menyamar sebagai layanan populer

Penyerang dapat memanfaatkan kepercayaan terhadap merek teknologi yang dikenal, termasuk layanan AI. Microsoft mencatat kampanye yang menggunakan tema layanan AI untuk mengarahkan pengguna ke halaman berbahaya atau mencuri informasi akun.

10 Cara Menghindari Phishing Berbasis AI

1. Periksa alamat pengirim dan domain situs

Jangan hanya melihat nama yang muncul di layar. Periksa alamat email secara lengkap dan perhatikan domain situs sebelum memasukkan informasi. Penipu bisa menggunakan alamat yang menyerupai domain resmi dengan perbedaan kecil, tambahan kata, atau ejaan yang hampir sama.

Jika pesan mengaku berasal dari bank atau layanan digital, buka situs resmi melalui bookmark atau dengan mengetik alamat yang sudah diketahui. Jangan menjadikan tautan dalam pesan sebagai satu-satunya jalan untuk masuk ke akun.

2. Jangan langsung mengeklik tautan atau lampiran

Pesan phishing sering mendorong penerima untuk mengeklik tautan, mengunduh file, atau membuka lampiran. Jika pesan tidak diharapkan atau konteksnya mencurigakan, jangan berinteraksi dengan tautan tersebut.

Di komputer, arahkan kursor ke tautan untuk memeriksa alamat tujuannya bila memungkinkan. Di ponsel, tekan dan tahan tautan hanya jika aman dilakukan untuk melihat pratinjau alamat; jangan membukanya. Perlu diingat, tautan yang terlihat wajar pun belum tentu aman.

3. Waspadai pesan yang mendesak atau menakut-nakuti

Berhati-hatilah terhadap pesan yang mengancam akun akan diblokir, pembayaran gagal, hadiah akan hangus, atau akses harus segera dipulihkan. Tekanan waktu sering digunakan agar korban bertindak tanpa berpikir.

Jangan mengambil keputusan penting hanya karena pesan mengatakan bahwa kamu harus bertindak sekarang. Periksa informasi tersebut melalui aplikasi atau situs resmi.

4. Verifikasi permintaan melalui saluran berbeda

Jika menerima pesan dari atasan, rekan kerja, bank, atau anggota keluarga yang meminta uang maupun informasi rahasia, hubungi pihak tersebut menggunakan nomor telepon atau kanal komunikasi yang sudah tersimpan sebelumnya.

Jangan menggunakan nomor atau tautan yang disertakan dalam pesan mencurigakan untuk melakukan verifikasi. Untuk permintaan pembayaran perusahaan, terapkan prosedur persetujuan dan pemeriksaan tambahan, terutama jika rekening atau instruksi pembayaran berubah.

5. Jangan pernah membagikan OTP dan kata sandi

Kode OTP, kata sandi, kode pemulihan, dan kode autentikasi merupakan informasi sensitif. Jangan memberikannya kepada orang yang menghubungi kamu melalui email, telepon, pesan singkat, atau media sosial, meskipun orang tersebut mengaku sebagai petugas resmi.

Perusahaan atau layanan yang sah tidak seharusnya meminta kamu menyerahkan kata sandi akun kepada petugas melalui percakapan. Jika ada permintaan seperti ini, hentikan komunikasi dan periksa melalui kanal resmi.

6. Aktifkan autentikasi multifaktor atau passkey

Autentikasi multifaktor (MFA) menambahkan lapisan keamanan selain kata sandi. Aktifkan fitur ini pada email, akun keuangan, media sosial, dan layanan penting lainnya.

Jika tersedia, pertimbangkan menggunakan passkey. Menurut dokumentasi Google, passkey terikat pada identitas situs atau aplikasi yang membuatnya sehingga lebih tahan terhadap phishing dibandingkan kata sandi yang dapat dicuri melalui halaman login palsu.

Gunakan metode autentikasi yang kuat dan jangan menyetujui permintaan login yang tidak kamu mulai sendiri. MFA tetap perlu digunakan dengan hati-hati karena tidak semua metode memiliki tingkat perlindungan yang sama.

7. Jangan langsung percaya pada suara atau video

Jika menerima panggilan yang mengaku berasal dari keluarga, pimpinan, atau rekan kerja dan meminta uang atau data sensitif, jangan hanya mengandalkan suara maupun wajah sebagai bukti identitas.

Hubungi orang tersebut kembali melalui nomor yang sudah kamu kenal. Untuk keluarga, kamu juga bisa menyepakati kata atau frasa rahasia untuk membantu memverifikasi situasi darurat. Jika permintaan melibatkan transaksi, lakukan konfirmasi tambahan sebelum mengirim dana.

8. Perbarui perangkat lunak dan aktifkan perlindungan keamanan

Perbarui sistem operasi, browser, aplikasi, dan perangkat lunak keamanan secara berkala. Pembaruan dapat memperbaiki kerentanan dan membantu perangkat mengenali sebagian ancaman yang diketahui.

Gunakan filter spam dan perlindungan phishing yang tersedia di layanan email atau browser. Namun, jangan menganggap alat keamanan dapat mendeteksi seluruh serangan. Pemeriksaan pengirim, alamat situs, dan konteks permintaan tetap diperlukan.

9. Batasi informasi pribadi yang dibagikan secara publik

Informasi yang diunggah ke media sosial dapat dimanfaatkan untuk membuat pesan penipuan yang lebih meyakinkan. Hindari membagikan detail sensitif, seperti informasi akun, dokumen identitas, jadwal perjalanan, atau informasi internal pekerjaan.

Periksa pengaturan privasi akun dan batasi siapa saja yang dapat melihat unggahan pribadi. Informasi publik tidak selalu berbahaya dengan sendirinya, tetapi dapat digunakan untuk menyusun upaya rekayasa sosial yang lebih terarah.

10. Laporkan pesan mencurigakan dan hapus dengan aman

Jika menemukan email atau pesan yang diduga phishing, gunakan fitur laporkan phishing atau spam pada layanan terkait. Jangan membalas pesan tersebut dan hindari mengeklik tautan di dalamnya, termasuk tautan berhenti berlangganan yang mencurigakan.

Jika pesan berkaitan dengan akun kantor, laporkan kepada tim IT atau keamanan informasi. Untuk kasus yang berpotensi menimbulkan kerugian, simpan bukti yang relevan tanpa meneruskan tautan berbahaya kepada orang lain.

Ciri-Ciri Email atau Pesan Phishing Berbasis AI

Gunakan daftar berikut sebagai pemeriksaan awal sebelum mempercayai pesan yang diterima.

• Pengirim meminta kata sandi, OTP, kode pemulihan, atau data keuangan.
• Pesan menuntut tindakan cepat dengan ancaman atau iming-iming tertentu.
• Alamat email atau domain berbeda dari alamat resmi yang seharusnya digunakan.
• Tautan mengarah ke situs yang tidak sesuai dengan nama layanan yang disebutkan.
• Pesan meminta pembayaran, transfer, atau perubahan rekening secara mendadak.
• Pengirim meminta kamu mengunduh aplikasi atau lampiran yang tidak diharapkan.
• Panggilan suara atau video meminta tindakan sensitif tanpa proses verifikasi yang wajar.
• Pesan menggunakan identitas layanan AI populer tetapi meminta login melalui tautan yang tidak dikenal.

Catatan: Tidak semua pesan phishing memiliki seluruh ciri di atas. Sebaliknya, satu ciri saja belum tentu membuktikan penipuan. Periksa konteks, identitas pengirim, alamat situs, dan jenis permintaan sebelum mengambil tindakan.

Apa yang Harus Dilakukan Jika Telanjur Mengeklik Tautan Phishing?

Jika telanjur mengeklik tautan mencurigakan, jangan panik. Tindakan yang tepat bergantung pada apa yang terjadi setelah tautan dibuka.

1. Jika hanya membuka tautan: tutup halaman tersebut dan jangan mengunduh file, memasukkan data, atau menyetujui izin yang tidak dipahami. Periksa perangkat jika muncul unduhan atau aktivitas yang tidak biasa.
2. Jika memasukkan kata sandi: buka situs atau aplikasi resmi dari perangkat yang tepercaya, lalu segera ganti kata sandi. Jika kata sandi yang sama digunakan di layanan lain, ganti juga kata sandi pada akun-akun tersebut.
3. Jika memberikan OTP atau menyetujui login: periksa aktivitas akun, keluarkan sesi atau perangkat yang tidak dikenal, dan amankan metode pemulihan akun.
4. Jika memberikan data perbankan atau mengirim uang: segera hubungi bank atau penyedia pembayaran melalui kanal resmi untuk meminta bantuan dan membatasi transaksi jika memungkinkan.
5. Jika mengunduh atau menjalankan file: jalankan pemindaian keamanan dengan perangkat lunak tepercaya dan minta bantuan teknis jika perangkat menunjukkan perilaku mencurigakan.
6. Laporkan insiden: gunakan fitur pelaporan pada platform terkait dan simpan bukti seperti email, nomor pengirim, waktu kejadian, serta informasi transaksi yang relevan.

Jangan menunda pengamanan akun hanya karena belum terlihat kerugian. Jika kredensial telah diberikan kepada situs palsu, penyerang mungkin mencoba menggunakannya kemudian.

Apakah Antivirus Bisa Mencegah Semua Phishing Berbasis AI?

Tidak. Antivirus, filter spam, perlindungan browser, dan sistem deteksi ancaman dapat membantu mengurangi risiko, tetapi tidak menjamin semua pesan penipuan akan terblokir. Serangan phishing juga memanfaatkan keputusan manusia, misalnya ketika seseorang secara sukarela memasukkan kata sandi ke halaman palsu atau mengirim uang karena percaya kepada identitas yang ditiru.

Perlindungan yang lebih baik menggabungkan beberapa langkah: kebiasaan memeriksa pesan, penggunaan autentikasi yang kuat, pembaruan perangkat, pembatasan akses, dan prosedur verifikasi untuk transaksi penting.

Kesimpulan

Cara menghindari phishing berbasis AI dimulai dengan tidak langsung mempercayai pesan yang terlihat profesional, tautan yang tampak resmi, atau suara dan video yang terasa familier. Periksa alamat pengirim, kunjungi situs resmi secara langsung, jangan membagikan OTP, verifikasi permintaan sensitif melalui saluran lain, dan aktifkan MFA atau passkey jika tersedia.

AI dapat membuat penipuan lebih meyakinkan, tetapi kebiasaan verifikasi yang konsisten dapat mengurangi risiko. Jika telanjur memberikan informasi sensitif, segera amankan akun, hubungi penyedia layanan terkait, dan laporkan insiden melalui kanal resmi.

Referensi

1. Microsoft Security — Detect and disrupt AI-themed attacks with Microsoft Defender.
2. FBI Internet Crime Complaint Center — Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud.
3. CISA — Recognize and Report Phishing.
4. Google for Developers — Passkeys: Security Benefits.
5. Federal Trade Commission — Scammers Use AI to Enhance Their Family Emergency Schemes.