Definisi
Phishing adalah penipuan yang bekerja dengan cara menyamar. Pelaku meniru tampilan bank, dompet digital, marketplace, jasa kurir, atau instansi pemerintah, lalu memancing korban menyerahkan sendiri data rahasianya — kata sandi, nomor kartu, PIN, atau kode OTP. Tidak ada tembok sistem yang dijebol. Yang dijebol adalah kepercayaan korban.
Justru karena korban “memberikan sendiri” datanya, banyak orang mengira kasus phishing tidak bisa dipidana. Anggapan itu keliru. Persetujuan yang diperoleh lewat tipuan bukan persetujuan yang sah, sehingga akses pelaku ke akun korban tetap dihitung sebagai akses tanpa hak.
Phishing hampir selalu hanya pintu masuk. Setelah data didapat, kerugian sebenarnya terjadi pada langkah berikutnya: pengurasan saldo, pengajuan pinjaman atas nama korban, atau pengambilalihan akun untuk menipu kontak korban. Karena itu satu peristiwa phishing sering melahirkan beberapa delik sekaligus.
Modus yang Paling Sering Dipakai
- Tautan pengiriman paket. Pesan berisi tautan “cek resi” yang mengarah ke halaman login palsu, sering dikirim tepat saat korban memang sedang menunggu paket.
- Berkas undangan atau surat tilang. Lampiran berformat aplikasi yang dikirim lewat aplikasi pesan. Setelah dipasang, aplikasi itu membaca SMS masuk sehingga kode OTP korban langsung diteruskan ke pelaku.
- Petugas bank palsu. Penelepon mengaku dari bank, menyebut ada transaksi mencurigakan, lalu meminta OTP “untuk membatalkan”.
- Pemberitahuan kenaikan biaya administrasi. Korban diarahkan mengisi formulir agar “tetap di tarif lama”, lengkap dengan kolom PIN.
- Undian dan bantuan pemerintah. Halaman yang meniru situs resmi, dengan nama domain mirip tetapi berbeda satu-dua huruf.
Pola yang sama muncul di semuanya: ada urgensi buatan, ada ancaman kerugian kalau tidak segera bertindak, dan ada permintaan data yang tidak pernah diminta lembaga resmi.
Dasar Hukum
UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sudah dua kali diubah, yaitu dengan UU No. 19 Tahun 2016 dan UU No. 1 Tahun 2024. Untuk phishing, rumusan yang dipakai biasanya berlapis.
Pertama, pembuatan halaman atau pesan tiruan menyentuh larangan memanipulasi dan menciptakan informasi elektronik agar dianggap otentik. Inilah rumusan dengan ancaman terberat dalam UU ITE, yaitu penjara paling lama 12 tahun dan/atau denda paling banyak Rp12 miliar.
Kedua, ketika pelaku memakai kredensial hasil pancingan untuk masuk ke akun korban, perbuatannya adalah akses ilegal. Ancamannya bertingkat, dan menjadi lebih berat kalau pelaku sampai menerobos sistem pengamanan.
Ketiga, pengambilan dan penggunaan data pribadi korban tunduk pada UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang berlaku penuh sejak Oktober 2024. Undang-undang ini punya rumusan pidananya sendiri untuk pengumpulan dan pengungkapan data pribadi orang lain secara melawan hukum.
Keempat, pengurasan dana setelah phishing pada dasarnya adalah penipuan. Sejak 2 Januari 2026 KUHP baru berdasarkan UU No. 1 Tahun 2023 berlaku penuh, sehingga rumusan penipuan yang dipakai adalah rumusan KUHP baru, bukan lagi Pasal 378 KUHP lama. Kalau dananya kemudian dipindah berlapis antarrekening, UU tentang tindak pidana pencucian uang bisa ikut dipakai.
Contoh Kasus
Seorang pemilik toko daring menerima pesan yang tampak berasal dari platform tempat ia berjualan. Isinya: akunnya akan dibekukan karena “verifikasi belum lengkap”, dengan tautan untuk memperbarui data. Halaman yang terbuka identik dengan halaman login aslinya, hanya nama domainnya bertambah satu huruf.
Ia memasukkan nama pengguna, kata sandi, lalu kode OTP yang masuk ke ponselnya. Dalam sepuluh menit, saldo penjualannya sebesar Rp37 juta ditarik ke rekening yang tidak ia kenal, dan nomor rekening penerimaan tokonya diganti.
Dari satu peristiwa itu muncul beberapa perbuatan yang dapat dijerat: pembuatan halaman tiruan, akses tanpa hak ke akun, pengubahan data pengaturan rekening, serta pengambilan keuntungan dengan tipu muslihat. Kerugian materielnya tetap dapat digugat secara perdata, terpisah dari jalur pidana.
Langkah Darurat Setelah Telanjur Memberi Data
Urutan jam pertama menentukan besar kecilnya kerugian:
- Hubungi call center resmi bank atau dompet digital, minta pemblokiran kartu dan pembekuan akun. Cari nomornya dari kartu fisik atau aplikasi resmi, jangan dari pesan yang tadi diterima.
- Ganti kata sandi akun yang bocor dan semua akun lain yang memakai kata sandi sama, dimulai dari surel utama.
- Cabut sesi login aktif di menu keamanan akun, agar perangkat pelaku ikut terputus.
- Copot aplikasi yang baru dipasang dari luar toko aplikasi resmi, lalu periksa izin akses SMS dan aksesibilitas di ponsel.
- Kumpulkan bukti sebelum menghapus apa pun: tangkapan layar utuh beserta URL dan nomor pengirim, mutasi rekening, dan waktu kejadian.
- Periksa apakah ada pinjaman baru atas nama Anda melalui layanan informasi keuangan yang resmi.
Ke Mana Melapor
- Bank atau penyelenggara dompet digital, sebagai langkah paling awal. Permintaan penahanan dana masih mungkin berhasil kalau dana belum ditarik tunai.
- Kepolisian. Buat laporan di SPKT, atau sampaikan laporan awal lewat kanal patroli siber Polri. Perkara lintas wilayah dengan nilai besar ditangani direktorat tindak pidana siber Bareskrim.
- Kanal pelaporan nomor rekening dan nomor telepon penipu yang dikelola pemerintah, agar rekening pelaku ditandai dan pemblokirannya lebih cepat.
- Kementerian Komunikasi dan Digital, untuk meminta pemutusan akses terhadap situs tiruannya agar tidak memakan korban lain.
- Lembaga pengawas jasa keuangan, bila kerugian menyangkut produk perbankan atau pinjaman yang diajukan atas nama Anda tanpa sepengetahuan Anda.