Definisi
Smishing adalah modus penipuan yang memakai pesan singkat atau SMS untuk menjebak korban. Pelaku mengirim pesan yang kelihatannya berasal dari pihak resmi, seperti bank, jasa pengiriman paket, atau penyedia layanan internet, lalu memancing korban membuka tautan berbahaya atau membocorkan kode OTP, nomor kartu, dan data pribadi lainnya. Nama ini gabungan dari SMS dan phishing: kalau phishing pada umumnya lewat email atau situs palsu, smishing spesifik lewat pesan teks.
Modusnya berkembang cepat seiring maraknya transaksi digital dan e-commerce. Pesan “paket Anda tertahan, bayar bea cukai lewat tautan”, “akun Anda diblokir, verifikasi di sini”, atau “kode OTP Anda kedaluwarsa, kirim ulang” sudah menjadi pola umum. Karena muncul di aplikasi perpesanan yang sama dengan SMS bank yang asli, banyak orang terkecoh, apalagi pelaku semakin pintar meniru format pesan resmi.
Bagaimana Smishing Bekerja
Sebagian besar smishing mengikuti pola yang sama. Pertama, korban menerima pesan dengan narasi mendesak, misalnya tagihan yang harus dibayar segera atau paket yang harus diambil sebelum batas waktu. Kedua, pesan itu memuat tautan ke situs tiruan yang tampilannya menyerupai situs resmi. Ketiga, korban diminta login atau mengisi data sensitif, dan begitu data masuk, pelaku langsung menggunakannya untuk transaksi.
Tautan palsu itu juga bisa mengarah ke halaman yang menginstal aplikasi berbahaya. Begitu terpasang, aplikasi bisa membaca SMS masuk, termasuk kode OTP, sehingga pelaku bisa lolos dari verifikasi dua langkah. Inilah alasan mengapa bank dan penyedia jasa keuangan selalu mengingatkan bahwa pihak resmi tidak pernah meminta OTP atau PIN lewat SMS.
Jerat Hukum bagi Pelaku
Smishing bukan wilayah abu-abu; perbuatannya bisa dijerat beberapa pasal sekaligus. Yang paling sering dipakai adalah Pasal 492 UU No. 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana, yang menggantikan Pasal 378 KUHP lama soal penipuan. Pasal ini menjerat orang yang menggerakkan korban menyerahkan barang atau uang lewat tipu muslihat dan rangkaian kata bohong, dengan ancaman pidana penjara paling lama empat tahun atau denda paling banyak kategori V sebesar Rp500 juta. Karena KUHP baru mulai berlaku pada tahun 2026, perkara smishing yang berjalan sekarang umumnya dijerat pasal ini.
Selain itu, Pasal 28 ayat (1) UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik, sebagaimana diubah dengan UU No. 19 Tahun 2016, melarang penyebaran berita bohong dan menyesatkan yang merugikan konsumen dalam transaksi elektronik. Pasal ini sering dipakai sebagai pasal kumulatif, terutama kalau narasi smishing menyebar dalam skala luas. Bila pelaku juga membobol rekening korban, pencurian dan penggelapan elektroniknya bisa dituntut terpisah.
Perlindungan bagi Korban
Korban smishing bukan tanpa jalan. Langkah pertama yang paling cepat adalah melapor ke bank penerbit rekening atau kartu agar transaksi mencurigakan diblokir, lalu melapor ke polisi dengan membawa bukti pesan dan riwayat transaksi. Laporan ke polisi penting karena jadi dasar untuk meminta penyedia jasa keuangan atau platform digital membuka data transaksi pelaku.
Laporan juga bisa diajukan ke Kementerian Komunikasi dan Digital lewat kanal aduan konten untuk memblokir nomor atau tautan yang dipakai pelaku, supaya tidak menjerat korban berikutnya. Di sisi lain, UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi menuntut penyelenggara sistem elektronik menjaga keamanan data yang mereka kelola; kalau kebocoran terjadi karena kelalaian penyelenggara, korban bisa menuntut ganti rugi secara perdata.
Cara Menghindari Smishing
Kewaspadaan masih jadi pertahanan paling murah. Prinsip dasarnya sederhana: jangan pernah klik tautan di SMS yang tidak Anda tunggu, dan jangan pernah membalas OTP atau PIN kepada siapa pun. Selalu bedakan antara SMS yang informatif dan SMS yang meminta tindakan; lembaga resmi jarang meminta pembayaran atau verifikasi lewat tautan di pesan teks. Saat ragu, hubungi langsung call center resmi institusi terkait, bukan lewat nomor yang ada di pesan mencurigakan. Periksa juga ejaan dan domain tautan, karena situs tiruan biasanya memakai alamat yang nyaris mirip dengan yang asli.
Contoh Kasus
Dina menerima SMS mengatasnamakan kurir: “Paket Anda tertahan di gudang, bea Rp45 ribu, bayar di https://cekresi-bayar[.]xyz”. Karena ia memang menunggu kiriman dari luar kota, ia mengklik tautan dan mengisi nomor kartu kredit plus kode CVV. Dua jam kemudian, kartunya dibebani empat transaksi total Rp12 juta. Bank memblokir kartu, dan Dina melapor ke polisi dengan membawa tangkapan layar SMS dan mutasi. Penyidik menelusuri aliran dana ke rekening penampung milik Burhan, yang dituntut dengan Pasal 492 UU 1/2023 jo. Pasal 28 ayat (1) UU ITE. Pengadilan menjatuhkan hukuman dua tahun penjara dan denda, dengan pertimbangan korban datang dari beberapa provinsi.
Pertanyaan yang Sering Diajukan
Apakah smishing bisa dipidanakan? Bisa. Pelakunya dijerat Pasal 492 UU 1/2023 tentang penipuan dengan ancaman penjara maksimal empat tahun atau denda hingga Rp500 juta, dan bisa ditambah Pasal 28 ayat (1) UU ITE kalau berita bohongnya merugikan konsumen.
Saya sudah terlanjur klik tautan dan mengisi data, apa yang harus dilakukan? Segera ganti semua kata sandi, aktifkan verifikasi dua langkah, hubungi bank atau penyedia jasa untuk memblokir kartu dan rekening, lalu simpan bukti pesan dan mutasi untuk laporan polisi.
Bank menolak mengganti kerugian, bagaimana? Korban bisa mengadu ke lembaga pengawas perbankan dan, kalau perlu, menggugat bank secara perdata kalau kelalaian bank terbukti berkontribusi pada kerugian, misalnya sistemnya tidak mengamankan transaksi. Konsultasikan ke pengacara atau lembaga bantuan hukum dengan bukti lengkap.