Definisi
Social engineering (rekayasa sosial) adalah teknik manipulasi psikologis yang dipakai pelaku kejahatan untuk mengelabui korban agar menyerahkan informasi rahasia, memberi akses ke sistem, atau melakukan tindakan yang menguntungkan pelaku. Bedanya dengan peretasan teknis, social engineering tidak menyerang kelemahan perangkat lunak atau jaringan, melainkan menyerang kepercayaan, rasa takut, dan rasa terburu-buru pada diri korban.
Pelaku biasanya menyamar sebagai pihak yang tampak sah, misalnya petugas bank, kurir, atau pegawai layanan pelanggan, lalu menciptakan situasi mendesak agar korban tidak sempat berpikir jernih. Begitu korban panik atau merasa harus segera bertindak, ia lebih mudah menuruti permintaan menyebutkan kode OTP, PIN, atau kata sandi.
Dalam praktik hukum di Indonesia, social engineering sendiri bukan nama pasal. Perbuatan ini dijerat lewat gabungan pasal penipuan dalam KUHP dan ketentuan UU ITE, tergantung bagaimana pelaku memperoleh keuntungan dari data yang berhasil dikoreknya.
Jenis-Jenis
Ada beberapa pola yang berulang dipakai pelaku di Indonesia.
Vishing (voice phishing). Pelaku menelepon dan mengaku sebagai petugas bank, menyampaikan ada transaksi mencurigakan, lalu meminta korban menyebutkan kode OTP untuk “membatalkan” transaksi tersebut. Begitu kode disebutkan, pelaku justru memakainya untuk menyelesaikan transaksi yang sebenarnya sedang mereka lakukan sendiri.
Phishing lewat pesan atau surel. Korban menerima tautan yang tampilannya meniru halaman login bank atau dompet elektronik, lalu diminta memasukkan kredensial di sana.
Pretexting. Pelaku membangun cerita atau identitas palsu yang meyakinkan, misalnya berpura-pura sebagai petugas pajak atau penyidik, agar korban merasa wajib menuruti permintaannya.
Baiting. Pelaku memikat korban dengan tawaran menggiurkan, seperti hadiah undian atau lowongan kerja, yang ujungnya meminta data pribadi atau biaya di muka.
Quishing. Bentuk yang belakangan marak, memakai kode QR palsu yang ditempel menimpa kode QR resmi, misalnya di kotak amal atau tempat parkir, sehingga pembayaran justru masuk ke rekening pelaku, bukan ke rekening yang dituju.
Dasar Hukum
Karena social engineering bukan nama delik tersendiri, penegak hukum menyusun jeratan dari beberapa pasal sekaligus, tergantung bagaimana perbuatan itu berlangsung.
Kalau pelaku memakai tipu muslihat atau rangkaian kebohongan untuk menggerakkan korban menyerahkan uang, dasarnya adalah delik penipuan dalam KUHP. Untuk perbuatan sebelum 2 Januari 2026, dipakai Pasal 378 KUHP lama dengan ancaman penjara paling lama empat tahun; KUHP baru yang berlaku penuh sejak tanggal itu mempertahankan delik yang sama dengan inti rumusan serupa, hanya penomorannya yang berubah.
UU ITE melengkapi dari sisi elektroniknya. Kalau modusnya melibatkan penyebaran informasi palsu yang merugikan konsumen dalam transaksi elektronik, Pasal 28 ayat (1) dapat dipakai — rumusan pasal ini sudah diperbaiki oleh UU No. 1 Tahun 2024, sehingga kutipan versi lama sudah tidak sepenuhnya mencerminkan ketentuan yang berlaku. Kalau pelaku memanipulasi tampilan sistem elektronik seolah-olah resmi, misalnya membuat halaman login palsu, ketentuan tentang manipulasi informasi elektronik dalam UU ITE ikut relevan.
Kalau pelaku sampai membobol akun korban menggunakan data yang berhasil dikorek, ketentuan akses ilegal terhadap sistem elektronik dalam UU ITE juga dapat ditambahkan sebagai pasal tersendiri dalam satu berkas perkara.
Ilustrasi Kasus
Pak Yusuf, pensiunan pegawai negeri, menerima telepon dari nomor yang tampil di layar ponselnya seperti nomor resmi bank tempatnya menabung. Penelepon menyebut ada transaksi senilai Rp45 juta yang sedang diproses dari rekeningnya dan harus segera dibatalkan. Karena panik, Pak Yusuf menuruti permintaan menyebutkan kode OTP yang masuk lewat SMS. Tak sampai semenit kemudian, saldo tabungannya benar-benar berkurang Rp45 juta, justru karena kode itulah yang dipakai pelaku menyelesaikan transfer ke rekening lain.
Pak Yusuf melapor ke kantor cabang bank dan ke kepolisian. Penyidik menjerat pelaku dengan Pasal 378 KUHP tentang penipuan dan Pasal 28 ayat (1) UU ITE, karena pelaku juga menyampaikan informasi palsu mengenai status transaksi untuk mengelabui korban. Bank menegaskan bahwa nomor telepon yang tampil di layar bisa dipalsukan lewat teknik spoofing, dan petugas resmi bank tidak pernah meminta nasabah menyebutkan kode OTP dalam kondisi apa pun.
Kasus berbeda terjadi lewat modus kotak amal masjid yang stiker kode QR-nya diganti pelaku dengan kode QR pribadi. Jemaah yang menyumbang lewat pemindaian kode itu tanpa sadar mentransfer uang ke rekening pelaku, bukan ke rekening masjid yang dituju.
Cara Melindungi Diri
Beberapa kebiasaan sederhana bisa menutup celah yang paling sering dimanfaatkan pelaku.
Jangan pernah membagikan kode OTP, PIN, CVV kartu, atau kata sandi kepada siapa pun, termasuk yang mengaku petugas bank. Semua layanan resmi di Indonesia menegaskan kode semacam itu hanya untuk dipakai sendiri oleh pemilik akun, tidak pernah diminta lewat telepon atau pesan.
Verifikasi ulang lewat jalur resmi. Kalau ada telepon atau pesan yang mengaku dari bank, tutup dulu sambungannya, lalu hubungi balik lewat nomor layanan resmi yang tertera di kartu atau aplikasi, bukan nomor yang diberikan penelepon tadi.
Periksa nama penerima sebelum membayar lewat kode QR, karena aplikasi pembayaran biasanya menampilkan nama merchant sebelum transaksi dikonfirmasi. Kalau namanya tidak sesuai dengan tempat yang tertera, batalkan pembayaran itu.
Beri jeda sebelum bertindak. Rasa mendesak adalah alat utama pelaku social engineering. Situasi yang benar-benar darurat dari lembaga resmi biasanya tetap memberi waktu untuk verifikasi, bukan memaksa keputusan dalam hitungan detik.
Kesalahpahaman Umum
“Nomor teleponnya sama persis dengan nomor resmi bank, jadi pasti benar.” Nomor pemanggil bisa dipalsukan lewat teknik spoofing sehingga tampak seperti nomor resmi di layar ponsel. Kesamaan nomor bukan bukti keaslian penelepon.
“Saya hanya menyebutkan enam digit angka, bukan menyerahkan uang.” Kode OTP itulah yang berfungsi sebagai kunci untuk menyelesaikan transaksi. Menyebutkannya kepada orang lain sama efeknya dengan memberi izin transfer dana.
“Kalau saya sadar dan langsung memblokir, kerugian pasti bisa dibatalkan.” Begitu dana berpindah ke rekening lain dan ditarik tunai, proses pengembaliannya sulit dan sangat bergantung pada kecepatan laporan ke bank sebelum saldo sempat dipindahkan lagi ke rekening berikutnya.