Definisi
Spoofing adalah teknik menyamarkan identitas elektronik supaya pelaku tampak sebagai pihak lain yang sah. Bentuk paling sering ditemui adalah spoofing alamat surel, di mana pengirim memalsukan nama pengirim sehingga pesannya tampak datang dari bank, kantor pajak, atau atasan korban. Ada juga spoofing nomor telepon, spoofing domain situs, dan spoofing sinyal GPS.
Intinya sama: pelaku menumpang kepercayaan yang sudah melekat pada identitas tertentu. Korban tidak menyerahkan data atau uangnya kepada orang asing, tapi kepada sosok yang dikiranya resmi. Karena itu spoofing jarang berdiri sendiri, biasanya jadi pintu masuk serangan lanjutan seperti phishing, pencurian akun, atau transfer ke rekening penampung.
Satu hal yang membuat spoofing sulit dibendung: korban biasanya baru sadar setelah kerugian terjadi. Tidak ada tanda peringatan yang jelas di layar ponsel atau kotak masuk surel, karena tampilan yang dilihat korban justru dibuat semirip mungkin dengan aslinya. Pelaku hanya butuh satu korban yang percaya untuk membuat seluruh rangkaian itu berhasil.
Cara Kerjanya
Pada spoofing surel, pelaku memalsukan header pesan sehingga nama pengirim menampilkan “Bank Anda” meski alamat teknis di baliknya milik pelaku. Sebagian penyedia layanan surel kini memblokir praktik ini lewat autentikasi pengirim, tapi domain lama yang belum dikonfigurasi tetap rentan.
Pada spoofing nomor telepon, identitas pemanggil di layar ponsel korban dimanipulasi menggunakan layanan berbasis internet. Korban melihat nama institusi resmi meski penelepon sebenarnya dari nomor lain. Teknik ini marak dipakai untuk modus penipuan transaksi, di mana pelaku berpura-pura sebagai petugas call center dan meminta kode OTP.
Spoofing domain atau situs bekerja dengan membuat alamat yang mirip aslinya. Satu huruf berbeda, atau ekstensi berlainan, sudah cukup membuat korban memasukkan nama pengguna dan kata sandinya ke halaman palsu. Data itu kemudian dipakai membobol akun yang sebenarnya.
Dampak Hukumnya
Secara hukum pidana, perbuatan memanipulasi data elektronik supaya tampak otentik diatur dalam Pasal 35 UU ITE. Frasa “dianggap seolah-olah data yang otentik” itu tepat menggambarkan spoofing. Pelanggarannya diancam Pasal 51 ayat (1) dengan pidana penjara paling lama 12 tahun dan denda paling banyak Rp12 miliar.
Kalau spoofing dipakai mengambil data pribadi korban, UU Pelindungan Data Pribadi bisa ikut diterapkan. Pasal 65 ayat (1) melarang setiap orang secara melawan hukum memperoleh atau mengumpulkan data pribadi milik orang lain dengan maksud menguntungkan diri sendiri atau pihak lain.
Perlu dicatat, perubahan kedua UU ITE lewat UU No. 1 Tahun 2024 tidak menyentuh Pasal 35 maupun Pasal 51. Yang direvisi saat itu adalah pasal-pasal soal kesusilaan, penghinaan, berita bohong, dan cyberbullying. Jadi kedua pasal rujukan spoofing di atas tetap berlaku sebagaimana bunyi aslinya.
Sanksi di Sektor Keuangan
Industri jasa keuangan punya aturan tambahan. Bank dan penyelenggara sistem pembayaran diwajibkan menerapkan manajemen risiko, termasuk verifikasi identitas nasabah dan pemantauan transaksi mencurigakan. Bila terjadi spoofing yang mengakibatkan kerugian nasabah, otoritas bisa memeriksa apakah prosedur internal penyelenggara sudah dijalankan.
Praktiknya, korban sering mengadu ke bank sekaligus membuat laporan polisi. Dua jalur itu berjalan paralel: bank menelusuri aliran dana untuk kemungkinan pemblokiran rekening, sementara penyidik mengejar pelaku. Kecepatan lapor jadi faktor besar, karena dana yang sudah dipindah berlapis biasanya sulit ditarik kembali.
Penyedia jasa keuangan juga wajib melaporkan transaksi tidak biasa ke pusat pelaporan dan analisis transaksi keuangan. Dari sana, pola spoofing yang menyasar banyak nasabah sekaligus bisa terpetakan, dan rekening penampung bisa dimintai pemblokiran. Bagi korban, dokumen seperti bukti transfer, tangkapan layar pesan, dan nomor pengirim sangat menentukan agar laporan bisa ditindaklanjuti cepat.
Cara Melindungi Diri
Pertama, jangan pernah percaya sepenuhnya pada nama pengirim yang muncul di layar. Kedua, jangan memberikan kode OTP kepada siapa pun, termasuk orang yang mengaku petugas resmi. Ketiga, selalu periksa alamat situs sebelum memasukkan kata sandi, dan simpan alamat situs penting sebagai bookmark.
Keempat, aktifkan verifikasi dua langkah di akun utama. Kelima, kalau menerima pesan mencurigakan yang mengatasnamakan institusi, hubungi nomor resmi institusi itu dan tanyakan langsung. Langkah-langkah ini terkesan sepele, tapi sebagian besar korban spoofing jatuh karena melewatkan satu saja dari kebiasaan itu.
Contoh Kasus
Seorang karyawan bernama Dita menerima surel dari alamat yang menampilkan nama direktur perusahaannya. Isinya instruksi singkat: segera transfer Rp85 juta ke sebuah rekening atas nama vendor baru, dengan alasan proyek mendesak. Dita menuruti karena nada pesannya mendesak dan formatnya mirip surat dinas perusahaan.
Dua hari kemudian diketahui alamat surel itu bukan milik direktur, melainkan domain mirip dengan selisih satu huruf. Uang sudah berpindah ke beberapa rekening. Penyidik memakai Pasal 35 dan Pasal 51 ayat (1) UU ITE untuk menangani perkara tersebut, sementara perusahaan memperketat prosedur verifikasi ganda untuk setiap instruksi pembayaran.
Pertanyaan yang Sering Diajukan
Apa bedanya spoofing dan phishing? Spoofing adalah teknik menyamarkan identitas, sedangkan phishing adalah aksi memancing korban menyerahkan data atau uang. Spoofing sering jadi alat dalam phishing, tapi tidak semua spoofing berujung pada pengambilan data.
Kalau hanya memalsukan nama pengirim tanpa mengambil uang, apakah tetap bisa dipidana? Bisa. Pasal 35 UU ITE tidak mensyaratkan adanya kerugian uang. Unsur yang dinilai adalah manipulasi data elektronik agar tampak otentik, dan ancaman pidananya sudah melekat pada perbuatan itu.
Ke mana korban harus melapor pertama kali? Lapor ke bank atau penyedia layanan agar transaksi bisa dibekukan, lalu buat laporan polisi ke unit siber setempat. Simpan bukti berupa tangkapan layar, nomor pengirim, dan riwayat transfer, karena ketiganya dipakai untuk penelusuran awal.