Phishing Psychology: Ketika Penipu Meretas Manusia, Bukan Komputer

Pernahkah Anda menerima email atau
pesan yang terlihat dari bank, kantor,
atau layanan langganan?
Isinya berbunyi, “Akun Anda akan
diblokir. Klik tautan ini untuk
verifikasi.” Atau,
“Ada paket gagal kirim. Konfirmasi
alamat Anda di sini.” Anda merasa
panik. Anda mengklik tautan.
Anda mengisi data. Beberapa jam
kemudian, Anda menyadari akun
Anda diretas atau uang Anda hilang.
Inilah yang disebut Phishing
Psychology.

Phishing Psychology adalah teknik
manipulasi yang bekerja pada
psikologi korban, bukan hanya
pada teknologi. Pelaku tidak
meretas sistem dengan kekuatan
super. Pelaku meretas manusia.
Pelaku membuat Anda menyerahkan
kunci Anda sendiri. Caranya dengan
menciptakan pesan yang memancing
rasa takut, rasa penasaran, rasa
tergesa-gesa, atau rasa percaya.

Teknik ini masih berhubungan
dengan Pretexting yang telah
dibahas sebelumnya. Perbedaannya,
Pretexting lebih luas dan mencakup
berbagai skenario.
Phishing Psychology lebih spesifik
pada cara penyampaian melalui
email, SMS, atau pesan digital.
Pelaku membuat skenario palsu,
lalu mengirimkannya ke banyak
orang sekaligus. Pelaku tidak perlu
menargetkan Anda secara personal
sejak awal. Pelaku hanya perlu
membuat pesan yang cukup
meyakinkan agar sebagian orang
mengklik.

Eksperimen Ilmiah: Bukti bahwa
Phishing Bekerja karena Faktor
Psikologis

Eksperimen Dhamija, Tygar,
dan Hearst (2006):
Why Phishing Works

Rachna Dhamija, J.D. Tygar, dan
Marti Hearst dari University of
California, Berkeley, melakukan
penelitian yang sangat penting
tentang mengapa phishing berhasil.
Mereka ingin menguji apakah
pengguna internet dapat
membedakan situs web asli dari
situs web palsu.

Dalam eksperimen ini, mereka
merekrut 22 partisipan dengan
berbagai tingkat pengalaman
komputer. Setiap partisipan
diminta menilai 20 situs web.
Separuh situs adalah situs asli yang
sudah dikenal, seperti situs bank,
layanan email, dan toko online.
Separuh lainnya adalah situs
phishing yang dibuat sangat mirip
dengan situs asli. Perbedaan antara
situs asli dan situs palsu sering kali
hanya terletak pada alamat URL
yang sedikit berbeda atau detail
kecil pada halaman.

Partisipan diminta menentukan
situs mana yang asli dan situs mana
yang palsu. Mereka juga diminta
menjelaskan alasan penilaian mereka.

Hasilnya sangat mencengangkan.
Sebagian besar partisipan gagal
mendeteksi situs phishing.
Bahkan partisipan yang mengaku
berpengalaman menggunakan
internet pun tertipu.
Mereka memberikan penilaian
berdasarkan tampilan visual, logo,
dan isi halaman. Mereka sering
mengabaikan alamat URL
di address bar. Mereka juga
mengabaikan indikator keamanan
seperti sertifikat SSL.

Dialog setelah eksperimen:

Peneliti: “Mengapa Anda menilai
situs ini asli?”

Partisipan: “Karena tampilannya
profesional. Logonya benar.
Tidak ada yang mencurigakan.”

Peneliti: “Apakah Anda memeriksa
alamat URL di address bar?”

Partisipan: “Tidak. Saya hanya
melihat isi halamannya.”

Peneliti: “Situs ini sebenarnya palsu.
Alamat URL-nya berbeda satu huruf
dari situs asli.”

Partisipan: “Saya tidak
menyadarinya. Tampilannya
sangat mirip.”

Dhamija dan timnya menyimpulkan
bahwa phishing berhasil karena
pengguna tidak memverifikasi
identitas situs secara teknis.
Mereka mengandalkan tampilan
visual dan konten. Pelaku phishing
memanfaatkan kebiasaan ini
dengan membuat situs palsu yang
secara visual identik dengan situs
asli. Korban tidak menyadari bahwa
mereka sedang memasukkan data
ke situs yang salah.

Eksperimen Jagatic, Johnson,
Jakobsson, dan
Menczer (2007): Social Phishing

Tom Jagatic, Nathaniel Johnson,
Markus Jakobsson, dan Filippo
Menczer dari Indiana University
melakukan eksperimen yang lebih
mengerikan. Mereka ingin menguji
seberapa efektif phishing jika
dilakukan dengan memanfaatkan
kepercayaan sosial.

Dalam eksperimen ini, mereka
mengumpulkan data dari jaringan
sosial mahasiswa.
Mereka mengidentifikasi siapa
berteman dengan siapa. Kemudian
mereka membuat situs login palsu
yang menyerupai situs email
kampus. Setelah itu, mereka
mengirim email phishing kepada
mahasiswa. Yang membuat
eksperimen ini berbeda adalah
email tersebut dikirim seolah-olah
berasal dari teman dekat penerima.
Mereka menggunakan akun teman
yang sudah diretas terlebih dahulu.

Email yang dikirim berbunyi
kurang lebih seperti ini:

“Hey, saya baru saja memperbarui
sistem email kampus. Coba cek
di tautan ini untuk memastikan
akunmu masih aktif. Jangan lupa
login dengan akun kampus ya.”

Karena email itu datang dari teman
yang dikenal, penerima tidak curiga.
Mereka mengklik tautan. Mereka
memasukkan alamat email dan
kata sandi kampus mereka.

Hasilnya sangat mencengangkan.
Sebanyak 72 persen penerima
mengklik tautan phishing.
Sebanyak 43 persen penerima
memasukkan data login mereka.
Tingkat keberhasilan ini jauh lebih
tinggi dibandingkan phishing biasa
yang tidak menggunakan identitas
teman.

Dialog setelah eksperimen:

Peneliti: “Mengapa Anda mengklik
tautan itu?”

Partisipan: “Karena emailnya dari
teman saya. Saya pikir itu benar.”

Peneliti: “Apakah Anda memeriksa
alamat pengirimnya?”

Partisipan: “Tidak. Saya hanya
melihat namanya. Itu teman saya.”

Peneliti: “Apakah Anda menyadari
bahwa tautan itu mengarah
ke situs palsu?”

Partisipan: “Tidak. Tampilannya
sama seperti situs kampus.”

Jagatic dan timnya menyimpulkan
bahwa kepercayaan sosial adalah
faktor yang sangat kuat dalam
phishing. Ketika pesan datang dari
orang yang dikenal, kewaspadaan
korban menurun drastis.
Pelaku phishing memanfaatkan ini
dengan meretas akun seseorang
terlebih dahulu, lalu mengirim
phishing ke semua kontaknya.
Korban tidak curiga karena pesan
itu tampak berasal dari teman.

Mengapa Phishing Psychology
Begitu Efektif?

Otak manusia memiliki banyak
tombol yang mudah dipencet.
Pelaku phishing memahami
tombol-tombol ini dan
menggunakannya secara bersamaan.

Pertama, rasa takut. Pesan seperti
“Akun Anda akan ditutup dalam
24 jam” atau “Ada transaksi
mencurigakan di rekening Anda”
memicu kepanikan. Ketika panik,
otak beralih ke mode bertahan.
Logika mati. Anda hanya ingin
menyelesaikan masalah secepat
mungkin.

Kedua, rasa penasaran.
Pesan seperti “Anda mendapat
hadiah, klik untuk klaim” atau
“Ada paket gagal kirim, konfirmasi
alamat Anda” memicu rasa ingin
tahu. Anda ingin tahu apa isinya.
Anda mengklik.

Ketiga, rasa hormat pada otoritas.
Pesan yang mengaku dari bank, dari
kantor, dari pemerintah, atau dari
bos membuat Anda cenderung
menurut tanpa memverifikasi.
Anda diajarkan sejak kecil untuk
menghormati otoritas.
Pelaku memanfaatkan kebiasaan ini.

Keempat, rasa urgensi. Pesan seperti
“Segera, atau kesempatan hilang”
atau “Tindakan diperlukan sekarang”
membuat Anda tidak sempat berpikir.
Anda bertindak tanpa memeriksa.

Kelima, kepercayaan sosial.
Pesan yang datang dari teman,
rekan kerja, atau anggota keluarga
lebih dipercaya daripada pesan dari
orang asing. Pelaku memanfaatkan
ini dengan meretas akun orang
terdekat, lalu mengirim phishing
ke kontak mereka.

Selain itu, phishing memanfaatkan
kebiasaan. Ketika Anda sudah
terbiasa menerima email dari bank,
dari kantor, atau dari layanan
langganan, Anda tidak lagi
memeriksa setiap detail.
Anda hanya merespons. Pelaku
meniru format email yang biasa
Anda terima. Anda tidak menyadari
bahwa ada yang berbeda.

Empat Fase Phishing Psychology:
Kisah Rina dan Email dari “HRD”

Untuk memahami cara kerja teknik
ini, kita akan mengikuti kisah Rina.
Ia bekerja di sebuah perusahaan
swasta. Suatu pagi, ia menerima
email yang tampak dari bagian HRD.

Fase 1: Memancing dengan
Pemicu Emosi

Rina membuka kotak masuk
emailnya. Ada email baru dari
alamat yang tampak resmi.

Pengirim: “HRD PT Maju Bersama”
Subjek: “Penting: Slip Gaji Baru
Anda”

Isi email: “Yth. Rina, slip gaji Anda
untuk bulan ini telah diperbarui.
Silakan login ke portal HRD untuk
melihat dan mengunduh slip gaji
terbaru Anda. Tautan akan
kedaluwarsa dalam 24 jam.
Klik di sini untuk login.”

Rina merasa sedikit panik. Ia tidak
ingin kehilangan akses ke slip
gajinya. Ia mengklik tautan itu.

Fase 2: Menciptakan
Skenario Resmi

Tautan itu membawa Rina
ke halaman login yang tampak persis
seperti portal HRD perusahaannya.
Ada logo perusahaan. Ada kolom
email dan kata sandi. Ada tulisan
“Portal Karyawan” di bagian atas.

Rina memasukkan alamat email
kantornya. Ia memasukkan kata
sandinya. Halaman itu berputar
sebentar, lalu menampilkan pesan:
“Verifikasi berhasil.
Silakan tunggu pengalihan.”

Rina merasa lega. Ia pikir ia baru
saja mengakses portal HRD.

Fase 3: Meminta Data Secara
Bertahap

Beberapa detik kemudian, muncul
halaman baru. Halaman itu
meminta Rina memasukkan nomor
ponsel dan kode OTP yang dikirim
melalui SMS. Rina sedikit ragu,
tetapi ia melihat tulisan
“Untuk keamanan akun, verifikasi
dua langkah diperlukan.”

Rina memasukkan nomor ponselnya.
Ia menerima SMS berisi kode OTP.
Ia memasukkan kode itu ke halaman.

Halaman itu kembali menampilkan
pesan: “Terima kasih. Akun Anda
telah diverifikasi.”

Rina menutup browser. Ia merasa
telah menyelesaikan urusannya.

Fase 4: Mengambil Keuntungan
dan Menghilang

Keesokan harinya, Rina tidak bisa
login ke email kantornya.
Kata sandinya tidak berfungsi.
Ia juga menerima pesan dari
beberapa rekan kerja yang
bertanya mengapa ia mengirim
email aneh.

Rina menyadari bahwa akun
emailnya telah diretas.
Pelaku menggunakan akun Rina
untuk mengirim email phishing
ke semua kontaknya. Beberapa
rekan kerja Rina mengklik tautan
itu dan memasukkan data mereka.
Akun mereka juga diretas.

Rina melaporkan kejadian itu
ke bagian IT. Tetapi kerugian
sudah terjadi. Data perusahaan
mungkin telah diakses. Reputasi
Rina di tempat kerja terganggu.
Ia merasa malu dan bersalah.
Padahal ia hanya menjadi korban.

Contoh Nyata dengan Dialog
Orisinal

1. SMS Paket Gagal Kirim

Seorang pelaku mengirim SMS
kepada banyak nomor secara acak.

Pelaku: “Paket Anda tertahan di bea
cukai. Bayar biaya administrasi
Rp50.000 melalui tautan berikut:
[tautan palsu].
Jika tidak dibayar dalam 24 jam,
paket akan dikembalikan.”

Korban sedang menunggu paket.
Ia mengklik tautan. Ia memasukkan
data kartu kredit. Uangnya hilang.
Paketnya tidak pernah ada.

2. Email Bank Palsu

Seorang pelaku mengirim email
yang tampak dari bank.

Pelaku: “Yth. Nasabah, kami
mendeteksi aktivitas tidak wajar
di rekening Anda.
Untuk mengamankan akun,
silakan verifikasi data Anda
di tautan berikut.”

Korban mengklik tautan.
Ia memasukkan nomor rekening,
PIN, dan kode OTP.
Pelaku menguras rekening korban.

3. Pesan Media Sosial

Seorang pelaku meretas akun media
sosial seseorang. Ia mengirim pesan
ke semua teman akun itu.

Pelaku: “Eh, aku baru buka usaha
online. Bantu like dan follow ya.
Klik tautan ini.”

Teman-teman korban mengklik
tautan. Mereka diarahkan
ke halaman login media sosial palsu.
Mereka memasukkan kata sandi.
Akun mereka diretas.

4. WhatsApp dari Bos Palsu

Seorang pelaku membuat akun
WhatsApp dengan foto dan nama
bos sebuah perusahaan.

Pelaku: “Rina, ini saya. Saya sedang
di luar kota. Tolong transfer
Rp10 juta ke rekening ini untuk
pembayaran vendor. Ini urgent.”

Rina menerima pesan itu. Ia tidak
memverifikasi. Ia langsung
mentransfer uang. Setelah itu,
ia menghubungi bos aslinya.
Bos aslinya mengatakan tidak
pernah mengirim pesan itu. Rina
baru sadar bahwa ia menjadi
korban phishing.

Cara Melindungi Diri dari
Phishing Psychology

Jika Anda menerima pesan yang
meminta data pribadi atau tindakan
mendesak, ada beberapa langkah
yang bisa dilakukan.

Pertama, jangan mengklik
tautan dari pesan yang tidak
Anda minta. Buka aplikasi resmi
atau ketik alamat website sendiri
di browser. Jangan mengandalkan
tautan yang dikirim melalui email
atau SMS.

Kedua, periksa alamat
pengirim. Email resmi biasanya
menggunakan domain perusahaan,
bukan alamat email gratisan.
Periksa juga alamat URL di address
bar. Pastikan tidak ada perbedaan
satu huruf atau tambahan yang
mencurigakan.

Ketiga, jangan memberikan
data pribadi melalui email
atau SMS. Bank, institusi
pemerintah, dan perusahaan
resmi tidak akan meminta kata
sandi, PIN, atau kode OTP melalui
email atau SMS. Jika ada yang
meminta, itu penipuan.

Keempat, pasang verifikasi
dua langkah. Verifikasi dua
langkah membuat akun Anda lebih
sulit diakses oleh pelaku, meskipun
mereka memiliki kata sandi Anda.

Kelima, jangan panik.
Pelaku phishing selalu memainkan
rasa panik. Mereka ingin Anda
bertindak cepat tanpa berpikir.
Tarik napas. Beri jeda. Verifikasi
terlebih dahulu.

Keenam, tanyakan kepada
orang yang Anda percaya.
Jika Anda ragu, tanyakan kepada
rekan kerja, anggota keluarga, atau
teman yang lebih paham teknologi.
Jangan mengambil keputusan
sendirian.

Ketujuh, laporkan.
Jika Anda menerima pesan phishing,
laporkan ke bagian IT kantor Anda,
ke bank, atau ke pihak berwenang.
Laporkan juga ke platform tempat
pesan itu diterima.

Phishing Psychology adalah teknik
yang memanfaatkan kepercayaan,
rasa takut, rasa penasaran, dan
kebiasaan manusia. Pelaku tidak
perlu meretas komputer Anda.
Pelaku hanya perlu membuat Anda
menyerahkan kunci Anda sendiri.
Kenali polanya. Verifikasi identitas.
Jangan panik. Dan jangan biarkan
pesan yang tampak resmi membuat
Anda membuka pintu yang
seharusnya tetap tertutup.

kalau masih kurang paham ini
versi yang sederhana:

Oke, kita lanjut ke teknik berikutnya.
Namanya Phishing Psychology.

Lo pasti pernah denger atau bahkan
ngalamin. Lo dapet email atau
pesan yang keliatannya dari bank,
dari kantor, atau dari layanan
langganan lo. Isinya, “Akun Anda
akan diblokir. Klik link ini untuk
verifikasi.” Atau, “Ada paket gagal
kirim. Konfirmasi alamat Anda
di sini.” Lo panik dikit. Lo klik.
Lo isi data. Dan beberapa jam
kemudian, lo sadar akun lo kena
hack, atau uang lo raib.
Nah, itu yang namanya Phishing
Psychology.

Simpelnya, phishing psychology
adalah teknik manipulasi yang
main di psikologi korban, bukan
cuma di teknologi. Pelaku nggak
ngeretas sistem lo dengan kekuatan
super. Dia ngeretas manusia.
Dia bikin lo ngasih kunci lo sendiri.
Caranya dengan menciptakan
pesan yang memancing rasa takut,
rasa penasaran, rasa tergesa-gesa,
atau rasa percaya.

Ini masih nyambung sama
Pretexting yang barusan kita
bahas. Di situ pelaku bikin skenario
atau identitas palsu buat dapetin info.
Nah, kalau phishing psychology ini
lebih spesifik ke cara penyampaiannya.
Biasanya lewat email, SMS, atau
pesan langsung. Pelaku bikin
skenario palsu, lalu ngirim
ke banyak orang sekaligus.
Dia nggak perlu nargetin lo secara
personal dari awal. Dia cuma perlu
bikin pesan yang cukup meyakinkan
buat bikin sebagian orang klik.

Kenapa ini ampuh? Karena otak kita
punya banyak tombol yang
gampang dipencet.
Pertama, rasa takut. “Akun Anda
akan ditutup dalam 24 jam.”
Itu bikin panik.
Kedua, rasa penasaran. “Anda
mendapat hadiah, klik untuk
klaim.” Itu bikin lo pengen tau.
Ketiga, rasa hormat sama otoritas.
Pesan yang ngaku dari bos,
dari bank, dari pemerintah, bikin
lo nurut tanpa ngecek.
Keempat, rasa urgensi. “Segera,
atau kesempatan hilang.” Itu bikin
lo nggak sempet mikir.

Contoh gampangnya gini. Lo dapet
email dari “HRD” kantor lo. Isinya,
“Silakan cek slip gaji baru di link
berikut. Login pakai email kantor.”
Lo klik. Lo masukin password.
Besoknya, akun email lo kena
bajak, dan semua kontak lo
dikirimin email aneh. Padahal
HRD nggak pernah ngirim email
kayak gitu. Tapi karena lo udah
keburu percaya, lo kasih akses.

Contoh lain di dunia nyata.
Lo dapet SMS, “Paket Anda
tertahan di bea cukai. Bayar biaya
admin 50 ribu lewat link ini.”
Lo lagi nunggu paket. Lo langsung
klik. Lo bayar. Padahal paket lo
nggak pernah ada. Uang lo ilang.
Dan data kartu lo dicuri.

Cara pakainya, bagi pelaku,
gampang.
Pertama, bikin pesan yang
keliatan resmi. Pake logo,
pake bahasa formal, pake nama
lembaga yang dikenal.
Kedua, mainin emosi. Pake kata
kayak “segera”, “penting”, “terakhir”,
“diblokir”, “hadiah”.
Ketiga, sediakan link atau tombol
yang keliatan aman.
Keempat, minta data pelan-pelan.
Mulai dari email, password, baru
nomor kartu.

Tapi lo nggak perlu jadi pelaku.
Lo perlu tau cara nahan teknik ini.
Pertama, jangan klik link dari pesan
yang nggak lo minta. Buka aplikasi
resmi atau ketik alamat website
sendiri.
Kedua, cek pengirim. Email resmi
biasanya pake domain perusahaan,
bukan email gratisan.
Ketiga, jangan kasih data pribadi
lewat email atau SMS. Bank nggak
pernah minta password lewat email.
Keempat, pasang verifikasi dua
langkah.
Kelima, kalau lo ragu, tanya dulu
ke orang yang lo percaya.
Jangan sendirian.

Jadi, Phishing Psychology
itu ibarat lo lagi mancing di kolam
yang banyak ikannya. Lo nggak
perlu nangkap semua. Lo cuma
perlu bikin umpan yang wangi,
terus lempar. Ikan yang lapar atau
panik bakal nyamber sendiri.
Dan lo, sebagai korban, ngerasa
lo yang salah. Padahal umpan itu
emang dirancang buat bikin lo
lupa ngecek.