Pretexting, Fake Scenarios for Information: Ketika Skenario Palsu Membuat Anda Menyerahkan Data Pribadi

Pernahkah Anda mendengar cerita
tentang penipu yang menelepon dan
mengaku dari bank?
“Halo, saya dari Bank ABC.
Kami mendeteksi transaksi
mencurigakan di rekening Anda.
Bisa saya minta konfirmasi data
terlebih dahulu?” Anda panik.
Anda langsung memberikan data.
Setelah telepon ditutup, Anda baru
sadar. Ternyata itu penipuan.
Inilah yang disebut Pretexting.

Pretexting adalah teknik manipulasi
di mana pelaku menciptakan
skenario atau identitas palsu untuk
mendapatkan informasi dari Anda.
Ia tidak menyerang. Ia tidak
memaksa. Ia hanya membuat cerita
yang terlihat masuk akal. Dan Anda,
karena percaya pada cerita itu,
memberikan data yang seharusnya
Anda simpan.

Eksperimen Ilmiah: Bukti bahwa
Konteks dan Otoritas Palsu
Membuat Orang Menyerahkan
Informasi

Eksperimen Stanley
Milgram (1963):
Obedience to Authority

Stanley Milgram, seorang psikolog
sosial dari Yale University, melakukan
eksperimen yang sangat terkenal
tentang kepatuhan terhadap otoritas.
Eksperimen ini menunjukkan
bagaimana seseorang dapat
menyerahkan kendali kepada figur
otoritas, bahkan ketika tindakan itu
bertentangan dengan hati nuraninya.

Dalam eksperimen ini, partisipan
diberi tahu bahwa mereka akan
berpartisipasi dalam studi tentang
pembelajaran dan memori. Mereka
diminta memberikan kejutan listrik
kepada seorang “murid” yang
sebenarnya adalah aktor. Kejutan
listrik itu palsu, tetapi partisipan
tidak mengetahuinya.

Eksperimen dipimpin oleh seorang
“peneliti” berjas putih yang
memberikan instruksi dengan tegas.
Setiap kali murid membuat
kesalahan, partisipan diminta
menaikkan tegangan listrik. Murid
itu berteriak kesakitan, memohon
untuk berhenti, bahkan
berpura-pura pingsan.

Ketika partisipan ragu dan ingin
berhenti, peneliti memberikan
tekanan dengan kalimat seperti:

Peneliti: “Eksperimen ini
membutuhkan Anda untuk
melanjutkan.”

Partisipan: “Tapi dia sudah tidak
menjawab. Saya tidak tega.”

Peneliti: “Anda tidak punya
pilihan lain. Anda harus
melanjutkan.”

Peneliti: “Ini bukan tanggung jawab
Anda. Saya yang bertanggung jawab.”

Hasilnya mencengangkan.
Sekitar 65 persen partisipan
melanjutkan sampai tegangan
tertinggi, meskipun mereka
jelas-jelas melihat penderitaan
murid. Mereka menuruti perintah
bukan karena mereka kejam,
tetapi karena mereka merasa
terikat oleh kewajiban, takut
mengecewakan otoritas, dan
bingung dengan tanggung jawab.

Dialog setelah eksperimen:

Peneliti: “Mengapa Anda
melanjutkan padahal Anda
ingin berhenti?”

Partisipan: “Saya merasa tidak bisa
menolak. Saya sudah setuju untuk
ikut. Saya merasa harus
menyelesaikan.”

Peneliti: “Apakah Anda merasa
bersalah?”

Partisipan: “Sangat. Tapi saya
merasa tidak punya pilihan.”

Milgram menyimpulkan bahwa
manusia cenderung menuruti
perintah otoritas, bahkan ketika
perintah itu bertentangan dengan
nilai-nilai mereka. Kepatuhan ini
didorong oleh rasa kewajiban,
rasa takut mengecewakan, dan
perasaan bahwa mereka tidak
bertanggung jawab penuh. Dalam
Pretexting, pelaku berperan
sebagai otoritas. Ia memakai
seragam, memakai bahasa resmi,
dan memakai nada profesional.
Korban, yang melihat otoritas itu,
menyerahkan informasi tanpa
berpikir panjang.

Eksperimen Kevin
Mitnick (2002):
The Art of Deception

Kevin Mitnick, seorang mantan hacker
yang kini menjadi konsultan
keamanan, melakukan serangkaian
eksperimen tentang bagaimana
Pretexting bekerja di dunia nyata.
Ia sendiri pernah menggunakan
teknik ini untuk mendapatkan
akses ke sistem perusahaan besar.

Dalam salah satu eksperimennya,
Mitnick menelepon seorang
karyawan perusahaan dan mengaku
sebagai teknisi dari kantor pusat.
Ia mengatakan bahwa ada masalah
pada server dan ia membutuhkan
kata sandi karyawan tersebut
untuk memperbaikinya.

Dialog yang digunakan Mitnick:

Mitnick: “Halo, ini Budi dari IT
support pusat. Kami mendeteksi ada
masalah pada akun Anda. Bisa saya
minta kata sandi Anda untuk
verifikasi?”

Karyawan: “Wah, saya tidak boleh
memberikan kata sandi.”

Mitnick: “Saya mengerti. Tapi ini
darurat. Jika tidak segera diperbaiki,
akun Anda akan diblokir dan Anda
tidak bisa bekerja besok.”

Karyawan: “Baiklah. Kata sandi
saya adalah…”

Mitnick menemukan bahwa mayoritas
karyawan yang ia hubungi
menyerahkan kata sandi mereka.
Bukan karena mereka bodoh, tetapi
karena mereka merespons konteks
otoritas. Mitnick memakai nama
departemen resmi, memakai bahasa
teknis, dan memainkan urgensi.
Korban tidak sempat memverifikasi.
Ia hanya merespons.

Mitnick menyimpulkan bahwa
Pretexting bekerja karena manusia
merespons konteks, bukan fakta.
Jika konteksnya terlihat resmi,
orang akan memberikan informasi.
Mereka tidak mengecek apakah
konteks itu asli atau palsu.

Eksperimen Chris
Hadnagy (2018):
Social Engineering
Penetration Testing

Chris Hadnagy, seorang ahli
keamanan siber, melakukan
eksperimen tentang bagaimana
Pretexting digunakan dalam
pengujian penetrasi sosial. Ia dan
timnya diminta oleh perusahaan
untuk menguji seberapa mudah
karyawan mereka menyerahkan
informasi sensitif.

Dalam salah satu pengujian,
Hadnagy memakai pretext sebagai
vendor eksternal yang membutuhkan
akses ke sistem perusahaan untuk
melakukan audit. Ia memakai
seragam vendor, membawa surat
tugas palsu, dan berbicara dengan
bahasa profesional.

Hasilnya, lebih dari 70 persen
karyawan yang diuji menyerahkan
akses yang diminta. Mereka tidak
memverifikasi identitas Hadnagy.
Mereka tidak menelepon vendor asli
untuk memastikan. Mereka hanya
melihat seragam, surat, dan bahasa.
Mereka merespons konteks.

Dialog setelah pengujian:

Hadnagy: “Mengapa Anda
memberikan akses tanpa verifikasi?”

Karyawan: “Dia terlihat resmi.
Dia membawa surat. Dia bicara
seperti orang audit.”

Hadnagy: “Apakah Anda
memverifikasi surat itu?”

Karyawan: “Tidak. Saya pikir
tidak perlu.”

Hadnagy menyimpulkan bahwa
Pretexting sangat efektif karena
manusia mengandalkan
penampilan dan konteks.
Mereka tidak memverifikasi.
Mereka hanya merespons.

Mengapa Pretexting Begitu
Efektif?

Manusia merespons konteks.
Jika ada yang mengaku dari bank,
memakai bahasa bank, dan
memakai nada profesional, otak
Anda langsung menangkap itu
sebagai situasi resmi. Anda tidak
mengecek terlebih dahulu. Anda
hanya merespons. Ditambah lagi,
pelaku sering memainkan rasa takut
atau rasa urgensi. “Jika tidak
dikonfirmasi sekarang, rekening
Anda diblokir.” Anda semakin
panik. Anda semakin tidak berpikir.

Pretexting juga memanfaatkan
kepercayaan pada otoritas.
Kita diajarkan sejak kecil untuk
menghormati polisi, dokter, guru,
dan pejabat. Ketika seseorang
memakai seragam atau mengaku
dari lembaga resmi, kita cenderung
percaya. Kita tidak bertanya.
Kita hanya menuruti.

Selain itu, Pretexting memanfaatkan
keinginan untuk membantu. Banyak
orang ingin terlihat kooperatif.
Ketika seseorang meminta informasi
dengan alasan yang masuk akal, kita
merasa tidak enak untuk menolak.
Kita merasa bahwa menolak akan
membuat kita terlihat tidak kooperatif
atau curiga. Jadi kita memberikan
informasi.

Tiga Fase Pretexting:
Kisah Rina dan Telepon
dari “Bank”

Untuk memahami cara kerja teknik
ini, kita akan mengikuti kisah Rina.
Ia menerima telepon dari seseorang
yang mengaku dari bank.

Fase 1: Membangun Skenario
yang Masuk Akal

Rina sedang bersantai di rumah.
Telepon berdering. Seorang pria
dengan suara tenang dan
profesional menyapa.

Penelepon: “Selamat siang, Ibu Rina.
Saya Andi dari Divisi Keamanan
Bank Nusantara. Kami mendeteksi
adanya aktivitas mencurigakan
di rekening Ibu. Ada percobaan login
dari perangkat yang tidak dikenal.”

Rina terkejut. Ia merasa cemas.

Rina: “Apa? Bagaimana bisa?”

Penelepon: “Kami sedang menyelidiki.
Untuk memastikan keamanan
rekening Ibu, kami perlu melakukan
verifikasi data. Bisa saya minta
beberapa informasi?”

Fase 2: Memainkan Urgensi
dan Rasa Takut

Rina mulai panik. Ia tidak ingin
uangnya hilang. Penelepon itu
memanfaatkan kepanikan Rina.

Penelepon: “Ibu, ini sangat mendesak.
Jika tidak segera diverifikasi,
rekening Ibu akan diblokir sementara.
Itu bisa membuat Ibu tidak bisa
melakukan transaksi selama
beberapa hari.”

Rina: “Baik, baik. Apa yang harus
saya lakukan?”

Penelepon: “Saya perlu
memverifikasi nomor rekening,
nama lengkap, dan tanggal lahir
Ibu. Setelah itu, saya akan meminta
kode OTP yang dikirim ke ponsel
Ibu.”

Fase 3: Mengambil Data
Pelan-Pelan

Rina memberikan semua data yang
diminta. Ia memberikan nomor
rekening. Ia memberikan tanggal
lahir. Ia memberikan kode OTP.
Setelah telepon ditutup, Rina merasa
lega. Ia merasa telah menyelamatkan
rekeningnya.

Keesokan harinya, Rina mencoba
melakukan transaksi. Saldonya
kosong. Ia menelepon bank.
Petugas bank yang asli mengatakan
bahwa bank tidak pernah meminta
kode OTP melalui telepon. Rina baru
sadar bahwa ia telah menjadi korban
Pretexting. Uangnya hilang. Datanya
dicuri. Ia tidak bisa berbuat apa-apa.

Contoh Nyata dengan Dialog
Orisinal

1. Penipuan via Telepon

Seorang pelaku menelepon korban
dan mengaku dari customer service
aplikasi dompet digital.

Pelaku: “Selamat pagi, Bapak. Saya
dari layanan pelanggan Dompet
Digital. Kami mendeteksi adanya
transaksi tidak wajar di akun Bapak.
Apakah Bapak merasa melakukan
transaksi sebesar dua juta rupiah
tadi malam?”

Korban: “Tidak. Saya tidak merasa.”

Pelaku: “Baik. Ini indikasi
pembobolan. Untuk mengamankan
akun Bapak, kami perlu
memverifikasi data. Bisa saya minta
nomor HP dan kode verifikasi yang
dikirim ke SMS?”

Korban: “Baik. Sebentar.”

Korban memberikan kode verifikasi.
Pelaku mengambil alih akun. Uang
korban hilang. Korban tidak
menyadari bahwa ia baru saja
menjadi korban Pretexting.

2. Penipuan di Tempat Kerja

Seorang pelaku datang ke kantor
memakai seragam teknisi.
Ia membawa kotak peralatan
dan surat tugas palsu.

Pelaku: “Selamat pagi. Saya dari
vendor jaringan. Kami ditugaskan
untuk melakukan pemeliharaan
server. Bisa saya masuk
ke ruang server?”

Resepsionis: “Oh, iya. Silakan.
Ruang servernya di lantai dua.”

Pelaku: “Terima kasih. Oh iya, untuk
laporan, saya perlu data akses
server. Bisa saya minta kata
sandinya?”

Resepsionis: “Kata sandinya ada
di kepala bagian IT. Tapi saya
bisa minta kalau Bapak perlu.”

Pelaku: “Tidak perlu. Saya bisa akses
sendiri. Cukup kata sandi
administrator.”

Resepsionis memberikan kata sandi.
Pelaku masuk ke ruang server dan
mengambil data perusahaan.
Ia keluar tanpa dicurigai.
Semua orang melihat seragam dan
surat. Tidak ada yang memverifikasi
identitas. Tidak ada yang menelepon
vendor asli. Pretexting berhasil.

3. Penipuan via Media Sosial

Seorang pelaku mengirim pesan
kepada korban melalui media sosial.
Ia mengaku sebagai staf dari
platform media sosial itu.

Pelaku: “Halo, Kak. Akun Kakak
terindikasi melanggar pedoman
komunitas. Untuk menghindari
pemblokiran, kami perlu verifikasi.
Bisa Kakak kirimkan foto KTP
dan selfie dengan KTP?”

Korban: “Apa? Kenapa?”

Pelaku: “Ada laporan tentang aktivitas
mencurigakan. Jika tidak diverifikasi
dalam 24 jam, akun Kakak akan
diblokir permanen.”

Korban panik. Ia mengirimkan foto
KTP dan selfie. Pelaku menggunakan
data itu untuk membuat pinjaman
online atas nama korban.
Korban tidak menyadari bahwa ia
baru saja menjadi korban Pretexting.

4. Penipuan Rekrutmen

Seorang pelaku menghubungi korban
melalui email. Ia mengaku dari
perusahaan besar yang sedang
membuka lowongan.

Pelaku: “Selamat pagi. Kami dari
divisi rekrutmen PT Maju Jaya.
Kami tertarik dengan profil Anda.
Bisa kami minta data lengkap?
Nomor KTP, nomor rekening, dan
NPWP untuk proses administrasi.”

Korban: “Baik. Saya kirim.”

Pelaku menggunakan data korban
untuk membuka rekening baru dan
melakukan penipuan. Korban tidak
pernah mendapat pekerjaan.
Ia hanya kehilangan identitasnya.

Cara Melindungi Diri dari
Pretexting

Jika Anda menerima permintaan
informasi dari seseorang yang
mengaku dari lembaga resmi,
ada beberapa langkah yang bisa
dilakukan.

Pertama, jangan panik.
Pelaku Pretexting selalu memainkan
rasa panik. Mereka ingin Anda
buru-buru mengambil keputusan.
Tarik napas. Beri jeda.
Jangan terburu-buru.

Kedua, verifikasi identitas.
Jangan langsung percaya pada
seragam, surat, atau bahasa
profesional. Tanyakan nama lengkap,
jabatan, dan nomor telepon resmi.
Lalu tutup telepon dan hubungi
nomor resmi lembaga itu untuk
memverifikasi.

Ketiga, jangan memberikan
data sensitif melalui telepon
atau email. Bank, institusi
pemerintah, dan perusahaan
resmi tidak akan meminta kata
sandi, kode OTP, atau data pribadi
melalui telepon atau email. Jika ada
yang meminta, itu penipuan.

Keempat, jangan biarkan
urgensi mendikte keputusan.
 Pelaku Pretexting sering berkata,
“Harus sekarang, atau rekening
Anda diblokir.” Kalimat itu adalah
tanda bahaya. Lembaga resmi
tidak akan mengancam Anda
seperti itu.

Kelima, catat dan laporkan.
Jika Anda menerima telepon atau
pesan yang mencurigakan, catat
nomornya. Laporkan ke pihak
berwenang atau lembaga yang
bersangkutan. Jangan biarkan
penipu itu melanjutkan aksinya.

Keenam, edukasi diri dan
orang lain. Semakin banyak orang
yang tahu tentang Pretexting,
semakin sulit penipu menjalankan
aksinya. Ceritakan pengalaman
Anda. Bagikan tips keamanan
kepada keluarga dan teman.

Pretexting adalah teknik yang
memanfaatkan kepercayaan manusia
pada otoritas dan konteks.
Pelaku tidak perlu menyerang.
Ia hanya perlu membuat skenario
yang masuk akal. Ia memakai
seragam, memakai bahasa resmi,
dan memainkan urgensi. Anda,
karena percaya pada skenario itu,
memberikan data yang seharusnya
Anda simpan. Kenali polanya.
Verifikasi identitas. Jangan panik.
Dan jangan biarkan kostum yang
dikenakan penipu membuat Anda
membuka pintu yang seharusnya
tetap tertutup.

kalau masih kurang paham ini
versi yang sederhana:

Oke, kita lanjut ke teknik berikutnya.
Namanya Pretexting, Fake
Scenarios for Information.

Lo pasti pernah denger cerita soal
penipu yang nelpon ngaku dari bank.
“Halo, saya dari Bank ABC.
Kami mendeteksi transaksi
mencurigakan di rekening Anda.
Bisa saya minta konfirmasi data
dulu?” Lo panik. Lo langsung kasih
data. Setelah telepon ditutup,
lo sadar. Ternyata itu penipuan.
Nah, itu yang namanya Pretexting.

Simpelnya, Pretexting adalah teknik
manipulasi di mana pelaku
menciptakan skenario atau identitas
palsu buat dapetin informasi dari lo.
Dia nggak nyerang. Dia nggak maksa.
Dia cuma bikin cerita yang keliatan
masuk akal. Dan lo, karena percaya
sama cerita itu, kasih data yang
harusnya lo simpen.

Kenapa ini ampuh? Karena manusia
itu merespon konteks. Kalau ada
yang ngaku dari bank, pake bahasa
bank, pake nada profesional, otak lo
langsung nangkep itu sebagai situasi
resmi. Lo nggak ngecek dulu.
Lo cuma ngerespon. Ditambah lagi,
pelaku sering mainin rasa takut atau
rasa urgensi. “Kalau nggak
dikonfirmasi sekarang, rekening
Anda diblokir.” Lo makin panik.
Lo makin nggak mikir.

Contoh gampangnya gini. Lo dapet
telepon. “Halo, saya dari IT support.
Kami mendeteksi virus di komputer
Anda. Bisa saya minta akses remote
dulu?” Lo langsung kasih akses.
Padahal itu penipu. Dia cuma pake
seragam IT support buat masuk
ke sistem lo.

Di dunia kerja juga gitu. Ada yang
nyamperin lo, “Saya dari divisi audit.
Bisa saya lihat laporan keuangan tim
Anda?” Kalau lo nggak cek identitas,
lo kasih. Padahal bisa jadi dia cuma
mau nyuri data.

Cara pakainya?
Pertama, bikin skenario yang
masuk akal.
Pake nama lembaga resmi, pake
bahasa profesional, pake nada serius.
Kedua, mainin urgensi. Bilang ada
masalah, bilang ada batas waktu.
Ketiga, minta data pelan-pelan.
Jangan sekaligus. Mulai dari yang
ringan, baru yang sensitif.
Keempat, jangan kasih kesempatan
buat mikir. Buru-buru dikit.

Tapi inget, ini teknik yang sering
dipake buat kejahatan. Jadi kalau
lo dapet telepon atau pesan yang
minta data pribadi, verifikasi dulu.
Telepon balik ke nomor resmi.
Jangan kasih data lewat telepon
atau email. Dan jangan panik.
Penipu selalu mainin rasa panik.

Jadi, Pretexting, Fake Scenarios
for Information itu ibarat lo lagi
pake kostum. Lo pake seragam polisi,
orang langsung percaya. Padahal lo
cuma mau nanya alamat. Kostumnya
yang bikin orang buka pintu.
Bukan lo-nya.