Cara Mengenali Website Palsu dan Link Phishing

Apa itu website palsu dan link phishing?

Website palsu adalah halaman yang menyamar sebagai layanan lain atau menampilkan identitas yang menyesatkan. Link phishing mengarahkan orang ke jebakan untuk mengambil informasi sensitif atau mendorong tindakan berbahaya. Tampilan yang rapi, logo yang familier, dan nama pengirim yang dikenal belum membuktikan keaslian.

Cara mengenali website palsu dan link phishing adalah dengan memeriksa alamat tujuan, asal pesan, dan tindakan yang diminta secara bersamaan. Jika ada kejanggalan, berhenti dan buka layanan melalui aplikasi atau alamat yang sebelumnya sudah Anda verifikasi. Jangan menguji keaslian dengan memasukkan data pribadi.

7 tanda yang perlu diperiksa sebelum percaya

Alamat berbeda dari layanan yang dituju. Ada salah eja, huruf diganti angka, atau tambahan kata yang membuat domain tampak resmi.
Pesan membuat panik. Ancaman akun ditutup atau batas waktu yang sangat singkat mendorong keputusan tergesa-gesa.
Permintaan tidak sesuai konteks. Informasi pengiriman paket, misalnya, berubah menjadi permintaan sandi email atau data kartu lengkap.
Diminta mengungkap rahasia akun. Jangan mengirim sandi, OTP, PIN, atau kode pemulihan kepada orang yang mengaku petugas.
Alamat link tidak sesuai tulisannya. Teks tombol dapat menyebut nama layanan sementara tujuan sebenarnya berbeda.
Muncul peringatan browser. Kembali ke halaman aman; jangan mematikan perlindungan agar bisa melanjutkan.
Diminta instal aplikasi atau memberi akses perangkat. Permintaan melalui pesan tak terduga perlu diverifikasi lewat kanal terpisah.

Salah ketik saja tidak membuktikan penipuan. Sebaliknya, bahasa yang sempurna juga bukan jaminan aman. Nilai keseluruhan konteks dan konfirmasi sumbernya.

Contoh URL: bedakan nama layanan dan alamat tujuan

Contoh berikut adalah ilustrasi tidak aktif, bukan alamat layanan asli. Anggap domain yang sudah Anda verifikasi adalah layanan.example. Bagian setelah protokol dan sebelum garis miring berikutnya memuat host; jangan menyimpulkan tujuan hanya dari kata yang muncul di tengah URL.

Latihan membaca alamat website
Contoh alamat	Cara membacanya
`https://akun.layanan.example/`	Subdomain dari layanan.example. Cocok dengan domain latihan, tetapi tidak otomatis membuktikan semua isinya aman.
`https://layanan.example.palsu.test/`	Host berada di bawah palsu.test, bukan layanan.example.
`https://palsu.test/layanan.example`	Nama layanan hanya ada pada jalur halaman. Tujuannya tetap palsu.test.
`https://[email protected]/`	Host setelah tanda @ adalah palsu.test; bagian sebelumnya bukan tujuan situs.
`https://1ayanan.example/`	Angka 1 menggantikan huruf l. Nama yang mirip tetap merupakan alamat berbeda.

Untuk domain seperti contoh.co.id, jangan memakai aturan “ambil dua bagian terakhir” secara sembarangan: co.id adalah akhiran domain. Bandingkan alamat lengkap dengan sumber yang sudah Anda percaya. Pembahasan verifikasi domain tersedia pada panduan cek domain.

Cara memeriksa link di HP dan laptop

Di laptop

Arahkan kursor ke tautan tanpa mengeklik dan baca tujuan yang ditampilkan browser atau aplikasi. Jika alamat terpotong, jangan menebak sisanya. Untuk masuk akun, buka tab baru dan ketik alamat yang sudah diketahui atau gunakan bookmark yang telah diverifikasi.

Di HP

Pada aplikasi yang mendukungnya, tekan lama tautan untuk menampilkan opsi atau alamat tujuan. Hindari memilih buka atau pratinjau halaman; sebagian aplikasi dapat memuat pratinjau. Jika alamat tidak terlihat lengkap, batalkan dan buka aplikasi layanan secara langsung.

Untuk link pendek dan QR code

Link pendek menyembunyikan tujuan awal; hal itu bukan bukti penipuan, tetapi mengurangi informasi yang bisa diperiksa. QR code juga dapat berisi URL. Lihat alamat hasil pemindaian sebelum membuka, terutama jika kode ditempel di atas stiker lain. Jangan menganggap QR aman hanya karena bentuknya terlihat biasa.

Apakah HTTPS, logo, dan hasil Google membuktikan situs asli?

Tidak. HTTPS melindungi koneksi antara browser dan situs, tetapi situs penipu juga dapat menggunakan HTTPS. Logo, testimoni, halaman kebijakan, dan desain dapat disalin. Gunakan semuanya sebagai petunjuk tambahan, bukan bukti tunggal.

Posisi tinggi di hasil pencarian atau label iklan juga bukan verifikasi identitas. Periksa alamat sebelum membuka dan hindari mengambil nomor bantuan dari halaman yang sedang dicurigai. Hubungi layanan melalui aplikasi atau informasi kontak yang sudah diverifikasi secara terpisah.

Google menyarankan pengguna tidak membuka situs yang ditandai berbahaya dan tetap mengaktifkan Safe Browsing. Tidak munculnya peringatan bukan sertifikat keamanan untuk sebuah halaman.

Apa yang harus dilakukan jika terlanjur klik?

Tindakan berikut dibedakan menurut kejadian yang dialami. Mengklik tautan tidak otomatis berarti akun sudah diambil alih, tetapi jangan mengabaikan unduhan atau izin yang mungkin muncul.

Hanya membuka halaman: tutup halaman, jangan berinteraksi lagi, periksa unduhan dan izin notifikasi yang baru diberikan, lalu perbarui browser. Jalankan pemeriksaan keamanan jika ada unduhan atau perilaku mencurigakan.
Sudah mengetik atau mengirim sandi: anggap data mungkin terekspos, meskipun belum menekan tombol kirim. Dari perangkat tepercaya, buka layanan asli, ganti sandi, keluarkan sesi lain, dan periksa perubahan email atau nomor pemulihan. Ganti sandi sama yang dipakai di akun lain.
Sudah memberikan OTP atau menyetujui login: segera gunakan jalur pemulihan resmi, cabut sesi yang tidak dikenal, dan hubungi dukungan layanan. Jangan menunggu muncul aktivitas aneh.
Sudah memasang aplikasi mencurigakan: hentikan penggunaannya; jika diduga aktif mengendalikan perangkat, putus koneksi jaringan. Amankan akun dari perangkat lain yang tepercaya dan minta bantuan teknis untuk membersihkan perangkat.
Data pembayaran atau transaksi terdampak: segera hubungi penyedia pembayaran lewat aplikasi atau kanal resmi yang telah diverifikasi untuk penanganan akun dan transaksi.

Simpan waktu kejadian, tangkapan layar pesan, alamat pengirim, dan URL sebagai bukti. Jangan meneruskan OTP atau sandi dalam laporan. Laporkan pesan melalui fitur phishing/spam platform dan kanal resmi layanan yang ditiru. Untuk akun kantor, beri tahu tim IT. Panduan keamanan akun membahas lapisan perlindungan tambahan.

Pertanyaan umum tentang website palsu

Apakah website dengan HTTPS pasti aman?

Tidak. HTTPS mengenkripsi koneksi, tetapi tidak menjamin identitas pengelola atau kejujuran isi halaman. Tetap periksa alamat dan konteks permintaan.

Bagaimana cara mengecek link phishing tanpa membukanya?

Periksa tujuan tautan melalui arahkan kursor di laptop atau opsi tekan lama di HP, bila tersedia tanpa memuat pratinjau. Jika ragu, buka aplikasi atau alamat yang telah diverifikasi secara terpisah.

Apakah link dari teman pasti aman?

Tidak selalu. Akun teman bisa diambil alih. Konfirmasi permintaan yang tidak biasa melalui saluran lain, terutama bila meminta kode, pembayaran, atau login.

Apakah QR code bisa mengarah ke website palsu?

Bisa. QR code dapat memuat tautan ke halaman tiruan. Periksa alamat hasil pemindaian sebelum melanjutkan dan jangan memasukkan data jika sumbernya meragukan.

Apakah cukup menghapus riwayat setelah klik link phishing?

Tidak. Menghapus riwayat tidak mengganti sandi yang bocor, mencabut sesi penyerang, atau membersihkan aplikasi berbahaya. Tindakan harus sesuai dengan data dan izin yang telah diberikan.

Mengapa situs phishing belum diblokir browser?

Deteksi tidak sempurna dan ancaman dapat berubah. Tidak adanya peringatan tidak membuktikan situs asli; verifikasi tetap diperlukan.

Sumber dan bacaan lanjutan

Panduan ini menyintesis sumber keamanan berikut dengan contoh ilustratif. Tidak ada alat atau satu tanda yang dapat menjamin keaslian semua situs.

Lihat juga modus live chat palsu dan APK untuk pembahasan khusus pesan dukungan.