Ilustrasi rekaan: sebuah pesan mengabarkan bahwa akun perlu diverifikasi sebelum malam dan menyertakan tombol untuk masuk. Nama pengirim tampak familier, bahasanya rapi, dan logonya terlihat cocok. Namun, semua detail itu belum menjawab tiga hal penting: ke mana tautan membawa, siapa yang meminta data, dan apakah data tersebut memang diperlukan. Skenario ini bukan kejadian nyata, melainkan contoh untuk menimbang pesan sebelum bertindak.

AMAN888: Pesan yang Terlihat Aman Belum Tentu Layak Dipercaya

Tampilan pesan mudah dijadikan alasan untuk percaya terlalu cepat. Nama tampilan, logo, dan gaya bahasa bisa terlihat meyakinkan tanpa membuktikan siapa yang berada di balik pesan atau apakah permintaannya sesuai. Bahkan pesan dari nama yang sudah dikenal tetap perlu dibaca dalam konteks: apakah kamu memang sedang melakukan urusan yang disebutkan, dan apakah permintaan itu muncul melalui jalur yang biasanya kamu gunakan?

Dalam contoh rekaan tadi, kalimat “akun akan ditutup” mendorong penerima untuk segera menekan tombol. Tekanan waktu bukan bukti bahwa pesan itu palsu, tetapi juga bukan alasan untuk mengabaikan pemeriksaan. Berhenti sejenak memberi ruang untuk memastikan tautan dan permintaan data secara terpisah.

Periksa tujuan tautan sebelum membukanya

Teks yang terlihat pada tombol belum tentu sama dengan alamat tujuan. Jika perangkat menampilkan pratinjau tautan saat kursor diarahkan atau tautan ditekan lama, gunakan pratinjau itu untuk membaca alamatnya, bukan sebagai tanda bahwa alamat tersebut aman. Bila tautan sulit diperiksa atau tujuannya tidak jelas, jangan membukanya sekadar untuk mencari tahu.

Perhatikan nama domain yang benar-benar mengendalikan alamat, bukan hanya kata yang terlihat meyakinkan di bagian awal. Ejaan yang sedikit berbeda, tambahan kata yang tidak biasa, atau susunan yang membuat nama organisasi tampak seperti bagian dari situs lain patut diperiksa. Tautan pendek dan kode QR juga dapat menyamarkan tujuan; keduanya tidak otomatis berbahaya, tetapi jangan dianggap aman hanya karena bentuknya ringkas.

Ikon gembok atau awalan HTTPS menunjukkan bahwa koneksi ke suatu situs dienkripsi. Itu tidak dengan sendirinya membuktikan siapa pengelola situs tersebut atau apakah permintaannya sah. Jadi, pemeriksaan alamat tetap perlu dilengkapi dengan pemeriksaan konteks dan kanal yang digunakan.

Tanda yang layak membuatmu berhenti sejenak

• Pesan menuntut tindakan segera, mengancam penutupan akun, atau meminta agar isi pesan dirahasiakan.
• Tautan mengarah ke alamat yang tidak cocok dengan layanan yang disebutkan, atau alamatnya tidak bisa dipastikan.
• Pesan yang tidak kamu duga menyertakan lampiran, meminta memasang aplikasi, atau meminta izin yang tidak berkaitan dengan urusan yang sedang dilakukan.
• Pengirim meminta kata sandi, PIN, kode OTP, atau kode pemulihan melalui balasan pesan atau panggilan.
• Permintaan informasi terasa jauh lebih luas daripada keperluan yang dijelaskan.

Satu tanda saja tidak selalu membuktikan bahwa pesan itu palsu. Namun, tanda tersebut cukup untuk menghentikan proses sementara. Kamu tidak perlu menekan tautan untuk menyelesaikan keraguan.

Nilai permintaan data, bukan hanya nama pengirim

Sebelum mengisi formulir atau membalas pesan, perhatikan tepatnya data apa yang diminta. Nama, alamat email, nomor telepon, tanggal lahir, alamat rumah, dokumen identitas, dan informasi pembayaran memiliki tingkat kepekaan yang berbeda. Semakin sensitif datanya, semakin jelas alasan dan kanal pengirimannya perlu dipastikan.

Tanyakan pada diri sendiri: data ini dipakai untuk apa, apakah sesuai dengan urusan yang sedang dilakukan, dan apakah ada cara lain yang lebih sedikit mengungkapkan informasi? Permintaan yang menjelaskan tujuan secara samar atau meminta data berlebihan layak ditunda sampai kamu mendapat penjelasan melalui kanal yang bisa diperiksa secara mandiri.

Jangan kirim kata sandi, PIN, kode OTP, atau kode pemulihan kepada seseorang melalui pesan atau telepon. Jangan pula memasukkannya ke halaman yang dibuka dari tautan dalam pesan. Jika sedang melakukan proses masuk atau verifikasi yang memang kamu mulai sendiri, masukkan kode hanya pada aplikasi atau situs resmi yang kamu buka secara terpisah. Dokumen identitas atau data keuangan mungkin diminta dalam sebagian proses resmi, tetapi jangan menyerahkannya hanya karena sebuah pesan mengatakannya: pastikan dulu kebutuhan, tujuan, dan jalur pengirimannya.

Verifikasi lewat jalur yang tidak disediakan pesan

Jika pesan meminta tindakan terhadap akun atau transaksi, jangan gunakan tautan dan nomor kontak yang tercantum di dalam pesan itu untuk memeriksanya. Buka aplikasi yang sudah terpasang atau akses kanal yang alamatnya telah kamu simpan dan kenali. Jika perlu menghubungi pihak terkait, gunakan nomor atau kontak dari dokumen atau kanal resmi yang kamu akses secara terpisah.

1. Jangan menekan tautan atau membalas pesan saat kamu belum yakin dengan pengirim dan tujuannya.
2. Buka akun melalui aplikasi atau alamat yang kamu akses secara mandiri, lalu periksa apakah permintaan yang sama muncul di sana.
3. Jika tidak menemukan penjelasan, tanyakan melalui kanal kontak yang sudah kamu verifikasi, bukan melalui nomor dalam pesan.
4. Pastikan alasan permintaan, jenis data yang dibutuhkan, dan cara pengirimannya sebelum mengisi apa pun.

Misalnya, dalam skenario rekaan tadi, penerima tidak harus memilih antara menekan tombol atau mengabaikan pesan selamanya. Ia bisa menutup pesan, membuka aplikasi melalui cara yang biasa digunakan, lalu memeriksa apakah ada pemberitahuan di akun. Jika permintaan tidak bisa dikonfirmasi, menunda pengiriman data lebih masuk akal daripada menebak-nebak.

Jika sudah telanjur mengeklik atau mengisi data

Langkah berikutnya bergantung pada apa yang sudah terjadi. Jika hanya membuka halaman dan belum memasukkan data, mengunduh berkas, atau memberi izin, tutup halaman dan jangan lanjutkan proses di sana. Setelah itu, periksa akun melalui kanal yang kamu buka sendiri. Jika mengunduh atau memasang sesuatu, atau memberikan izin yang tidak dipahami, hentikan penggunaannya dan minta bantuan teknis dari pihak yang tepercaya.

Jika kata sandi sudah dimasukkan, ubah melalui aplikasi atau situs yang diakses secara mandiri. Bila kata sandi yang sama dipakai untuk akun lain, ubah juga di akun-akun tersebut. Jika kode verifikasi, data pembayaran, atau dokumen identitas sudah dibagikan, hubungi penyedia akun atau lembaga terkait melalui kontak yang telah dipastikan dan tanyakan langkah perlindungan yang sesuai.

Untuk menilai pesan sebelum berbagi informasi, kembali ke tiga pemeriksaan sederhana: apakah tujuan tautannya jelas, apakah data yang diminta memang perlu, dan apakah permintaan itu bisa dikonfirmasi lewat jalur lain? Jika salah satunya belum terjawab, berhenti dulu. Menunda pengiriman data bukan berarti mengabaikan urusan; itu memberi waktu untuk memastikan siapa yang memintanya dan ke mana informasi akan pergi.