Link phising dapat dikenali langsung dengan membedah anatomi URL-nya: periksa root domain (bagian tepat sebelum akhiran .com, .id, atau TLD lainnya), waspadai teknik typosquatting (manipulasi ejaan nama merek), dan amati penipuan subdomain (misalnya menempatkan nama brand resmi di depan domain penyerang). Situs resmi perbankan atau korporasi besar tidak pernah menggunakan ekstensi domain gratisan atau struktur URL acak yang menyembunyikan identitas aslinya.
Anatomi URL: Cara Menemukan Domain Asli Penyerang
Penyerang sering memanfaatkan ketidaktahuan pengguna tentang cara membaca hierarki URL. Browser membaca struktur domain dari kanan ke kiri, dimulai dari Top-Level Domain (TLD), kemudian Second-Level Domain (domain utama), baru kemudian subdomain di sisi paling kiri.
Perhatikan contoh perbandingan struktur berikut:
- Link Asli:
https://klikbca.com/login— Domain utamanya adalah klikbca.com. - Link Phising Subdomain:
https://klikbca.com.verifikasi-nasabah.xyz/login— Domain aslinya bukan klikbca.com, melainkan verifikasi-nasabah.xyz. Kata “klikbca.com” hanya dijadikan nama subdomain tipuan untuk mengecoh mata. - Link Phising Path/Direktori:
https://secure-login-user.com/bca/index.php— Domain aslinya adalah secure-login-user.com, bukan bank resmi.
1. Typosquatting dan Homograph Attack
Typosquatting memanfaatkan salah ketik atau huruf yang mirip secara visual. Penyerang mendaftarkan domain seperti bca-klik.com, klikbca-online.com, atau netfllix.com (huruf ‘l’ ganda). Sementara itu, Internationalized Domain Name (IDN) Homograph Attack menggunakan karakter alfabet non-Latin (seperti huruf Cyrillic ‘а’ yang identik dengan huruf Latin ‘a’). Jika browser menerjemahkan domain tersebut ke format Punycode, URL aslinya akan berubah menjadi xn--..., yang menjadi bukti mutlak bahwa tautan tersebut berbahaya.
2. Penyamaran dengan URL Shortener
Layanan pemendek URL seperti bit.ly, tinyurl.com, s.id, atau cutt.ly menyembunyikan alamat tujuan akhir. Instansi resmi pemerintah atau lembaga keuangan tidak pernah mengirimkan tautan verifikasi akun sensitif melalui shortlink publik gratisan. Jika pesan tagihan, pembaruan data perbankan, atau konfirmasi ekspedisi menggunakan tautan pendek, probabilitas link tersebut adalah phising mendekati 100%.
Matriks Perbedaan Link Asli vs Link Phising
Tabel berikut memaparkan indikator teknis untuk membedakan tautan kredibel dari tautan phising:
| Parameter | Situs Resmi / Asli | Link Phising |
|---|---|---|
| Struktur Domain | Nama brand murni di root domain (misal: bca.co.id, tokopedia.com). | Brand ditaruh di subdomain atau ditambah tanda hubung (misal: promo-tokopedia.top). |
| Top-Level Domain (TLD) | Ekstensi bereputasi (.com, .co.id, .go.id, .ac.id). | Menggunakan TLD murah/bebas syarat (.xyz, .top, .site, .icu, .buzz, .ru). |
| Sertifikat HTTPS | Tervalidasi atas nama perusahaan resmi (Organization Validation/EV). | Bisa saja memiliki ikon gembok (HTTPS gratisan Let's Encrypt/Cloudflare), tetapi diterbitkan untuk domain anonim. |
| Umur Domain (Whois) | Terdaftar bertahun-tahun (biasanya > 5 tahun). | Baru didaftarkan beberapa hari atau minggu lalu. |
| Format Ekstensi File | Membuka laman web standar (HTML/PHP). | Sering kali langsung memicu unduhan otomatis file berbahaya (.apk, .exe, .scr). |
Catatan penting mengenai ikon gembok HTTPS: Keberadaan HTTPS/ikon gembok hanya menandakan bahwa koneksi data terenkripsi, bukan jaminan bahwa pemilik situs beritikad baik. Saat ini lebih dari 80% situs phising juga menggunakan HTTPS gratisan.
Metode Memeriksa Tautan Tanpa Mengkliknya
Jangan pernah membuka tautan mencurigakan secara langsung di browser utama. Gunakan metode inspeksi berikut:
1. Teknik Hovering (Desktop) atau Long-Press (Ponsel)
Pada komputer, arahkan kursor mouse di atas link tanpa mengkliknya (hover). Amati bilah status di pojok kiri bawah layar peramban untuk melihat URL destinasi sebenarnya. Pada ponsel, tekan dan tahan (long-press) link tersebut sampai menu konteks muncul dan memperlihatkan URL asli yang dituju.
2. Bongkar URL Pemendek (Unshortener)
Jika tautan disamarkan dengan bit.ly atau sejenisnya, salin URL tersebut dan periksa menggunakan mesin pembongkar seperti:
- CheckShortURL (
checkshorturl.com) — Menampilkan URL tujuan akhir, screenshot halaman, dan peringkat keamanan. - Unshorten.It! (
unshorten.it) — Membuka rute redirect tersembunyi secara mendalam.
3. Analisis dengan Scanner Reputasi dan Sandbox Online
Gunakan platform keamanan publik untuk memindai URL secara independen tanpa menyentuh perangkat Anda:
- VirusTotal (
virustotal.com/gui/home/url): Memindai tautan terhadap lebih dari 70 mesin antivirus dan database blacklist global. - URLScan.io (
urlscan.io): Melakukan rendering halaman web dalam lingkungan terisolasi (sandbox), merekam screenshot, IP address hosting, dan melacak form login mencurigakan. - Whois Domain Lookup (
whois.domaintools.com): Masukkan nama domain untuk memeriksa tanggal pendaftaran. Jika situs mengatasnamakan bank besar namun domain baru berumur 10 hari, tautan tersebut dipastikan penipuan.
Modus Penipuan Link Phising Paling Aktif
Penyerang mengombinasikan link palsu dengan rekayasa sosial (social engineering) bertekanan emosional tinggi:
- Notifikasi Blokir Rekening / Biaya Transfer Naik: Mengarahkan korban ke formulir tiruan internet banking untuk mencuri User ID, Password, dan kode OTP.
- Surat Tilang Elektronik & Ekspedisi Paket (Kurir Palsu): Dikirim via WhatsApp dengan format file
.apkyang dinamai seolah-olah gambar atau dokumen (misal:Lihat_Foto_Paket.apk). Mengklik link ini memasang malware penyadap SMS/OTP di perangkat Android. - Iklan Mesin Pencari Bersponsor (Malvertising): Penyerang membeli Google Ads untuk kata kunci seperti “login bank X”. Situs phising muncul di posisi paling atas hasil pencarian, mendahului situs aslinya. Pastikan selalu memeriksa domain sebelum mengklik hasil bersponsor.
Tindakan Darurat Jika Terlanjur Mengklik Link Phising
Jika Anda tidak sengaja mengklik tautan atau mengisi data pada halaman phising, segera jalankan langkah mitigasi ini:
- Putus Akses Internet Seketika: Jika ada file yang otomatis terunduh, aktifkan Airplane Mode atau matikan Wi-Fi/Data Seluler untuk memutus transmisi data pencurian ke server pelaku.
- Ganti Password dari Perangkat Berbeda: Gunakan perangkat lain yang bersih untuk mengubah password akun yang terindikasi bocor, lalu klik opsi “Logout dari semua perangkat” (Revoke sessions).
- Hubungi Pusat Panggilan Resmi Perbankan: Jika data finansial (nomor kartu ATM, CVV, OTP) telah diinput, segera hubungi nomor call center resmi bank untuk memblokir kartu debit/kredit dan akun mobile banking.
- Copot Pemasangan Aplikasi Tak Dikenal: Di Android, buka menu Pengaturan > Aplikasi, cari aplikasi yang tidak memiliki ikon atau memiliki izin membaca SMS/Notifikasi yang mencurigakan, lalu lakukan uninstall segera.