Lalu kita mikir, “Ah, aman lah. Ini pasti dari kantor.”
Klik. Login. Isi data. Selesai.

Eh, plot twist: ternyata palsu.

Nah, inilah salah satu masalah security awareness yang paling sering terjadi di lingkungan kerja: terlalu mudah percaya pada tampilan.

Tampilan Bisa Menipu, Bestie

Di dunia digital, yang kelihatan resmi belum tentu benar-benar resmi. Sama seperti akun media sosial yang bisa pakai foto profil keren tapi ternyata fake, email atau website juga bisa dibuat sangat mirip dengan aslinya.

Pelaku kejahatan digital sekarang makin niat. Mereka bisa bikin:

• Email palsu yang mirip email kantor;
• Website tiruan yang tampilannya seperti halaman login resmi;
• File PDF yang terlihat profesional;
• Pesan WhatsApp yang bahasanya sopan dan meyakinkan;
• Link yang namanya dibuat seolah-olah aman.

Bahkan sekarang, dengan bantuan AI, pesan penipuan bisa dibuat lebih natural. Bahasanya tidak lagi kaku seperti dulu. Tidak selalu pakai kalimat aneh seperti “Selamat Anda memenangkan hadiah 5 miliar”. Sekarang bisa jauh lebih halus:

“Yth. Bapak/Ibu, mohon melakukan pembaruan akun melalui tautan berikut sebelum pukul 15.00 WIB.”

Kelihatannya formal, kan?
Tapi justru di situlah jebakannya.

 Modus Klasik, Tampilan Makin Estetik

Dulu penipuan digital sering kelihatan dari jauh. Banyak typo, desain berantakan, alamat email mencurigakan, dan kalimatnya terlalu bombastis.

Sekarang? Beda cerita.

Email palsu bisa tampil rapi. Logo bisa dicopy. Format surat bisa dibuat mirip. Nama pengirim bisa dibuat seolah-olah berasal dari admin, helpdesk, bank, marketplace, atau bahkan instansi resmi.

Contohnya seperti ini:

“Mohon segera login untuk pembaruan akun. Jika tidak dilakukan, akses Anda akan dibatasi.”

Karena ada logo kantor, bahasa formal, dan pesan terlihat penting, banyak orang langsung klik link tanpa cek dulu. Padahal link tersebut bisa saja mengarah ke halaman login palsu yang dibuat untuk mencuri username dan password.

Sekali login di halaman palsu, data akun bisa langsung jatuh ke tangan pelaku.

 Masalahnya Bukan Gaptek, Tapi Terlalu Percaya

Penting untuk dipahami: korban phishing atau penipuan digital bukan selalu orang yang “nggak paham teknologi”.

Banyak orang yang sebenarnya sudah terbiasa pakai email, aplikasi kantor, mobile banking, media sosial, dan berbagai layanan digital. Masalahnya, dalam situasi kerja yang sibuk, orang sering mengambil keputusan cepat.

Ada email masuk.
Ada instruksi mendesak.
Ada tulisan “akun akan diblokir”.
Ada link yang terlihat penting.

Akhirnya otak langsung mode panik:

“Waduh, harus segera dikerjakan nih.”

Nah, pelaku memang mengincar momen seperti ini. Mereka tidak selalu menyerang sistem dengan cara super canggih. Kadang mereka cukup menyerang kebiasaan manusia: terburu-buru, panik, sungkan, atau terlalu percaya.

 Red Flag yang Sering Diabaikan

Sebelum klik link, buka lampiran, atau isi data, coba cek beberapa tanda bahaya berikut.

Pertama, pesannya terlalu mendesak. Misalnya, “segera login”, “akun akan dinonaktifkan”, “batas waktu hari ini”, atau “jangan abaikan pesan ini”. Semakin kamu dibuat panik, semakin kamu harus tenang.

Kedua, alamat pengirim terlihat aneh. Jangan hanya lihat nama pengirim. Nama pengirim bisa saja tertulis “Admin Kantor”, tetapi alamat email aslinya menggunakan domain yang tidak resmi.

Ketiga, link tidak sesuai. Kadang teks link terlihat normal, tapi alamat sebenarnya berbeda. Biasakan arahkan kursor ke link terlebih dahulu untuk melihat alamatnya sebelum diklik.

Keempat, meminta data sensitif. Kalau ada pesan yang meminta password, OTP, PIN, data pribadi, atau akses akun, langsung pasang mode curiga.

Kelima, bahasanya terlalu umum. Misalnya tidak menyebut nama penerima dengan jelas, tidak sesuai konteks pekerjaan, atau terasa seperti template massal.

 Contoh Situasi di Kantor

Bayangkan ada pegawai menerima email seperti ini:

“Yth. Pegawai, sistem keamanan email sedang diperbarui. Mohon login ulang melalui tautan berikut untuk menghindari pembatasan akses.”

Email tersebut memakai logo kantor. Bahasanya rapi. Ada tanda tangan “Tim IT Support”. Bahkan ada tombol biru bertuliskan “Verifikasi Sekarang”.

Pegawai yang sedang sibuk mungkin langsung klik. Setelah itu muncul halaman login yang mirip sekali dengan portal kantor. Ia memasukkan username dan password.

Padahal, itu halaman palsu.

Dari satu klik tersebut, pelaku bisa mendapatkan kredensial akun. Setelah itu, dampaknya bisa melebar: email diambil alih, data internal terbuka, kontak lain ikut dikirimi pesan palsu, bahkan bisa menjadi pintu masuk serangan yang lebih besar.

Sederhana? Iya.
Bahaya? Banget.

 Cara Aman: Jangan Cuma Lihat, Tapi Verifikasi

Prinsip utama yang perlu ditanamkan adalah:

Jangan percaya tampilan. Verifikasi sumbernya.

Kalau dapat email atau pesan mencurigakan, lakukan langkah sederhana ini.

Cek alamat pengirim. Pastikan domain email benar-benar resmi. Jangan hanya percaya nama yang tampil di layar.

Cek link sebelum klik. Arahkan kursor ke link atau tekan lama di ponsel untuk melihat alamat sebenarnya. Kalau alamatnya aneh, jangan dibuka.

Jangan buru-buru login. Kalau halaman login muncul dari link yang dikirim lewat email atau chat, lebih aman buka website resmi secara manual melalui browser.

Konfirmasi lewat kanal resmi. Kalau pesan mengaku dari admin, atasan, bank, atau instansi tertentu, verifikasi melalui nomor, email, atau kanal resmi yang sudah kamu kenal.

Jangan pernah kirim password dan OTP. Tidak ada admin resmi yang perlu tahu password atau OTP kamu.

 Mindset Baru: Trust Issue Itu Perlu

Di dunia nyata, terlalu curiga mungkin terasa kurang enak. Tapi di dunia digital, sedikit “trust issue” justru sehat.

Bukan berarti kita harus paranoid. Tapi kita perlu punya kebiasaan untuk bertanya:

“Ini benar dari siapa?”
“Link-nya menuju ke mana?”
“Kenapa saya diminta login?”
“Apakah permintaan ini masuk akal?”
“Perlu saya konfirmasi dulu nggak?”

Kalau ada yang terasa janggal, jangan diabaikan. Dalam keamanan informasi, rasa curiga kecil bisa menyelamatkan data besar.

 Security Awareness Itu Skill Harian

Keamanan informasi bukan cuma urusan tim IT. Semua pegawai punya peran. Karena sering kali, pintu masuk serangan bukan dari sistem yang rusak, tetapi dari kebiasaan kecil yang dianggap biasa.

Klik link tanpa cek.
Download lampiran tanpa pikir panjang.
Login dari halaman yang tidak jelas.
Menganggap semua pesan formal pasti benar.

Hal-hal kecil seperti itu bisa jadi awal masalah besar.

Jadi, mulai sekarang biasakan jeda sebentar sebelum klik. Tidak perlu lama. Cukup 5–10 detik untuk mengecek pengirim, link, konteks, dan isi pesan.

Karena dalam dunia digital, satu klik bisa bikin panik.

 Pesan Kampanye

Jangan percaya tampilan.
Jangan mudah terpancing.
Jangan buru-buru klik.

Ingat rumus simpelnya:

Lihat boleh. Percaya nanti dulu. Verifikasi dulu, baru aksi.

Stay safe, stay smart!