TEMPO.CO, Jakarta - Pakar keamanan siber dan forensik digital dari Vaksincom, Alfons Tanujaya, menjelaskan muncul aktivitas scam atau skema penipuan untuk mendapatkan uang, barang, atau data di batas akhir pelaporan Surat Pemberitahuan (SPT) Tahunan pada Maret 2023. Kelompok penipu atau hacker itu memanfaatkan momen tersebut untuk mencari korban.

“Kali ini tidak tanggung-tanggung, aksi penipuan dilakukan dengan lebih terorganisir dan komplit,” ujar Alfons lewat keterangan tertulis pada Selasa, 28 Maret 2023.

Penipu, kata dia, mempersiapkan domain khusus https://pajak.contact guna menyaru sebagai situs pajak pemerintah dan memanfaatkan domain tersebut untuk membuat alamat email efiling@pajak.contact guna mengelabui korbannya. Korban nantinya mengira itu dari alamat resmi pajak yang sebenarnya efiling@pajak.go.id dan melakukan broadcast ke wajib pajak dengan mengirimkan tautan berisi file APK (Android Package Kit).

Di mana ketika file APK itu di-instal akan menampilkan aplikasi Android yang sangat mirip dengan tampilan situs kantor pajak. Tidak cukup mengirimkan APK pencuri SMS, jika korbannya termakan oleh situs phishing itu, maka ia akan dikelabui untuk memasukkan data nomor kartu ATM dan Kartu Kredit korbannya.

Alfons menyarankan, jika sudah terlanjur menginstal aplikasi pencuri SMS, bisa dilakukan pengecekan aplikasi apa saja yang memiliki hak untuk membaca SMS. Caranya melakukan pengecekan dengan cara klik Pengaturan lalu pilih Privasi, kemudian pilih Manajer izin.

Setelah itu, gulung ke bawah dan pilih SMS untuk melihat aplikasi apa saja yang memiliki hak untuk membaca SMS. Nantinya akan terlihat bahwa aplikasi yang memiliki hak akses yang wajar terhadap SMS adalah Google, Google Play Store, Messenger (Facebook), Pesan (aplikasi bawaan ponsel membaca SMS) dan Telepon.

“Sedangkan aplikasi yang tidak berhak mengakses SMS tapi mendapatkan izin adalah ‘handphone kamu’ dan ‘Shopee express’. Dua aplikasi terakhir adalah aplikasi APK pencuri SMS yang harus segera di uninstal,” tutur Alfons.<!--more-->

Kecerdikan Pelaku buat Korban Bingung

“Cerdiknya lagi, aplikasi pencuri APK yang memalsukan sebagai aplikasi pajak ini menamai dirinya ‘handphone kamu’,” tutur Alfons.

Sehingga ketika muncul peringatan dari Android kepada pemilik ponsel atas hak akses berbahaya yang diminta pemiliknya kemungkinan besar tertipu. Karena yang meminta izin akses adalah ‘handphone kamu’, padahal itu sebenarnya nama aplikasi berbahaya tersebut.

“Salah satu kepiawaian pembuat aplikasi pencuri SMS ini adalah terlihat sangat mengerti bagaimana cara kerja sistem Android yang dieksploitasinya, karena memilih nama aplikasi yang tidak umum dengan nama aplikasi ‘handphone kamu’ dan icon yang kosong,” ujar dia.

Hal tersebut, kata Alfons, akan membuat pemilik ponsel bingung, apalagi ketika muncul peringatan bahwa aplikasi tersebut meminta hak akses berbahaya seperti membaca dan mengirimkan SMS. Logikanya mana mungkin pemilik ponsel tidak membolehkan handphonenya sendiri membaca dan mengirimkan SMS.

“Dan kemungkinan permintaan akses tersebut akan diizinkan oleh pemilik ponsel,” ucap dia.

Direncanakan dengan Baik, Modus Scam lebih Canggih

Alfons menilai modus tersebut lebih canggih dari sebelumnya, di mana aksi penipuan hanya dilakukan secara terpisah dan sepotong-sepotong. Sebelumnya, kata dia, penipuan hanya memanfaatkan file APK yang berdiri sendiri dan dikirimkan melalui Whatsapp guna mencuri SMS OTP m-banking dengan berbagai tema.

“Seperti APK kurir paket, APK undangan nikah, APK tagihan BPJS, dan APK surat tilang berdiri sendiri,” kata dia.

Menurut Alfons, scammer terlihat sudah merencanakan aksinya dengan baik, terbukti dari usahanya membeli domain www.pajak.contact. Domain ini dibeli khusus untuk melakukan aksi penipuan ini pada 18 Maret 2023 dengan menggunakan register Google.

Domain pajak.contact ini dibeli untuk menampilkan situs phishing yang mirip dengan situs kantor pajak yang asli www.pajak.go.id karena mengandung unsur nama "pajak”. Selain itu juga digunakan untuk membuat alamat email dari kantor pajak efiling@pajak.go.id dan disamarkan dengan alamat palsu efiling@pajak.connect.

“Ada banyak aktivitas jahat yang dilakukan situs ini. Salah satunya mengelabui korbannya untuk memasukkan data finansial penting seperti informasi Kartu Kredit/Debit seperti 16 digit nomor kartu, masa berlaku, CVV, dan nama pemilik kartu,” tutur Alfons.

Aksi pengiriman aplikasi pencuri SMS APK selain dikirimkan melalui tautan menggunakan email juga diberikan pada situs ini yang menyaru sebagai file pdf. “Yang jika diklik akan mengirimkan file dengan nama info_Detail_Tagihan_Pajak***.apk dengan ukuran 5,2 MB,” ujar Alfons.

MOH. KHORY ALFARIZI

Pilihan Editor: Begini Cara Kerja APK Scam di Akhir Periode Lapor SPT, Buat Bingung Korban via Aplikasi Handphone Kamu