TEMPO.CO, Jakarta - Pakar keamanan siber dan forensik digital dari Vaksincom, Alfons Tanujaya, menjelaskan muncul aktivitas scam atau skema penipuan untuk mendapatkan uang, barang, atau data di batas akhir pelaporan Surat Pemberitahuan (SPT) Tahunan pada Maret 2023. Kelompok penipu atau hacker itu memanfaatkan momen tersebut untuk mencari korban.
“Kali ini tidak tanggung-tanggung, aksi penipuan dilakukan dengan lebih terorganisir dan komplit,” ujar Alfons lewat keterangan tertulis pada Selasa, 28 Maret 2023.
Lakukan Phishing via APK
Penipu, kata dia, mempersiapkan domain khusus https://pajak.contact guna menyaru sebagai situs pajak pemerintah dan memanfaatkan domain tersebut untuk membuat alamat email efiling@pajak.contact guna mengelabui korbannya. Korban nantinya mengira itu dari alamat resmi pajak yang sebenarnya efiling@pajak.go.id dan melakukan broadcast ke wajib pajak dengan mengirimkan tautan berisi file APK (Android Package Kit).
Di mana ketika file APK itu di-instal akan menampilkan aplikasi Android yang sangat mirip dengan tampilan situs kantor pajak. Tidak cukup mengirimkan APK pencuri SMS, jika korbannya termakan oleh situs phishing itu, maka ia akan dikelabui untuk memasukkan data nomor kartu ATM dan Kartu Kredit korbannya.
“Cerdiknya lagi, aplikasi pencuri APK yang memalsukan sebagai aplikasi pajak ini menamai dirinya ‘handphone kamu’,” tutur Alfons.
Sehingga ketika muncul peringatan dari Android kepada pemilik ponsel atas hak akses berbahaya yang diminta pemiliknya kemungkinan besar tertipu. Karena yang meminta izin akses adalah ‘handphone kamu’, padahal itu sebenarnya nama aplikasi berbahaya tersebut.
“Salah satu kepiawaian pembuat aplikasi pencuri SMS ini adalah terlihat sangat mengerti bagaimana cara kerja sistem Android yang dieksploitasinya, karena memilih nama aplikasi yang tidak umum dengan nama aplikasi ‘handphone kamu’ dan icon yang kosong,” ujar dia.
