JAKARTA – Dalam era digital yang digunakan semakin maju, modus penipuan juga mengambil bagian mengalami perkembangan semakin canggih. Salah satu modus terbaru yang digunakan berada dalam marak adalah pembohongan berkedok “surat cinta” dari Direktorat Jenderal Pajak (DJP).
Modus ini memanfaatkan kepanikan serta ketidaktahuan penduduk tentang prosedur perpajakan untuk mencuri data pribadi kemudian menguras account korban.
Modus Operandi Penipu
Pengamat keamanan siber Vaksin.com Alfons Tanujaya mengatakan, penipu biasanya memulai aksinya dengan mengirimkan instruksi WhatsApp yang mengatasnamakan petugas pajak.
Pesan yang dimaksud berisi informasi tentang adanya permasalahan pada data perpajakan korban, lengkap dengan data pribadi yang mana valid seperti alamat, nama, NIK, NPWP, serta nomor telepon. Fakta pribadi yang mana akurat ini menyebabkan korban mudah percaya juga terpancing untuk mengikuti instruksi selanjutnya.
Setelah korban lengah, penipu akan menggunakan dua metode untuk menjerat korbannya:
1. Phishing: Korban diarahkan ke situs palsu yang mana mirip dengan Google Play Store untuk mengunduh program “M-Pajak” palsu. Aplikasi ini sebenarnya adalah malware yang akan mencuri SMS dari ponsel korban, termasuk kode OTP (One-Time Password) yang mana digunakan untuk kegiatan perbankan.
2. Social Engineering: Penipu akan menelepon korban kemudian mengaku sebagai petugas call center pajak. Dengan berbekal data pribadi korban, penipu akan meyakinkan korban bahwa dia mempunyai tunggakan pajak atau permasalahan perpajakan lainnya. Korban kemudian akan diarahkan untuk mentransfer sebagian uang ke account penipu.
“Hal yang dimaksud cukup mengejutkan adalah penipu memiliki data otentik wajib pajak. Tentunya ini menjadi pertanyaan besar bagaimana data wajib pajak sedetail ini bisa jadi bocor dan juga dieksploitasi oleh penipu,” ujar Alfons.
Dari hasil investigasi Alfons, ia menemukan beberapa hal yang wajib dicurigai apabila pemilik bidang usaha ataupun individu mendapatkan “surat cinta” dari Direktorat Jenderal Pajak (DJP). Antara lain:
1. Fakta pribadi yang tersebut valid: Penipu mempunyai akses ke data pribadi wajib pajak yang digunakan seharusnya bersifat rahasia, seperti alamat, nama, NIK, NPWP, nomor telepon, juga email.
2. Portal palsu: Penipu menyebabkan situs palsu yang dimaksud sangat mirip dengan Google Play Store untuk mengelabui korban agar mengunduh perangkat lunak berbahaya.
