Modus Penipuan Online Terbaru di Indonesia yang Harus Diwaspadai

Awal 2026 menjadi alarm keras bagi keamanan digital di Indonesia. Lonjakan transaksi online dan komunikasi lewat WhatsApp ternyata diikuti peningkatan tajam kasus penipuan digital.

Sejak November 2024 hingga 29 April 2026, Indonesia Anti Scam Centre mencatat 548.093 laporan penipuan, dan itu hanya kejadian yang dilaporkan.¹

Ancaman tidak datang hanya dari link mencurigakan di email.

Pelaku mulai memanfaatkan AI generatif untuk meniru suara dan wajah orang yang kamu kenal, membuat halaman website palsu dalam hitungan menit, dan mengirim pesan yang terasa sangat personal karena dibangun dari data pribadimu yang mungkin sudah bocor.

Tim Fortalive memantau laporan penipuan dari pembaca sejak awal 2026.

Pola yang paling konsisten dari semua kasus yang masuk: pelaku selalu menciptakan situasi yang memaksa korban bertindak cepat. Situasi ini yang membuat orang yang sebenarnya paham teknologi pun bisa jadi korban.

Artikel ini membahas 10 modus yang paling aktif di Indonesia, beserta pola yang berulang dan terdokumentasi.

Kalau belum membaca pengantar soal phishing, kamu bisa mulai dari sini: Apa Itu Phishing dan Cara Menghindarinya

Skala Masalah: Kenapa Ini Serius

Sebelum masuk ke modus-modusnya, ada tiga angka yang perlu kamu tahu:

548.093 laporan. Merupakan jumlah laporan penipuan yang masuk ke IASC sejak November 2024 sampai 29 April 2026 — rata-rata lebih dari 1.000 laporan setiap hari.¹

Peringkat 111 dari 112 negara. Indonesia berada di posisi kedua terburuk di dunia dalam Global Fraud Index 2025 versi Mafindo. Distribusi korban terkonsentrasi di Jawa Barat (88.943 laporan), DKI Jakarta (66.408), Jawa Timur (60.533), Jawa Tengah (48.231), dan Banten (30.539).²

3,64 miliar anomali serangan. Angka tersebut adalah yang dideteksi BSSN hanya dalam tujuh bulan pertama 2025, hampir menyamai total lima tahun sebelumnya.²

Pelaku tidak memilih korban berdasarkan usia atau pendidikan. Mereka memilih siapa yang lengah di momen yang salah.

10 Modus Penipuan Online Paling Sering Terjadi di Indonesi

Modus 1: APK Malware via WhatsApp

Tingkat ancaman: Sangat tinggi

Ini modus yang paling banyak menimbulkan korban di Indonesia. Pelaku mengirim file berekstensi .apk via WhatsApp dengan berbagai kedok:

• “Surat Undangan Pernikahan Digital” (ukuran ~6MB, terasa ringan)
• “Lihat Foto Paket” (seolah dari kurir J&T, SiCepat, dll.)
• “Surat Tilang ETLE Kepolisian” (memicu kepanikan)
• “Dokumen Pajak” atau “Formulir BLT”

Begitu file APK itu diinstall, malware yang tertanam langsung:

• Merekam aktivitas layar dan ketikan keyboard (keylogging)
• Mengambil alih fitur penerimaan SMS untuk mencegat kode OTP
• Membobol akses aplikasi m-banking dan memindahkan dana secara diam-diam

Cara mengenalinya: File undangan, kurir, tilang, atau dokumen resmi tidak pernah berbentuk APK. Undangan digital yang sah adalah link website atau PDF, bukan aplikasi yang harus diinstall.

Cara menghindarinya: Jangan pernah install APK dari link yang dikirim via WhatsApp, SMS, atau email — dari siapapun dan dengan alasan apapun.

Modus 2: Phishing Link — Domain Palsu yang Terlihat Asli

Tingkat ancaman: Sangat tinggi

Pelaku mendaftarkan domain yang tampak mirip dengan situs resmi: bca-update-rekening.com, tokopedia-verifikasi.net, atau bri.co.id-login.xyz.

Halaman loginnya dibuat semirip mungkin dengan aslinya, termasuk logo, warna, dan tata letak.

Belakangan ini, pelaku sudah menggunakan tools otomatis berbasis AI untuk membuat halaman phishing dalam hitungan menit, lengkap dengan antarmuka yang identik dengan aplikasi asli.

Sistem ini sering dilengkapi bot yang secara real-time meneruskan OTP yang dimasukkan korban ke pelaku, lalu masuk ke akun asli sebelum OTP kedaluwarsa.³

Cara mengenalinya:

• Pesan memintamu klik link untuk “verifikasi rekening”, “klaim poin”, atau “perbarui data”
• URL-nya tidak tepat: ada tambahan kata, tanda hubung, atau domain aneh di belakang nama brand
• Ada rasa urgensi: “Lakukan sekarang atau akun diblokir”

Cara menghindarinya: Jangan klik link dari pesan apapun. Ketik sendiri URL bank atau marketplace-mu di browser. Kalau ragu, hubungi call center resmi.

Modus 3: Penipuan OTP (Vishing)

Tingkat ancaman: Tinggi

Pelaku menelepon atau mengirim pesan mengaku sebagai customer service bank, marketplace, atau instansi pemerintah.

Mereka menciptakan skenario darurat, “Ada transaksi mencurigakan”, “Akun kamu sedang dibobol orang lain”, “Perlu verifikasi segera”, lalu meminta kode OTP yang baru saja masuk ke HP-mu.

Sebagian pelaku sudah menggunakan teknologi VoIP spoofing untuk memalsukan nomor penelepon agar terlihat seperti nomor resmi bank.

Nomor yang muncul di layar HP-mu bisa terlihat identik dengan nomor call center bank asli.⁴

Satu aturan yang tidak ada pengecualiannya:

Bank, marketplace, atau instansi pemerintah tidak pernah meminta kode OTP dari nasabah atau pengguna melalui telepon, WhatsApp, SMS, atau media apapun. Tidak ada pengecualian. Siapapun yang meminta kode OTP-mu adalah penipu.

Cara menghindarinya: Tutup telepon. Jangan tekan angka apapun. Kalau khawatir, hubungi bank langsung melalui nomor yang ada di belakang kartu ATM-mu, bukan nomor yang baru meneleponmu.

Modus 4: Quishing — QR Code Phishing

Tingkat ancaman: Sedang dan meningkat

Ini adalah modus yang terbilang paling baru dan mulai marak. Pelaku menempelkan stiker QR code palsu di tempat umum — terminal transportasi, parkiran, kotak donasi, merchant QRIS — atau mengirimkannya via chat.

Saat discan, QR code itu mengarahkan ke situs phishing yang meniru platform resmi untuk mencuri data login dompet digital atau akun bank.³

Quishing efektif karena kebanyakan orang tidak memverifikasi URL setelah scan QR code. Mereka langsung tiba di halaman login dan mengisi data tanpa curiga.

Cara mengenalinya:

• QR code yang ditempel di atas QR code lain (ada stiker yang menutup yang asli)
• Setelah scan, URL yang muncul di browser tidak sesuai dengan nama brand yang tertera

Cara menghindarinya: Selalu periksa URL di browser setelah scan QR code sebelum memasukkan data apapun. Kalau ragu, jangan isi apapun dan tutup halaman itu.

Modus 5: Deepfake AI — Suara dan Video Palsu

Tingkat ancaman: Sedang dan meningkat sangat cepat

Konten deepfake meningkat 550% dalam lima tahun terakhir di Indonesia.² Pelaku menggunakan AI generatif untuk:

• Meniru suara anggota keluarga atau atasan dalam panggilan telepon yang meminta transfer dana mendesak
• Membuat video call palsu dengan wajah “pejabat bank” atau “polisi” yang dilengkapi atribut resmi
• Membuat video viral palsu yang menampilkan tokoh publik atau selebriti “merekomendasikan” investasi bodong

Seiring waktu, kualitas deepfake sudah cukup baik untuk menipu di panggilan video singkat.

Sinyal yang mencurigakan: video terasa sedikit tidak sinkron antara gerak bibir dan suara, ekspresi wajah tidak wajar, atau panggilan video tiba-tiba terputus ketika kamu terlalu banyak bicara.

Cara menghindarinya: Kalau menerima panggilan telepon atau video dari “anggota keluarga” atau “atasan” yang meminta transfer mendesak, putuskan dulu dan hubungi orang itu melalui nomor yang sudah kamu kenal. Verifikasi selalu melalui kanal terpisah.

Modus 6: SIM Swap — Memindahkan Nomormu ke SIM Mereka

Tingkat ancaman: Tinggi untuk target spesifik

Pelaku meyakinkan operator seluler untuk memindahkan nomor HP korban ke SIM card baru yang mereka kendalikan.

Setelah berhasil, semua SMS — termasuk kode OTP — masuk ke HP pelaku, bukan HP-mu.

Untuk melakukan SIM swap, pelaku butuh sebagian data pribadimu: nama, NIK, tanggal lahir. Data yang mungkin sudah tersedia dari kebocoran data besar seperti Dukcapil atau BPJS.

Data pribadimu mungkin sudah beredar. Cek di: Cara Cek Apakah Data Pribadimu Sudah Bocor

Tanda-tanda SIM swap berhasil dilakukan ke nomormu:

• Tiba-tiba tidak ada sinyal sama sekali, padahal di lokasi yang biasanya ada sinyal
• Tidak bisa menerima telepon atau SMS
• Menerima notifikasi dari operator bahwa SIM sudah diaktivasi ulang

Cara menghindarinya: Aktifkan PIN SIM card di HP-mu. Hubungi operator segera kalau sinyal tiba-tiba hilang.

Kurangi ketergantungan pada 2FA via SMS — gunakan aplikasi authenticator: Apa Itu Two-Factor Authentication dan Cara Mengaktifkannya

Modus 7: Penipuan Lowongan Kerja

Tingkat ancaman: Tinggi, terutama untuk pencari kerja

Pola yang selalu berulang:

1. Tawaran kerja “ringan dari rumah” dengan gaji tidak masuk akal
2. Korban diminta membayar “biaya training”, “deposit alat”, atau “administrasi” untuk bisa mulai kerja
3. Setelah uang ditransfer, pelaku menghilang

Modus baru: korban ditawari menjadi “agen transfer” dengan diminta membuka rekening atau meminjamkan akses mobile banking untuk “menerima dan meneruskan dana klien”.

Hal ini digunakan untuk menjebak korban menjadi money mule, rekening mereka dipakai untuk aliran dana kejahatan yang bisa menyebabkan rekening diblokir dan tersangkut kasus hukum.⁴

Cara mengenalinya:

• Gaji terlalu besar untuk pekerjaan yang terlalu mudah
• Ada biaya awal yang harus dibayar sebelum mulai bekerja
• Diminta membuka rekening baru atau meminjamkan akses m-banking

Modus 8: Pig Butchering — Romansa + Investasi Palsu

Tingkat ancaman: Tinggi dengan kerugian besar

Ini modus dengan rata-rata kerugian per korban paling besar. Pelaku:

1. Berkenalan secara online (Tinder, Instagram, LinkedIn, bahkan WhatsApp random)
2. Membangun hubungan emosional intens selama berminggu-minggu atau berbulan- bulan
3. “Berbagi tips investasi” yang selalu untung di platform palsu yang mereka kendalikan
4. Mendorong korban memasukkan uang lebih banyak
5. Saat korban mencoba menarik dana, muncul “pajak”, “biaya unlock”, atau akun tiba-tiba tidak bisa diakses

Nama “pig butchering” merujuk pada praktik menggemukkan babi sebelum disembelih.

Dalam modus ini, pelaku membangun kepercayaan dulu sebelum menguras habis harta korbannya.

Cara mengenalinya:

• Orang baru yang sangat agresif membangun kedekatan emosional
• “Investasi” yang selalu menghasilkan return tidak masuk akal
• Platform investasi yang tidak bisa dikonfirmasi di OJK atau Google

Modus 9: Impersonasi Pejabat, Polisi, atau Jaksa

Tingkat ancaman: Tinggi, terutama untuk korban yang mudah panik

Pelaku menelepon atau melakukan video call mengaku sebagai polisi, jaksa, atau BNN, dan memberitahu korban bahwa identitasnya “ditemukan terlibat” dalam pencucian uang, penipuan, atau kasus narkoba.

Korban diminta “menjaga kerahasiaan” dan mentransfer sejumlah uang sebagai “jaminan” atau “pembebas aset” untuk menghindari penangkapan.

Pelaku mungkin menggunakan deepfake video dengan kostum seragam polisi atau jaksa yang terlihat meyakinkan selama panggilan video singkat.⁴

Satu fakta yang perlu diingat:

Polisi, jaksa, atau instansi pemerintah tidak pernah meminta transfer uang sebagai “jaminan” atau “pembebas aset” melalui telepon. Kalau ada yang melakukannya, besar kemungkinan merupakan penipuan.

Cara menghindarinya: Tutup panggilan. Konsultasikan dengan pengacara atau orang dipercaya sebelum mengambil tindakan apapun.

Modus 10: Penipuan Pemulihan Dana

Tingkat ancaman: Sedang, menargetkan korban penipuan sebelumnya

Ini penipuan yang menargetkan orang yang sudah pernah menjadi korban penipuan sebelumnya.

Pelaku mengaku sebagai “tim resmi pemulihan dana”, “konsultan hukum”, atau “perwakilan platform yang merugikan korban”, dan menawarkan bisa mengembalikan dana yang hilang dengan syarat korban membayar “biaya administrasi” atau “jaminan proses” terlebih dahulu.

Penipuan kedua yang memanfaatkan trauma dari penipuan pertama.

Cara mengenalinya:

• Muncul setelah kamu pernah jadi korban penipuan
• Mengklaim bisa “membuka blokir” akun atau mengembalikan dana
• Meminta biaya di muka sebelum proses dimulai

Taktik Psikologis yang Dipakai Semua Modus Ini

Meski modusnya berbeda-beda, hampir semua menggunakan satu atau lebih dari taktik psikologis berikut:

Rasa urgensi dan kepanikan. “Rekening kamu akan diblokir dalam 24 jam.” “Transfer sekarang atau aset disita.” Kepanikan membuat orang bertindak tanpa berpikir.

Otoritas palsu. Menyamar sebagai bank, polisi, kurir, atau instansi pemerintah. Orang cenderung patuh pada otoritas.

Kedekatan emosional. Membangun rasa percaya dan keterikatan sebelum meminta sesuatu. Semakin lama hubungan dibangun, semakin sulit melihat bahwa itu penipuan.

Tawaran yang terlalu bagus. Kerja ringan gaji besar, investasi dengan return tidak masuk akal, hadiah yang tidak pernah kamu ikuti lombanya. Keserakahan bisa membutakan logika.

Kerahasiaan. “Jangan cerita ke siapapun dulu.” Ini memotong korban dari orang yang bisa memberikan perspektif jernih.

Checklist Cepat: Ini Penipuan atau Bukan?

Sebelum bertindak terhadap pesan atau panggilan apapun, tanya diri sendiri:

• Apakah pengirim/penelepon memintamu bertindak cepat dan mendesak?
• Apakah mereka meminta kode OTP, PIN, atau password?
• Apakah mereka memintamu menginstall aplikasi atau mengklik link?
• Apakah ada tawaran uang atau hadiah yang tidak masuk akal?
• Apakah mereka memintamu merahasiakan percakapan ini dari orang lain?
• Apakah ada ancaman konsekuensi hukum jika tidak segera bertindak?

Kalau kamu mencentang satu atau lebih dari ini — berhenti, jangan bertindak, dan verifikasi terlebih dahulu melalui kanal resmi.

Perlindungan Teknis yang Mengurangi Risiko

Kewaspadaan adalah lapisan pertama. Tapi ada lapisan teknis yang bekerja bahkan ketika kamu sedang lengah dan tidak waspada:

Antivirus dengan anti-phishing real-time memblokir link berbahaya dan halaman phishing sebelum kamu sempat memasukkan data apapun, termasuk link yang datang dari WhatsApp.

Review lengkap: 5 Antivirus Terbaik untuk Android di Indonesia

Password manager memastikan kamu tidak pernah memasukkan password di halaman phishing, karena password manager tidak akan mengisi otomatis di domain yang tidak kamu kenal.

Review lengkap: 5 Password Manager Terbaik untuk Pengguna Indonesia

Harga adalah harga promosi tahun pertama. Harga renewal lebih tinggi — cek halaman resmi masing-masing sebelum berlangganan.

Lihat Bitdefender Total Security

Lihat Norton 360 Deluxe

Jika Sudah Terlanjur Kena: Langkah dalam 24 Jam Pertama

Waktu menjadi komponen kritis dan menentukan.

Per April 2026, IASC telah memblokir Rp614,3 miliar dari rekening pelaku dan berhasil mengembalikan Rp169,3 miliar langsung ke korban.

Tidak semua dana yang diblokir otomatis kembali. Prosesnya bergantung pada kecepatan pelaporan dan sisa dana di rekening pelaku saat diblokir.¹

Jam ke-1: Hubungi bank langsung (nomor di belakang kartu ATM) — minta blokir rekening sementara dan batalkan transaksi yang mencurigakan.

Jam ke-2: Ganti password semua akun penting dari perangkat lain (bukan HP yang mungkin sudah terinfeksi).

Jam ke-3: Scan HP dengan antivirus — kalau sudah install APK mencurigakan, pertimbangkan factory reset.

Jam 4-24: Lapor ke IASC:

• iasc.ojk.go.id (laporan penipuan keuangan, tersambung langsung ke bank)
• patrolisiber.id (laporan tindak pidana siber ke Polri)
• aduan.id (laporan ke Kominfo)

Panduan lengkap untuk kondisi darurat: Kena Phishing? Ini Langkah yang Harus Kamu Lakukan Sekarang Juga

FAQ

Kesimpulan

Modus penipuan di Indonesia tidak lagi sederhana. AI, deepfake, dan rekayasa sosial yang makin canggih membuat hampir siapapun bisa jadi target, tidak peduli seberapa paham teknologi seseorang.

Tapi ada satu pola yang tidak berubah dari semua modus ini: mereka selalu menciptakan situasi yang membuatmu bertindak cepat tanpa berpikir.

Itu sebab, satu kebiasaan yang melindungimu dari hampir semua modus: berhenti sejenak dan verifikasi sebelum bertindak.

Jangan install APK dari WhatsApp. Jangan berikan OTP ke siapapun. Jangan percaya tawaran yang terlalu bagus.

Dan kalau sudah kena, lapor dalam 24 jam pertama.

Mulai dari fondasi: Apa Itu Phishing dan Cara Menghindarinya

Amankan pintu masuk utama penipuan: Keamanan WhatsApp — 7 Pengaturan yang Harus Kamu Aktifkan → (internal link — A10)

Periksa apakah datamu sudah di tangan penipu: Cara Cek Apakah Data Pribadimu Sudah Bocor di Internet

Tim Editorial Fortalive

Kami meriset dan menulis konten keamanan digital berdasarkan laporan ancaman, data insiden, dan panduan dari lembaga keamanan siber terpercaya. Kami menerjemahkan istilah teknis ke bahasa yang bisa langsung dipraktikkan.

Selengkapnya di Tentang Fortalive

Referensi & Sumber

1. ANTARA News. IASC blokir 485.758 rekening selamatkan dana Rp614,3 miliar dari scam — data sejak 22 November 2024 hingga 29 April 2026: 548.093 laporan, 932.138 rekening dilaporkan, 485.758 diblokir, Rp614,3 miliar diblokir, Rp169,3 miliar dikembalikan ke korban dari 19 bank. Konferensi Pers RDKB OJK April 2026, 5 Mei 2026. antaranews.com ↩ ↩² ↩³ ↩⁴ ↩⁵
2. Putraindonews.com. Indonesia di peringkat 111 dari 112 negara di Global Fraud Index 2025 (Mafindo). BSSN: 3,64 miliar anomali serangan siber Januari–Juli 2025. Deepfake meningkat 550% dalam lima tahun. April 2026. putraindonews.com ↩ ↩² ↩³ ↩⁴ ↩⁵
3. SOCRadar Indonesia. Modus penipuan online terbaru 2026: brand impersonation phishing, quishing QR code, OTP bot real-time, Business Email Compromise. Maret 2026. socradar.ilogoindonesia.id ↩ ↩²
4. Kominfo Malang Kab / UNESA. Vishing dengan VoIP spoofing, impersonasi pejabat dengan deepfake, money mule via lowongan kerja palsu. 2026. kominfo.malangkab.go.id ↩ ↩² ↩³