JAKARTA – Dalam era digital yang dimaksud semakin maju, modus penggelapan juga mengambil bagian tumbuh semakin canggih. Salah satu modus terbaru yang digunakan sedang marak adalah penggelapan berkedok “surat cinta” dari Direktorat Jenderal Pajak (DJP).
Modus ini memanfaatkan kepanikan kemudian ketidaktahuan publik tentang prosedur perpajakan untuk mencuri data pribadi juga menguras account korban.
Modus Operandi Penipu
Pengamat keamanan siber Vaksin.com Alfons Tanujaya mengatakan, penipu biasanya memulai aksinya dengan mengirimkan arahan WhatsApp yang tersebut mengatasnamakan petugas pajak.
Pesan yang dimaksud berisi informasi tentang adanya hambatan pada data perpajakan korban, lengkap dengan data pribadi yang valid seperti alamat, nama, NIK, NPWP, serta nomor telepon. Informasi pribadi yang akurat ini menyebabkan korban mudah percaya juga terpancing untuk mengikuti instruksi selanjutnya.
Setelah korban lengah, penipu akan menggunakan dua metode untuk menjerat korbannya:
1. Phishing: Korban diarahkan ke situs palsu yang tersebut mirip dengan Google Play Store untuk mengunduh program “M-Pajak” palsu. Program ini sebenarnya adalah malware yang mana akan mencuri SMS dari ponsel korban, termasuk kode OTP (One-Time Password) yang dimaksud digunakan untuk proses perbankan.
2. Social Engineering: Penipu akan menelepon korban lalu mengaku sebagai petugas call center pajak. Dengan berbekal data pribadi korban, penipu akan meyakinkan korban bahwa mereka itu memiliki tunggakan pajak atau hambatan perpajakan lainnya. Korban kemudian akan diarahkan untuk mentransfer sebagian uang ke akun penipu.
“Hal yang dimaksud cukup mengejutkan adalah penipu miliki data otentik wajib pajak. Tentunya ini menjadi pertanyaan besar bagaimana data wajib pajak sedetail ini mampu bocor lalu dieksploitasi oleh penipu,” ujar Alfons.
Dari hasil investigasi Alfons, ia menemukan beberapa hal yang mana wajib dicurigai apabila pemilik perniagaan ataupun individu mendapatkan “surat cinta” dari Direktorat Jenderal Pajak (DJP). Antara lain:
1. Fakta pribadi yang dimaksud valid: Penipu mempunyai akses ke data pribadi wajib pajak yang seharusnya bersifat rahasia, seperti alamat, nama, NIK, NPWP, nomor telepon, lalu email.
2. Laman palsu: Penipu menyebabkan situs palsu yang dimaksud sangat mirip dengan Google Play Store untuk mengelabui korban agar mengunduh program berbahaya.
