JAKARTA – Dalam era digital yang digunakan semakin maju, modus kecurangan juga terlibat tumbuh semakin canggih. Salah satu modus terbaru yang sedang marak adalah kecurangan berkedok “surat cinta” dari Direktorat Jenderal Pajak (DJP).
Modus ini memanfaatkan kepanikan kemudian ketidaktahuan warga tentang prosedur perpajakan untuk mencuri data pribadi serta menguras akun korban.
Modus Operandi Penipu
Pengamat keamanan siber Vaksin.com Alfons Tanujaya mengatakan, penipu biasanya memulai aksinya dengan mengirimkan arahan WhatsApp yang digunakan mengatasnamakan petugas pajak.
Pesan yang disebutkan berisi informasi tentang adanya permasalahan pada data perpajakan korban, lengkap dengan data pribadi yang tersebut valid seperti alamat, nama, NIK, NPWP, lalu nomor telepon. Informasi pribadi yang akurat ini menciptakan korban mudah percaya juga terpancing untuk mengikuti instruksi selanjutnya.
Setelah korban lengah, penipu akan menggunakan dua metode untuk menjerat korbannya:
1. Phishing: Korban diarahkan ke situs palsu yang mirip dengan Google Play Store untuk mengunduh program “M-Pajak” palsu. Aplikasi ini sebenarnya adalah malware yang dimaksud akan mencuri SMS dari ponsel korban, termasuk kode OTP (One-Time Password) yang mana digunakan untuk operasi perbankan.
2. Social Engineering: Penipu akan menelepon korban lalu mengaku sebagai petugas call center pajak. Dengan berbekal data pribadi korban, penipu akan meyakinkan korban bahwa merek memiliki tunggakan pajak atau permasalahan perpajakan lainnya. Korban kemudian akan diarahkan untuk mentransfer sebagian uang ke akun penipu.
“Hal yang dimaksud cukup mengejutkan adalah penipu mempunyai data otentik wajib pajak. Tentunya ini menjadi pertanyaan besar bagaimana data wajib pajak sedetail ini mampu bocor serta dieksploitasi oleh penipu,” ujar Alfons.
Dari hasil investigasi Alfons, ia menemukan beberapa hal yang dimaksud wajib dicurigai jikalau pemilik bisnis ataupun individu mendapatkan “surat cinta” dari Direktorat Jenderal Pajak (DJP). Antara lain:
1. Informasi pribadi yang dimaksud valid: Penipu miliki akses ke data pribadi wajib pajak yang digunakan seharusnya bersifat rahasia, seperti alamat, nama, NIK, NPWP, nomor telepon, lalu email.
2. Laman palsu: Penipu menciptakan situs palsu yang sangat mirip dengan Google Play Store untuk mengelabui korban agar mengunduh perangkat lunak berbahaya.
