JAKARTA – Dalam era digital yang mana semakin maju, modus pembohongan juga mengambil bagian tumbuh semakin canggih. Salah satu modus terbaru yang mana berada dalam marak adalah penyalahgunaan berkedok “surat cinta” dari Direktorat Jenderal Pajak (DJP).
Modus ini memanfaatkan kepanikan lalu ketidaktahuan rakyat tentang prosedur perpajakan untuk mencuri data pribadi juga menguras akun korban.
Modus Operandi Penipu
Pengamat keamanan siber Vaksin.com Alfons Tanujaya mengatakan, penipu biasanya memulai aksinya dengan mengirimkan instruksi WhatsApp yang tersebut mengatasnamakan petugas pajak.
Pesan yang dimaksud berisi informasi tentang adanya hambatan pada data perpajakan korban, lengkap dengan data pribadi yang mana valid seperti alamat, nama, NIK, NPWP, dan juga nomor telepon. Informasi pribadi yang mana akurat ini menciptakan korban mudah percaya dan juga terpancing untuk mengikuti instruksi selanjutnya.
Setelah korban lengah, penipu akan menggunakan dua metode untuk menjerat korbannya:
1. Phishing: Korban diarahkan ke situs palsu yang mana mirip dengan Google Play Store untuk mengunduh perangkat lunak “M-Pajak” palsu. Aplikasi komputer ini sebenarnya adalah malware yang tersebut akan mencuri SMS dari ponsel korban, termasuk kode OTP (One-Time Password) yang mana digunakan untuk proses perbankan.
2. Social Engineering: Penipu akan menelepon korban kemudian mengaku sebagai petugas call center pajak. Dengan berbekal data pribadi korban, penipu akan meyakinkan korban bahwa mereka itu memiliki tunggakan pajak atau hambatan perpajakan lainnya. Korban kemudian akan diarahkan untuk mentransfer beberapa jumlah uang ke tabungan penipu.
“Hal yang cukup mengejutkan adalah penipu mempunyai data otentik wajib pajak. Tentunya ini menjadi pertanyaan besar bagaimana data wajib pajak sedetail ini mampu bocor serta dieksploitasi oleh penipu,” ujar Alfons.
Dari hasil investigasi Alfons, ia menemukan beberapa hal yang dimaksud wajib dicurigai jikalau pemilik usaha ataupun individu mendapatkan “surat cinta” dari Direktorat Jenderal Pajak (DJP). Antara lain:
1. Angka pribadi yang mana valid: Penipu miliki akses ke data pribadi wajib pajak yang dimaksud seharusnya bersifat rahasia, seperti alamat, nama, NIK, NPWP, nomor telepon, juga email.
2. Website palsu: Penipu menimbulkan situs palsu yang sangat mirip dengan Google Play Store untuk mengelabui korban agar mengunduh program berbahaya.
