INFOTUNTAS.COM — Penipu yang mengaku kurir Pos Indonesia menghubungi korban lewat WhatsApp dan meminta bukti pesanan dengan alasan paket hilang atau refund. Pakar keamanan siber Alfons Tanujaya menemukan data pesanan yang dipakai pelaku sangat presisi, mulai dari nomor resi hingga kode booking internal, sehingga korban mudah percaya sebelum diarahkan ke situs palsu dan diminta PIN serta OTP.
Dalam laporan investigasi teknis yang diunggah lewat akun Instagram @alfonstan, Alfons memaparkan kronologi serangan yang terjadi pada 2026. Pos Indonesia menegaskan tidak pernah menghubungi pelanggan secara personal melalui WhatsApp pribadi.
Data Pesanan Bocor Sangat Presisi
Penipu sudah memegang data sensitif korban secara akurat. Mulai dari nama, alamat, nomor HP, harga dan berat barang, nomor resi, kode booking internal, hingga ID pelanggan korporat logistik.
Kelengkapan data itulah yang membuat korban sulit curiga. Pelaku mengklaim paket mengalami kendala atau hilang, lalu meminta bukti pesanan dengan alasan pengiriman ulang atau refund.
Analisis Alfons menduga kebocoran tidak berasal dari server utama e-commerce. Sumbernya justru di rantai sistem logistik atau ekspedisi pihak ketiga yang mengelola field data internal.
"Data selengkap ini paling mungkin keluar dari rantai kurir/ekspedisi pihak ketiga," tulis Alfons dalam laporan tersebut.
Alur Pembobolan Rekening
Setelah korban percaya, pelaku mengarahkan mereka ke link situs palsu yang menyerupai halaman e-commerce resmi. Di sana korban diminta login memakai nomor HP, memasukkan PIN e-wallet, hingga kode OTP.
Seluruh data yang diketik terkirim secara real-time ke bot Telegram pelaku. Sistem phishing kemudian melempar korban ke domain kedua yang khusus mencuri data kartu bank.
Pelaku memanfaatkan perpindahan dua sampai tiga domain untuk membingungkan korban. OTP kedua diminta demi menyelesaikan pembobolan dana bank.
Dampak bagi Pelaku UMKM dan Seller
Bagi penjual di marketplace, kebocoran data di rantai logistik pihak ketiga jadi risiko yang sulit dikendalikan sendiri. Pelanggan yang tertipu bisa kehilangan kepercayaan pada toko, meski penjual tidak terlibat.
Seller perlu memastikan mitra ekspedisi punya protokol perlindungan data yang jelas. Komunikasi soal kendala pesanan sebaiknya selalu diarahkan ke aplikasi resmi, bukan kanal pribadi.
Alfons mengingatkan akurasi data bukan jaminan keaslian pengirim. Data pesanan yang lengkap bukan bukti bahwa pesan datang dari kurir atau pihak e-commerce resmi.
Langkah yang Harus Dilakukan Korban
Pelanggan diminta tidak pernah memberikan screenshot akun, PIN, maupun kode OTP kepada siapa pun. Verifikasi kendala pesanan hanya melalui aplikasi e-commerce resmi, bukan lewat link WhatsApp atau SMS.
Jika terlanjur memberikan data, segera blokir kartu atau rekening. Laporkan kejadian ke bank dan pihak kepolisian untuk meminimalkan kerugian.
