Notifikasi paket itu punya satu kelebihan dibanding banyak umpan scam lain: ia terasa biasa.
Orang Jakarta bisa menerima beberapa pengiriman dalam seminggu tanpa mengingat semuanya. Ada belanja marketplace, makanan kering dari keluarga, dokumen kantor, hadiah, barang preorder yang dibeli dua minggu lalu, sampai paket milik penghuni rumah lain yang numpang alamat.
Jadi ketika WhatsApp masuk dari nomor asing dan bilang, “Paketnya tertukar, cek foto ini ya,” otak punya alasan untuk tidak langsung menolak.
Apalagi kalau memang sedang menunggu kiriman.
Di situlah barang kecil bisa menjadi pintu ke masalah yang jauh lebih besar.
Kementerian Komunikasi dan Digital pada Juni 2026 kembali mengingatkan modus yang menyamar sebagai kurir paket. Korban diarahkan mengeklik tautan atau mengunduh file APK yang dapat mengandung malware. Komdigi sebelumnya juga mendokumentasikan pesan palsu mengatasnamakan jasa pengiriman dengan file Android Package Kit yang diberi nama seolah-olah “foto paket”.
Yang perlu dipahami bukan cuma, “Jangan klik link.” Lebih berguna kalau kita tahu kenapa cerita paket begitu efektif, apa beda link dengan APK, dan apa yang harus dilakukan kalau telanjur menyentuh sesuatu.
Paket adalah umpan yang cocok dengan hidup serba notifikasi
Scam bekerja lebih baik ketika narasinya tidak terlalu spektakuler.
Hadiah miliaran rupiah bisa memicu curiga. Paket salah alamat? Sangat mungkin terjadi.
Kurir bilang nomor rumah tidak jelas? Masuk akal.
Ada biaya kecil untuk pengiriman ulang? Kedengarannya tidak mustahil.
Barang belum sampai padahal status terkirim? Ini masalah yang benar-benar terjadi dalam kehidupan belanja online.
Penipu meminjam friksi yang sudah dikenal. Kita tidak sedang diminta percaya pada cerita luar biasa. Kita cuma diminta menyelesaikan gangguan kecil sebelum lanjut aktivitas.
Dan justru karena gangguannya kecil, orang cenderung tidak memberi energi mental sebesar ketika menghadapi transaksi bank.
Di sela kerja, pesan kurir bisa dibuka sambil jalan ke pantry. Di halte, link bisa disentuh karena kita ingin cepat memastikan. Di rumah, file bisa diunduh karena ada anggota keluarga lain yang memang belanja.
Scam tidak selalu membutuhkan korban yang lengah berjam-jam. Kadang cukup beberapa detik autopilot.
APK bukan foto, resi, atau surat jalan
Satu detail teknis yang layak diketahui pengguna Android: file berakhiran APK adalah paket instalasi aplikasi Android.
Ia bukan format foto seperti JPG atau PNG. Ia bukan PDF. Ia bukan resi yang perlu “dibuka” untuk melihat gambar paket.
Kalau seseorang mengirim file APK lalu menyebutnya foto, undangan, tagihan, resi, atau bukti kirim, alasan untuk berhenti sudah sangat kuat.
Menerima file tidak otomatis berarti rekening langsung terkuras. Risiko bergantung pada apa yang dilakukan setelahnya, seperti mengunduh, menginstal, memberikan izin, memasukkan kredensial, atau membiarkan aplikasi berbahaya mengakses fungsi tertentu di perangkat.
Nuansa ini penting. Kalimat “sekali klik langsung habis” bisa membuat orang panik dan salah memahami risikonya. Yang lebih tepat: tautan dan file mencurigakan dapat menjadi langkah awal menuju phishing, instalasi malware, pencurian data, atau pengambilalihan akses jika korban mengikuti tahap berikutnya.
Karena itu, saat melihat APK yang tidak diminta, jangan instal. Hapus pesannya setelah menyimpan bukti jika perlu dilaporkan. Jangan meneruskan file itu ke grup keluarga untuk bertanya, “Ini bahaya nggak?” karena kita justru menyebarkan objek berisiko ke orang lain.
Link palsu punya jalur berbeda, tujuannya bisa sama
Tidak semua modus kurir memakai APK.
Ada yang mengirim tautan menuju halaman yang menyerupai situs pengiriman atau marketplace. Korban diminta memasukkan nomor telepon, data login, informasi kartu, atau kode OTP dengan alasan verifikasi pengiriman, biaya kecil, atau penjadwalan ulang.
Ada juga tautan yang mendorong unduhan aplikasi.
Karena tampilannya dapat dibuat mirip merek asli, jangan terlalu percaya pada logo, warna, atau nama perusahaan di halaman. Tampilan web mudah disalin.
Cara paling aman untuk mengecek paket justru sering paling membosankan: buka aplikasi marketplace atau aplikasi kurir yang memang sudah dipasang sebelumnya. Cari nomor pesanan di riwayat. Jika menerima nomor resi, masukkan sendiri melalui kanal resmi yang kita buka secara mandiri.
Jangan biarkan pengirim pesan menentukan pintu masuk verifikasi.
Kalau paket benar ada, statusnya seharusnya bisa ditemukan dari sistem tempat transaksi berlangsung. Kalau ternyata tidak ada pesanan yang cocok, kita tidak perlu menekan link hanya demi memuaskan rasa penasaran.
Nama kurir dan detail paket belum tentu membuktikan pesan asli
Salah satu alasan orang terjebak adalah pelaku kadang punya konteks yang terasa spesifik.
Nama penerima benar.
Nomor telepon benar.
Alamat atau area pengiriman terdengar tepat.
Dia tahu kita sering memakai marketplace tertentu.
Informasi seperti ini memang membuat pesan lebih meyakinkan, tetapi bukan autentikasi. Data pribadi dapat tersebar dari banyak sumber, dan sebagian kebiasaan belanja juga mudah ditebak secara statistik. Di kota besar, mengirim pesan “paket Anda bermasalah” ke banyak nomor adalah umpan yang punya peluang mengenai orang yang kebetulan sedang menunggu barang.
Jadi jangan mengubah standar hanya karena ceritanya cocok.
Yang harus cocok bukan cuma narasinya, tetapi jejak transaksi di sistem resmi.
Biaya kecil adalah trik psikologis yang cerdas
Ada variasi lain: paket disebut tertahan dan penerima diminta membayar nominal kecil untuk pengiriman ulang, bea tertentu, atau verifikasi alamat.
Nilai kecil menurunkan pertahanan. Orang mungkin berpikir, “Ya sudah, daripada ribet.”
Masalahnya, tujuan penipu belum tentu nominal pertama itu. Halaman pembayaran palsu bisa dipakai untuk mengambil data kartu atau kredensial. Setelah korban merespons, pelaku juga tahu nomor tersebut aktif dan mudah diajak berinteraksi.
Kalau ada tagihan tak terduga, jangan membayar melalui rekening atau QR yang dikirim nomor asing. Cek transaksi asal. Hubungi layanan resmi dari aplikasi atau situs yang kita akses sendiri.
Prinsipnya sama seperti penipuan bank: tindakan finansial harus punya jalur verifikasi yang independen dari orang yang meminta uang.
Kalau sudah telanjur klik, bedakan apa yang sebenarnya terjadi
Panik sering membuat semua skenario terasa sama, padahal responsnya berbeda.
Kalau baru mengeklik link tetapi tidak memasukkan data, tidak mengunduh file, dan tidak memberikan izin apa pun, tutup halaman. Jangan lanjutkan interaksi. Bersihkan unduhan jika ada file yang masuk, lalu periksa perangkat dengan fitur keamanan yang tersedia.
Kalau sempat memasukkan username atau password ke halaman mencurigakan, anggap kredensial itu sudah terekspos. Ganti password dari kanal resmi, idealnya dari perangkat yang dipercaya. Kalau password yang sama dipakai di tempat lain, ganti juga, terutama email utama karena email sering menjadi pintu reset akun lain.
Kalau sempat memberikan OTP, PIN, data kartu, atau informasi perbankan, segera hubungi bank melalui kanal resmi dan periksa transaksi. Jangan menunggu sampai ada saldo berkurang.
Kalau sempat menginstal APK yang tidak dikenal, hentikan penggunaan perangkat itu untuk transaksi sensitif sampai risikonya ditangani. Putuskan akses jaringan bila ada indikasi aplikasi sedang aktif mencurigakan, cabut izin yang tidak wajar, uninstall jika memungkinkan, jalankan pemeriksaan keamanan seperti Google Play Protect, dan pertimbangkan bantuan teknis tepercaya. Untuk akun penting, ubah kredensial dari perangkat lain yang aman.
Jika perangkat menunjukkan perilaku aneh atau ada indikasi malware bertahan, reset perangkat bisa menjadi opsi setelah data penting yang aman dibackup, tetapi jangan mengandalkan satu langkah tanpa memastikan akun juga sudah diamankan.
Jangan lupa rekening, bukan cuma ponsel
Saat bicara file jahat, fokus orang sering berhenti di gadget.
Padahal kalau insiden berhubungan dengan mobile banking, dompet digital, kartu, atau akun marketplace, kita juga perlu memeriksa sisi finansial.
Cek mutasi dan notifikasi. Blokir kartu atau akun melalui fitur resmi jika memang ada indikasi penyalahgunaan. Hubungi bank atau penyedia pembayaran segera.
Jika uang sudah berpindah karena penipuan, simpan bukti percakapan, rekening tujuan, bukti transfer, waktu kejadian, file atau nama file tanpa menyebarkannya, dan laporkan secepat mungkin. Indonesia Anti-Scam Centre dibentuk untuk membantu penanganan laporan transaksi scam dan mempercepat pemblokiran aliran dana melalui industri keuangan.
OJK mencatat sampai 30 Juni 2026, IASC telah menerima 608.167 laporan dan memblokir 557.751 rekening. Dana korban yang berhasil diblokir tercatat Rp674,1 miliar. Pelaporan cepat penting karena dana dapat segera dipindahkan melalui rekening lain.
Jadi jika paket palsu sudah berkembang menjadi transaksi finansial, jangan cuma menghapus chat lalu berharap selesai.
Rumah yang banyak penghuninya perlu satu aturan bersama
Modus paket punya karakter unik: orang yang menerima pesan belum tentu orang yang belanja.
Anak memesan barang, nomor orang tua dipakai sebagai kontak. Pasangan belanja, satpam menerima paket. Teman sekos saling titip. Admin kantor menerima kiriman untuk beberapa divisi.
Akibatnya, kalimat “gue nggak beli apa-apa” tidak selalu cukup untuk menolak pesan. Bisa saja orang lain memang memesan.
Solusinya bukan semua orang harus tahu semua pembelian. Cukup buat aturan: pesan kurir yang meminta klik link, instal file, menyebut OTP, atau transfer tambahan tidak diproses sebelum dicek ke orang yang melakukan pemesanan dan ke aplikasi resmi.
Kalau benar mendesak, beberapa menit konfirmasi tidak akan mengubah paket normal menjadi hilang.
Kurir asli tidak perlu kita bantu menjadi terpercaya
Ada kecenderungan manusia untuk melengkapi informasi yang kurang.
Nomor asing bilang, “Paket dari marketplace.” Kita langsung menebak, “Oh, mungkin sepatu kemarin.”
Dia bilang, “Alamat kurang jelas.” Kita memberikan patokan rumah.
Dia bilang, “Cek foto,” kita membuka file.
Sedikit demi sedikit, korban membantu cerita menjadi lebih cocok dengan hidupnya sendiri.
Saat menerima pesan mencurigakan, lakukan kebalikannya. Jangan beri konteks tambahan. Jangan sebut pesanan yang sedang ditunggu. Jangan kirim ulang alamat. Jangan kasih OTP untuk “konfirmasi penerima”.
Cek sendiri dari sumber yang sudah kita kenal.
Paket sehari-hari memang kecil. Nilainya mungkin cuma satu kaus, kabel charger, kopi, atau skincare. Tapi sebuah pesan tentang paket bisa meminta akses ke sesuatu yang jauh lebih bernilai daripada barang di kardus itu.
Jadi lain kali ada nomor asing mengirim “foto paket” dalam bentuk file aneh, tidak perlu merasa tidak enak karena mengabaikan. Kurir asli masih bisa mengantarkan barang. Yang perlu kita jaga adalah jangan sampai rasa penasaran pada kardus di depan rumah membuka pintu ke rekening di dalam ponsel.