Bayangkan Senin pagi, baru duduk, laptop belum benar-benar bangun, grup kerja sudah bunyi. Ada pesan dari seseorang yang namanya sangat dikenal.
“Pagi. Tolong bantu transfer dulu ke vendor ini, ya. Invoice menyusul. Lagi masuk meeting dan nggak bisa telepon.”
Bahasanya rapi. Tanda bacanya masuk akal. Tidak ada “selamat kepada anda” dengan huruf kapital berantakan. Tidak ada sapaan kaku yang terasa seperti diterjemahkan mesin. Bahkan pilihan katanya mirip gaya orang yang namanya terpampang di layar.
Dulu banyak orang merasa punya radar sederhana untuk scam: kalau bahasanya aneh, salah eja di mana-mana, terlalu formal, atau terdengar seperti orang asing yang baru belajar bahasa Indonesia, curigai. Radar itu sekarang makin lemah.
Pada 2026, kualitas bahasa bukan lagi alat verifikasi identitas.
AI generatif membuat pelaku tidak perlu jago menulis untuk menghasilkan pesan yang bersih, meyakinkan, sesuai konteks, bahkan bisa diminta meniru register tertentu. Di sisi lain, bahasa yang canggung juga belum tentu scam. Orang asli bisa mengetik terburu-buru. Autocorrect bisa bikin kalimat absurd. Bos sungguhan pun bisa mengirim pesan dua kata tanpa tanda titik.
Jadi problemnya bukan lagi, “Pesan ini kelihatan profesional atau nggak?”
Pertanyaan yang lebih berguna adalah, “Apa yang bisa gue verifikasi di luar pesan ini?”
“Kelihatan asli” sekarang cuma kesan
Di Jakarta, banyak keputusan kecil berlangsung lewat layar: transfer patungan, bayar vendor, top up, kirim dokumen, konfirmasi paket, ubah jadwal, minta OTP untuk suatu proses, atau sekadar, “talangin dulu nanti gue ganti.” Ritmenya cepat. Kita terbiasa memakai petunjuk sosial untuk memutuskan apakah sebuah pesan layak dipercaya.
Nama kontak sesuai. Foto profil familiar. Bahasa cocok. Orangnya tahu nama proyek. Dia tahu kita baru rapat. Dia bahkan tahu cara bercanda yang biasanya dipakai tim.
Masalahnya, sebagian petunjuk itu bisa dikumpulkan dari data terbuka, kebocoran data, percakapan yang sudah diambil alih, atau akun yang memang berhasil dibajak. AI kemudian membantu merangkai semuanya menjadi pesan yang terdengar jauh lebih natural.
Itulah sebabnya scam modern tidak selalu datang dengan kostum “penipu”. Kadang ia datang memakai konteks yang benar.
OJK memberi gambaran betapa besarnya masalah penipuan transaksi keuangan. Sejak Indonesia Anti-Scam Centre beroperasi pada 22 November 2024 sampai 30 Juni 2026, IASC menerima 608.167 laporan. Lebih dari satu juta rekening dilaporkan, dan 557.751 rekening telah diblokir. Angka itu bukan berarti seluruh kasus memakai AI. Justru poin pentingnya lain: ekosistem scam sudah besar, cepat, dan terorganisasi, sementara AI menambah satu lapisan baru pada kemampuan pelaku meyakinkan korban.
BCA dalam edukasi antifraud 2026 juga secara terbuka mengingatkan bahwa teknologi AI dapat dipakai untuk menirukan suara bahkan visual wajah seseorang. Kalau wajah dan suara saja sudah tidak cukup menjadi bukti tunggal, tentu gaya bahasa jauh lebih lemah lagi.
Yang harus diverifikasi bukan kalimatnya, tapi permintaannya
Ada perbedaan penting antara memeriksa apakah seseorang “terdengar seperti dia” dan memeriksa apakah sebuah tindakan memang sah.
Contoh paling gampang: pesan mengaku dari atasan meminta transfer ke rekening baru.
Kalau kita fokus pada gaya bahasa, kita akan sibuk mencari kejanggalan: “Biasanya dia bilang ‘thanks’, kok sekarang bilang ‘makasih’?” atau “Dia memang suka pakai titik di akhir chat.” Itu permainan detektif yang gampang kalah.
Lebih aman memeriksa permintaannya:
Apakah vendor ini memang ada dalam alur pembayaran?
Apakah rekeningnya sama dengan data yang tersimpan sebelumnya?
Apakah perubahan rekening sudah dikonfirmasi lewat kanal lain?
Apakah nominal dan tujuan pembayaran masuk akal terhadap transaksi yang sedang berjalan?
Apakah prosedur internal memang membolehkan satu orang meminta dan satu orang langsung mengeksekusi tanpa approval kedua?
Verifikasi seperti ini tidak mencoba membaca pikiran pengirim. Ia mencari jejak yang berdiri sendiri.
Kalau chat ternyata palsu, prosedur tetap melindungi kita. Kalau chat ternyata asli, paling kita menghabiskan dua menit untuk konfirmasi. Dua menit itu terasa lambat hanya sampai dibandingkan dengan waktu yang dibutuhkan untuk mengejar uang yang sudah berpindah rekening.
Kanal kedua adalah kebiasaan kecil yang nilainya besar
Salah satu refleks paling berguna adalah memindahkan verifikasi ke kanal yang tidak diberikan oleh pengirim.
Kalau seseorang menghubungi lewat WhatsApp dan minta uang, jangan menelepon nomor baru yang dia tulis di chat. Hubungi nomor yang sudah tersimpan sebelumnya. Kalau mengaku bank, jangan mengikuti nomor call center yang dikirim lewat pesan. Buka aplikasi resmi bank, kartu, atau situs resmi yang memang kita ketik atau akses sendiri.
Kalau mengaku rekan kantor, cek lewat kanal kerja yang biasa dipakai. Kalau permintaannya sensitif, telepon orangnya atau orang lain yang terlibat dalam transaksi.
Ini terdengar sepele sampai kita menyadari satu hal: scammer ingin menguasai seluruh panggung. Pesan, nomor telepon, tautan, rekening tujuan, instruksi, dan “petugas verifikasi” sebisa mungkin dibuat berada dalam ekosistem yang dia kontrol.
Begitu korban keluar dari panggung itu dan mencari sumber sendiri, skenarionya mulai sulit dipertahankan.
Konteks pribadi juga bukan password
“Dia tahu nama anak gue.”
“Dia tahu gue baru balik dari Surabaya.”
“Dia tahu nama manajer gue.”
Pada masa ketika banyak kehidupan kita tercecer di LinkedIn, Instagram, TikTok, grup komunitas, marketplace, daftar acara, dan jejak digital lain, pengetahuan tentang konteks pribadi tidak otomatis membuktikan identitas.
Informasi yang tampak intim belum tentu rahasia.
Karena itu, kalau keluarga atau tim ingin membuat protokol verifikasi, jangan memakai pertanyaan yang jawabannya mudah ditemukan secara online. Nama sekolah, ulang tahun, nama pasangan, bahkan nama hewan peliharaan bisa terlalu mudah ditebak jika pernah diposting.
Untuk transaksi penting, lebih kuat memakai kombinasi: konfirmasi lewat kanal lama, cek detail transaksi, dan minta approval kedua. Dalam keluarga, bisa disepakati bahwa permintaan uang mendadak di atas batas tertentu harus dikonfirmasi lewat panggilan balik ke nomor yang sudah dikenal. Di kantor, perubahan rekening vendor harus melalui prosedur formal, bukan hanya chat.
Tujuannya bukan membuat hidup paranoid. Tujuannya membuat satu pesan tidak punya kekuatan terlalu besar.
Ada jebakan lain: merasa pintar karena bisa mengenali “bahasa AI”
Di 2026, sebagian orang justru punya radar baru: “Ini pasti AI banget.”
Kalimat terlalu rapi, ada pola tertentu, terlalu banyak penjelasan, atau terasa seperti copywriting. Lalu muncul kesimpulan cepat: kalau pesannya terasa seperti AI, berarti mencurigakan. Kalau terasa spontan dan berantakan, berarti manusia asli.
Itu juga berbahaya.
AI bisa diminta menulis formal, santai, pendek, penuh singkatan, tanpa kapital, atau menyerupai percakapan kasual. Sebaliknya, manusia nyata bisa memakai AI untuk merapikan pesan resmi. Kita tidak bisa menjadikan “vibe” sebagai autentikasi.
Ada ironi kecil di sini. Semakin bagus kita menebak gaya tulisan, semakin mudah kita merasa sudah melakukan verifikasi, padahal yang kita lakukan hanya interpretasi.
Verifikasi harus menghasilkan bukti yang bisa gagal atau lolos, bukan sekadar rasa yakin.
Bikin jeda sebelum tindakan yang tidak bisa ditarik kembali
Scam hampir selalu punya momen ketika pesan berubah menjadi tindakan: transfer, memasukkan PIN, memberikan OTP, mengunduh file, login lewat tautan, mengirim foto identitas, membagikan kode pemulihan, atau mengaktifkan screen sharing.
Di titik itulah kita perlu membangun “friction” sengaja.
Misalnya aturan pribadi sederhana:
Kalau ada permintaan uang yang tidak biasa, jangan transfer dalam chat yang sama sebelum verifikasi kanal kedua.
Kalau ada tautan yang mengatasnamakan bank atau layanan publik, jangan login dari link pesan. Buka aplikasi atau situs resminya sendiri.
Kalau ada yang meminta OTP, PIN, password, atau CVV, berhenti. Bank-bank besar berulang kali mengingatkan bahwa data rahasia itu tidak boleh diberikan kepada siapa pun, termasuk pihak yang mengaku petugas.
Kalau ada tekanan, “sekarang juga”, “akun akan diblokir”, “kesempatan habis lima menit lagi”, anggap urgensi itu sebagai alasan untuk memperlambat, bukan mempercepat.
Orang Jakarta terbiasa mengoptimalkan waktu. Jalan kaki sambil balas chat. Pesan ojol sambil turun lift. Bayar makan sambil membahas kerja. Tapi keamanan digital punya logika kebalikan: ada momen ketika lima puluh detik tambahan jauh lebih murah daripada keputusan instan.
Kalau sudah telanjur percaya, jangan habiskan waktu menyalahkan diri sendiri
Misalnya baru sadar setelah transfer. Hal pertama bukan menyusun teori panjang tentang bagaimana kita bisa tertipu.
Simpan bukti. Screenshot percakapan, nomor, rekening tujuan, bukti transfer, tautan, dan waktu kejadian. Hubungi bank atau penyedia jasa pembayaran secepat mungkin. Laporkan transaksi penipuan melalui kanal IASC dan buat laporan kepolisian sesuai kebutuhan proses hukum.
IASC sendiri menekankan bahwa pelaku dapat memindahkan dana dalam hitungan menit melalui rekening berlapis atau rekening penampung. Pelaporan cepat tidak menjamin uang kembali, tetapi memperbesar peluang dana masih bisa ditelusuri atau diblokir.
Jika yang bocor adalah kredensial, ganti password dari perangkat yang aman, amankan akun utama termasuk email, dan hubungi penyedia layanan terkait. Kalau ada aplikasi mencurigakan yang terpasang, jangan terus memakai perangkat itu untuk transaksi penting sebelum kondisinya diperiksa.
Yang penting, jangan memberi penipu babak kedua. Ada modus lanjutan yang menyasar orang yang sudah menjadi korban dengan janji “mengembalikan dana” asal membayar biaya pemulihan atau menyerahkan data tambahan.
Kepercayaan digital perlu naik kelas
Kita tidak harus memperlakukan semua chat sebagai ancaman. Itu melelahkan dan tidak realistis. Sebagian besar pesan dari teman, keluarga, rekan kerja, kurir, bank, atau HR memang normal.
Yang berubah adalah cara kita memberi kepercayaan untuk tindakan berisiko tinggi.
Dulu “bahasanya meyakinkan” mungkin membantu. Sekarang itu cuma satu sinyal lemah di antara banyak sinyal lain.
Untuk ngobrol, gaya bahasa boleh cukup.
Untuk transfer uang, mengubah rekening vendor, mengirim data sensitif, memasukkan password, atau memberikan akses perangkat, standar buktinya harus lebih tinggi.
Sebuah pesan bisa sangat sopan, sangat personal, sangat nyambung, bahkan sangat “dia banget”. Itu tetap belum menjawab pertanyaan yang paling penting.
Apakah permintaannya benar?
Di layar ponsel yang terus menyala sepanjang hari, kemampuan baru yang paling berguna mungkin bukan makin jago menebak siapa yang menulis. Justru kebiasaan yang lebih membosankan: berhenti sebentar, keluar dari chat, cari kanal sendiri, lalu cek ulang sebelum jari menyentuh tombol kirim.