Jam makan siang belum selesai ketika pesan masuk.
“Bisa bantu transfer dulu ke rekening ini? Urgent. Saya lagi sama klien, nanti bukti dan invoice menyusul.”
Nama pengirim terlihat seperti atasan. Foto profilnya benar. Cara ngetiknya juga tidak terlalu aneh. Bahkan dia tahu nama vendor yang sedang dibahas tim minggu itu.
Di banyak kantor Jakarta, situasi seperti ini tidak terasa mustahil. Keputusan memang sering bergerak lewat chat. Ada reimburse yang ditalangi dulu. Ada vendor yang menunggu. Ada acara mendadak. Ada perjalanan dinas. Ada bos yang lebih suka WhatsApp daripada email. Ada kalimat “tolong dibantu dulu” yang bisa datang ketika orang sedang di lift, di kendaraan, atau di ruang meeting.
Justru karena pola kerja asli sudah cepat dan cair, scam yang mengaku atasan tidak perlu membuat cerita spektakuler. Ia cukup meniru tekanan yang memang sudah ada.
OJK terus mengingatkan bahwa penipuan digital makin kompleks dan modus impersonation, yaitu meniru atau menduplikasi identitas pihak lain, masih menjadi bagian dari pola penipuan yang ditangani regulator. Pada 2026, OJK juga menekankan bahwa scam bisa memanfaatkan teknologi, rekening perantara, kanal digital, dan identitas yang dibuat meyakinkan.
Buat kantor, pelajaran praktisnya sederhana: nama bos di layar bukan approval.
“Tapi ini gaya chat beliau banget” tidak cukup
Dulu orang sering mencari kejanggalan bahasa.
Bos biasanya pakai “thx”, kok sekarang “terima kasih”. Bos biasanya singkat, kok kali ini panjang. Bos biasa panggil nama depan, kok sekarang “Bapak/Ibu”.
Filter seperti itu makin lemah.
Penipu bisa mempelajari gaya komunikasi dari jejak digital, screenshot, email bocor, akun yang diambil alih, atau konteks yang beredar di dalam organisasi. AI juga membuat penulisan pesan yang rapi dan sesuai tone menjadi jauh lebih mudah.
Bahkan tanpa AI, akun asli seseorang bisa saja benar-benar dibajak. Dalam situasi itu, semua petunjuk yang kita anggap kuat, nama, foto, nomor, riwayat chat, bisa ikut terbawa.
Karena itu verifikasi tidak boleh berhenti pada pertanyaan, “Apakah pesan ini terlihat seperti bos saya?”
Pertanyaan yang lebih berguna adalah, “Apakah permintaan transaksi ini dikonfirmasi lewat kanal yang tidak dikendalikan oleh pengirim pesan ini?”
Itulah fungsi kanal kedua.
Kanal kedua bukan membalas chat yang sama
Ada perbedaan antara klarifikasi dan verifikasi.
Kalau pesan datang dari WhatsApp lalu kita membalas, “Pak, ini benar transfer sekarang?” dan akun yang sudah dikuasai pelaku menjawab, “Benar, cepat ya,” kita belum memverifikasi apa pun. Kita cuma bertanya dua kali kepada sumber yang sama.
Kanal kedua berarti keluar dari jalur yang sedang dipakai.
Telepon nomor atasan yang sudah tersimpan sebelumnya.
Hubungi melalui aplikasi komunikasi kantor yang berbeda.
Tanya finance manager yang biasanya mengetahui transaksi.
Cek email korporat yang memang digunakan untuk approval.
Kalau perubahan menyangkut rekening vendor, hubungi kontak vendor yang sudah ada di database perusahaan, bukan nomor baru yang dikirim di chat.
Untuk nominal atau kondisi tertentu, minta approval orang kedua sesuai SOP.
Tujuannya bukan membuat pekerjaan lambat. Tujuannya memastikan satu akun yang kompromi tidak otomatis punya kuasa memindahkan uang.
Sistem yang aman memang sengaja menciptakan sedikit friksi pada tindakan berisiko tinggi.
Scam paling enak tumbuh di kantor yang prosedurnya hanya ada “kalau sempat”
Bayangkan sebuah perusahaan kecil dengan sepuluh orang. Semua saling kenal. Finance duduk dekat founder. Vendor juga sudah seperti teman. Kalau ada kebutuhan mendadak, tinggal chat.
Suasana seperti ini terasa efisien karena kepercayaan tinggi.
Tapi dari sudut pandang scammer, struktur semacam itu punya satu kelemahan: otoritas dan identitas sering menyatu dalam satu bubble WhatsApp.
“Kalau yang ngomong Pak A, ya jalan.”
Masalahnya, layar hanya menunjukkan akun. Bukan manusia di baliknya.
Kantor tidak harus berubah menjadi birokrasi besar. Bahkan tim kecil bisa punya beberapa aturan pendek:
Perubahan rekening penerima wajib diverifikasi lewat kontak yang sudah tercatat.
Transfer di atas batas tertentu memerlukan dua approval.
Permintaan rahasia yang melewati prosedur justru dianggap red flag.
Instruksi transfer dari nomor baru tidak diproses sebelum identitas dikonfirmasi.
Vendor baru harus masuk database lebih dulu sebelum pembayaran.
Finance boleh menunda transaksi jika verifikasi belum selesai, tanpa takut dianggap tidak sigap.
Aturan terakhir penting. Banyak penipuan berhasil bukan karena finance tidak tahu risiko, tetapi karena posisi sosialnya membuat orang segan mempertanyakan atasan.
Hierarki adalah bahan bakar social engineering
Di kantor, kata “urgent” punya bobot yang berbeda kalau datang dari senior.
Seorang staf mungkin sebenarnya merasa ada yang janggal, tetapi khawatir terlihat lambat. Apalagi kalau pesannya berbunyi:
“Jangan tanya yang lain dulu, ini confidential.”
“Langsung aja, nanti saya jelaskan.”
“Saya lagi meeting, jangan telepon.”
“Vendor nunggu sekarang.”
Masing-masing kalimat itu bisa terjadi dalam pekerjaan normal. Tidak ada satu pun yang otomatis berarti scam.
Yang membuat kombinasi itu berbahaya adalah ketika semuanya dipakai untuk memutus jalur verifikasi: ada urgensi, otoritas, kerahasiaan, dan larangan mengecek ke orang lain.
Kalau prosedur perusahaan memberi hak kepada staf untuk mengatakan, “Saya perlu konfirmasi kedua sebelum transfer,” tekanan psikologisnya turun.
Itu bukan pembangkangan. Itu kontrol internal.
Bos yang benar-benar membutuhkan transfer mendesak pun diuntungkan karena prosedur tersebut melindungi perusahaan dari kerugian yang jauh lebih besar.
Rekening baru adalah momen untuk memperlambat
Salah satu titik yang layak diperlakukan lebih ketat adalah perubahan rekening.
Vendor lama, invoice mirip, nama proyek benar, tapi rekening pembayaran tiba-tiba berubah.
Jangan biarkan kemiripan konteks membuat detail paling penting lewat begitu saja.
Nomor rekening adalah tujuan akhir uang. Ketika tujuan berubah, verifikasinya harus mulai lagi.
Hubungi vendor lewat nomor atau email yang sudah tersimpan dari transaksi sebelumnya. Jangan gunakan nomor kontak yang tercantum hanya di invoice baru jika perubahan itu sendiri sedang dipertanyakan. Cocokkan nama pemilik rekening yang muncul di aplikasi pembayaran. Bila perlu minta dokumen pendukung sesuai kebijakan perusahaan.
Konsep ini sama dengan nasihat Bank Indonesia untuk transaksi digital: pastikan tujuan pembayaran memang sesuai dengan yang dimaksud sebelum menyelesaikan transaksi.
Di dunia kerja, “tujuan pembayaran” bukan cuma angka nominal. Ia termasuk siapa penerimanya, untuk apa, berdasarkan dokumen apa, dan siapa yang menyetujui.
Jangan buat kode rahasia yang semua orang tulis di grup
Ada kantor yang mencoba menyiasati impersonation dengan satu password internal.
Misalnya, “Kalau permintaan transfer asli, bos akan bilang kata X.”
Idenya bagus kalau benar-benar dikelola dengan aman. Masalahnya, kalau kode itu pernah tertulis di grup, email, atau dokumen bersama, ia bisa bocor bersama konteks lain.
Lebih kuat kalau verifikasi memakai proses, bukan satu kata ajaib.
Contohnya, setiap transfer mendadak harus dikonfirmasi lewat panggilan ke nomor lama dan disetujui orang kedua. Pelaku harus menguasai lebih dari satu kanal dan lebih dari satu orang untuk lolos.
Dalam keamanan, lapisan lebih penting daripada trik tunggal.
Kalau yang mengirim benar-benar nomor bos sendiri
Ini bagian yang sering bikin orang bingung.
“Lho, nomornya benar. Chat lama masih ada.”
Akun asli tetap bisa disalahgunakan jika perangkat, SIM, session, atau akun berhasil diambil alih. Karena itu nomor yang benar tidak menghapus kebutuhan verifikasi untuk permintaan yang tidak biasa.
Kalau ada pesan aneh dari akun atasan, jangan langsung membuat kegaduhan di grup yang sama. Hubungi orang tersebut lewat cara lain. Kalau akun memang bermasalah, tim bisa bergerak cepat untuk mengamankan akses dan memberi tahu kontak yang berpotensi menjadi target berikutnya.
Prinsip yang sama berlaku untuk email. Alamat pengirim bisa dipalsukan atau akun email bisa disusupi. Karena itu organisasi yang serius biasanya tidak menjadikan satu email sebagai otorisasi tunggal untuk perubahan rekening atau transfer besar.
Finance perlu punya “hak untuk curiga”
Di banyak tim, orang finance sering mendapat dua ekspektasi yang berlawanan.
Harus hati-hati, tapi juga harus cepat.
Harus patuh SOP, tapi kalau bos minta mendadak jangan ribet.
Harus menjaga uang perusahaan, tapi jangan bikin approval panjang.
Kalau aturan ini tidak dibereskan, staf akhirnya menggunakan intuisi sosial. Siapa yang minta. Seberapa senior. Seberapa urgent. Apakah hari itu suasananya tegang.
Itu medan yang cocok untuk social engineering.
Lebih sehat kalau perusahaan mendefinisikan sejak awal bahwa verifikasi bukan tanda tidak percaya. Ia bagian dari pekerjaan.
Finance boleh mengatakan:
“Saya call balik ya untuk konfirmasi.”
“Saya proses setelah approval kedua masuk.”
“Rekeningnya berubah, jadi saya verifikasi ke vendor lewat kontak lama dulu.”
Kalimat-kalimat itu harus terdengar normal, bukan seperti orang sedang menuduh bos penipu.
Budaya keamanan terbaik justru yang membuat pemeriksaan terasa biasa.
Kalau terlanjur transfer, jangan menunggu rapat evaluasi
Begitu sadar ada kemungkinan transfer masuk ke rekening penipu, urutan tindakan berubah. Ini bukan lagi soal mencari siapa yang salah.
Hubungi bank atau penyedia jasa pembayaran secepat mungkin melalui kanal resmi. Simpan bukti transaksi, chat, nomor rekening, nomor telepon, email, invoice, dan kronologi. Laporkan penipuan transaksi keuangan melalui jalur resmi Indonesia Anti-Scam Centre bila relevan. Jika diperlukan, lanjutkan ke aparat penegak hukum sesuai prosedur.
OJK menekankan pentingnya pelaporan cepat karena penanganan scam melibatkan koordinasi pemblokiran rekening dan upaya pemulihan dana. Tidak ada jaminan uang pasti kembali, tetapi menunda jelas tidak menambah peluang.
Di internal perusahaan, amankan juga akun yang dicurigai. Ganti kredensial, cek session aktif, review email forwarding rule, dan beri peringatan ke orang yang mungkin menerima pesan serupa.
Jangan hanya menghapus chat lalu berharap selesai. Kalau satu akun sudah dipakai untuk impersonation, target berikutnya bisa jadi orang lain di daftar kontak.
Uji SOP saat belum ada uang yang terancam
Prosedur yang kelihatan bagus di dokumen belum tentu jalan ketika bos benar-benar sedang buru-buru.
Sekali-sekali, tim bisa mensimulasikan skenario sederhana:
Founder mengirim permintaan transfer mendadak.
Rekening vendor berubah.
Pesan datang dari nomor baru.
Atasan tidak bisa ditelepon.
Apa yang dilakukan finance?
Siapa orang kedua yang boleh mengesahkan?
Berapa lama transaksi boleh ditahan?
Di kanal mana konfirmasi dilakukan?
Kalau jawabannya masih, “Nanti lihat situasi,” berarti lubangnya belum ditutup.
Tim kecil tidak perlu dokumen empat puluh halaman. Satu halaman prosedur yang benar-benar dipakai jauh lebih berguna.
Pada akhirnya, scam yang mengaku atasan memanfaatkan satu kebiasaan manusia yang sangat normal: kita ingin membantu orang yang punya tanggung jawab lebih besar, apalagi ketika dia terdengar terdesak.
Tidak perlu membuang kebiasaan membantu itu.
Cukup tambahkan satu ritual sebelum uang bergerak.
Keluar dari chat. Pakai kanal kedua. Cocokkan penerima. Baru proses.
Kalau ternyata benar bos, paling dia menunggu beberapa menit.
Kalau ternyata bukan, beberapa menit itu mungkin menyelamatkan kas perusahaan dari keputusan yang tidak bisa di-undo semudah menarik pesan WhatsApp.