Ponsel berdering tepat ketika kepala sedang penuh. Bisa saat turun dari kendaraan, menunggu lift, berdiri di kasir, atau baru selesai membaca notifikasi transaksi yang tidak dikenali.
Di seberang, seseorang mengaku dari bank.
“Nggak usah panik, Pak/Bu. Kami bantu batalkan transaksinya. Tapi harus sekarang karena rekeningnya sedang dalam proses.”
Kalimat itu terdengar menenangkan, tetapi isinya justru membuat waktu terasa mengecil. Ada ancaman kehilangan uang. Ada figur yang terlihat seperti petugas. Ada instruksi. Ada countdown yang mungkin tidak pernah benar-benar ada.
Inilah salah satu kekuatan terbesar scam melalui telepon: bukan teknologinya, melainkan kemampuan membuat korban merasa bahwa berpikir selama satu menit adalah kemewahan yang tidak bisa dibeli.
Pada 2026, bank-bank di Indonesia masih terus mengingatkan pola yang sama. BRI pada 29 Juli 2026 menegaskan bahwa bank tidak pernah meminta PIN, OTP, username, atau password melalui telepon, WhatsApp, SMS, email, maupun media sosial. Bank Mandiri juga mengingatkan, jika ragu pada telepon yang mengatasnamakan bank, tutup panggilan lalu verifikasi melalui Mandiri Call resmi.
Pesan dasarnya sederhana: ketika penelepon menguasai tempo, kita perlu mengambil tempo itu kembali.
Panik membuat instruksi terasa seperti pertolongan
Bayangkan kita baru menerima notifikasi pembayaran yang tidak dikenal. Jantung langsung naik sedikit. Beberapa detik kemudian ada telepon masuk.
“Ini dari bagian fraud. Kami lihat transaksi mencurigakan.”
Konteksnya cocok. Itu yang membuatnya berbahaya.
Kalau orang menelepon saat kita santai dan berkata, “Berikan OTP sekarang,” mungkin jawabannya mudah: tidak. Tapi kalau dia lebih dulu menyebut masalah yang kita takutkan, lalu memberi diri sebagai solusi, instruksi berikutnya terasa lebih masuk akal.
“Untuk membatalkan transaksi, sebutkan kode yang baru masuk.”
“Supaya rekening aman, pindahkan dana sementara.”
“Klik link ini agar kartu bisa dibekukan.”
“Install aplikasi bantuan supaya kami bisa cek.”
“Jangan tutup telepon, nanti prosesnya gagal.”
Panik mengubah bentuk permintaan. Sesuatu yang dalam keadaan normal terdengar aneh bisa terlihat seperti prosedur darurat.
Karena itu, pertahanan pertama bukan kemampuan menghafal semua modus. Pertahanan pertama adalah memberi izin pada diri sendiri untuk menghentikan percakapan.
Bank yang sah tetap bisa diverifikasi setelah telepon ditutup
Ada ketakutan yang sering dimanfaatkan penipu: “Kalau ini benar petugas bank dan gue tutup, gimana kalau uang gue keburu hilang?”
Justru karena risikonya besar, verifikasi harus berpindah ke kanal yang kita pilih sendiri.
Tutup panggilan. Buka aplikasi bank yang biasa dipakai. Periksa transaksi. Hubungi nomor resmi dari aplikasi, kartu, atau situs bank yang kita akses sendiri. Jangan memakai nomor yang dibacakan penelepon. Jangan mengikuti link yang dia kirim untuk “mempermudah”.
Kalau masalahnya nyata, kanal resmi bank tetap ada setelah panggilan berakhir.
Kalau masalahnya palsu, kita baru saja keluar dari lingkungan yang dikendalikan penipu.
Ini adalah perbedaan besar antara “mengikuti verifikasi” dan “melakukan verifikasi”. Pada skenario pertama, penelepon memberi kita semua langkah. Pada skenario kedua, kita memilih sumber secara independen.
Ada data yang tidak pernah perlu diberikan untuk membuktikan kita pemilik rekening
Penipu sering membungkus permintaan data dengan alasan keamanan.
“Untuk validasi identitas.”
“Untuk sinkronisasi.”
“Untuk membatalkan transaksi.”
“Untuk mengunci rekening.”
Padahal PIN, OTP, password, CVV, dan kode pemulihan adalah kredensial. Fungsinya memberi otorisasi atau akses, bukan menjadi bahan percakapan dengan orang yang menelepon.
BCA dalam edukasi antifraud 2026 meminta nasabah merahasiakan PIN, OTP, dan password, termasuk dari pihak yang mengaku petugas bank. BRI menyampaikan hal serupa. Bank Mandiri secara spesifik menyatakan WhatsApp resminya tidak pernah meminta PIN, OTP, atau CVV.
Jadi ada rule yang bisa dibuat sangat sederhana: kalau telepon mengaku bank lalu meminta rahasia autentikasi, percakapan berhenti di situ.
Tidak perlu berdebat. Tidak perlu menguji seberapa pintar penelepon. Tidak perlu menyelesaikan “prosedur” agar sopan.
Tutup dan hubungi bank sendiri.
Urgensi palsu biasanya punya tiga lapisan
Pertama, ada ancaman.
“Rekening akan diblokir.”
“Ada transaksi berjalan.”
“Kartu sedang disalahgunakan.”
Kedua, ada deadline.
“Harus sekarang.”
“Kodenya cuma berlaku sebentar.”
“Kalau telepon ditutup, pengajuan batal.”
Ketiga, ada isolasi.
“Jangan hubungi siapa pun dulu.”
“Jangan buka aplikasi karena sistem sedang kami proses.”
“Tetap di line.”
Tidak setiap percakapan darurat berarti scam. Bank memang bisa menghubungi nasabah dalam situasi tertentu. Tetapi kombinasi ancaman, tekanan waktu, dan larangan untuk memverifikasi adalah sinyal kuat bahwa kita perlu berhenti.
Sebuah prosedur keamanan yang benar seharusnya tidak runtuh hanya karena nasabah ingin menelepon balik kanal resmi.
Jangan tertipu oleh nomor, nama kontak, atau suara profesional
Banyak orang merasa aman karena layar ponsel menampilkan nama bank atau nomor yang tampak meyakinkan. Itu tidak cukup sebagai bukti.
Identitas digital di sisi penerima dapat menimbulkan kesan yang salah. Akun bisa palsu. Nama tampilan bisa dibuat menyerupai merek. Nomor yang belum pernah kita simpan bisa diberi label oleh aplikasi identifikasi penelepon berdasarkan data komunitas yang juga tidak selalu sempurna.
Suara profesional pun mudah ditiru secara sosial. Seseorang tidak perlu punya akses ke sistem bank untuk berbicara seperti call center. Cukup memakai istilah yang familiar, menyebut “verifikasi”, “transaksi mencurigakan”, “sistem”, atau “tim keamanan”, lalu mengarahkan percakapan ke tujuan sebenarnya.
Pada 2026, tantangan bertambah karena AI juga dapat dipakai untuk menirukan suara atau membuat komunikasi lebih natural. Tapi sekali lagi, kita tidak perlu menyelesaikan teka-teki apakah suara itu sintetis atau asli.
Keamanan tidak seharusnya bergantung pada feeling terhadap suara.
Teknik sederhana: stop, reset, cek
Saat telepon membuat panik, ada tiga langkah yang lebih mudah diingat daripada daftar modus panjang.
Stop.
Jangan berikan data. Jangan klik. Jangan transfer. Jangan instal apa pun. Jangan nyalakan screen sharing.
Reset.
Akhiri percakapan. Letakkan ponsel sebentar kalau perlu. Keluar dari alur yang dibangun penelepon.
Cek.
Buka kanal resmi secara mandiri. Periksa transaksi di aplikasi. Hubungi bank dari nomor yang sudah diverifikasi. Jika memang ada masalah, selesaikan dari sana.
Teknik ini berguna karena bekerja meskipun cerita penipunya baru. Modus bisa berubah, nama program bisa berubah, narasi bisa ikut tren. Prinsipnya tetap: tindakan berisiko tidak dilakukan di kanal yang identitasnya belum kita verifikasi.
Kalau penelepon tahu data kita, itu belum membuktikan dia dari bank
Salah satu momen yang paling menggoyahkan adalah ketika penelepon menyebut data yang benar.
Nama lengkap.
Sebagian nomor kartu.
Alamat email.
Kota tempat tinggal.
Jenis rekening.
Riwayat konteks tertentu.
Korban lalu berpikir, “Kalau dia penipu, kok dia tahu?”
Informasi pribadi bisa berasal dari banyak sumber: data yang pernah dibagikan, akun yang bocor, formulir lama, kebocoran data pihak lain, percakapan terdahulu, atau informasi publik. Mengetahui satu atau beberapa data tidak sama dengan memiliki kewenangan resmi.
Malah, semakin banyak data yang disebut penelepon, semakin penting untuk tidak membalas dengan data tambahan.
Jangan lengkapi kalimatnya.
Kalau dia berkata, “Nomor kartu Bapak berakhiran…,” jangan spontan menyebut empat digit terakhir. Kalau dia bertanya alamat untuk “cocokkan”, jangan memberikan alamat penuh hanya karena dua detail sebelumnya benar.
Biarkan verifikasi terjadi di kanal resmi.
Ada saat ketika kita memang harus bergerak cepat, tapi bukan mengikuti penelepon
Jika kita benar-benar melihat transaksi tidak sah, respons cepat memang penting.
Bedanya, kecepatan diarahkan ke kanal yang benar.
Gunakan fitur blokir kartu atau pembatasan transaksi di aplikasi bank jika tersedia. Hubungi bank segera. Simpan bukti transaksi, waktu kejadian, nomor yang menelepon, dan pesan terkait. Jika dana sudah berpindah akibat penipuan, laporkan secepatnya melalui bank atau penyedia pembayaran dan Indonesia Anti-Scam Centre, lalu lakukan laporan kepolisian untuk proses hukum.
Data OJK sampai 30 Juni 2026 menunjukkan IASC telah menerima 608.167 laporan. Sebanyak 557.751 rekening telah diblokir dan Rp674,1 miliar dana korban tercatat berhasil diblokir. Dana yang sudah kembali kepada korban tercatat Rp196,93 miliar dari rekening di 19 bank.
Angka itu bukan janji bahwa uang pasti kembali. Justru IASC mengingatkan dana scam dapat berpindah cepat melalui rekening berlapis. Jadi setelah kejadian, kecepatan memang penting.
Tetapi cepat melapor berbeda dari cepat menurut pada orang tak dikenal di telepon.
Buat aturan saat tenang, supaya tidak perlu jadi jenius saat panik
Kita sering menganggap keamanan digital sebagai tes kecerdasan: orang pintar tidak akan tertipu. Itu framing yang tidak membantu.
Scam justru dirancang untuk menyerang manusia pada momen ketika kapasitas berpikir sedang sempit. Saat takut. Capek. Tergesa. Baru menerima kabar buruk. Sedang mengurus anak. Sedang berpindah kendaraan. Sedang mengejar deadline.
Karena itu, aturan yang dibuat saat tenang lebih berguna daripada berharap kita selalu waspada.
Contoh aturan pribadi:
Tidak pernah menyebut OTP, PIN, password, atau CVV lewat telepon.
Jika penelepon mengaku bank dan meminta tindakan, tutup lalu hubungi bank sendiri.
Tidak memindahkan uang ke “rekening aman”.
Tidak menginstal aplikasi dari instruksi penelepon.
Tidak melakukan screen sharing untuk urusan perbankan dengan orang yang tidak kita hubungi sendiri melalui kanal resmi.
Kalau sedang panik, libatkan satu orang yang dipercaya sebelum mengambil tindakan finansial besar.
Aturan seperti itu mungkin terasa kaku. Justru itu gunanya. Dalam situasi bertekanan, keputusan yang sudah dibuat sebelumnya mengurangi ruang manipulasi.
Kalau tinggal bersama keluarga, aturan ini juga bisa dibagikan tanpa membuat semua orang hafal nama modus. Cukup sepakati satu respons: telepon yang meminta data rahasia atau perpindahan uang harus dihentikan, lalu dicek ulang lewat kanal resmi. Satu kebiasaan yang sama untuk semua anggota rumah lebih mudah dijalankan daripada masing-masing mencoba mengikuti perkembangan scam setiap minggu.
Penelepon boleh terdengar sangat meyakinkan. Dia boleh tahu nama kita. Boleh menggunakan istilah bank. Boleh mengatakan waktu tinggal tiga menit.
Tiga menit itu milik kita, bukan milik dia.
Tutup telepon. Buka aplikasi sendiri. Cek sendiri.
Kalau masalahnya benar, kita masih bisa menyelesaikannya. Kalau teleponnya scam, satu ketukan untuk mengakhiri panggilan mungkin menjadi keputusan paling bernilai hari itu.