Jakarta, CNBC Indonesia - Masyarakat yang gemar berbelanja online wajib extra waspada karena ads modus penipuan baru yang menyasar pengguna e-commerce.
Pakar keamanan siber dari Vaksincom, Alfons Tanujaya mengungkap, pelaku kini mengandalkan bocoran data detail pesanan untuk mengelabui dan menguras dana korban hingga ke rekening bank.
Investigasi teknis dilakukan oleh Alfons dan diunggah melalui akun Instagram @alfonstan. Dalam laporan tersebut Alfons menguak kronologi dan alur serangan terstruktur dari kasus yang terjadi di tahun 2026 ini.
Pertama, pelaku akan melakukan kontak melalui kurir palsu. Mereka akan menghubungi korban via WhatsApp dengan mengatasnamakan Pos Indonesia.
Kemudian, mengklaim paket mengalami kendala atau hilang dan meminta bukti pesanan dengan alasan pengiriman ulang atau refund.
Pos Indonesia sendiri telah menegaskan tidak pernah menghubungi pelanggan secara personal lewat WhatsApp pribadi.
Di sini, penipu sudah mengantongi data sensitif secara presisi, seperti nama, alamat, nomor HP, harga/berat barang, nomor resi, hingga kode booking internal dan ID pelanggan korporat logistik. Data akurat inilah yang membuat korban mudah percaya.
Lantas kenapa data seakurat ini bisa bocor?
Analisis menunjukkan kebocoran dicurigai bukan berasal dari server utama e-commerce, melainkan dari rantai sistem logistik atau ekspedisi pihak ketiga yang mengelola field data internal, seperti booking code dan ID pelanggan korporat.
"Data selengkap ini paling mungkin keluar dari rantai kurir/ekspedisi pihak ketiga," tulis Alfons dalam laporan tersebut, dikutip Jumat (18/9/2026).
Setelah percaya, korban diarahkan ke link situs palsu menyerupai halaman e-commerce resmi.
Di sana, korban diminta login menggunakan nomor HP, memasukkan PIN e-wallet, hingga kode OTP. Seluruh data yang diketik terkirim secara real-time ke bot Telegram pelaku.
Sistem phishing kemudian melempar korban ke domain situs kedua khusus pencurian data kartu bank.
Pelaku memanfaatkan perpindahan 2-3 domain untuk membingungkan korban sebelum meminta OTP kedua demi menyelesaikan pembobolan dana bank.
Alfons mengingatkan bahwa akurasi data bukan jaminan. Data pesanan yang lengkap bukan bukti pengirim pesan adalah kurir atau pihak e-commerce resmi.
Ia juga meminta agar pelanggan wajib menjaga kerahasiaan. Jangan pernah memberikan screenshot akun, PIN, maupun kode OTP kepada siapa pun.
Pelanggan juga wajib verifikasi kendala pesanan hanya melalui aplikasi e-commerce resmi, bukan via link WhatsApp/SMS.
Jika terlanjur memberikan data, segera blokir kartu/rekening dan laporkan ke bank serta pihak kepolisian.
(dem/dem)
[Gambas:Video CNBC]