JAKARTA – Dalam era digital yang mana semakin maju, modus kecurangan juga terlibat mengalami perkembangan semakin canggih. Salah satu modus terbaru yang berada dalam marak adalah kecurangan berkedok “surat cinta” dari Direktorat Jenderal Pajak (DJP).
Modus ini memanfaatkan kepanikan dan juga ketidaktahuan penduduk tentang prosedur perpajakan untuk mencuri data pribadi lalu menguras akun korban.
Modus Operandi Penipu
Pengamat keamanan siber Vaksin.com Alfons Tanujaya mengatakan, penipu biasanya memulai aksinya dengan mengirimkan arahan WhatsApp yang tersebut mengatasnamakan petugas pajak.
Pesan yang disebutkan berisi informasi tentang adanya permasalahan pada data perpajakan korban, lengkap dengan data pribadi yang dimaksud valid seperti alamat, nama, NIK, NPWP, serta nomor telepon. Informasi pribadi yang digunakan akurat ini menciptakan korban mudah percaya kemudian terpancing untuk mengikuti instruksi selanjutnya.
Setelah korban lengah, penipu akan menggunakan dua metode untuk menjerat korbannya:
1. Phishing: Korban diarahkan ke situs palsu yang mana mirip dengan Google Play Store untuk mengunduh aplikasi mobile “M-Pajak” palsu. Aplikasi komputer ini sebenarnya adalah malware yang tersebut akan mencuri SMS dari ponsel korban, termasuk kode OTP (One-Time Password) yang mana digunakan untuk operasi perbankan.
2. Social Engineering: Penipu akan menelepon korban serta mengaku sebagai petugas call center pajak. Dengan berbekal data pribadi korban, penipu akan meyakinkan korban bahwa merek miliki tunggakan pajak atau hambatan perpajakan lainnya. Korban kemudian akan diarahkan untuk mentransfer sebagian uang ke tabungan penipu.
“Hal yang digunakan cukup mengejutkan adalah penipu miliki data otentik wajib pajak. Tentunya ini menjadi pertanyaan besar bagaimana data wajib pajak sedetail ini bisa jadi bocor kemudian dieksploitasi oleh penipu,” ujar Alfons.
Dari hasil investigasi Alfons, ia menemukan beberapa hal yang tersebut wajib dicurigai apabila pemilik bidang usaha ataupun individu mendapatkan “surat cinta” dari Direktorat Jenderal Pajak (DJP). Antara lain:
1. Angka pribadi yang mana valid: Penipu mempunyai akses ke data pribadi wajib pajak yang digunakan seharusnya bersifat rahasia, seperti alamat, nama, NIK, NPWP, nomor telepon, kemudian email.
2. Website palsu: Penipu menyebabkan situs palsu yang sangat mirip dengan Google Play Store untuk mengelabui korban agar mengunduh program berbahaya.
