Surat Tilang Palsu lewat WhatsApp dan SMS: Cara Mengenalinya

"Kepolisian: Anda memiliki pelanggaran lalu lintas yang belum diselesaikan. Buka file terlampir untuk detail." Lalu ada sebuah lampiran berformat APK, atau sebuah tautan. Pesan ini, dengan sedikit variasi, sudah bertahun-tahun beredar dalam gelombang di Indonesia lewat WhatsApp dan SMS. Ini kampanye smishing yang berulang: hilang beberapa minggu, lalu kembali dengan teks lain dan file lain, selalu dengan tujuan yang sama: membuatmu memasang aplikasi jahat atau memasukkan data kartu/rekeningmu ke halaman palsu yang meniru instansi resmi.

Kabar baiknya, penipuan ini bisa dipatahkan dengan satu aturan, dan termasuk yang mudah diingat.

Aturan kunci: tilang tidak dikirim lewat WhatsApp/SMS berupa file APK atau link bayar

Ingat ini baik-baik: kepolisian tidak mengirimimu file APK atau tautan pembayaran lewat WhatsApp atau SMS untuk urusan tilang. Pemberitahuan pelanggaran lalu lintas elektronik (tilang elektronik/ETLE) sampai lewat kanal resmi yang biasa:

• Surat pos ke alamat sesuai data kendaraan (STNK), dengan tanda terima.
• Kanal resmi untuk pengecekan: situs resmi ETLE kepolisian dan kantor Samsat, tempat kamu bisa memeriksa sendiri apakah ada pelanggaran atas nomor kendaraanmu.
• Pembayaran denda dilakukan lewat kode pembayaran bank resmi (kode billing/virtual account) setelah konfirmasi, bukan lewat tautan yang datang di pesan.

Pola "ada tilang + file/link + bayar sekarang dari pesan" bukan pola pemberitahuan resmi: itu pola penipuan. Kalau pesan menyuruhmu membuka lampiran APK atau membayar lewat tautan di dalam pesan itu sendiri, tak perlu berpikir panjang.

Seperti apa pesan palsunya dan kenapa banyak yang terkecoh?

Pesan ini dirancang untuk memancing reaksi cepat, bukan pemikiran. Bahan-bahannya nyaris tak pernah berubah:

• File APK yang menyamar. Varian paling berbahaya di Indonesia: lampiran bernama seperti "Surat Tilang.apk" atau "Foto Bukti Pelanggaran.apk". Kalau dipasang, aplikasi jahat itu mencuri kode OTP dan membajak m-banking-mu. Jangan pernah memasang APK dari luar toko aplikasi resmi, apa pun namanya.
• Urgensi. "Pemberitahuan terakhir", "hindari blokir STNK", "segera selesaikan". Kamu didorong menyelesaikannya saat itu juga.
• Nominal kecil. Biasanya jumlah yang terasa wajar. Tujuan sebenarnya bukan menagih "denda" itu: melainkan mencuri data lengkap kartu/rekeningmu di halaman palsu, dan kadang kode OTP untuk transaksi yang lebih besar setelahnya.
• Tautan mirip resmi. Alamat bertuliskan nama instansi yang diikuti tanda hubung dan kata-kata, di domain yang bukan resmi. Di layar kecil ponsel, sambil terburu-buru, semua itu meyakinkan. Halaman tujuannya menyalin logo dan tampilan resmi dengan cukup lihai.
• Pengirim yang berganti-ganti. Kadang nomor seluler biasa, kadang nama pengirim yang meniru instansi. Karena nama pengirim SMS/akun WhatsApp bisa dipalsukan, ia tidak membuktikan apa pun.

Tak satu pun bahan ini menuntut penipu tahu apa-apa tentangmu. Ia mengirim pesan sama ke ribuan nomor dan cukup dari sebagian kecil orang yang kebetulan sedang merasa mungkin punya tilang. Kamu bisa melihat kampanye jenis ini yang sedang aktif tiap pekan di halaman tren kami.

Bagaimana mengecek apakah aku benar-benar kena tilang?

Ini bagian yang kamu butuhkan saat masih ragu "bagaimana kalau memang benar?". Verifikasi selalu kamu yang lakukan, lewat kanal resmi, tidak pernah dari tautan atau file di pesan:

1. Cek lewat kanal resmi ETLE kepolisian: buka situs resminya dengan mengetik sendiri alamatnya di peramban, huruf demi huruf. Jangan masuk lewat tautan di pesan atau hasil pencarian yang meragukan.
2. Atau datang/cek ke kantor Samsat, tempat data kendaraan dan status pelanggaran atas nomor polisimu bisa diperiksa.
3. Kalau kamu tidak terbiasa dengan internet, minta bantuan orang tepercaya atau datang langsung ke kantor kepolisian/Samsat. Nomor layanan kepolisian 110 juga bisa jadi titik awal untuk bertanya prosedurnya.

Kalau lewat kanal itu tidak muncul tilang apa pun, berarti tidak ada tilang. Pesannya palsu, kamu blokir, hapus, selesai. Dan kalau memang ada pelanggaran nyata, kamu bayar lewat kode pembayaran resmi, tidak pernah lewat tautan di sebuah pesan.

Rangkaian ini (tutup pesannya, kamu sendiri yang masuk ke kanal resmi) persis sama dengan yang kami anjurkan untuk memverifikasi telepon atau SMS dari bankmu. Ia berlaku untuk instansi atau perusahaan mana pun, dan inilah kebiasaan yang paling banyak memangkas penipuan dari akarnya.

Bagaimana kalau aku sudah menekan tautan atau memasang file?

Tergantung sejauh mana kamu melangkah:

• Hanya menekan tautan lalu menutup halaman: kemungkinan besar tidak terjadi apa-apa. Kamu tidak mengunduh apa pun dan tidak memberi data; blokir pengirimnya dan lanjutkan harimu.
• Memasang file APK-nya: segera matikan koneksi internet perangkat, dan dari perangkat lain, ubah kata sandi m-banking dan email, serta hubungi bankmu lewat nomor resmi untuk memblokir akses. Copot aplikasi mencurigakan itu; kalau ragu, backup data lalu setel ulang ponsel ke setelan pabrik.
• Memasukkan data kartu/rekening: hubungi bankmu sekarang lewat nomor di belakang kartu, ceritakan kejadiannya, dan minta blokir kartu serta terbitkan yang baru. Ini langkah yang memutus masalah seketika.
• Sampai memasukkan kode OTP yang masuk lewat SMS: sampaikan juga ke bank, karena mungkin ada transaksi yang sudah tereksekusi dan perlu segera diklaim.
• Pantau transaksi beberapa hari dan minggu berikutnya. Transaksi penipuan tidak selalu langsung; kadang menunggu. Aktifkan notifikasi mutasi di aplikasi bankmu.
• Buat laporan polisi dengan tangkapan layar pesan, tautan, dan transaksi kalau ada. Kamu juga bisa melaporkan rekening penipu ke kanal pengaduan resmi.
• Laporkan nomor pengirimnya di direktori nomor spam, agar ikut tertandai.

Pola yang sama dengan penyamaran lain

Kalau kamu belajar melihat kerangka penipuan ini (instansi terkenal + tagihan/urusan tertunda + urgensi + tautan atau file), kamu akan mengenalinya dalam semua variannya, karena penipu berganti kostum sesuai musim:

Di semua kasus pertahanannya identik: jangan menekan, kamu sendiri yang masuk ke kanal resmi, lalu cek.

Pertanyaan singkat

Apakah kepolisian pernah mengirim pesan apa pun? Bisa saja ada komunikasi informatif terkait urusan yang kamu mulai sendiri, tapi tilang tidak diberitahukan lewat file APK atau tautan pembayaran di WhatsApp/SMS. Kalau ragu, perlakukan pesan apa pun sebagai belum terverifikasi dan cek di kanal resmi.

Pesannya mencantumkan nama instansi sebagai pengirim, bukankah itu jaminan? Bukan. Nama pengirim SMS dan akun WhatsApp bisa dipalsukan. Baik nama maupun nomor di layar tidak membuktikan siapa yang mengirim.

Kalau aku memang punya tilang dan lewat batas waktunya? Tilang nyata bisa dicek dalam hitungan detik lewat kanal resmi ETLE atau Samsat. Kalau ada, di sana kamu lihat nominal, batas waktu, dan cara bayar resminya. Kamu tidak butuh pesan apa pun.

Ada gunanya melaporkan nomornya? Ya. Kampanye ini memakai ulang nomor selama berhari-hari. Setiap laporan membuat nomornya tampak tertandai saat orang lain mengeceknya sebelum tertipu.

Kalau kamu menerima salah satu pesan ini, luangkan satu menit untuk melaporkannya di direktori nomor NoCall: inilah cara paling langsung agar orang berikutnya yang menerima "tilang" itu tahu tepat waktu bahwa ia tidak berutang apa pun.