JAKARTA – Dalam era digital yang dimaksud semakin maju, modus kecurangan juga bergabung mengalami perkembangan semakin canggih. Salah satu modus terbaru yang mana berada dalam marak adalah penggelapan berkedok “surat cinta” dari Direktorat Jenderal Pajak (DJP).
Modus ini memanfaatkan kepanikan dan juga ketidaktahuan warga tentang prosedur perpajakan untuk mencuri data pribadi dan juga menguras account korban.
Modus Operandi Penipu
Pengamat keamanan siber Vaksin.com Alfons Tanujaya mengatakan, penipu biasanya memulai aksinya dengan mengirimkan arahan WhatsApp yang tersebut mengatasnamakan petugas pajak.
Pesan yang disebutkan berisi informasi tentang adanya kesulitan pada data perpajakan korban, lengkap dengan data pribadi yang valid seperti alamat, nama, NIK, NPWP, dan juga nomor telepon. Angka pribadi yang akurat ini menciptakan korban mudah percaya kemudian terpancing untuk mengikuti instruksi selanjutnya.
Setelah korban lengah, penipu akan menggunakan dua metode untuk menjerat korbannya:
1. Phishing: Korban diarahkan ke situs palsu yang digunakan mirip dengan Google Play Store untuk mengunduh perangkat lunak “M-Pajak” palsu. Program ini sebenarnya adalah malware yang tersebut akan mencuri SMS dari ponsel korban, termasuk kode OTP (One-Time Password) yang digunakan untuk kegiatan perbankan.
2. Social Engineering: Penipu akan menelepon korban serta mengaku sebagai petugas call center pajak. Dengan berbekal data pribadi korban, penipu akan meyakinkan korban bahwa merekan memiliki tunggakan pajak atau hambatan perpajakan lainnya. Korban kemudian akan diarahkan untuk mentransfer sebagian uang ke tabungan penipu.
“Hal yang mana cukup mengejutkan adalah penipu mempunyai data otentik wajib pajak. Tentunya ini menjadi pertanyaan besar bagaimana data wajib pajak sedetail ini bisa saja bocor dan juga dieksploitasi oleh penipu,” ujar Alfons.
Dari hasil investigasi Alfons, ia menemukan beberapa hal yang dimaksud wajib dicurigai jikalau pemilik usaha ataupun individu mendapatkan “surat cinta” dari Direktorat Jenderal Pajak (DJP). Antara lain:
1. Informasi pribadi yang digunakan valid: Penipu mempunyai akses ke data pribadi wajib pajak yang dimaksud seharusnya bersifat rahasia, seperti alamat, nama, NIK, NPWP, nomor telepon, juga email.
2. Laman palsu: Penipu memproduksi situs palsu yang mana sangat mirip dengan Google Play Store untuk mengelabui korban agar mengunduh aplikasi mobile berbahaya.
