JAKARTA – Dalam era digital yang digunakan semakin maju, modus kecurangan juga terlibat mengalami perkembangan semakin canggih. Salah satu modus terbaru yang digunakan berada dalam marak adalah penyalahgunaan berkedok “surat cinta” dari Direktorat Jenderal Pajak (DJP).
Modus ini memanfaatkan kepanikan lalu ketidaktahuan warga tentang prosedur perpajakan untuk mencuri data pribadi dan juga menguras tabungan korban.
Modus Operandi Penipu
Pengamat keamanan siber Vaksin.com Alfons Tanujaya mengatakan, penipu biasanya memulai aksinya dengan mengirimkan instruksi WhatsApp yang dimaksud mengatasnamakan petugas pajak.
Pesan yang disebutkan berisi informasi tentang adanya permasalahan pada data perpajakan korban, lengkap dengan data pribadi yang dimaksud valid seperti alamat, nama, NIK, NPWP, serta nomor telepon. Angka pribadi yang tersebut akurat ini memproduksi korban mudah percaya serta terpancing untuk mengikuti instruksi selanjutnya.
Setelah korban lengah, penipu akan menggunakan dua metode untuk menjerat korbannya:
1. Phishing: Korban diarahkan ke situs palsu yang tersebut mirip dengan Google Play Store untuk mengunduh aplikasi mobile “M-Pajak” palsu. Program ini sebenarnya adalah malware yang akan mencuri SMS dari ponsel korban, termasuk kode OTP (One-Time Password) yang digunakan digunakan untuk kegiatan perbankan.
2. Social Engineering: Penipu akan menelepon korban juga mengaku sebagai petugas call center pajak. Dengan berbekal data pribadi korban, penipu akan meyakinkan korban bahwa mereka itu miliki tunggakan pajak atau hambatan perpajakan lainnya. Korban kemudian akan diarahkan untuk mentransfer banyak uang ke account penipu.
“Hal yang digunakan cukup mengejutkan adalah penipu memiliki data otentik wajib pajak. Tentunya ini menjadi pertanyaan besar bagaimana data wajib pajak sedetail ini bisa jadi bocor lalu dieksploitasi oleh penipu,” ujar Alfons.
Dari hasil investigasi Alfons, ia menemukan beberapa hal yang tersebut wajib dicurigai jikalau pemilik usaha ataupun individu mendapatkan “surat cinta” dari Direktorat Jenderal Pajak (DJP). Antara lain:
1. Angka pribadi yang tersebut valid: Penipu miliki akses ke data pribadi wajib pajak yang seharusnya bersifat rahasia, seperti alamat, nama, NIK, NPWP, nomor telepon, kemudian email.
2. Website palsu: Penipu menciptakan situs palsu yang tersebut sangat mirip dengan Google Play Store untuk mengelabui korban agar mengunduh program berbahaya.
