5 Tanda Phishing Kode Perangkat, Login Resmi pun Bisa Menjebak

Phishing kode perangkat biasanya dimulai melalui pesan yang tampak berkaitan dengan pekerjaan. Pelaku dapat menyamar sebagai kolega, penyelenggara rapat, penyedia layanan berbagi dokumen, atau tokoh yang dikenal korban. Pesan tersebut kemudian menyertakan tautan atau kode yang diklaim diperlukan untuk membuka dokumen maupun mengikuti pertemuan online.

Dilansir Microsoft Security Blog, kampanye Storm-2372 pernah menyebarkan undangan rapat Microsoft Teams palsu setelah pelaku lebih dahulu membangun komunikasi melalui WhatsApp, Signal, atau Teams. Kampanye yang diamati Microsoft pada 2026 juga menggunakan kecerdasan buatan untuk membuat email yang disesuaikan dengan pekerjaan korban, seperti invoice, penawaran proyek, dan alur produksi. Oleh sebab itu, pesan yang terlihat rapi dan relevan belum tentu berasal dari pengirim yang sah.

Jangan langsung mengikuti instruksi hanya karena pesan mencantumkan nama perusahaan atau rekan kerja. Hubungi pengirim melalui nomor, email, atau ruang percakapan lain yang sudah kamu kenal sebelumnya. Verifikasi melalui jalur terpisah dapat mencegahmu mengikuti petunjuk yang sebenarnya dibuat oleh penipu.

Alamat situs palsu biasanya menjadi petunjuk utama dalam mengenali phishing. Namun, phishing kode perangkat dapat mengarahkan korban ke halaman autentikasi Microsoft yang asli. Akibatnya, korban mungkin merasa aman setelah melihat domain resmi dan tampilan login yang tidak berbeda dari biasanya.

Dilansir FBI Internet Crime Complaint Center, pelaku Kali365 mengirimkan kode perangkat dan meminta korban membukanya melalui halaman verifikasi Microsoft yang sah. Saat korban memasukkan kode tersebut, korban sebenarnya sedang mengizinkan perangkat milik pelaku mengakses akunnya. Pelaku kemudian dapat memperoleh token akses tanpa harus membuat halaman login tiruan.

Kondisi tersebut menunjukkan bahwa memeriksa alamat situs saja belum cukup. Kamu juga harus memastikan siapa yang memulai proses login dan mengapa kode itu perlu dimasukkan. Meskipun halamannya resmi, permintaan yang membawamu ke halaman tersebut tetap dapat berasal dari penipu.

Kode perangkat sebenarnya merupakan bagian dari mekanisme login yang sah. Fitur ini digunakan untuk perangkat dengan antarmuka terbatas, seperti smart TV atau printer, yang sulit dipakai mengetik email dan kata sandi. Pengguna biasanya melihat kode pada perangkat tersebut, lalu memasukkannya melalui browser di ponsel atau komputer.

Dilansir Microsoft Security Blog, masalah muncul ketika penipu memulai permintaan autentikasi dari perangkat yang mereka kendalikan. Pelaku kemudian mengirimkan kode itu kepada korban dengan alasan untuk membuka dokumen, bergabung dalam rapat, atau menyelesaikan verifikasi. Setelah korban memasukkannya, akun korban justru terhubung dengan sesi yang dimulai oleh pelaku.

Karena itu, perhatikan asal kode sebelum mengetiknya. Kode seharusnya muncul dari perangkat yang memang sedang kamu pasangkan atau aktifkan sendiri. Apabila kamu tidak sedang menghubungkan perangkat apa pun, jangan memasukkan kode yang dikirimkan orang lain.

Pelaku phishing sering menciptakan rasa mendesak agar korban bertindak sebelum berpikir. Pesan dapat menyebutkan bahwa undangan segera kedaluwarsa, dokumen harus ditinjau hari itu juga, atau akun akan dibatasi apabila proses verifikasi tidak diselesaikan. Tekanan waktu membuat korban lebih mudah mengabaikan kejanggalan dalam instruksi login.

Dilansir Microsoft Security Blog, pelaku telah memakai pembuatan kode dinamis agar kode baru dibuat ketika korban membuka tautan. Cara tersebut membantu penipu mengatasi masa berlaku kode yang terbatas dan membuat prosesnya terasa masih aktif. Pelaku juga menggunakan AI untuk menyesuaikan isi pesan dengan jabatan dan aktivitas calon korban.

Berhentilah ketika sebuah pesan memintamu membuka halaman login dan memasukkan kode dengan segera. Baca kembali nama aplikasi, jenis akses, akun yang digunakan, serta tujuan autentikasinya. Permintaan yang sah seharusnya tetap dapat diverifikasi tanpa memaksamu mengambil keputusan terburu-buru.

Korban mungkin baru menyadari serangan setelah menemukan aktivitas asing pada akunnya. Tanda-tandanya dapat berupa sesi login dari lokasi yang tidak dikenal, email yang hilang, pesan terkirim tanpa sepengetahuan pengguna, atau aturan baru dalam kotak masuk. Perubahan semacam ini perlu diperiksa, khususnya setelah kamu memasukkan kode perangkat dari email atau pesan tertentu.

Dilansir Microsoft Security Blog, token yang diperoleh pelaku dapat digunakan untuk membaca email, mencari informasi sensitif, dan membuat aturan kotak masuk guna menyembunyikan atau mengalihkan pesan. FBI menjelaskan bahwa token tersebut juga dapat memberikan akses ke Outlook, Teams, dan OneDrive tanpa meminta kata sandi atau autentikasi tambahan. Selama token masih berlaku, mengganti kata sandi saja belum tentu langsung menghentikan seluruh sesi pelaku.

Segera periksa daftar perangkat, sesi aktif, aplikasi yang memiliki akses, dan aturan email apabila muncul aktivitas mencurigakan. Untuk akun kantor atau kampus, laporkan kejadian tersebut kepada administrator teknologi informasi agar token dan sesi yang tidak sah dapat dicabut. Simpan email, waktu kejadian, alamat IP, serta informasi login mencurigakan sebagai bahan pemeriksaan.

Phishing kode perangkat berbahaya karena menyalahgunakan proses autentikasi yang memang sah. Pegang satu aturan sederhana, yakni jangan pernah memasukkan kode perangkat kecuali kamu sendiri yang memulai proses pemasangan perangkat. Saat konteks permintaannya tidak jelas, batalkan login dan lakukan verifikasi melalui saluran resmi.