Ramai soal Link Penipuan Mengaku BPJS Kesehatan Bisa Bobol Rekening, Ini Kata Ahli IT

KOMPAS.com - Sebuah tangkapan layar chat WhatsApp (WA) yang memperlihatkan modus penipuan mengatasnamakan BPJS Kesehatan, beredar di media sosial.

Salah satu akun Twitter yang membeberkan modus tersebut adalah @arbainrambey pada Minggu (29/1/2023) lalu.

Dalam unggahannya, terlihat pengirim pesan yang diduga penipu mengirimkan chat seolah-olah tagihan BPJS Kesehatan sudah keluar.

Penipuan modus tagihan BPJS

Tagihan BPJS Kesehatan yang dicantumkan senilai Rp 2.020.000 dan ia mengarahkan penerima pesan untuk melakukan pembayaran.

Pengirim pesan juga melampirkan file bernama LEMBAR TAGIHAN Instal.apk layaknya pembobolan rekening melalui WA dengan modus mengirimkan undangan pernikahan yang terjadi beberapa hari lalu.

"Upaya nipu mulai merambah pakai BPJS....dulu paket, trus undangan... Waspada ya.....," tulis Arbain yang mengaku mendapatkan tangkapan layar ini melalui grup WA keluarga.

Kompas.com telah mendapat izin untuk mengutip unggahan Arbain untuk pemberitaan ini.

Tanggapan BPJS Kesehatan

Terkait modus tagihan BPJS Kesehatan via WhatsApp, Kepala Humas BPJS Kesehatan Iqbal Anas Ma'ruf menyampaikan, pesan tersebut adalah penipuan.

"Semua itu penipuan," kata Iqbal ketika dihubungi, Senin (30/1/2023).

Pihaknya juga meminta masyarakat untuk memperhatikan informasi melalui akun media sosial resmi BPJS Kesehatan agar tidak tertipu dengan modus yang beredar.

Lantas, bagaimana tanggapan pakar siber soal beredarnya pesan berisi file apk yang diduga dapat membobol rekening bila diunduh di ponsel?

Bisa bobol rekening

Pengamat keamanan siber Alfons Tanujaya mengatakan, pesan mengatasnamakakan BPJS Kesehatan dengan melampirkan file APK memiliki modus yang sama dengan penipuan berkedok undangan pernikahan.

Penipuan dengan modus mengirimkan undangan pernikahan melalui WA dapat membobol rekening dari aplikasi m-banking yang diunduh di ponsel.

"Modusnya persis sama. Hanya berubah tema saja," kata Alfons ketika dihubungi Kompas.com, Senin (30/1/2023).

"Intinya menjebak korbannya klik aplikasi APK," sambungnya.

Ia menjelaskan bahwa file Android Package Kit (APK) yang dikirimkan dari luar Play Store dapat mencuri kredensial one time password (OTP) dari perangkat korban.

Ketika APK berbahaya ini dijalankan, akan muncul beberapa peringatan, seperti menginstal aplikasi dari luar Play Store sangat berbahaya dan tidak disarankan.

Peringatan yang diabaikan dapat memunculkan peringatan lain ketika memberikan akses SMS kepada aplikasi yang akan diinstal.

"Termasuk data dokumen dan foto perangkat kepada aplikasi berbahaya yang diinstal tersebut," jelas Alfons.

Cara kerja pembobolan rekening via APK

Alfons menyampaikan, sebagian orang yang tidak terbiasa memperhatikan peringatan ketika aplikasi diinstal dapat memberikan persetujuan (allow).

Ada kemungkinan mereka tidak membaca dengan teliti akibat dari persetujuan yang diberikan.

Padahal, "aplikasi jahat" yang dapat mencuri data tersebut akan tetap terinstal dan menjalankan aksinya.

Lebih lanjut, Alfons menuturkan sebenarnya dengan menginstal aplikasi jahat itu tidak cukup untuk mengakses akun m-banking.

Sebab dibutuhkan user ID, password m-banking, PIN persetujuan transaksi, dan OTP yang didapatkan melalui APK.

Alfons menyampaikan, apabila pengguna m-banking merasa rekeningnya dalam bahaya, mereka disarankan untuk mengganti password dan PIN persetujuan transaksi.

"Jika Anda masih ragu pertimbangkan untuk mengganti akun m-banking atau memilih penyedia m-banking yang memberikan pengamanan lebih baik," ucapnya.

"Sebenarnya, jika bank menerapkan sistem dan prosedur dengan baik dan cerdik, penjahat akan kesulitan mengambil alih akun m-banking sekalipun berhasil mendapatkan semuan kredensial dan OTP persetujuan transaksi," jelas Alfons.