Periksa keamanan tautan sebelum diklik

Untuk memastikan keamanan situs web, mulailah dengan membuka URL di pemindai seperti Pemeriksa Tautan Avast. Cari enkripsi HTTPS secara manual di bilah alamat lalu periksa dengan saksama "typosquatting" pada domain (seperti goog1e.com, alih-alih google.com).

Situs web asli seharusnya mencantumkan informasi kontak dan kebijakan privasi yang jelas, sedangkan situs web yang mencurigakan biasanya memiliki timer hitung mundur, tata bahasa kurang baik, atau harga yang "jauh lebih murah". Jika ragu, Anda juga dapat mencari nama situs beserta kata "penipuan" atau "phishing" pada platform ulasan pihak ketiga. Avast One juga dapat membantu Anda tetap aman saat online.

Cari tanda mencurigakan rekayasa sosial, seperti tautan rusak, logo dengan resolusi rendah, dan kesalahan ejaan atau tata bahasa yang mencolok, yang umum ditemukan pada operasi penipuan yang berbasis di luar negeri. HTTPS biasanya menandakan koneksi aman, tetapi enkripsi hanya melindungi jalur data, bukan niat pemilik situs.

Hal yang paling harus diperhatikan adalah taktik rekayasa sosial, seperti timer hitung mundur yang membuat Anda merasa terburu-buru, atau gangguan pop-up yang meminta data sensitif seperti kredensial bank untuk ditukarkan dengan "hadiah dalam batas waktu tertentu." Anda juga dapat menggunakan alat deteksi penipuan untuk memeriksa situs web.

Mulailah dengan menggunakan pemeriksa keamanan tautan khusus (seperti Google Transparency Report atau Pemeriksa Tautan Avast) untuk memindai malware tersembunyi atau phishing di URL sebelum Anda mengkliknya. Setelah situs terbuka, periksa bilah alamat browser. Cari HTTPS (ikon gembok) untuk memastikan koneksi aman, lalu klik gembok untuk melihat sertifikat SSL. Segera keluar dari halaman jika sertifikat SSL diterbitkan untuk perusahaan yang berbeda atau sudah kedaluwarsa.

Selanjutnya, lakukan "audit transparansi" dengan mencari alamat kantor fisik resmi dan nomor telepon yang sudah terverifikasi karena penipu biasanya tidak pernah meninggalkan jejak yang dapat dilacak. Verifikasi reputasi situs tersebut melalui platform independen, seperti Trustpilot atau Better Business Bureau jika Anda berada di Amerika Serikat atau Kanada. Waspadalah terhadap harga yang "jauh lebih murah" juga pop-up bernada "mendesak" dan malvertising yang memaksa Anda untuk membagikan data sensitif.

Terakhir, waspadai typosquatting, yaitu URL yang sengaja dieja sedikit berbeda, seperti amozon.com alih-alih amazon.com. Modus ini merupakan ciri umum situs tiruan yang dibuat untuk mencuri kredensial Anda.

Untuk memeriksa jika sebuah situs web pernah dilaporkan sebagai situs penipuan, gunakan kombinasi pemindai teknis dan platform ulasan dari komunitas. Mulailah dengan menempel URL ke pemeriksa tautan dari perusahaan tepercaya seperti Avast. Alat ini menggabungkan laporan dari puluhan mesin keamanan untuk mengidentifikasi phishing aktif, malware, atau peringatan situs penipuan.

Untuk penipuan terkait konsumen dan laporan "penipuan", cari domain di Trustpilot atau Better Business Bureau (di AS dan Kanada) untuk memastikan jika ada pengguna lain yang pernah menandai bisnis tersebut karena tidak mengirimkan pesanan atau melakukan pencurian identitas.

Selain itu, periksa basis data Whois untuk memastikan apakah situs tersebut baru dibuat (ciri-ciri umum domain penipuan), atau gunakan Daftar Peringatan FCA (di Inggris) atau FTC (di AS) untuk memastikan situs telah resmi dimasukkan ke daftar blokir oleh pihak regulator keuangan. Jika menemukan situs berbahaya, Anda dapat memblokirnya di Chrome.

Pemeriksa keamanan situs web online gratis dari Avast atau Norton sudah pasti aman dan tepercaya. Alat ini juga dapat bekerja cepat dan mudah digunakan. Salin dan tempel URL ke pemeriksa tautan gratis untuk memastikan URL tersebut sudah ditandai di basis data ancaman atau tidak. Anda juga dapat membuka Google Safe Browsing dan melaporkan situs web mencurigakan ke pihak berwenang.

Saat berbelanja online, kartu kredit selalu menjadi pilihan utama karena alasan keamanan berkat kerangka kerja hukum yang kuat, sehingga Anda dapat mengajukan keberatan atas tagihan atau "kesalahan penagihan". Sebaliknya, kartu debit langsung menarik dana dari rekening Anda. Meski kartu debit memiliki sistem perlindungan, proses pemulihan dananya mungkin lebih lambat dan uang Anda hilang dari rekening saat bank melakukan proses investigasi."

Anda juga dapat menggunakan dompet digital (Apple Pay, Google Pay, PayPal) dan nomor kartu virtual. Layanan ini mengirimkan kode terenkripsi sekali pakai ke penjual, bukan 16 digit nomor kartu sungguhan milik Anda. Dengan prosedur seperti ini, peretas hanya akan mendapatkan token tidak berguna yang sudah kedaluwarsa, bukan data keuangan permanen Anda, jika pada suatu saat situs web mengalami pembobolan data. Langkah ini sangat efektif untuk mengurangi dampak dari pembobolan data penjual. Terakhir, waspadalah terhadap SMS phishing yang menipu Anda untuk mengabaikan langkah perlindungan tersebut dan memberikan langsung detail pribadi Anda ke penipu.

Mengarahkan kursor ke tautan adalah salah satu cara mudah paling efektif untuk mengenali upaya phishing sebelum terjadi. Dengan mengarahkan kursor ke kata yang di-hyperlink atau tombol sebelum diklik, browser Anda akan menampilkan URL tujuan yang sebenarnya di sudut kiri bawah jendela browser. Jika pop-up menampilkan sederet karakter acak atau domain dengan sedikit kesalahan eja pada nama merek (seperti micros0ft.com alih-alih microsoft.com), hampir dapat dipastikan situs tersebut sedang melakukan spoofing domain untuk mencuri kredensial Anda.

URL yang dipersingkat dapat berisiko karena sengaja menyembunyikan situs web tujuan, sehingga Anda tidak dapat "mengetahui" tautan hanya dengan mengarahkan kursor ke URL. Untuk kasus ini, atau tautan apa pun yang tampak mencurigakan, gunakan URL expander atau pemeriksa keamanan tautan dari Avast atau Google Transparency Report. Alat-alat ini berfungsi sebagai "perisai serangan" digital dengan mengunjungi situs atas nama Anda untuk memindai malware, skrip phishing, dan pengalihan palsu sebelum browser Anda terpapar ancaman. Sumber daya tambahan ini mungkin bermanfaat bagi Anda jika ingin belajar tentang cara mengenali aplikasi palsu.

Tidak. HTTPS (Hypertext Transfer Protocol Secure) tidak menjamin bahwa situs web tepercaya atau aman karena HTTPS hanya menjamin bahwa "jalur" antara browser dan server sudah terenkripsi. Meskipun hal ini mencegah pihak ketiga "menyadap" data Anda, hal tersebut tidak menjamin bahwa pihak di sisi lain memiliki niat yang baik.

Sebagian besar phishing modern dan situs penipuan kini menggunakan HTTPS serta menampilkan ikon gembok untuk menciptakan rasa aman yang palsu. Sebuah situs dapat dienkripsi dengan sempurna, tetapi sebenarnya merupakan situs tiruan yang dirancang untuk mencuri informasi kartu kredit Anda. Untuk memverifikasi keaslian situs, Anda harus melihat jauh di balik ikon gembok dan mencari URL dengan "typosquat" (seperti g00gle.com), informasi kontak yang sudah terverifikasi, serta reputasi domain yang telah terbangun sejak lama. Anda juga tetap membutuhkan alat antivirus yang andal seperti Avast One.

Peringatan "situs tidak aman" pada browser adalah mekanisme perlindungan digital yang memberi tahu Anda jika situs web ditandai karena perilaku berbahaya atau kerentanan keamanan teknis. Peringatan paling parah adalah "layar merah" (dilabeli sebagai "Situs penipuan" atau "Situs berbahaya") yang dipicu oleh layanan seperti Google Safe Browsing atau Microsoft SmartScreen. Ini berarti situs tersebut telah diidentifikasi secara aktif sebagai situs yang menghosting malware, skrip phishing yang dirancang untuk mencuri kata sandi, atau jebakan rekayasa sosial. Peringatan tersebut kini jauh makin canggih dan sering kali dapat menandai halaman phishing "buatan AI" atau ekstensi browser berbahaya yang berupaya membajak sesi Anda.

Peringatan "Tidak Aman" atau pesan "Koneksi tidak privat" berarti situs menggunakan HTTP usang alih-alih HTTPS terenkripsi, atau sertifikat keamanannya sudah kedaluwarsa atau tidak valid. Browser seperti Chrome dan Safari sudah menggunakan standar "HTTPS-First" yang akan memunculkan peringatan yang dapat dilewati meski situs tersebut adalah situs HTTP publik sederhana. Walaupun hal ini tidak selalu berarti situs tersebut "berbahaya," data apa pun yang Anda masukkan, seperti kredensial login atau nomor kartu kredit, dapat disadap dengan mudah oleh peretas di jaringan yang sama.

Jika Anda memasukkan informasi di situs penipuan, putuskan koneksi antara penyerang dan akun Anda. Segera ubah kata sandi di situs web yang resmi. Jika Anda menggunakan kata sandi yang sama di akun lain, terutama untuk email atau layanan perbankan, segera ubah kata sandi akun tersebut juga. Segera aktifkan Autentikasi Dua Faktor (2FA).

Jika Anda membagikan detail keuangan seperti nomor kartu kredit atau CVV, gunakan aplikasi perbankan untuk membekukan kartu dan hubungi bagian penanganan penipuan di bank Anda untuk melaporkan insiden tersebut dan meminta kartu baru.

Jika Anda membagikan data yang sangat sensitif, seperti NPWP atau alamat rumah, ajukan pembekuan kredit ke biro kredit utama untuk mencegah pelaku penipuan membuka rekening baru atas nama Anda. Jalankan juga pemindaian malware menyeluruh di perangkat Anda menggunakan alat antivirus gratis untuk memastikan tidak ada keylogger atau skrip pelacak yang diam-diam terinstal saat Anda membuka web.

Terakhir, pantau dengan saksama kotak masuk email dan laporan mutasi rekening selama beberapa minggu ke depan. Informasi Anda mungkin telah dijual kepada penipu lain, sehingga Anda berisiko menerima lebih banyak upaya phishing yang ditargetkan.

Terapkan pendekatan zero trust terhadap setiap tautan. Selalu arahkan kursor ke URL untuk mengetahui tujuan web yang sebenarnya dan gunakan pemeriksa tautan berbasis sandbox untuk memindai alamat yang mencurigakan sebelum mengkliknya. Anda juga dapat melindungi diri dengan alat pembersih virus seperti Avast One.

Saat membuat kredensial login di situs, pertimbangkan untuk menggunakan Autentikasi Multifaktor (MFA) yang tahan terhadap serangan phishing, seperti kunci keamanan perangkat keras FIDO2 atau passkey biometrik (FaceID/TouchID). Berbeda dari kode SMS tradisional yang dapat disadap atau dimanipulasi, kredensial fisik dan biometrik ini hanya melakukan autentikasi pada domain resmi yang telah terdaftar.