Pesan masuk di WhatsApp Business: "Kak, ini foto paketnya, tolong dicek ya." Lampirannya bukan foto, melainkan file berakhiran .apk. Di hari yang sama, ada pembeli yang mengirim bukti transfer, padahal saldo rekening toko tidak bertambah sepeser pun. Situasi seperti ini makin sering dialami pemilik UMKM yang berjualan online.

Skalanya tidak kecil. Menurut OJK, sejak Indonesia Anti-Scam Centre (IASC) beroperasi pada 22 November 2024 hingga 30 Juli 2026, sudah masuk 636.014 laporan penipuan, dengan lebih dari 1,17 juta rekening terkait yang dilaporkan. Pelaku usaha kecil menjadi sasaran empuk karena biasanya admin, kasir, dan pemilik adalah orang yang sama, sibuk, dan terbiasa merespons chat dengan cepat.

Artikel ini membahas modus penipuan digital yang paling sering mengincar UMKM di 2026, tanda-tandanya, dan langkah praktis untuk melindungi akun, rekening, serta data pelanggan Anda.

Kenapa UMKM Jadi Target Favorit Penipu?

Penipu tidak selalu mengincar perusahaan besar. Bisnis kecil justru menarik karena beberapa alasan berikut:

  • Nomor kontak dipajang terbuka di Instagram, marketplace, Google Maps, dan website, sehingga mudah dihubungi siapa saja.
  • Belum ada SOP keamanan. Siapa pun di tim bisa membuka lampiran atau membagikan kode OTP.
  • Tekanan untuk respons cepat. Takut kehilangan pembeli membuat pemilik toko jarang berhenti sejenak untuk memeriksa.
  • Satu perangkat dipakai untuk semua hal: chat pelanggan, mobile banking, dan media sosial bisnis.

8 Modus Penipuan Digital yang Mengincar UMKM di 2026

1. File APK berkedok foto paket, undangan, atau surat tilang

Ini modus yang paling sering dibahas. Pelaku mengirim file aplikasi (APK) yang diberi nama seperti "Foto Paket", "Undangan Pernikahan", atau "Surat Tilang". Begitu dipasang dan diberi izin, aplikasi tersebut bisa membaca SMS (termasuk OTP) dan membuka jalan untuk menguras rekening. Aturannya sederhana: foto tidak pernah berbentuk file .apk.

2. Bukti transfer palsu

Pembeli mengirim tangkapan layar transfer yang terlihat meyakinkan, lalu mendesak barang segera dikirim. Padahal gambar itu hasil edit. Jangan pernah memproses pesanan hanya berdasarkan screenshot; selalu cek mutasi di aplikasi bank atau notifikasi resmi dari payment gateway.

3. "Salah transfer" dan permintaan uang kembali

Pelaku mengaku salah transfer dan meminta dana dikembalikan ke rekening lain. Kadang dana memang masuk, tetapi berasal dari rekening hasil kejahatan, sehingga rekening toko Anda ikut terseret. Jika ada dana yang tidak dikenal, hubungi bank Anda, bukan si pengirim pesan.

4. Pembajakan akun WhatsApp lewat kode OTP

Modusnya: "Maaf Kak, kode verifikasi saya terkirim ke nomor Kakak, boleh diteruskan?" Kode itu sebenarnya untuk mendaftarkan WhatsApp Anda di perangkat pelaku. Setelah akun diambil alih, pelaku bisa menipu pelanggan atas nama toko Anda.

5. Phishing mengatasnamakan bank, marketplace, atau kurir

Pesan berisi pemberitahuan "perubahan tarif transfer", "akun toko akan dinonaktifkan", atau "verifikasi seller" yang menyertakan tautan ke formulir palsu. Tujuannya mencuri username, password, PIN, atau data pribadi.

6. Quishing (phishing lewat kode QR)

Kode QR yang mengarah ke situs palsu, misalnya ditempel di tempat umum atau dikirim lewat chat dengan alasan mendesak. Di sisi usaha, waspadai juga stiker QRIS milik toko yang diganti diam-diam dengan milik orang lain. Biasakan mengecek nama merchant yang muncul saat pembeli memindai.

7. Pesanan fiktif dalam jumlah besar

Calon pembeli memesan banyak barang, lalu meminta Anda membayar "ongkir khusus", "biaya ekspedisi", atau menalangi pembelian dari pemasok yang ia tunjuk. Ujung-ujungnya, Anda yang mentransfer uang.

8. Pengambilalihan website dan email bisnis

Website dengan password lemah, plugin yang tidak pernah diperbarui, atau email admin yang dibobol bisa dipakai untuk menyisipkan halaman palsu, mengalihkan pengunjung ke situs judi, atau mengganti nomor rekening pembayaran. Pelanggan yang tertipu akan menyalahkan merek Anda.

Tanda-tanda Pesan atau Transaksi Mencurigakan

  • Membuat Anda panik atau terburu-buru ("segera", "hari ini juga", "akun akan diblokir").
  • Meminta kode OTP, PIN, atau password dengan alasan apa pun.
  • Mengirim file .apk atau tautan dengan alamat yang aneh dan tidak resmi.
  • Menolak dikonfirmasi lewat saluran resmi (telepon kantor bank, aplikasi marketplace).
  • Meminta transfer ke rekening atas nama pribadi yang berbeda dari nama perusahaan.

Langkah Praktis Melindungi Bisnis Anda

Untuk akun dan perangkat

  • Aktifkan verifikasi dua langkah di WhatsApp Business, email, marketplace, dan akun media sosial bisnis.
  • Matikan opsi pemasangan aplikasi dari sumber tidak dikenal di ponsel toko.
  • Pisahkan perangkat untuk mobile banking dari perangkat yang dipakai admin untuk membalas chat pelanggan.
  • Gunakan password berbeda untuk tiap akun, simpan di password manager.

Untuk transaksi

  • Buat aturan tertulis: pesanan hanya diproses setelah dana tercatat di mutasi rekening, bukan setelah ada screenshot.
  • Sebelum mentransfer ke pihak baru, cek nomor rekeningnya di cekrekening.id milik Komdigi.
  • Gunakan payment gateway atau QRIS resmi atas nama usaha agar pembayaran terverifikasi otomatis.

Untuk tim

  • Lakukan briefing singkat tentang modus-modus di atas, terutama untuk admin dan kasir baru.
  • Tetapkan satu orang yang berwenang menyetujui transfer keluar dan perubahan data rekening.

Untuk website

  • Perbarui sistem, tema, dan plugin secara rutin, serta hapus akun admin yang tidak lagi dipakai.
  • Pastikan website memakai HTTPS dan punya cadangan (backup) berkala.
  • Pantau website agar Anda tahu lebih dulu jika ada perubahan mencurigakan atau website tiba-tiba down, sebelum pelanggan yang mengabari.

Sudah Terlanjur Kena? Lakukan Ini Secepatnya

  1. Hubungi bank lewat call center resmi untuk memblokir rekening atau kartu yang terdampak.
  2. Laporkan ke IASC melalui situs resmi iasc.ojk.go.id. Siapkan data rekening Anda dan pelaku, rincian transaksi, serta bukti seperti tangkapan layar percakapan dan transfer. OJK menekankan bahwa kecepatan melapor sangat menentukan peluang dana bisa diblokir.
  3. Buat laporan polisi, karena laporan ke IASC tidak menggantikan laporan kepolisian.
  4. Ganti password semua akun penting dan keluarkan perangkat asing dari WhatsApp (menu Perangkat Tertaut).
  5. Umumkan ke pelanggan lewat media sosial resmi jika akun toko sempat diambil alih, agar mereka tidak ikut tertipu.

Keamanan Digital Adalah Bagian dari Kepercayaan Pelanggan

Penipuan digital tidak bisa dihapus sepenuhnya, tetapi risikonya bisa ditekan jauh dengan kebiasaan sederhana: tidak membagikan OTP, tidak memasang APK sembarangan, selalu cek mutasi, dan menjaga keamanan website. Pelanggan yang merasa aman bertransaksi dengan Anda akan lebih mudah kembali dan merekomendasikan bisnis Anda.

Jika bisnis Anda sudah punya website dan ingin memastikan website tersebut tetap aman serta terpantau, Pixarts menyediakan Pixarts Shield untuk layanan Website Security & Monitoring. Kami juga membantu pembuatan website, aplikasi, dan software custom yang dirancang dengan memperhatikan keamanan sejak awal. Ceritakan kebutuhan Anda lewat Konsultasi Gratis bersama tim Pixarts.