Polisi Bekuk Jaringan Penipu Smishing, Total Kerugian Para Korban Rp9,1 Triliun

JAKARTA, AFU.ID — Polisi menangkap lima tersangka penipuan dengan modus SMS palsu alias SMS Phising. Para tersangka diciduk di beberpa tempat berbeda setelah polisi mengembangkan penyelidikan dari pelaku pertama yang ditangkap di sebuah mobil di sekitar stasiun MRT Bundaran HI.

Pada awalnya petugas mencurigai sebuah mobil Toyota Avanza kelir silver bernomor polisi B 2755 XXX yang mondar-mandir di sekitar rute MRT Jakarta dari Bundaran HI hingga Blok M, Jakarta Selatan. Begitu mobil ditangkap dan digeledah, polisi menemukan pengemudi yang bekerja sendirian sambil mengoperasikan alat pemancar sinyal atau Basic Transmitter System (BTS) buatan sendiri.

Modus yang dipakai oleh tersangka, ia melakukan penyebaran tautan melalui SMS berisi malware. Untuk melancarkan aksi ini, mereka tidak memanfaatkan jalur operator resmi, tetapi menggunakan alat pemancar (BTS) sendiri. Kasubdit 4 Ditressiber Polda Metro Jaya AKBP Grawas Sugiharto menjelaskan, polisi telah menerima laporan awal tentang adanya masyarakat yang menerima pesan singkat berisi tautan menuju situs web palsu ketika mereka berada di sekitar jalur MRT. “Pesan itu mencatut penyedia layanan telekomunikasi, lembaga perbankan, dan lembaga lainnya,” kata Grawas dalam konferensi pers di Jakarta, Jumat, (2/10/2026).

Tersangka yang pertama kali ditangkap adalah pria berinisial GM yang mengemudikan mobil silver tadi. Ia mengaku bekerja atas perintah NL. Sedangkan kegiatan operasional tersebut didanai oleh tersangka lain berinisial AGW. Tim ahli operasional kejahatan ini dilakukan oleh JYI sebagai teknisi yang merakit perangkat fake BTS, dan AD yang menjadi sutradara aksi phising. AD lah yang menentukan jumlah sebaran, titik lokasi, narasi teks, dan aplikasi perangkapnya.

Selain menangkap kelima orang tersebut, polisi menyita barang bukti berupa satu unit mobil berwarna silver, perangkat fake BTS yang terdiri atas aki, penguat sinyal, catu daya, lima unit telepon seluler, serta buku rekening dan kartu ATM.

Modus Operandi Smishing

Pada awalnya tersangka mengoperasikan fake BTS di dalam mobil yang dikendarai di dekat kerumunan orang. Fake BTS ini akan menjadi tuan atas sinyal ponsel sekitar. Sekali menguasai, fake BTS dapat melepaskan ponsel tersebut dari sinyal yang lebih lemah.

Melalui mobile BTS ini para pelaku menyebarkan SMS ke nomor-nomor yang terekam berada di area sekitar. Mengapa penipu menggunakan perangkat sendiri? Karena sistem keamanan operator seluler dan regulasi saat ini sudah sangat ketat. Jika mereka menggunakan jalur legal melalui jaringan operator resmi, pesan mereka kemungkinan besar akan kena blokir oleh sistem spam filtering.

Dengan memancarkan sinyal radio ilegal sendiri, penipu mengirimkan SMS langsung dari perangkat mereka ke ponsel korban tanpa menyentuh infrastruktur atau server operator seluler sama sekali. Dengan demikian sistem keamanan operator tidak mendeteksi adanya aktivitas tersebut.

Fake BTS tidak hanya mampu mengirim pesan, tetapi juga memaksa ponsel di sekitarnya memutuskan sambungan dari menara resmi dan terhubung ke menara palsu karena pancaran sinyalnya dibuat lebih kuat. Begitu ponsel korban terhubung, penipu dapat melakukan serangan man in the middle. Ini memungkinkan mereka mencegat, membaca, dan memanipulasi SMS keluar-masuk secara real-time, termasuk mencuri kode On Time Password (OTP) dari ponsel korban.

Tentang isi sms, pesan tersebut dibuat seolah-olah berasal dari instansi terpercaya seperti bank, layanan logistik, platform pesan instan (WhatsApp), atau lembaga pemerintah seperti pemberitahuan denda e-tilang kejaksaan. Kesannya dibuat seolah-olah urgent sehingga memancing reaksi aktif korban seketika itu. Narasi pesan sering kali berupa ancaman akun diblokir, hadiah poin kedaluwarsa, atau tagihan tilang yang harus segera dibayar.

Bunyi pesan singkatnya misalnya: “Yth. Nasabah Bank, akun Anda terdeteksi aktivitas mencurigakan dan akan diblokir. Segera verifikasi data Anda melalui bit.ly/bca-update-pasti untuk menghindari pembekuan akun”. Atau: “Silakan cek resi dan foto paket Anda melalui aplikasi kurir berikut [NAMA_EKSPEDISI].apk. Unduh aplikasi untuk melihat detail pengiriman”.

Setelah korban menerima sms tersebut, dia akan membuka link, lalu melakukan aktivitas sebagaimana diperintahkan aplikasi yang ditanam pelaku. Korban diarahkan mengeklik tautan phishing yang mengarah ke situs web palsu yang sangat mirip dengan aslinya. Korban kemudian memasukkan data sensitif seperti kata sandi, PIN, OTP, atau nomor kartu kredit.

Polisi telah menerima laporan tiga korban yang telah menjadi korban penipuan di sekitar stasiun MRT ini. Dari lokasi lain, jumlah korban jauh lebih banyak. Menurut data Otoritas Jasa Keuangan (OJK) penipuan SMS phishing (smishing) pada tahun 2026 menyebabkan para korban kehilangan dana Rp9,1 triliun per Januari 2026. (MJR)