Nanya Nomor Call Center ke AI Overview, Malah Nyambung ke Penipu

Beberapa waktu lalu, seorang KOL yang aku tangani kena tipu. Awalnya sederhana: dia perlu menghubungi call center sebuah aplikasi, lalu mencari nomornya di Google. Di paling atas muncul AI Overview, ringkasan jawaban yang dibuat Gemini, lengkap dengan nomor teleponnya. Nomor itu dia telepon. Yang mengangkat ternyata bukan call center aplikasinya, tapi penipu, dan akhirnya dia kena scam.

Yang bikin aku penasaran bukan cuma penipunya, tapi kenapa nomor itu bisa tampil sebagai jawaban. Analisaku waktu itu: nomor tersebut banyak di-spam di Facebook dan forum-forum media sosial, berulang-ulang, seolah sudah banyak orang yang memakainya. Penyebaran sebanyak itu bikin orang percaya, dan ternyata bikin AI ikut "percaya" juga.

Setelah aku riset lebih dalam, pola ini bukan kejadian sekali. Peneliti keamanan sudah mendokumentasikannya, dan cara kerjanya mirip sekali dengan yang aku lihat.

Ternyata ini pola yang sudah dipelajari

Agustus 2025, The Washington Post memberitakan seorang pengusaha di Amerika yang mencari nomor layanan pelanggan perusahaan kapal pesiar untuk memesan shuttle. AI Overview menampilkan sebuah nomor, "petugas" di ujung telepon meminta data kartu kreditnya, lalu muncul tagihan yang nggak pernah dia setujui. Menurut rangkuman Android Authority atas laporan itu, juru bicara Google menyatakan perusahaan sudah mengetahui masalahnya, sudah menindak sejumlah nomor penipu, dan sedang memperbaiki hasilnya.

Desember 2025, tim riset Aurascape menerbitkan temuan yang menurutku paling menjelaskan kasus KOL tadi. Mereka menyebutnya LLM phone-number poisoning. Pelakunya nggak meretas AI-nya. Yang mereka "racuni" adalah internetnya:

• Nomor palsu ditanam di banyak tempat sekaligus: file PDF di situs pemerintah dan kampus yang sudah dibobol, blog WordPress, deskripsi video YouTube, sampai ulasan di Yelp.
• Isinya ditulis rapi dan gampang dibaca mesin, misalnya dalam format tanya jawab atau daftar "Nomor reservasi [nama maskapai]: ...".
• Konten yang sama diulang di banyak domain supaya terlihat meyakinkan.

Hasilnya, Perplexity menjawab pertanyaan soal nomor reservasi resmi Emirates dengan nomor penipu, dan AI Overview Google juga menampilkan nomor palsu untuk maskapai yang sama. Menurut Aurascape, tujuan pelaku adalah membuat konten mereka jadi satu-satunya yang dipilih AI lalu disajikan sebagai "jawaban".

Kenapa AI bisa tertipu

AI search bekerja dengan merangkum apa yang banyak dan konsisten disebut di berbagai sumber. Kalau satu nomor muncul di puluhan tempat bersama nama sebuah merek, bagi mesin itu terlihat seperti kesepakatan banyak orang. Padahal semuanya ditanam oleh pihak yang sama.

Bagian ini yang bikin aku agak merinding. Prinsip yang sama aku pakai saat membantu bisnis klien supaya disebut di jawaban AI: informasi yang konsisten di website, Google Maps, dan media, seperti yang kubahas di Orang Sekarang Nanya ke ChatGPT dan Google AI, Bisnis Kamu Muncul di Jawabannya Nggak? dan case study salon Lond by Ciel Sowal. Penipu memakai tuas yang sama, cuma datanya palsu.

Ada dua hal lain yang menurutku memperparah:

1. Tampilannya meyakinkan. Jawaban AI muncul di kotak paling atas, rapi, dan percaya diri. Orang yang sedang panik karena akunnya bermasalah jarang mengecek ulang.
2. Nomor resminya sering memang nggak ada. Ini dugaanku: banyak aplikasi sekarang melayani pelanggan hanya lewat chat di dalam aplikasi, tanpa nomor telepon. Kalau nomor resminya nggak ada, yang beredar di internet ya cuma nomor yang disebar orang lain.

Google sendiri sudah menegaskan di kebijakan spam Google Search bahwa upaya memanipulasi jawaban AI generatif di Google Search termasuk spam. Artinya Google menindak praktik ini, tapi penindakan selalu datang setelah ada korban.

Skalanya di Indonesia

Data Indonesia Anti-Scam Centre (IASC) nggak memisahkan modus nomor palsu di jawaban AI, jadi angkanya mencakup semua jenis penipuan. Tapi gambarannya cukup jelas. Menurut siaran pers OJK 7 September 2026, sejak 22 November 2024 sampai 31 Agustus 2026 IASC menerima 668.441 laporan, mencatat 1.276.688 rekening yang dilaporkan dan terverifikasi, dan menemukan 159.472 nomor telepon yang dilaporkan korban.

Laporan penipuan masuk ke IASC

668 rb

Nomor telepon yang dilaporkan korban

159 rb

Rekening yang dilaporkan dan terverifikasi

1,27 jt

Yang paling bikin aku berpikir adalah selisih antara dana yang berhasil diblokir dan yang benar-benar kembali ke korban:

Dana korban penipuan yang ditangani IASC(Rp miliar, 22 Nov 2024 sampai 31 Agu 2026)

• Dana korban yang diblokirRp771,2 miliar
• Dana yang dikembalikan ke korbanRp206 miliar

Begitu uang sudah berpindah, nggak semuanya bisa kembali. Jadi yang paling murah tetap mencegah, yaitu memastikan nomor yang kamu telepon memang nomor resmi.

Cara mengecek nomor call center sebelum menelepon

1. Ambil dari sumber yang kamu buka sendiri. Menu Bantuan di dalam aplikasinya, website resmi yang alamatnya kamu ketik sendiri, atau nomor di kartu, kemasan, dan struk.
2. Kalau melihat nomor di AI Overview, klik sumbernya. Kalau yang dikutip ternyata postingan Facebook, forum, kolom komentar, atau blog yang nggak jelas, anggap nomor itu belum terverifikasi.
3. Cocokkan dengan website resmi. Nomor yang hanya ada di forum dan nggak ada di website resmi sebaiknya jangan ditelepon.
4. Kenali tanda bahayanya. CS resmi nggak meminta kode OTP, PIN, atau password, nggak menyuruh kamu berbagi layar atau memasang aplikasi remote, dan nggak meminta transfer ke rekening pribadi. Kalau kamu didesak untuk cepat, itu juga tanda.
5. Kalau sudah terlanjur, segera hubungi bank atau e-wallet kamu lewat jalur resmi untuk memblokir transaksi, lalu laporkan ke IASC. OJK menegaskan laporan ke IASC hanya lewat website resminya, iasc.ojk.go.id, karena situs palsu yang mengatasnamakan IASC juga ada. Kontak OJK yang resmi adalah telepon 157.

Kalau kamu pemilik bisnis atau aplikasi

Kasus seperti ini merugikan dua pihak: korbannya, dan merek yang namanya dipakai. Beberapa hal yang bisa dikerjakan:

• Tulis kontak resmimu dengan jelas di satu halaman. Sebutkan juga jalur yang nggak kamu pakai, misalnya "kami tidak pernah menghubungi pelanggan lewat WhatsApp pribadi".
• Pasang structured data. Dokumentasi Google untuk structured data Organization merekomendasikan properti contactPoint dan telephone untuk menyampaikan cara resmi pelanggan menghubungi bisnismu.
• Samakan datanya di semua kanal resmi: website, Google Business Profile, aplikasi, dan akun media sosial.
• Cek berkala apa kata AI. Tanyakan "nomor CS [nama bisnismu]" ke Google, ChatGPT, dan Perplexity. Aurascape juga menyarankan merek memantau nomor tak resmi yang muncul di jawaban AI.
• Laporkan yang salah. Pakai tombol masukan di AI Overview dan laporkan konten spam ke Google, lalu peringatkan pelangganmu lewat kanal resmi.

Penutup

AI Overview memang praktis, dan aku sendiri sering memakainya. Tapi untuk hal yang menyangkut uang dan akun, nomor telepon adalah satu hal yang menurutku nggak boleh diambil dari ringkasan AI. Ambil dari aplikasi atau website resminya, walaupun butuh beberapa detik lebih lama.

Kalau kamu pemilik bisnis dan ingin memastikan informasi resmi bisnismu yang muncul di Google dan jawaban AI, cerita aja dulu kebutuhanmu.