Suara Bos di Telepon Minta Transfer, Ternyata Deepfake

Sore hari, staf keuangan menerima telepon WhatsApp dari nomor baru. Suaranya persis suara pemilik perusahaan: "Saya lagi meeting, nggak bisa lama. Tolong transfer ke vendor ini sekarang, urgent, nanti saya jelaskan." Nadanya buru-buru, sedikit kesal, dan sangat meyakinkan.

Dulu penipuan seperti ini mudah ketahuan karena suaranya beda. Sekarang AI bisa meniru suara, bahkan wajah dalam video call. Yang tersisa sebagai pagar hanyalah prosedur.

Ini bukan cerita film

Arup, 2024. Di wawancara dengan World Economic Forum (Februari 2025), Chief Information Officer Arup, perusahaan engineering asal Inggris, menceritakan kejadian awal 2024: seorang karyawan mentransfer dana perusahaan setelah video call dengan "manajemen senior" yang ternyata semuanya deepfake. Kerugiannya US$25 juta. Ia menyebutnya technology-enhanced social engineering: nggak ada sistem yang dibobol dan nggak ada data yang terdampak, orangnya yang diperdaya. Setelah kejadian itu, ia mencoba membuat deepfake dirinya sendiri secara real time dengan software open source, dan butuh sekitar 45 menit. Hasilnya belum terlalu meyakinkan, tapi ia terkejut seberapa banyak yang bisa dicapai dalam waktu sesingkat itu.

Indonesia, 2025. Polri menangkap pelaku penipuan yang memakai video deepfake Presiden Prabowo, Wakil Presiden Gibran, dan Menteri Keuangan saat itu, Sri Mulyani, untuk menawarkan bantuan pemerintah palsu. Korban diarahkan ke nomor WhatsApp, lalu diminta membayar "biaya administrasi" antara Rp250 ribu dan Rp1 juta. Polisi mencatat 11 korban, dan pelaku mengaku menjalankannya sejak 2020. Targetnya masyarakat umum, bukan perusahaan, tapi ini menunjukkan teknik yang sama sudah dipakai penipu lokal.

Kenapa trik lama ini makin ampuh

Polanya sebenarnya sudah lama: otoritas (yang meminta atasan), mendesak (harus sekarang), dan rahasia (jangan bilang siapa-siapa dulu). Dulu yang sering menggagalkannya adalah suara atau wajah yang terasa janggal. AI menghapus petunjuk itu. Jadi yang perlu diubah bukan kemampuan karyawan menebak suara asli atau palsu, tapi aturan yang nggak bergantung pada tebakan.

FBI, dalam peringatan publiknya soal penipuan dengan AI generatif (Desember 2024), menyarankan beberapa hal yang relevan: buat kata atau frasa rahasia untuk memverifikasi identitas, tutup telepon lalu hubungi balik lewat nomor yang kamu cari sendiri, perhatikan nada dan pilihan kata, dan batasi rekaman suara serta wajahmu di internet.

Prosedur sederhana untuk tim keuangan

Ini saranku, dan semuanya bisa diterapkan minggu ini:

1. Transfer di luar kebiasaan nggak pernah diproses hanya dari telepon, voice note, atau video call. Harus ada konfirmasi lewat jalur kedua.
2. Telepon balik ke nomor yang sudah tersimpan, bukan ke nomor yang menelepon atau nomor yang dikirim di chat.
3. Kata sandi verbal internal untuk permintaan yang mendesak. Disepakati langsung, nggak pernah ditulis di chat.
4. Dua orang menyetujui transfer di atas batas tertentu, lewat jalur yang berbeda dari permintaan awalnya.
5. Perubahan nomor rekening vendor wajib diverifikasi ulang lewat kontak resmi yang sudah ada sebelumnya.
6. Boleh menunda. Sepakati dari atas: atasan yang asli nggak akan marah kalau stafnya mengecek dulu.
7. Latihan singkat. Ceritakan kasus seperti di atas ke tim keuangan dan admin, lalu simulasikan sekali.

Prinsipnya sama dengan pembagian di Di Titik Mana Manusia Harus Tetap Ngecek Hasil AI dan Automation: transfer uang termasuk tindakan yang harus diputuskan manusia dengan pengecekan. Bahkan agen Dots dari OpenAI meminta penggunanya mengambil alih sendiri untuk transfer uang, seperti yang kubahas di ChatGPT Sekarang Punya Dots, dan Yang Menarik Bukan Kepintarannya tapi Siapa yang Pegang Aksesnya.

Kalau sudah terlanjur transfer

Bergerak cepat. Segera hubungi bank untuk meminta pemblokiran atau penundaan dana, kumpulkan bukti (nomor, rekaman, chat, bukti transfer), laporkan ke polisi, dan laporkan juga ke Indonesia Anti-Scam Centre (IASC) OJK. Setelah itu, cek apakah ada akun perusahaan yang ikut dibobol, karena permintaan palsu kadang datang dari akun asli yang diambil alih. Langkah mengamankannya ada di Kalau Akun Google Perusahaan Kena Hack Besok Pagi, Apa Saja yang Hilang?.

Modus lain yang memanfaatkan kepercayaan, kali ini lewat jawaban AI di Google, aku bahas di Nanya Nomor Call Center ke AI Overview, Malah Nyambung ke Penipu.

Penutup

Kita nggak bisa lagi mengandalkan telinga dan mata untuk memastikan siapa yang bicara. Yang bisa diandalkan adalah prosedur yang nggak peduli seberapa meyakinkan suaranya: telepon balik, dua persetujuan, dan budaya yang membolehkan staf mengecek dulu.

Kalau kamu ingin merapikan alur persetujuan pembayaran di perusahaan, cerita aja dulu alurnya sekarang.