Modus Baru Penipuan di Gmail, Saldo Rekening Bank Bisa Terkuras
Google baru-baru ini mengeluarkan peringatan darurat kepada lebih dari dua miliar pengguna Gmail di seluruh dunia, setelah terungkapnya skema phishing (penipuan online) baru yang bisa menembus sistem keamanan Gmail.
Ketika akun Gmail dibajak, peretas bisa mendapatkan akses reset password ke berbagai aplikasi keuangan—dan saldo rekening pun bisa terkuras dalam hitungan menit.
Ia hampir menjadi korban setelah menerima e-mail yang tampak resmi dan dikirim dari alamat [email protected]—alamat yang memang biasa digunakan oleh Google untuk mengirim notifikasi penting, seperti verifikasi login atau perubahan password.
Jika diklik, tautan akan mengarahkan pengguna ke halaman login Google yang terlihat normal. Namun, laman tersebut ternyata palsu dan dihosting di Google Sites (sites.google.com), bukan di accounts.google.com—alamat resmi login Google. Perbedaan kecil ini sering kali tidak disadari pengguna.
Ketika pengguna memasukkan e-mail dan kata sandi mereka, data tersebut langsung jatuh ke tangan penipu. Inilah yang disebut phishing—penipuan dengan cara menyamar sebagai pihak terpercaya untuk mencuri informasi penting.
Bisa lolos sistem keamanan Google
Yang membuat serangan ini berbahaya adalah kemampuannya melewati sistem keamanan seperti DKIM (DomainKeys Identified Mail). DKIM biasanya digunakan Gmail untuk memverifikasi keaslian e-mail dan menyaring yang mencurigakan ke folder spam.
Karena e-mail benar-benar dikirim dari infrastruktur Google dan lolos tanda tangan digital, sistem memandangnya sah dan menampilkannya di kotak masuk, bahkan disatukan dengan notifikasi keamanan asli dari Google.
Dalam pernyataan resmi kepada Newsweek, Google menyatakan telah mengetahui serangan ini dan sedang mengambil langkah penanganan. Serangan tersebut disebut berasal dari kelompok peretas bernama Rockfoils.
“Kami telah mengetahui jenis serangan yang ditargetkan ini dari pelaku ancaman Rockfoils dan telah meluncurkan perlindungan selama seminggu terakhir,” ujar juru bicara Google.
Perlindungan ini disebut akan segera diterapkan sepenuhnya agar celah penyalahgunaan bisa ditutup. Google juga kembali mengingatkan pengguna untuk selalu waspada terhadap pesan e-mail yang meminta data pribadi.
“Google tidak akan pernah meminta kata sandi, kode OTP, atau verifikasi akun melalui email atau telepon,” tegas Google, dikutip KompasTekno dari The New York Post, Sabtu (26/4/2025).
Google mengimbau agar semua pengguna Gmail mengaktifkan autentikasi dua langkah (2FA) atau passkey untuk menambah lapisan keamanan. Kedua metode ini membuat akun tetap terlindungi meskipun kata sandi diketahui pihak lain.
Selain itu, mengingat pentingnya akun Gmail sebagai pusat akses ke banyak layanan digital, termasuk finansial, pengguna disarankan untuk ekstra waspada. Salah satu celah dibobol, bisa menjalar ke akun lain—dan berujung pada kerugian materi.
Tips mengenali dan menghindari e-mail phishing
- Waspadai e-mail yang memberi tekanan waktu atau menimbulkan rasa panik, seperti: "Akun Anda akan dibekukan jika tidak segera dikonfirmasi."
- Cek dengan teliti alamat situs di tautan. Situs login resmi Google hanya menggunakan domain accounts.google.com.
- Hindari klik tautan dari e-mail mencurigakan. Lebih aman mengetik alamat situs secara manual di browser.
- Aktifkan 2FA atau passkey sebagai perlindungan ekstra.
Dengan banyaknya akun keuangan digital yang terhubung ke Gmail, menjaga keamanan e-mail bukan lagi pilihan—tapi keharusan untuk melindungi data dan isi rekening kita.
