Penipuan deepfake makin meyakinkan: cara bisnis Anda memverifikasi pesan soal uang

Pada Februari 2026, penipu mengirim pesan WhatsApp yang berpura-pura berasal dari CEO Intesa Sanpaolo, lalu memakai suara hasil kloning AI dari seorang pengacara yang dikenal untuk meyakinkan ketua Fideuram, bank swasta milik grup itu. Transfer sekitar 95 juta euro pun diotorisasi. Sebagian dana, sekitar 53 juta euro, berhasil dipulihkan lewat kerja sama kepolisian lintas negara. Sekitar 36 juta euro sisanya hilang, dipindah ke rekening di Tiongkok dan Hong Kong dan sebagian diubah menjadi kripto. Kasus ini dilaporkan Reuters pada September 2026, dan ketua bank itu mengundurkan diri pada Maret dengan alasan pribadi, tanpa menjadi tersangka.

Pelajaran dari kasus ini ada di prosedurnya: satu pesan, satu suara, dan satu rasa percaya sudah cukup untuk menggerakkan uang sebesar itu. Bagi bisnis Anda, ukurannya jauh lebih kecil, tetapi mekanismenya sama. Penipu tidak perlu meretas sistem Anda. Mereka hanya perlu meyakinkan satu orang yang memegang akses transfer, pada satu hari yang sibuk, dengan pesan yang terasa mendesak dan rahasia.

Ini bukan lagi ancaman langka

Survei 2026 Treasury Dragons Payment Fraud Index, yang dirilis nsKnox pada 1 Oktober 2026, menemukan 76 persen organisasi mengalami setidaknya satu insiden penipuan pembayaran dalam setahun terakhir, dan 53 persen menghadapi upaya penipuan terkait deepfake, baik yang terkonfirmasi maupun yang dicurigai. Serangan itu jarang berdiri sendiri: penipu biasanya memasangkan utas email yang tampak sah dengan panggilan suara, pesan, atau interaksi video agar permintaan pembayaran terlihat nyata. Namun hanya 44 persen organisasi yang punya kebijakan formal soal penipuan terkait AI.

Angka yang paling mengganggu justru soal kepercayaan. Sebanyak 79 persen responden merasa yakin atau sangat yakin pada data rekening pemasok mereka, tetapi hanya 18 persen yang terus-menerus memvalidasi ulang data itu. Sebanyak 41 persen masih menerima data pemasok atau pembayaran yang sensitif lewat email, bukan kanal yang aman. Dengan kata lain, banyak bisnis merasa aman justru di titik yang paling jarang diperiksa.

Di India, regulator pasar modal SEBI mengeluarkan peringatan publik pada 17 Juli 2026 soal "Boss Scam": penipu menyamar sebagai eksekutif senior lewat email, WhatsApp, atau Teams, lalu meminta staf keuangan mentransfer dana, sering dengan dalih kerahasiaan yang membuat korban enggan memverifikasi. SEBI mencatat pelaku makin sering memakai kloning suara deepfake dan video call hasil AI.

Di Indonesia, Otoritas Jasa Keuangan mencatat kerugian penipuan mencapai Rp7,8 triliun antara November 2024 dan November 2025, dengan lebih dari 70.000 laporan terkait penipuan berkemampuan AI per Agustus 2025. Dua metode yang paling sering dipakai, menurut OJK, adalah kloning suara dan impersonasi deepfake. Pusat anti-penipuan IASC mencatat 343.402 laporan penipuan dan 106.222 rekening yang diblokir sampai November 2025, dengan dana yang berhasil dipulihkan Rp386,5 miliar. Pesan OJK kepada publik sejalan dengan inti artikel ini: verifikasi permintaan mencurigakan lewat kanal terpisah.

Kenapa mata dan telinga Anda tidak cukup

Kasus Arup pada awal 2024 sudah memberi peringatan: seorang karyawan perusahaan teknik itu tertipu deepfake yang menyamar sebagai CFO dan rekan-rekannya dalam video call langsung, lalu mengotorisasi transfer 25,6 juta dolar AS. Dua tahun perkembangan AI generatif kemudian, serangan seperti itu bisa diulang dengan perkakas yang mudah didapat.

Artinya, melatih staf "mengenali deepfake" dari gerakan bibir atau kedipan mata adalah pertahanan yang kalah cepat dari teknologi penyerangnya. Pertahanan yang tidak kalah cepat adalah pertahanan yang tidak bergantung pada pengenalan sama sekali: setiap permintaan uang diperlakukan sama, apa pun kanal dan suaranya, dan baru dieksekusi setelah lolos pemeriksaan lewat jalur yang sudah disepakati sebelumnya.

Prosedur lima langkah yang bisa Anda terapkan minggu ini

Prosedur ini tidak butuh perangkat lunak baru. Ia butuh kesepakatan tertulis dan latihan singkat.

1. Callback ke nomor yang sudah tercatat. Setiap permintaan transfer, penambahan penerima baru, atau perubahan rekening harus dikonfirmasi dengan menelepon nomor yang sudah ada di catatan perusahaan, bukan nomor yang tertera di pesan yang mencurigakan itu. Kasus SEBI menunjukkan kenapa ini penting: penipu bisa mengubah kontak di perangkat korban, sehingga callback ke nomor yang salah justru sampai ke penipu. Nomor yang dipakai harus berasal dari catatan internal, bukan dari pesan yang sedang diverifikasi.

2. Tidak ada persetujuan di aplikasi chat pribadi. WhatsApp dan aplikasi sejenis boleh dipakai untuk memberi tahu, bukan untuk menyetujui. Persetujuan pembayaran hanya sah di sistem atau dokumen yang sudah ditetapkan perusahaan, dengan jejak yang bisa diaudit.

3. Persetujuan ganda untuk nilai di atas ambang. Tetapkan ambang, misalnya semua transfer di atas Rp10 juta, atau angka yang sesuai skala bisnis Anda, wajib disetujui dua orang lewat dua kanal berbeda. Satu orang yang ditekan penipu tidak cukup untuk menggerakkan uang.

4. Kata sandi darurat. Sepakati satu kata sandi yang hanya diketahui orang dalam, dipakai saat seseorang memberi instruksi mendesak lewat kanal tak biasa. Kalau penelepon tidak bisa menyebutkannya, percakapan berhenti sampai identitas terverifikasi lewat callback. Kata sandi ini murah, dan justru karena murah ia sering dilupakan.

5. Kerahasiaan adalah tanda berhenti, bukan alasan mempercepat. Kalimat seperti "jangan beri tahu keuangan dulu", "transaksi ini rahasia", atau "regulator tidak boleh tahu" adalah ciri yang diperingatkan Europol dan SEBI. Dalam prosedur Anda, kalimat semacam itu otomatis menaikkan level pemeriksaan, bukan menurunkannya.

Tambahkan satu latihan: sekali dalam tiga bulan, seseorang yang senior mengirim permintaan pembayaran "mendesak dan rahasia" dari nomor baru, lalu lihat siapa yang melakukan callback ke nomor tercatat dan siapa yang langsung mentransfer. Latihan lima belas menit ini lebih berharga daripada poster peringatan di dinding.

Kalau sudah telanjur terjadi

Kecepatan adalah segalanya. Hubungi bank lewat jalur fraud-nya dan minta recall atas setiap transfer, bekukan pembayaran lebih lanjut ke penerima yang sama, dan simpan semua pesan, log panggilan, nomor, dan email. Pada hari yang sama, laporkan ke polisi dan beri tahu perusahaan asuransi Anda. Kasus Fideuram menunjukkan pemulihan sebagian masih mungkin lewat kerja sama lintas negara, tetapi hanya bila jejaknya utuh dan laporannya cepat.

Sikap kami: verifikasi masuk ke desain bisnis

Artikel sebelumnya di situs ini membahas sisi lain dari uang yang bergerak lewat AI, ketika agen AI membayar tagihan supplier: https://tamatech.id/insights/agen-ai-untuk-pembayaran. Artikel ini membahas sisi sebaliknya: ketika seseorang, atau sesuatu yang tampak seperti seseorang, meminta bisnis Anda membayar. Keduanya menuntut hal yang sama: tidak ada uang yang bergerak tanpa pemeriksaan yang bisa dipertanggungjawabkan.

Merancang alur persetujuan pembayaran, ambang persetujuan ganda, dan prosedur callback yang bisa diaudit adalah pekerjaan awal di layanan Konsultasi & Perancangan Sistem: https://tamatech.id/services/konsultasi-perancangan-sistem. Pekerjaan itu dikerjakan sebelum otomasi apa pun dibangun, supaya sistem yang Anda pakai cepat dan sulit ditipu.

Langkah pertama Anda hari ini sederhana: tulis aturan callback ke nomor tercatat di satu lembar, tempel di dekat orang yang memegang akses transfer, dan sepakati kata sandi daruratnya. Bila aturan itu ternyata menyentuh banyak kanal dan banyak orang, ceritakan lewat Tanya Tama di situs ini. Kita mulai dari petanya, bukan dari alatnya.