Phishing Adalah Peniruan Kanal Bank: DMARC 20 Lembaga Keuangan

Phishing adalah penipuan yang meniru kanal resmi sebuah lembaga tepercaya (domain email, situs, aplikasi, atau nomor pengirimnya) untuk membuat korban menyerahkan kata sandi, PIN, atau kode OTP. Kalau yang ditiru bank, penyerangnya memakai identitas bank itu sendiri. Artinya, sebagian permukaan serangannya justru dikendalikan pemilik kanal. Kami mengukur 20 bank, asuransi, dan multifinance di Indonesia pada 26 Oktober 2026: 10 di antaranya masih memasang DMARC p=quarantine, bukan p=reject. Hanya 3 yang punya BIMI dengan sertifikat VMC. Tidak satu pun menerbitkan MTA-STS.

Skala penipuannya tidak kecil. Menurut siaran pers OJK SP 185/OJK/DKPU/X/2026 (5 Oktober 2026), Indonesia Anti-Scam Centre (IASC) menerima 702.342 laporan sejak 22 November 2024 sampai 30 September 2026, memblokir 702.833 rekening, dan memblokir dana Rp811,1 miliar. Angka itu mencakup semua penipuan transaksi keuangan, bukan phishing saja. OJK tidak memecahnya per modus.

Phishing adalah tiga serangan berbeda, dan hanya satu yang dihentikan DMARC

Halaman-halaman di sepuluh besar Google untuk kata kunci ini menulis untuk orang yang menerima pesan: jangan klik tautan, periksa ejaan, waspadai urgensi. Head of Digital yang menandatangani kanal bank punya pertanyaan lain. Bagian mana dari peniruan itu yang bisa kami tutup sendiri?

Jawabannya tergantung jenis peniruannya. Ada tiga, dan ketiganya sering dicampur:

• Exact-domain spoofing. Email yang benar-benar memakai domain bank di alamat From, misalnya notifikasi@bankanda.co.id, padahal dikirim dari server penipu. Ini yang ditutup DMARC.
• Display-name spoofing. Nama tampilannya "Bank Anda", tetapi alamat di baliknya Gmail atau domain acak. DMARC tidak melihatnya.
• Lookalike domain. Domain yang mirip: huruf ditukar, tanda hubung ditambah, atau ekstensinya lain. DMARC juga tidak melihatnya, karena penipu mengendalikan domain itu dan bisa memasang SPF, DKIM, dan DMARC yang sah.

Batas ini ditulis sendiri oleh standarnya. RFC 9989 (Mei 2026), yang kini menggantikan RFC 7489 sebagai spesifikasi DMARC, menyatakan di §2.2 bahwa DMARC hanya melawan peniruan domain yang persis sama. Domain yang mirip secara visual dan penyalahgunaan nama tampilan berada di luar jangkauannya. Dua halaman di sepuluh besar menyebut domain mirip sebagai "domain spoofing" atau menyamakannya dengan DNS spoofing. Itu tiga hal berbeda, dengan tiga kontrol berbeda.

Phising adalah ejaan lain dari serangan yang sama

"Phising" dengan satu h dicari hampir tiga kali lebih sering daripada ejaan bakunya: 22.200 per bulan berbanding 8.100, menurut data volume Google Ads yang kami tarik lewat DataForSEO pada 23 dan 26 Oktober 2026. Maknanya sama persis. Konsekuensinya praktis: peringatan bank untuk nasabah sebaiknya juga bisa ditemukan lewat ejaan yang salah itu.

Pengukuran: autentikasi email 20 lembaga keuangan, 26 Oktober 2026

Kami menjalankan dig ke resolver publik 1.1.1.1 dari server kami di Jakarta pada 26 Oktober 2026 pukul 05.01 UTC, untuk domain apex 20 lembaga keuangan: 17 bank, 2 perusahaan asuransi, dan 1 multifinance. Yang dibaca: kebijakan DMARC, akhiran SPF, record BIMI beserta sertifikatnya, MTA-STS, TLS-RPT, dan CAA.

Temuan lain dari putaran yang sama:

• SPF: 15 domain diakhiri -all (tolak pengirim yang tidak terdaftar) dan 5 diakhiri ~all: BTN, OCBC, Panin, Allianz, dan HSBC. btpn.com ikut dalam 15 itu. Domainnya terbaca dan SPF-nya diakhiri -all, tetapi ia sesekali menjawab SERVFAIL di resolver publik (DNSSEC), sehingga penerima kadang bisa mendapat temperror untuknya. Menurut RFC 7208 §8.5, hasil softfail dari ~all tidak boleh menjadi satu-satunya alasan penerima menolak email.
• Kebijakan subdomain eksplisit sp=reject hanya ada di 4 domain: BCA, BRI, Maybank, dan Bank Mega.
• BIMI dengan VMC: ketiga sertifikat (BCA, BRI, OCBC) diterbitkan DigiCert dan berlaku sampai April, Juni, dan Agustus 2027. Record default._bimi milik Adira berisi token, bukan record BIMI.
• MTA-STS: 0 dari 20. TLS-RPT: 0 dari 20.

Cara membaca angka ini. Kami hanya memeriksa domain apex; bank juga mengirim dari domain dan subdomain lain yang tidak kami periksa. BIMI dengan VMC berarti domain itu eligible menampilkan logo di kotak masuk yang mendukung BIMI, bukan jaminan logonya muncul. Dan "peniruan domain persis sudah tertutup" hanya berlaku untuk 10 domain di p=reject. p=quarantine mengirim email yang gagal ke folder spam, dan nasabah masih bisa membukanya dari sana. BTPN kini beroperasi sebagai SMBC Indonesia; domain barunya, smbci.com, juga di quarantine, dengan SPF -all dan tanpa BIMI.

Pendapat kami: untuk domain apex bank, quarantine adalah setengah langkah. Begitu semua pengirim sahnya terdaftar di SPF dan DKIM, email yang gagal DMARC atas nama domain bank hampir pasti palsu. Menaruhnya di folder spam berarti tetap mengantarkannya ke nasabah.

Supaya adil, angka kami sendiri: webarq.com memasang DMARC p=reject dan SPF -all, tetapi record BIMI kami tidak menyertakan sertifikat VMC, dan kami belum menerbitkan MTA-STS, TLS-RPT, maupun CAA. Jadi webarq.com sendiri tidak eligible untuk logo di Gmail.

Apa yang diwajibkan regulasi, dan apa yang tidak

Kata "phishing" muncul nol kali di POJK 22/2023 tentang pelindungan konsumen, di POJK 12/2024 tentang strategi anti-fraud, di PBI 2/2024, dan di PADG 24/2024, menurut hitungan kami atas teks resmi masing-masing. Instrumen yang menyebutnya adalah SEOJK 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum (27 Desember 2022), sebanyak tujuh kali. Di Lampiran I.b kontrol 4.1.b butir 19, ia menyebut DMARC secara eksplisit:

implementasi kebijakan Domain-based Message Authentication and Conformance (DMARC) atau protokol autentikasi surat elektronik untuk melindungi domain dari penggunaan yang tidak sah agar tidak digunakan dalam serangan atau aktivitas ancaman keamanan siber antara lain penyusupan surat elektronik bisnis (business email intrusion) dan phishing melalui surat elektronik (email phishing);

Perhatikan yang tidak ada di kalimat itu: tingkat kebijakan. p=quarantine sudah memenuhi bunyinya. Argumen untuk p=reject datang dari RFC 9989 §4.7, bukan dari OJK. Quarantine berarti pemilik domain menganggap email yang gagal "mencurigakan"; reject berarti pemilik domain menyatakan kegagalan itu tanda jelas domainnya dipakai tanpa hak. Penerima besar pun tidak memaksa. Pedoman pengirim Gmail untuk pengirim di atas 5.000 pesan per hari menerima DMARC p=none. SEOJK 29 juga hanya mengikat bank umum; untuk asuransi dan multifinance, kami belum membaca surat edaran siber yang setara.

Di sisi Bank Indonesia, PADG 24/2024 (31 Desember 2024) Pasal 13 mewajibkan program budaya keamanan siber berupa awareness, pelatihan, dan/atau edukasi, untuk pihak internal, pihak ketiga, dan konsumen, paling sedikit setahun sekali. Penjelasan Pasal 13(2) lalu membagi sasarannya: hanya awareness (video, buletin, poster) yang ditujukan ke konsumen; pelatihan untuk internal dan pihak ketiga, edukasi untuk internal saja. Pasal 23(e) meminta metode autentikasi sesuai profil risiko siber. Di POJK 22/2023 (20 Desember 2023), Pasal 24(1) mewajibkan PUJK memastikan keamanan sistem informasi dan ketahanan siber untuk pelindungan konsumen, dan Pasal 24(5) mengarahkannya ke ketentuan sektoral, yang bagi bank adalah SEOJK 29. Kewajiban per layarnya kami uraikan di pembacaan POJK perlindungan konsumen 22/2023.

Ringkasnya, regulasi meminta bank mendidik nasabah dan memasang DMARC dalam bentuk apa pun. Sisanya, permukaan teknis yang membuat bank lebih sulit ditiru, diserahkan ke keputusan institusi. Pelaporan kerugian setelah fraud terjadi diatur POJK 12/2024 dan dibahas terpisah di artikel klaster ini hari Rabu.

Daftar kontrol yang bisa dikirim pemilik kanal

Tidak satu pun butir di bawah DMARC diwajibkan instrumen OJK atau BI yang kami baca.

Beberapa catatan atas tabel itu. RFC 9989 menghapus tag pct, lalu menambahkan tag np untuk subdomain yang tidak ada dan tag t untuk mode uji. Panduan BIMI Google meminta DMARC minimal quarantine dan sertifikat VMC atau CMC dari CA pihak ketiga; record BIMI tanpa sertifikat, seperti milik kami, tidak menampilkan logo di Gmail. MTA-STS melindungi email yang dikirim ke domain bank dari penyadapan di jalan. Ia tidak menghentikan spoofing. CAA mencegah CA lain menerbitkan sertifikat untuk domain bank, tetapi tidak berbuat apa-apa terhadap domain mirip yang didaftarkan penipu.

Domain mirip dan aplikasi palsu

Pendaftaran .co.id menurut Kebijakan Pendaftaran Nama Domain PANDI versi 9.0 (30 September 2024) §8.1 mensyaratkan NIB dan identitas pendaftar, jadi penipu cenderung memakai .com, .id, atau ekstensi generik lain. Pemantauan yang berguna mencakup semua ekstensi itu, ditambah toko aplikasi dan file APK yang beredar di luar toko. SEOJK 29 Lampiran I.c kontrol 3.c butir 3 memang meminta deteksi "malicious domain" lewat DNS query logging, tetapi itu log DNS internal bank, bukan pemantauan domain mirip di internet.

Teks prompt OTP dan transaksi

OTP lewat SMS atau aplikasi bisa di-phishing secara real time: situs palsu meneruskan kata sandi dan OTP yang diketik nasabah ke bank asli selagi kodenya masih berlaku. Teks OTP yang menyebut jenis transaksi, nominal, dan penerimanya membuat nasabah bisa melihat bahwa yang ia setujui adalah transfer, bukan "verifikasi akun". Kontrol yang benar-benar tahan phishing adalah autentikasi FIDO2 atau passkey, yang terikat ke domain asli sehingga tidak bisa dipakai di situs tiruan.

Satu kanal resmi "kami tidak pernah meminta"

Kami tidak menemukan aturan OJK, BI, atau Komdigi yang mewajibkan pernyataan "kami tidak pernah meminta OTP/PIN". Ini praktik, bukan kewajiban. Supaya berguna, pernyataannya harus satu arah dan lengkap: satu halaman di domain utama bank yang mendaftar setiap domain pengirim email, nomor WhatsApp Business, sender ID SMS, dan aplikasi resmi, plus pernyataan tegas apa yang tidak akan pernah diminta lewat kanal mana pun.

Ciri-ciri phising dan contoh phising: yang dilihat nasabah, yang bisa ditegakkan bank

Daftar ciri-ciri biasanya berhenti di sisi nasabah. Padahal setiap ciri punya pasangan di sisi bank:

• Alamat pengirim aneh → DMARC reject menutup peniruan domain persis; pemantauan menangkap domain mirip.
• Tidak ada logo terverifikasi → BIMI dengan VMC membuat email asli bisa dibedakan, di kotak masuk yang mendukungnya.
• Diminta OTP lewat chat atau telepon → teks OTP yang menyebut transaksi, dan halaman kanal resmi.
• Ada gembok HTTPS, jadi dianggap aman → salah. HTTPS hanya membuktikan koneksinya terenkripsi, bukan bahwa situsnya milik bank. Halaman bank yang menyuruh nasabah percaya pada tautan berawalan "https://" sedang mengajarkan kebiasaan yang dipakai penipu.

Phishing lewat WhatsApp dan SMS

Di WhatsApp dan SMS, DMARC, SPF, dan BIMI tidak berlaku sama sekali; ketiganya protokol email. Yang tersisa bagi bank adalah daftar kanal resmi yang dipublikasikan dan teks pesan yang konsisten, sehingga pesan di luar daftar itu mudah dikenali. Kami tidak menemukan aturan Komdigi atau BRTI yang mengatur sender ID SMS khusus bank.

Setelah nasabah terkena

Jalur pelaporan di Indonesia yang punya angka terbuka adalah IASC: dari 702.342 laporan, 334.756 masuk lewat bank dan penyelenggara jasa pembayaran, dan Rp207,16 miliar dikembalikan dari rekening di 24 bank. Bagaimana kerugian itu dicatat dan dilaporkan ke OJK diatur POJK 12/2024, pokok artikel Rabu di klaster ini.

Untuk Head of Digital: urutan kerjanya

1. Inventarisasi semua domain dan subdomain yang mengirim email atas nama bank, bukan hanya apex.
2. Naikkan DMARC ke p=reject dengan sp/np eksplisit, setelah laporan agregat menunjukkan semua pengirim sah lolos.
3. Ubah SPF ~all menjadi -all.
4. Ajukan VMC atau CMC dan pasang BIMI dengan a=.
5. Terbitkan MTA-STS, TLS-RPT, dan CAA: tiga record DNS dan satu file kebijakan.
6. Kontrak pemantauan domain mirip dan aplikasi palsu, lengkap dengan SLA takedown.
7. Tulis ulang teks OTP dan terbitkan halaman kanal resmi.

Butir 1 sampai 5 adalah pekerjaan DNS dan sertifikat. Butir 6 dan 7 menyentuh situs dan aplikasi bank, yang biasanya dikerjakan bersama tim pengembangan website dan aplikasi mobile. Untuk memetakan kontrol ini ke lapisan keamanan lainnya, lihat 10 jenis keamanan siber dan dokumen yang membuktikannya.