TRIBUNJATENG.COM, JAKARTA - Dua warga negara asing (WNA) asal Malaysia ditangkap Direktorat Siber Polda Metro Jaya.

OKH (53) dan CY (29) ditangkap karena menipu warga Indonesia melalui Short Message Service (SMS) premium yang mengatasnamakan bank swasta hingga Badan Usaha Milik Negara (BUMN). 

Kedua tersangka beroperasi di Indonesia sejak Februari 2025.

Sementara, pemodal sekaligus mastermind dari kejahatan siber ini, yakni LW (35) hanya memantau dari Malaysia.

Polisi saat ini telah menetapkan LW sebagai buron.

Polda Metro Jaya tengah berkoordinasi dengan Divisi Hubungan Internasional Mabes Polri untuk menangkap pelaku.

Para pelaku dijerat dengan Pasal 46 jo Pasal 30, Pasal 48 jo Pasal 32, dan/atau Pasal 51 ayat (1) jo Pasal 35 Undang-Undang Informasi dan Transaksi Elektronik (ITE) yang telah diperbarui melalui Undang-Undang Nomor 1 Tahun 2024.

SMS premium

Kepala Bidang Penerangan Masyarakat Polda Metro Jaya AKBP Reonald Simanjuntak menyampaikan, para pelaku menggunakan layanan SMS premium untuk mengelabui korban agar mengira pesan yang mereka terima bersifat otentik.

SMS Premium adalah layanan pesan singkat (SMS) yang menggunakan nomor pendek (short code) dengan tarif lebih tinggi dibandingkan SMS biasa.

Layanan ini biasanya digunakan untuk mendapatkan informasi, berlangganan konten, mengikuti undian, atau melakukan pembelian item virtual.

“Bank swasta mengingatkan Anda bahwa rekening poin Anda saat ini (12.782) akan habis masa berlakunya dalam tiga hari kerja. Harap segera tukarkan poin Anda: http://bcaco.shop,” bunyi SMS dari para pelaku.

Peran

Dalam kasus ini, OKH dan CY berperan sebagai pelaksana operasi dari LW (DPO) yang bertugas mengirim pesan secara acak melalui sebuah alat yang mereka siapkan di dalam mobil.

“(OKH dan CY) menerima upah hasil blasting dari tersangka LW yang kini telah kami tetapkan DPO,” kata Reonald dalam jumpa pers di Mapolda Metro Jaya, Selasa (24/6/2025).

LW berperan dalam beberapa hal.

Pertama, ia mendanai operasional OKH dan CY serta menyiapkan seluruh akomodasi selama mereka berada di Indonesia.

Kedua, memberikan upah mingguan kepada keduanya.

Ketiga, mengirimkan peralatan yang digunakan oleh dua tersangka lainnya dari Malaysia ke Indonesia.

Keempat, menyiapkan dan memasang perangkat elektronik (blasting) SMS di mobil yang digunakan oleh kedua pelaku tersebut.

Kelima, memantau hasil blasting.

Keenam, mengambil alih akses mobile banking (m-banking) milik penerima SMS yang telah mengklik tautan phishing.

“Dari hasil penyidikan didapati keterangan ada beberapa nasabah bank yang mengalami kerugian karena adanya SMS yang mengaku dari pihak bank yang dengan nilai kerugian kurang lebih sekitar Rp 100 juta,” ungkap Reonald.

Kendati demikian, Polda Metro Jaya sejauh ini menerima empat laporan polisi (LP) terkait perkara serupa dengan total kerugian kurang lebih Rp 200 juta.

Cara bekerja

Wakil Direktur Siber Polda Metro Jaya AKBP Fian Yunus menjelaskan, para tersangka membuat Base Transceiver Station (BTS) palsu untuk menjaring calon korban melalui SMS premium yang mengatasnamakan sejumlah bank.

Setelah itu, OHK dan CY menuju lokasi-lokasi ramai, yaitu pusat bisnis atau pusat perbelanjaan, dengan mengendarai mobil yang telah dipasangi perangkat BTS palsu.

“Kemudian yang kedua melakukan push konten SMS ke handphone calon korban, kemudian yang ketiga membuat konten SMS yang mengandung link phishing,” ujar Alfian dalam kesempatan yang sama.

Setelah penerima SMS mengklik tautan atau link phishing, alih-alih menggunakan poin, korban diminta mengisi sejumlah identitas.

Identitas ini mencakup nama lengkap, alamat email, serta data pribadi lainnya, yaitu nomor ponsel, kode pos, kota, negara, alamat jalan termasuk gedung atau lantai, nomor rumah, nomor kartu kredit, tanggal kedaluwarsa kartu kredit, dan kode Card Verification Value (CVV) kartu kredit.

“Untuk rekan-rekan ketahui, link yang dikirimkan tersebut bukan link dari bank.

Bank kita tidak akan pernah mengirimkan link untuk mengisi data-data tersebut.

Link itu adalah link yang dikirim oleh pelaku,” kata Fian.

“Semua data yang diberikan, disimpan di-cloud pelaku yang berada di luar negeri.

Kami ulangi lagi, di-cloud pelaku yang berada di luar negeri,” tambah dia. (*)