Menurut data yang diberikan oleh Satuan Tugas Pemberantasan Aktivitas Keuangan Ilegal (Satgas PASTI) Otoritas Jasa Keuangan (OJK) kepada Tirto, selama periode 20 November 2024 hingga 31 Desember 2025 saja, tercatat sebanyak 416.787 laporan penipuan (scam), dengan total kerugian masyarakat yang dilaporkan mencapai sekitar Rp9 triliun. Per Januari 2026, Indonesia Anti Scam Center (IASC) baru memblokir dan menyelamatkan dana korban sebanyak Rp432 miliar.

 

Bahkan, Indonesia termasuk negara paling rawan aktivitas penipuan digital menurut hasil Global Fraud Index 2025. Indonesia masuk dalam lima negara terbawah di dunia yang rentan terhadap penipuan digital. Tingginya angka kerugian turut diperparah dengan sistem penanganan kasus scam di Indonesia yang masih bersifat reaktif dan terfragmentasi.

Ditambah, sindikat scam serta jejaring phishing di dunia maya semakin canggih beradaptasi memanfaatkan perkembangan teknologi. Tak hanya memanfaatkan cara konvensional yang menitikberatkan teknik rekayasa sosial (social engineering) terhadap korban, kini modus itu dapat semakin mulus dan berbahaya dengan kehadiran kecerdasan artifisial (AI).

Kejahatan siber kini sudah menjadi industri layanan ekosistem kejahatan digital atau dikenal dengan fenomena kejahatan “Scam as a Services”. Dalam skema operasional ini, penipuan tidak lagi dilakukan secara individu. Sindikat menyediakan paket layanan kejahatan digital seperti web scam, tools penipuan digital, hingga script phishing yang dapat dibeli oleh pelaku lain.

Pada kasus dengan jejaring skala global, “Scam as a Services” mencakup penyediaan basis data calon korban, skrip manipulasi psikologis, perangkat lunak AI untuk deepfake, hingga infrastruktur pencucian uang digital. Mereka bahkan bisa beroperasi dari luar negeri dengan memanfaatkan celah regulasi dan lemahnya koordinasi penegakan hukum antarnegara.

Aktivitas “Scam as a Services” teranyar dan salah satu yang paling besar terkuak berpusat di Indonesia. Bulan lalu, Polri bersama Federal Bureau of Investigation (FBI) Atlanta, Amerika Serikat (AS), berhasil mengungkap sindikat penjualan tools phishing yang memakan korban lintas negara. Dua orang pelaku asal Indonesia ditangkap dan disebut sudah melancarkan kejahatan layanan penipuan digital ini sejak 2019–2024.

Tools ini bekerja dengan menyedot data saat korban memasukkan username dan password, bahkan mampu mengambil session login sehingga pelaku bisa mengakses akun tanpa perlu kode OTP. Dari hasil penyidikan, korban diketahui tidak hanya berasal dari Indonesia, tetapi juga dari luar negeri, menegaskan bahwa kejahatan ini bersifat transnational cybercrime.

Sementara dari penelusuran transaksi sejak 2021 hingga 2026, tersangka diperkirakan telah meraup keuntungan hingga Rp25 miliar dari pengoperasian modus “Scam as a Services” ini.

Pengungkapan ini tentu patut diapresiasi karena berhasil menumbangkan salah satu jejaring kejahatan digital berskala global. Namun, kejahatan scam dan phishing di Indonesia tampak masih jauh dari “beres” karena ekosistem penipuan digital lewat modus “Scam as a Services” nyatanya masih banyak bertebaran di media sosial.

Penelusuran Tirto di platform Facebook menemukan banyak unggahan yang mempromosikan jasa pembuatan web scam/phishing siap pakai. Lebih jauh dari itu, bertebaran grup-grup di Facebook yang memang digunakan untuk jual-beli situs-situs penipuan digital. Penjual jasa pembuatan web scam dan link phishing ini bahkan amat mudah dicari lewat Google.

Di Facebook, sejumlah grup publik ditengarai menjadi tempat para pelaku jasa pembuat web scam, phishing, bahkan situs judi online, untuk menjajakan layanannya. Temuan Tirto, grup yang masih memiliki aktivitas aktif di Facebook ini, misalnya “Berbagi Script Phising Indonesia ( Gratis 100% )”, “grup belajar web phising”, dan “Official Berbagi Script All Phising”.

Tirto mencoba berinteraksi dengan salah satu akun yang menawarkan jasa pembuatan situs scam dan phishing. Akun tersebut menawarkan pembuatan web phishing dengan beragam modus tampilan, seperti situs bank Himbara, aplikasi investasi, gim daring populer, bahkan halaman log in untuk platform media sosial. Ia tak segan pula menuliskan nomor WhatsApp dan akun Telegram dalam unggahannya kepada calon pembeli.

Tirto lantas mencoba menghubungi akun tersebut lewat Telegram dan berpura-pura sebagai calon pembeli. Kesan pertama kami, akun tersebut masih beroperasi dan aktif karena hanya butuh selang satu menit untuknya membalas pesan kami di Telegram. Mulanya, ia bertanya kepada Tirto tipe situs seperti apa yang diinginkan untuk digunakan sebagai web phishing.

Kami lantas bertanya kepadanya situs apa yang biasanya paling sering digunakan pembeli lain untuk melakukan aktivitas scam dan phishing. Ia memberikan saran untuk membeli web phishing berkedok situs bank dan aplikasi investasi digital. Darinya, script web phishing bank dan gim online dipatok dengan harga Rp200–Rp300 ribu, sementara web berkedok aplikasi investasi digital dipatok dengan harga sekitar Rp500 ribu.

Tirto lantas meminta akses demo salah satu contoh web yang akun itu buat supaya mampu mengetahui apa saja yang bisa diakses dan dieksploitasi oleh administrator web. Lewat web phishing berdomain “web.id”, yang dibuat seolah-olah menyerupai aplikasi investasi digital, Tirto dapat menelusuri bahwa pemilik web bisa menjaring data-data pribadi calon korban. Itu meliputi nomor rekening dan password-nya, akun keuangan digital dan password-nya, hingga mendapatkan langsung aliran uang korban lewat layanan “deposit” di web tersebut.