Pada Maret 2025, Bareskrim Polri mengumumkan penangkapan dua tersangka yang berkeliling Jakarta dengan BTS palsu yang dipasang di mobil mereka. Menurut polisi, perangkat tersebut mencegat sinyal antara BTS asli dan ponsel di sekitarnya, menurunkan koneksi ponsel dari 4G ke 2G, lalu mengirim SMS yang dibuat seolah-olah berasal dari sebuah bank swasta, lengkap dengan tautan ke situs palsu.1 Komdigi menyebut perangkat itu bisa beroperasi di frekuensi 900 MHz, 1800 MHz, dan 2,1 GHz.2

Polisi menyebut 259 nasabah bank yang dicatut namanya melaporkan kejadian ini, dengan kerugian yang terkonfirmasi sebesar Rp473 juta dari 12 korban, yang memasukkan data pribadi termasuk OTP dan CVV kartu di halaman palsu.1 Pada Juli 2026, polisi di Jakarta menyatakan sedang kembali menelusuri laporan tentang modus yang sama.3

Mengapa SMS dari BTS palsu berbeda

SMS phishing biasa melewati jaringan operator seluler, tempat pesan tersebut bisa difilter atau diblokir. Pesan dari BTS palsu dikirim langsung ke ponsel dalam jangkauan perangkat, sehingga lapisan tersebut terlewati sepenuhnya. Pengamat keamanan juga mengingatkan bahwa nama pengirimnya bisa dibuat sama dengan sender ID resmi bank.3 Bagi nasabah, pesan itu terlihat seperti SMS biasa dari banknya.

SMS hanyalah awal, bukan akhir

Begitu korban memasukkan datanya, pelaku memiliki apa yang dibutuhkan untuk langkah berikutnya. Data yang dikumpulkan dari korban dapat digunakan untuk:

  • aktivasi atau pemulihan akses internet banking,
  • registrasi ulang akun di perangkat lain,
  • pencurian kredensial dan OTP,
  • mendorong korban menginstal APK berbahaya, lalu menjalankan otomasi di perangkat korban,
  • mengambil alih akun (account takeover), dan
  • social engineering lanjutan menggunakan data korban.

Bagi nasabah, dampaknya bisa berupa kehilangan akses, transaksi tidak sah, dan kerugian finansial. Bagi bank dan fintech, dampaknya tidak berhenti di satu transaksi. Risiko bisa berkembang menjadi lonjakan dispute, beban investigasi, tekanan reputasi, potensi kerugian, dan kebutuhan respons fraud yang lebih cepat.

Yang bisa dilihat bank, meski tidak bisa melihat BTS palsunya

BTS palsu adalah persoalan di jaringan telekomunikasi; bank tidak memiliki visibilitas ke sana. Yang bisa dilihat bank adalah semua yang terjadi setelahnya, di dalam alur layanannya sendiri. Di situlah jejak serangan ini akan terlihat:

  • Perangkat baru tak lama setelah gelombang phishing. Registrasi ulang atau aktivasi internet banking dari perangkat yang belum pernah dipakai akun tersebut adalah langkah alami berikutnya bagi pelaku.
  • Pemulihan akun yang tidak sesuai riwayat nasabah. Waktu yang tidak biasa, lokasi yang tidak biasa, perangkat atau jaringan yang belum pernah dipakai akun itu.
  • Sesi yang berperilaku berbeda. Navigasi yang lebih cepat atau seperti skrip, penerima baru tepat setelah login, tanda-tanda remote control atau otomasi.
  • Keterkaitan antarkasus. Perangkat, jaringan, atau rekening penerima yang sama muncul di beberapa nasabah yang melaporkan SMS yang sama.

Karena itu, deteksi fraud tidak cukup hanya melihat transaksi akhir. Institusi perlu melihat pola risiko sejak awal: perangkat, jaringan, sesi, perilaku, indikasi account takeover, dan sinyal anomali sebelum kerugian membesar.

Posisi MoNetra. MoNetra tidak mendeteksi BTS palsu. MoNetra dirancang untuk langkah-langkah sesudahnya: menilai risiko perangkat, sesi, dan reputasi saat login, device binding, perubahan password atau PIN, dan transfer, lalu menghasilkan verdict ALLOW, STEP-UP, atau BLOCK beserta reason code, sehingga bank dan fintech bisa mengidentifikasi upaya pengambilalihan akun lebih awal dan mengambil keputusan dengan cepat.

Untuk nasabah

Jangan membuka tautan di SMS, meskipun terlihat berasal dari bank Anda. Ketik sendiri alamat situs bank atau buka aplikasi resminya.3 Jika Anda telanjur memasukkan data, segera hubungi bank Anda.

Sumber

  1. Antara, 24 Mar 2025: Bareskrim tetapkan dua tersangka kasus SMS phishing melalui fake BTS
  2. CNN Indonesia, 25 Mar 2025: Komdigi ungkap modus penipuan fake BTS
  3. CNBC Indonesia, 29 Jul 2026: Modus fake BTS buat bobol HP ramai lagi, polisi usut asalnya

Angka sesuai laporan sumber di atas pada saat tulisan ini dibuat. Menemukan kesalahan? Kirim email ke contact@mosecure.id dan kami akan memperbaikinya.