Penipuan Suara dan Video AI: Cara Verifikasi Sebelum Uang Keluar

Kalau ada permintaan transfer, ganti nomor rekening, atau kirim OTP yang datang lewat telepon, voice note, atau video call — jangan pernah verifikasi lewat kanal yang sama. Tutup, lalu hubungi orangnya di nomor yang sudah kamu simpan sebelumnya. Satu aturan itu menutup hampir semua penipuan suara dan video AI, dan tidak butuh alat apa pun. Kemampuan mendengar keanehan bukan pertahanan yang bisa diandalkan lagi. Prosedur yang jalan otomatis, iya.

Kami memasang otomatisasi WhatsApp dan alur prospek untuk bisnis lokal, jadi kami sering melihat isi kotak masuk klien. Yang berubah setahun terakhir bukan jumlah penipuan, tapi kualitasnya: dulu pesan penipuan gampang dikenali dari bahasanya, sekarang datang sebagai voice note dengan suara yang benar-benar mirip.

Seberapa nyata ancaman ini untuk bisnis kecil di Indonesia?

Angka resminya baru keluar bulan ini. Menurut laporan konferensi pers OJK pada 4 Agustus 2026, Indonesia Anti-Scam Center menerima 1.379 laporan penipuan keuangan yang terindikasi memakai AI sepanjang 22 November 2024 sampai akhir Juni 2026. Komposisinya yang menarik: 13 laporan di akhir 2024, sisanya — 1.366 — menumpuk sesudah itu.

Modus yang paling banyak dilaporkan adalah penipuan investasi memakai deepfake wajah tokoh terkenal. Sisanya klaim robot trading berbasis AI, toko daring yang mengatasnamakan teknologi AI, dan panggilan palsu dengan kloning suara maupun wajah. Pejabat OJK dalam konferensi pers itu menyebut intinya singkat: jangan mudah percaya pada nama akun, nomor telepon, foto, suara, atau tampilan video, karena semuanya bisa direkayasa.

Untuk skala kerugian yang mungkin, kasus paling terdokumentasi masih terjadi di Hong Kong. CFO Dive melaporkan seorang staf keuangan di kantor Hong Kong milik firma teknik Arup mentransfer sekitar 25 juta dolar AS (HKD 200 juta) ke lima rekening berbeda, setelah mengikuti video conference yang seluruh pesertanya — termasuk CFO perusahaan — adalah rekayasa AI. Yang membuat kasus itu berhasil bukan kecanggihan videonya, melainkan kombinasi permintaan "transaksi rahasia" dan tidak adanya kewajiban konfirmasi ke kantor pusat sebelum uang dikirim.

Bisnis kecil bukan target seukuran itu. Tapi bentuk seranganya sama persis, dan yang membedakan selamat atau tidak juga sama: ada tidaknya langkah verifikasi wajib.

Tanda-tanda mana yang masih berguna, mana yang sudah usang?

Banyak panduan berbahasa Indonesia masih menyarankan hal-hal yang berlaku tiga tahun lalu. Berikut pemisahan yang kami pakai sendiri.

Tanda	Masih berguna?	Catatan
Bibir tidak sinkron dengan suara	Kadang	Masih muncul di deepfake real-time murah, tapi tidak lagi di yang dibuat serius
Jari tangan aneh, gigi tidak wajar	Lemah	Ini soal gambar diam generasi lama; jangan dijadikan pegangan
Jarang berkedip	Sudah usang	Sempat benar sekitar 2018–2020, sudah lama diperbaiki
Suara datar tanpa emosi	Lemah	Model sekarang menirukan jeda dan napas
Kualitas audio terlalu bersih, tanpa suara latar	Lumayan	Panggilan asli dari HP hampir selalu membawa noise ruangan
Menolak beralih ke kanal lain	Kuat	Ini tanda perilaku, bukan tanda teknis — jauh lebih sulit dipalsukan
Ada tekanan waktu dan permintaan kerahasiaan	Paling kuat	Hampir semua kasus punya dua unsur ini
Nomor rekening tujuan baru atau atas nama berbeda	Paling kuat	Perubahan rekening adalah pemicu verifikasi, titik

Perhatikan polanya: empat baris terbawah tidak ada hubungannya dengan mata dan telinga. Itu disengaja. Tanda teknis akan terus melemah tiap model baru keluar; tanda perilaku bertahan, karena penipu tetap butuh korban yang buru-buru dan tidak bertanya ke siapa-siapa.

Protokol verifikasi apa yang bisa dipasang minggu ini?

Ini bagian yang benar-benar menurunkan risiko. Tidak butuh software, cukup kesepakatan tim yang ditulis dan ditempel.

1. Tetapkan ambang nominal. Di atas angka tertentu — banyak bisnis kecil memakai Rp 5 juta sebagai titik awal — transfer wajib dikonfirmasi lisan ke penerima wewenang, apa pun kanalnya. Di bawah itu, alur normal.
2. Wajibkan verifikasi balik dua kanal. Permintaan datang lewat WhatsApp, konfirmasi lewat telepon seluler biasa. Datang lewat telepon, konfirmasi lewat kanal internal yang sudah dipakai. Kuncinya bukan kanal mana yang dipakai, tapi bahwa kanalnya berbeda dan nomornya diambil dari daftar kontakmu sendiri, bukan dari pesan yang masuk.
3. Buat satu kata sandi lisan untuk tim. Frasa pendek yang tidak pernah ditulis di grup mana pun, dipakai hanya untuk mengonfirmasi permintaan uang. Terdengar berlebihan sampai kamu ingat bahwa suara sudah bukan bukti identitas.
4. Pasang jeda wajib 30 menit untuk setiap permintaan yang mengandung kata "segera", "rahasia", atau "jangan bilang siapa-siapa". Hampir tidak ada urusan bisnis nyata yang rusak karena ditunda setengah jam. Penipuan hampir selalu rusak.
5. Perubahan rekening butuh dua orang. Kalau vendor mengirim nomor rekening baru, satu orang menelepon vendor di nomor lama, satu orang lagi menyetujui. Ini modus paling umum untuk bisnis kecil, jauh lebih sering daripada video call palsu.
6. Latih satu kali, dengan contoh. Kirim voice note ke tim yang isinya persis skenario penipuan, lalu bahas bersama. Lima menit latihan lebih berguna daripada satu jam menjelaskan cara kerja deepfake.
7. Tulis siapa yang boleh menyetujui apa. Kebanyakan bisnis kecil tidak punya daftar ini, dan itu sebabnya seorang staf bisa merasa wajar mengeksekusi permintaan dari "atasan" yang belum pernah meminta hal serupa.

Kalau kamu sudah memakai otomatisasi untuk balasan WhatsApp, langkah kedua dan keempat bisa ditempel ke alur yang sudah ada — pengingat verifikasi muncul otomatis saat kata kunci tertentu terdeteksi. Prinsip pembagiannya sama seperti yang kami bahas di otomatisasi WhatsApp untuk bisnis lokal: mesin memicu pengingat, manusia yang memutuskan.

Apakah alat deteksi deepfake bisa diandalkan?

Jawaban jujurnya: belum, tidak untuk dipakai sebagai penentu keputusan.

Masalah utamanya bukan akurasi di laboratorium, tapi generalisasi. Model pendeteksi dilatih dari contoh yang sudah ada, sementara model pembuat terus berganti. Detektor yang bagus mengenali keluaran satu generator sering meleset pada generator lain. Ditambah lagi, materi yang beredar di dunia nyata sudah dikompres berkali-kali — diteruskan lewat WhatsApp, direkam ulang dari layar — dan kompresi menghapus persis jejak halus yang dicari detektor.

Angka akurasi yang beredar di halaman promosi penyedia alat sebaiknya kamu abaikan. Kami tidak menemukan tolok ukur publik independen yang bisa diverifikasi untuk kondisi pemakaian sehari-hari, dan menyebut persentase tanpa itu sama saja mengarang.

Yang lebih berguna adalah memeriksa asal file, bukan menebak keasliannya. Standar Content Credentials (C2PA) menyisipkan catatan riwayat yang ditandatangani secara kriptografis ke dalam file, dan siapa pun bisa memeriksanya lewat pemeriksa publik di contentcredentials.org. Dua batasan yang perlu kamu tahu sebelum bergantung padanya:

• Tidak adanya catatan bukan bukti apa-apa. Artinya cuma file itu tidak membawa manifes — bisa karena dibuat alat yang tidak mendukungnya, bisa juga karena metadata terhapus.
• Platform sosial dan aplikasi chat rutin menghapus metadata. Foto yang diteruskan lewat WhatsApp atau diunduh dari Instagram hampir pasti sudah kehilangan catatannya. Kalau butuh memeriksa, minta file aslinya.

Untuk gambar, ada satu jalur tambahan lewat tanda air tak terlihat yang dipasang sebagian penyedia AI. Cara mengeceknya dan apa artinya buat pelaku usaha sudah kami rinci di edit foto produk dengan AI, termasuk kenapa hasil "tidak terdeteksi" tidak boleh dibaca sebagai "asli".

Bahan apa yang dipakai penipu, dan apa yang sebaiknya kamu kurangi?

Kloning suara butuh contoh. Contohnya biasanya kamu sendiri yang unggah.

Sumber yang paling sering kami temukan saat mengaudit kehadiran daring klien: rekaman webinar dan siaran langsung, video profil perusahaan dengan wawancara pemilik, voice note yang diteruskan ke grup besar, dan konten pendek berisi suara pemilik yang dipakai untuk promosi. Tidak satu pun dari itu perlu dihapus — tapi ada dua hal yang layak dipertimbangkan.

Pertama, jangan jadikan suara sebagai faktor otentikasi di proses internalmu. Kalau tim terbiasa menerima instruksi transfer lewat voice note, kebiasaan itu yang jadi lubangnya, bukan videonya. Kedua, batasi berapa banyak informasi struktur organisasi yang terbuka. Halaman tim lengkap dengan nama, jabatan, dan siapa melapor ke siapa memudahkan penipu menyusun cerita yang masuk akal.

Pertimbangan sejenis berlaku untuk data yang kamu masukkan ke alat AI, dan itu topik terpisah yang kami bahas di data yang tidak boleh dimasukkan ke ChatGPT dan AI lain.

Bagaimana kalau uangnya sudah terlanjur keluar?

Kecepatan menentukan segalanya di sini, karena satu-satunya peluang nyata adalah dana masih mengendap di rekening penerima.

1. Hubungi bank atau penyedia jasa pembayaran saat itu juga dan minta penundaan atau pemblokiran. Jangan tunggu pagi.
2. Laporkan ke Indonesia Anti-Scam Center dengan bukti transaksi dan percakapan yang lengkap. OJK menyebutkan bahwa semakin cepat laporan masuk, semakin besar kemungkinan penundaan atau pemblokiran dana bisa dilakukan.
3. Simpan bukti mentahnya. File audio atau video aslinya, bukan tangkapan layar. Screenshot menghilangkan metadata yang bisa berguna.
4. Laporkan ke aparat penegak hukum sebagai dugaan tindak pidana, terpisah dari pelaporan ke bank.
5. Kunci kanal yang dipakai. Ganti kata sandi, tinjau siapa saja yang punya akses ke akun WhatsApp bisnis dan email keuangan.
6. Beri tahu tim apa yang terjadi. Penipu yang berhasil sekali biasanya mencoba lagi ke orang lain di organisasi yang sama.

Untuk konfirmasi soal legalitas pihak atau produk keuangan yang menghubungimu, OJK menyediakan Kontak OJK 157. Kami bukan penasihat hukum maupun keuangan — untuk urusan pemulihan dana dan proses pidana, ikuti arahan bank dan aparat, bukan artikel blog.

Kapan protokol ini justru tidak cocok?

Ada situasi di mana memaksakan prosedur di atas malah bikin repot tanpa menambah keamanan.

• Usaha satu orang tanpa staf. Kalau kamu satu-satunya yang bisa mengeluarkan uang, tidak ada yang bisa dikelabui berpura-pura jadi atasan. Yang relevan buatmu cuma satu: verifikasi ulang setiap perubahan rekening vendor.
• Transaksi kecil dan berulang dengan pihak yang sama. Menerapkan jeda 30 menit ke setiap pembayaran harian akan diabaikan tim dalam seminggu, dan prosedur yang diabaikan lebih berbahaya daripada tidak ada prosedur.
• Bisnis yang belum punya daftar kontak vendor terpusat. Verifikasi dua kanal butuh nomor yang tersimpan sebelumnya. Kalau nomor vendor masih tersebar di HP masing-masing orang, benahi itu dulu — pekerjaan merapikan data semacam ini kami bahas di merapikan data pelanggan sebelum otomatisasi.
• Kalau harapanmu adalah alat deteksi otomatis. Belum ada yang layak dijadikan gerbang tunggal. Prosedur manusia masih lebih andal daripada klasifikasi mesin untuk kasus ini.

Pertanyaan yang sering muncul

Berapa detik rekaman suara yang dibutuhkan untuk mengkloning suara?

Penyedia alat mengklaim angka yang sangat pendek, mulai dari beberapa detik. Kami tidak memakai angka spesifik di sini karena klaim itu berasal dari halaman pemasaran penyedia, bukan pengujian independen yang bisa diverifikasi. Yang aman diasumsikan: rekaman suara yang sudah beredar publik sudah cukup, dan berapa pun angka pastinya tidak mengubah tindakan yang perlu kamu ambil.

Apakah video call sekarang masih bisa dipercaya untuk verifikasi?

Sebagai satu-satunya bukti, tidak. Kasus Arup terjadi justru lewat video call. Video call tetap berguna sebagai salah satu lapisan, tapi jangan jadikan penampakan wajah sebagai pengganti konfirmasi lewat nomor yang kamu simpan sendiri.

Meminta lawan bicara melakukan gerakan tertentu, apakah efektif?

Trik seperti meminta memutar kepala atau melambaikan tangan di depan wajah sempat efektif melawan implementasi real-time yang lemah, dan kadang masih. Tapi ini perlombaan yang terus berubah, dan kalau tebakanmu meleset kamu justru jadi lebih percaya diri daripada seharusnya. Perlakukan sebagai bonus, bukan sebagai tes kelulusan.

Apakah WhatsApp Business punya fitur yang membantu?

Tidak ada fitur deteksi deepfake di dalamnya. Yang membantu adalah hal-hal yang membuat kanal resmimu mudah dikenali pelanggan — profil lengkap, katalog, pesan otomatis yang konsisten — sehingga akun tiruan lebih gampang terlihat janggal. Fitur-fitur yang jarang dipakai padahal berguna kami daftar di fitur WhatsApp Business yang jarang dipakai.

Kalau saya menerima video deepfake yang mengatasnamakan bisnis saya, apa yang bisa dilakukan?

Simpan file aslinya, laporkan ke platform tempat kontennya beredar, dan umumkan lewat kanal resmimu sendiri bahwa konten itu bukan dari kamu. Pengumuman di kanal yang sudah dipercaya pelanggan biasanya lebih cepat berdampak daripada menunggu proses takedown selesai.

Langkah berikutnya

Mulai dari yang paling murah: tulis aturan ambang nominal dan verifikasi dua kanal hari ini, kirim ke tim, tempel di dekat komputer yang dipakai untuk transfer. Itu sudah menutup sebagian besar risiko sebelum kamu memikirkan alat apa pun.

Bagian yang biasanya kami kerjakan bukan urusan keamanan perbankan, tapi hal di sekitarnya: memastikan kanal resmi bisnismu jelas dan mudah dikenali, alur WhatsApp yang tercatat sehingga permintaan janggal ketahuan, dan halaman kontak yang membuat pelanggan tidak bingung mana akun asli. Kalau kamu ingin kami cek bagian mana yang paling gampang disalahgunakan orang lain, ceritakan kondisinya lewat audit gratis — kami sebutkan apa yang perlu dibereskan lebih dulu.