Phishing yang menyamar bank dan agensi kerajaan: apa yang berubah selepas pautan SMS disekat, dan semakan 12 minit sebelum menekan pautan

Pada 4 Oktober 2026, MyCERT menerbitkan advisori MA-1481.102026 tentang kempen ClickFix yang berjalan di atas sebuah laman web sah yang sudah dicemari. Pelawat melihat kotak 'I'm not a robot' palsu yang menyuruh mereka membuka Terminal pada komputer Mac dan menampal satu arahan. Sembilan hari kemudian, pada 13 Oktober 2026, polis Kedah menyerbu sebuah pusat panggilan di Bandar Putra, Kulim pada jam 8 malam dan menahan 48 orang. Dua kejadian itu tidak serupa - satu menyasarkan pengguna Mac melalui pelayar, satu lagi menyasarkan mangsa di India melalui panggilan - tetapi kedua-duanya bergantung pada benda yang sama: mangsa mempercayai muka yang menyerupai pihak berkuasa.

Perubahan saluran yang berlaku sejak awal 2026 menjadikan penipuan jenis ini lebih sukar dikesan dengan hanya memandang nama penghantar pada skrin telefon. Sebabnya bukan teknikal semata-mata, tetapi kerana sindiket menyesuaikan diri selepas satu saluran ditutup.

Pautan dalam SMS disekat, penipu berpindah ke RCS dan iMessage

MCMC menguatkuasakan ketetapan kepada syarikat telekomunikasi supaya SMS rasmi tidak lagi mengandungi hiperpautan, permintaan menghubungi nombor tertentu atau permintaan butiran peribadi. Timbalan Pengarah Fraud Telekomunikasi MCMC Selangor, Mohd Amirul Hakim Abdul Rahim, menyatakan peralihan dikesan pada RCS (Rich Communication Services), iMessage, WhatsApp dan Telegram kerana saluran itu masih membenarkan penghantaran pautan, dan MCMC akan berbincang dengan penyedia platform mengenai sekatan yang serupa (Bernama, 20 Ogos 2026).

Skala kerja penyaringan sebelum itu memberi gambaran mengapa sindiket sanggup berpindah: antara 1 Januari dan 7 Julai 2026, MCMC menyekat lebih 3 bilion SMS dan 2.5 bilion panggilan yang dikaitkan dengan penipuan, sementara 158 aduan melibatkan penyamaran sebagai pegawai diterima dalam tempoh yang sama (MCMC, dilaporkan 21 Julai 2026). Pesanan yang hilang daripada SMS akan muncul di tempat lain, dan tempat itu kini termasuk aplikasi yang anda buka 40 kali sehari.

• ▸ RCS dan iMessage - pesanan masuk kelihatan seperti perbualan biasa, bukan SMS.
• ▸ WhatsApp dan Telegram - akaun baharu, gambar profil pegawai, dan dokumen 'arahan rasmi'.
• ▸ Iklan berbayar di media sosial yang membawa terus ke borang permohonan bantuan.
• ▸ Laman salinan portal rasmi yang alamatnya berbeza satu atau dua huruf.
• ▸ Panggilan daripada nombor yang meniru talian jabatan, termasuk nombor yang muncul di laman web agensi.

Empat kejadian sebenar antara 4 dan 13 Oktober 2026

MyCERT (CyberSecurity Malaysia) menyifatkan kempen ClickFix dalam advisori 4 Oktober 2026 sebagai serangan yang bermula daripada laman web sah yang dicemari. Korbannya tidak memasang apa-apa secara sedar: mereka menaip atau menampal arahan ke dalam Terminal kerana percaya ia sebahagian daripada pemeriksaan keselamatan laman. Hasil akhir yang disasarkan ialah pencuri maklumat - kata laluan, kuki sesi dan frasa benih dompet kripto. Ini corak yang berbeza daripada pautan SMS, tetapi kesudahannya sama.

Pada 6 Oktober 2026, Bernama melaporkan sektor kewangan berjaya menyekat cubaan transaksi penipuan bernilai kira-kira RM1.9 bilion pada separuh pertama 2026, lebih tinggi daripada RM1.2 bilion yang disekat sepanjang 2025. Angka ini bukan jumlah kerugian, tetapi ia menunjukkan betapa banyak pergerakan wang mencurigakan yang berlaku dalam tempoh enam bulan.

Pada 12 Oktober 2026, Utusan Malaysia melaporkan gesaan sebuah pertubuhan bukan kerajaan supaya siasatan kes keldai akaun diselaraskan. Sebanyak 24 laporan berkaitan akaun keldai diterima daripada beberapa negeri, dan 15 mangsa hadir bagi menggesa siasatan. Modus yang disebut: tawaran pinjaman wang yang mengumpul maklumat peribadi, kemudian maklumat itu digunakan untuk membuka akaun bank atas nama mangsa; dan tawaran kerja yang meminta pemohon membuka akaun kononnya untuk menerima gaji, lalu diberitahu permohonan tidak diluluskan walaupun akaun itu sudah dibuka.

Pada 13 Oktober 2026, Harian Metro melaporkan sindiket penyamaran pegawai polis India yang beroperasi sejak akhir Ogos. Serbuan jam 8 malam di Kulim menahan 48 orang berusia 20 hingga 43 tahun. Seramai 73 mangsa dikenal pasti dengan kerugian hampir RM1.4 juta atau 33 juta rupee, manakala polis merampas 89 telefon bimbit, tujuh komputer riba, tiga penghala dan pakaian seragam yang digunakan untuk meyakinkan mangsa. Penyamaran menjadi alat utama, bukan alat sampingan.

Tanda teknikal pada mesej yang menyamar bank atau JPJ

Satu laporan Julai 2026 tentang SMS senarai hitam JPJ menunjukkan tiga helah yang berulang. Pertama, penjenayah menggunakan perkhidmatan penghantar SMS untuk menetapkan ID penghantar sebagai JPJ, GOV atau 15888, jadi mesej palsu masuk ke dalam benang yang sama dengan kod TAC bank anda. Kedua, alamat laman: semua portal rasmi kerajaan berakhir dengan .gov.my, manakala contoh alamat palsu yang dilaporkan termasuk jpj-gov.online. Ketiga, permintaan yang tidak masuk akal - halaman log masuk bank yang muncul di tengah-tengah urusan saman, atau fail .apk yang kononnya perlu dipasang untuk membayar.

• ▸ Ikon mangga pada pelayar hanya bermakna sambungan disulitkan, bukan bahawa laman itu milik agensi berkenaan; penjenayah juga boleh mendapat sijil keselamatan.
• ▸ Aplikasi yang dimuat turun di luar kedai aplikasi rasmi dan meminta kebenaran membaca SMS adalah bahaya langsung: kod TAC dan OTP ada di situ.
• ▸ Mesej yang meminta pembayaran dalam tempoh beberapa jam, atau mengancam sekatan akaun, menggunakan tekanan masa sebagai pengganti bukti.
• ▸ Nombor telefon yang dinyatakan dalam mesej patut disemak terhadap laman rasmi agensi, bukan dibaca daripada mesej itu sendiri.

whois nama-domain-palsu.online | grep -i "creation date"
# domain yang didaftarkan beberapa hari lalu tetapi mendakwa milik jabatan kerajaan
dig +short nama-domain-palsu.online

Semakan 12 minit sebelum menekan pautan

• ▸ Baca alamat laman sehingga hujungnya, bukan 10 huruf pertama. Kalau ia bukan .gov.my, anggap ia bukan portal kerajaan.
• ▸ Jangan sekali-kali log masuk melalui pautan yang dihantar. Buka aplikasi bank anda sendiri, atau taip alamat rasmi di bar alamat.
• ▸ Semak saluran: agensi kerajaan menyatakan sesuatu melalui notis rasmi dalam aplikasi atau portal, bukan melalui pautan pembayaran dalam pesanan peribadi.
• ▸ Simpan nombor hotline bank dalam telefon sebelum berlaku apa-apa, supaya anda tidak perlu mencarinya semasa panik.
• ▸ Untuk tawaran pinjaman atau kerja yang meminta akaun bank dibuka, letakkan syarat itu sebagai tanda berhenti serta-merta.
• ▸ Sekali seminggu, buka penyata bank dan periksa transaksi kecil yang anda tidak kenal.
• ▸ Semak setiap nombor akaun yang diminta untuk pembayaran pada portal Semak Mule PDRM.
• ▸ Kalau akaun dibuka tanpa anda: bawa perkara ini kepada bank berkenaan dan minta penjelasan bertulis tentang proses pembukaan akaun anda.

Kalau pautan sudah ditekan: urutan satu jam pertama

• ▸ Hubungi hotline 24 jam bank dan minta akaun dibekukan, bukan sekadar dimaklumkan.
• ▸ Aktifkan ciri pembekuan dalam aplikasi bank (kebanyakan bank utama menyediakannya) untuk mematikan perbankan dalam talian dan kad.
• ▸ Hubungi 997 (Pusat Respons Scam Kebangsaan) dengan butiran transaksi: masa, jumlah, nombor akaun penerima.
• ▸ Buat laporan polis. Ia diperlukan untuk siasatan dan untuk tuntutan seterusnya.
• ▸ Tukar kata laluan e-mel dan perbankan daripada peranti lain yang tidak terlibat, dan semak senarai sesi yang sedang log masuk.
• ▸ Simpan tangkapan skrin mesej, nombor penghantar dan alamat laman sebelum memadamnya.

Satu butiran yang jarang disebut: menurut Bank Negara Malaysia dalam forum anti-scam kebangsaan Ogos 2026, jika anda tidak menerima jawapan yang memuaskan daripada bank, atau tiada respons selepas 14 hari, anda boleh membawa perkara itu kepada Bank Negara. Tempoh 14 hari itu adalah batas masa yang patut dicatat, bukan janji penyelesaian.

Kenapa akaun atas nama anda boleh wujud tanpa anda membukanya

Kes keldai akaun bukan bermula dengan kecurian wang, tetapi dengan pengumpulan maklumat. Dalam modus yang disebut dalam laporan 12 Oktober 2026, mangsa menyerahkan butiran kerana percaya sedang memohon pinjaman atau pekerjaan. Apabila akaun itu kemudian digunakan untuk kegunaan orang lain, yang berdepan dengan sekatan, kes jenayah di beberapa negeri dan kesukaran membuka akaun baharu ialah pemilik nama itu. Langkah praktikalnya sederhana: jangan serahkan salinan kad pengenalan kepada pihak yang tidak dapat disahkan, jangan terima bayaran untuk membenarkan orang lain menggunakan akaun anda, dan buat pemeriksaan berkala pada laporan kredit dan penyata bank anda sendiri.

Untuk pemilik laman web dan peniaga kecil

Kalau pelanggan anda menerima mesej yang menggunakan nama perniagaan anda, mereka tidak akan menyemak siapa penghantarnya sebelum menekan pautan. Dua langkah yang mudah dipertanggungjawabkan: nyatakan saluran rasmi anda secara jelas pada laman web, termasuk ayat bahawa anda tidak meminta pautan log masuk atau bayaran melalui pesanan peribadi; dan pastikan notis sebenar masuk melalui saluran yang boleh disahkan, seperti e-mel dengan rekod penghantaran yang sihat.

Konteks pelaporan juga berguna untuk memahami batas masa. Setakat Ogos 2026, MCMC mengenal pasti 127,568 kandungan penipuan dalam talian untuk diturunkan, manakala setiap permohonan menurunkan kandungan mengambil masa 30 hingga 45 minit untuk diproses. Ia bermakna laporan anda bergerak, tetapi laman palsu tidak hilang dalam beberapa detik - sebab itu langkah pertama tetap pada bank dan pada 997.

Apa yang tidak berubah

Pelayar yang menyulitkan sambungan, ejaan yang betul dan ayat yang kelihatan rasmi tidak membuktikan apa-apa. Yang masih boleh dipercayai ialah alamat laman yang disemak sendiri, saluran rasmi agensi, dan pengesahan berasingan - membuka aplikasi atau menaip alamat sendiri, bukan mengikut pautan yang dihantar kepada anda.