Cara membedakan situs dan aplikasi exchange asli dari yang palsu

Sebagian besar kerugian pemula bukan karena salah tekan tombol jual, melainkan karena masuk ke salinan situs. Halaman palsu meniru logo, warna, bahkan alamat yang mirip. Panduan ini dipakai sebelum kamu membuka halaman daftar exchange mana pun.

1. Kenapa situs palsu terasa meyakinkan

Penipu tidak perlu meretas exchange. Mereka cukup membuat halaman yang terlihat sama, lalu membeli iklan agar muncul di atas hasil pencarian. Korban mengetik nama exchange, mengklik hasil pertama, lalu memasukkan email dan kata sandi ke server orang lain. Kadang halamannya juga meminta unggah KTP “untuk percepat verifikasi”.

Tiga tanda yang sering bersamaan:

• Kamu sampai di situ dari iklan, bukan dari bookmark atau ketikan manual.
• Domainnya “hampir benar”: ada tambahan kata, tanda hubung, atau akhiran lain.
• Ada urgensi: “akun akan dikunci 15 menit lagi”, “klaim bonus sekarang”.

2. Cek domain sebelum mengisi apa pun

1. Tutup halaman itu. Jangan isi form dulu, termasuk “hanya email”.
2. Buka tab baru. Ketik domain yang sudah kamu simpan, huruf demi huruf. Jangan mengandalkan saran otomatis di bilah alamat jika belum pernah menyimpan situs resminya.
3. Bandingkan ejaan lengkap, termasuk akhiran. exchange.com dan exchange-login.com adalah situs berbeda.
4. Lihat gembok sertifikat hanya sebagai syarat minimum. Penipu juga bisa memasang HTTPS. Gembok tidak membuktikan bahwa situsnya milik exchange.
5. Setelah yakin, bookmark halaman beranda resmi. Kunjungan berikutnya mulai dari bookmark, bukan dari pencarian.

3. Iklan di mesin pencari

Hasil berbayar sering duduk di atas hasil organik dan memakai judul “Login resmi” atau “Daftar”. Yang aman: lewati blok iklan, atau jangan mencari sama sekali jika domain resminya sudah kamu catat dari sumber yang kamu percaya (situs otoritas, aplikasi toko resmi, atau tautan yang kamu ketik sendiri minggu lalu dan masih sama).

Kalau sebuah iklan mengarah ke domain yang tidak persis sama dengan yang ada di aplikasi resmi, anggap itu situs lain. Tutup. Tidak perlu “mencoba sebentar”.

4. Aplikasi: yang dicek bukan hanya nama

• Unduh dari toko aplikasi sistem (Play Store atau App Store), bukan dari berkas APK yang dikirim orang.
• Baca nama pengembang. Aplikasi tiruan sering memakai nama exchange, tetapi pengembangnya akun baru atau nama yang tidak berhubungan.
• Waspadai aplikasi dengan unduhan sangat sedikit, ulasan yang baru semua, atau izin yang tidak masuk akal (membaca SMS terus-menerus, mengakses kontak, memasang aplikasi lain).
• Setelah terpasang, buka aplikasi itu lalu cocokkan domain yang disebut di menu bantuan dengan domain yang sudah kamu bookmark. Kalau berbeda, hapus aplikasinya.

5. Pesan yang pihak exchange tidak kirim

Layanan resmi tidak meminta hal-hal ini lewat chat pribadi:

• Kode OTP, kode autentikator, atau kata sandi “untuk dibatalkan tim keamanan”.
• Foto KTP dikirim ke Telegram atau WhatsApp pribadi.
• Instal aplikasi “remote desktop” supaya petugas membantu KYC.
• Transfer dulu ke rekening pribadi “biar saldo cepat masuk”.
• Pindah ke tautan singkat yang tidak menampilkan domain penuh.

Yang biasa dilakukan sistem resmi: email dari domain perusahaan, notifikasi di dalam aplikasi yang sudah terpasang, dan tiket yang kamu buka sendiri dari menu bantuan setelah login lewat bookmark. Kalau seseorang menghubungimu lebih dulu dan meminta rahasia, hentikan percakapan.

6. Kalau data sudah terlanjur dikirim

1. Dari perangkat lain, buka situs resmi lewat bookmark atau ketikan manual. Jangan lewat tautan lama.
2. Ganti kata sandi. Keluarkan semua sesi jika menunya ada.
3. Matikan kunci penarikan sementara kalau kamu curiga sesi orang lain masih aktif, lalu aktifkan lagi hanya setelah 2FA aman.
4. Jika KTP terunggah ke situs palsu, catat tanggalnya. KTP yang bocor tidak “ditarik kembali”; yang bisa kamu lakukan adalah menolak setiap permintaan verifikasi yang tidak kamu mulai sendiri, dan memantau akun keuangan atas nama kamu.
5. Laporkan domain palsu ke platform iklan tempat kamu mengkliknya, dan simpan tangkapan layar alamatnya.

7. Cek 60 detik sebelum daftar

• Domain persis dengan yang tertulis di aplikasi resmi atau bookmark.
• Bukan hasil iklan dan bukan tautan chat.
• Tidak ada yang meminta OTP di luar aplikasi.
• Pengembang aplikasi cocok, bukan akun anonim.
• Kamu bisa menjelaskan, dalam satu kalimat, bagaimana kamu sampai di halaman itu.

Panduan dasar lain: situs palsu · KYC ditolak · 2FA dan penarikan · deposit tidak masuk · membandingkan exchange.