Coretax Palsu Bukan dari WhatsApp! Ini Cara Hindarinya

Laporan keamanan siber yang dipublikasikan pada awal 2026 mencatat bahwa kampanye aplikasi Coretax palsu meningkat pada periode pelaporan pajak nasional. 

Modus ini disebut berkaitan dengan kerugian finansial besar, dengan pola serangan yang memanfaatkan WhatsApp, phishing, malware Android, vishing, remote access, dan screen recording.

Tapi bagian paling mengkhawatirkan bukan hanya angka kerugiannya.

Yang lebih berbahaya adalah cara pelaku membuat korban merasa sedang mengikuti prosedur resmi.

 

Kenapa Coretax Palsu Mudah Menjebak Korban?

Pajak punya efek psikologis yang kuat.

Bagi banyak orang, urusan pajak bukan sekadar administrasi biasa. Ada tekanan di sana. Ada tenggat waktu. Ada rasa khawatir jika salah melapor. Ada bayangan sanksi. Ada ketakutan jika data tidak sesuai atau akun tidak bisa digunakan.

Penipu tidak perlu menciptakan kepanikan dari nol. Mereka cukup menumpang pada kecemasan yang sudah ada.

Misalnya, seseorang menerima pesan seperti ini: “Segera lakukan validasi akun Coretax agar data perpajakan Anda tetap aktif.”

Sekilas terdengar biasa. Tidak terlalu heboh. Tidak terlalu mencurigakan. Bahkan terasa seperti notifikasi layanan publik.

Lalu pesan itu disusul tautan. Setelah diklik, korban diarahkan untuk mengunduh aplikasi. Nama aplikasinya memakai kata Coretax. Logonya dibuat mirip. Bahasanya formal. Pengirimnya mengaku sebagai petugas atau admin layanan.

Di titik itu, korban merasa sedang menyelesaikan urusan pajak.

Padahal, ia sedang membuka pintu untuk malware.

Penipu digital modern tidak selalu menang karena teknologinya paling canggih. Mereka sering menang karena memahami tiga hal dengan baik: timing, tekanan, dan kepercayaan.

 

Baca juga : Peretas Kini Incar Riset Kampus, Bukan Cuma Data Mahasiswa

 

Coretax Resmi Bukan APK dari WhatsApp

Ada satu prinsip sederhana yang perlu diingat:

Jika ada pihak yang mengirim file APK Coretax lewat WhatsApp, SMS, Telegram, email pribadi, atau tautan tidak resmi, perlakukan itu sebagai ancaman.

Layanan pajak resmi harus diakses melalui kanal resmi. Bukan lewat file aplikasi yang dikirim seseorang secara personal. Bukan lewat tautan pendek yang tidak jelas. Bukan lewat instruksi mendadak dari orang yang mengaku membantu aktivasi.

Ini terlihat sederhana, tapi di lapangan banyak korban tetap tertipu karena bentuk penipuannya dibuat masuk akal.

Namanya membawa institusi resmi.
Konteksnya pajak.
Bahasanya administratif.
Waktunya dekat dengan pelaporan pajak.

Lalu korban berpikir, “Jangan-jangan memang prosedurnya begini.”

Tidak. Bukan begitu.

Jika sebuah layanan yang mengaku resmi meminta Anda mengunduh APK dari luar kanal resmi, alarm harus langsung menyala.

Bukan dicoba dulu.
Bukan di-install sebentar.
Bukan “nanti kalau aneh tinggal hapus”.

Dalam kasus malware, “sebentar” sering kali sudah cukup untuk membuat masalah besar.

 

Bagaimana Rantai Serangan Coretax Palsu Bekerja?

Modus Coretax palsu tidak berjalan dalam satu langkah. Ia bergerak bertahap. Korban dibuat percaya dulu, lalu diarahkan, lalu perangkatnya dikompromikan, lalu akses finansialnya dimanfaatkan.

Berikut alurnya.

1. Pelaku Membangun Kesan Resmi

Serangan biasanya dimulai dari komunikasi yang terlihat wajar. Bisa lewat WhatsApp, SMS, email, atau panggilan suara.

Pelaku mengaku sebagai petugas pajak, admin layanan, atau pihak yang membantu proses aktivasi Coretax. Narasinya bisa bermacam-macam:

• validasi akun Coretax;
• pembaruan data wajib pajak;
• sinkronisasi NIK dan NPWP;
• aktivasi layanan pajak;
• pemeriksaan data pelaporan;
• pemberitahuan tagihan;
• instruksi agar akun tidak bermasalah.

Kalimat seperti ini sengaja dibuat dekat dengan aktivitas wajib pajak. Tidak terlalu bombastis. Justru karena itu terlihat meyakinkan.

Penipuan yang bagus tidak selalu terlihat seperti penipuan. Kadang ia terlihat seperti admin yang sedang “membantu”.

Dan itu yang membuatnya licin.

2. Korban Didorong untuk Klik Link

Setelah percakapan terasa cukup meyakinkan, pelaku mengirim tautan.

Tautan itu bisa mengarah ke halaman palsu yang meniru layanan pajak atau langsung mengarahkan korban untuk mengunduh file APK. Nama file dibuat seolah resmi, misalnya memakai kata Coretax, pajak, aktivasi, validasi, atau pembaruan sistem.

Di tahap ini, korban sering tidak merasa sedang mengambil risiko besar. Mereka merasa hanya mengikuti arahan.

Padahal link phishing adalah pintu pertama.

Begitu korban masuk, pelaku mulai memindahkan serangan dari tahap membangun kepercayaan ke tahap mengambil akses.

3. APK Palsu Mulai Mengambil Kontrol

File APK bukan sekadar file biasa. APK adalah paket instalasi aplikasi Android.

Jika APK itu berbahaya, ia bisa meminta izin yang sangat sensitif, seperti akses SMS, notifikasi, layanan aksesibilitas, perekaman layar, bahkan kontrol perangkat jarak jauh.

Bagi pengguna biasa, permintaan izin aplikasi sering dianggap formalitas. Klik “izinkan”, lalu selesai.

Padahal justru dari sana masalah dimulai.

Dalam modus Coretax palsu, aplikasi berbahaya tidak hanya digunakan untuk mencuri data login. Polanya mengarah pada kompromi perangkat yang lebih dalam: merekam layar, membaca informasi sensitif, hingga membantu pelaku menjalankan transaksi tanpa izin korban.

Jadi masalahnya bukan hanya “data bisa bocor”.

Masalahnya: ponsel korban bisa berubah menjadi alat yang dipakai pelaku untuk masuk ke akun korban sendiri.

4. Perangkat Bisa Dibuat Freeze agar Korban Tidak Curiga

Salah satu pola yang perlu diwaspadai adalah perangkat mendadak freeze, layar gelap, atau terasa tidak responsif setelah aplikasi palsu dipasang.

Bagi korban, ini mungkin terlihat seperti error biasa.

Padahal dalam konteks malware, kondisi seperti ini bisa dipakai untuk menyembunyikan aktivitas di belakang layar. Korban dibuat tidak bisa melihat apa yang sedang terjadi, sementara aplikasi berbahaya mulai membaca data perangkat, menyiapkan akses, atau menjalankan proses lain.

Bayangkan pencuri mematikan lampu sebelum mengambil barang.

Kurang lebih seperti itu.

Korban tidak melihat prosesnya, tetapi kerusakan sedang berjalan.

5. Panggilan Suara Dipakai untuk Menekan Korban

Serangan kemudian diperkuat dengan vishing atau voice phishing.

Pelaku menelepon korban sambil memberi instruksi. Nadanya bisa ramah, bisa tegas, bisa seolah membantu. Tapi intinya sama: korban diarahkan untuk melakukan tindakan tertentu tanpa sempat berpikir terlalu lama.

Panggilan suara memberi tekanan psikologis yang lebih besar dibanding pesan teks. Kalau hanya pesan, korban masih bisa diam, membaca ulang, atau bertanya ke orang lain. Tapi saat ditelepon, apalagi oleh orang yang mengaku petugas, korban merasa harus merespons saat itu juga.

Penipu suka situasi seperti ini.

Mereka tidak ingin korban berpikir. Mereka ingin korban mengikuti.

6. Screen Recording Membuat OTP Tidak Lagi Aman

Banyak orang masih percaya, “Yang penting saya tidak pernah kasih OTP.”

Sayangnya, dalam kasus malware yang bisa merekam layar, masalahnya tidak sesederhana itu.

Jika layar perangkat direkam, pelaku tidak perlu bertanya OTP. Mereka cukup melihatnya. Ketika korban membuka mobile banking, mengetik PIN, membaca SMS OTP, melihat notifikasi, atau memasukkan password, aktivitas itu bisa ikut terekam.

Ini bagian yang sering diremehkan.

OTP memang lapisan keamanan penting. Tapi jika perangkat yang menerima OTP sudah dikuasai malware, lapisan itu ikut melemah.

Kuncinya bukan hanya menjaga OTP.
Kuncinya menjaga perangkat agar tidak jatuh ke tangan penyerang sejak awal.

7. Dana Dipindahkan Lewat Rekening Perantara

Setelah akses diperoleh, pelaku dapat memindahkan dana ke rekening lain. Biasanya tidak langsung ke rekening utama, melainkan melalui jaringan rekening perantara atau mule account.

Tujuannya sederhana: mempercepat pencairan dan menyulitkan pelacakan.

Begitu dana berpindah beberapa kali, proses pemulihan menjadi jauh lebih sulit. Karena itu, korban tidak punya banyak waktu untuk “menunggu dulu”.

Dalam fraud digital, respons cepat sering menjadi pembeda antara dana masih bisa diblokir atau sudah hilang melewati beberapa lapisan rekening.

 

Baca juga : Awas! Karyawan Jual Akses Perusahaan di Dark Web, Jutaan Data Rahasia Melayang

 

Tanda-Tanda Coretax Palsu yang Harus Diwaspadai

Agar lebih praktis, berikut tanda yang perlu langsung dicurigai.

1. Ada File APK Lewat Pesan Pribadi

Jika ada pesan mengatasnamakan Coretax atau DJP lalu menyertakan file APK, jangan dibuka.

Tidak perlu penasaran. Tidak perlu cek sebentar. Tidak perlu install untuk memastikan.

Dalam keamanan siber, rasa penasaran yang salah tempat bisa mahal.

2. Tautan Tidak Mengarah ke Domain Resmi

Penipu sering membuat domain yang mirip dengan domain resmi. Bedanya bisa kecil: tambahan huruf, tanda hubung, susunan kata yang nyaris sama, atau ekstensi domain yang aneh.

Orang yang sedang terburu-buru mudah melewatkan detail ini.

Biasakan membaca alamat domain, bukan hanya melihat logo dan tampilan halaman.

3. Ada Tekanan untuk Segera Bertindak

Kalimat seperti “akun akan diblokir”, “data tidak valid”, “wajib update hari ini”, atau “jika tidak maka akan terkena sanksi” adalah pola umum social engineering.

Tekanan waktu dipakai untuk mematikan logika.

Jika sebuah pesan membuat Anda merasa harus bertindak saat itu juga, justru itu alasan untuk berhenti sebentar.

4. Diminta OTP, PIN, Password, atau Akses Perangkat

Ini batas merah.

Tidak ada alasan sah bagi pihak yang mengaku petugas untuk meminta OTP, password, PIN, passphrase, akses mobile banking, screen sharing, atau remote access.

Kalau permintaan seperti ini muncul, percakapan harus dihentikan.

 

Jika Sudah Terlanjur Klik Link atau Install APK

Kalau sudah terlanjur, jangan habiskan waktu untuk panik. Yang paling penting adalah membatasi kerusakan.

Langkah pertama, putuskan koneksi internet. Aktifkan mode pesawat, matikan WiFi, dan jangan membuka mobile banking dari perangkat tersebut.

Kedua, hubungi bank dari perangkat lain. Minta pemblokiran sementara jika ada indikasi akun perbankan terancam. Jangan menunggu sampai saldo bergerak.

Ketiga, ganti password dari perangkat yang aman. Prioritaskan email utama, akun pajak, mobile banking, dompet digital, dan akun penting lain.

Keempat, hapus aplikasi mencurigakan. Jika perangkat sudah menunjukkan perilaku aneh, pertimbangkan factory reset. Untuk malware yang sudah meminta akses sensitif, uninstall biasa belum tentu cukup.

Kelima, simpan bukti. Screenshot pesan, nomor pengirim, tautan, nama file, bukti transaksi, dan waktu kejadian bisa membantu proses pelaporan.

Keenam, laporkan ke kanal resmi. Hubungi bank, DJP, dan pihak berwenang sesuai kebutuhan. Semakin cepat laporan masuk, semakin besar peluang risiko ditekan.

 

Baca juga : Strategi Mitigasi Risiko TI: Cara Menghindari Anomali Laporan Keuangan di BUMN

 

Untuk Perusahaan, Ini Bukan Cuma Masalah Wajib Pajak Individu

Banyak perusahaan mungkin melihat kasus Coretax palsu sebagai masalah masyarakat umum.

Itu keliru.

Tim finance, tax, accounting, admin, legal, procurement, dan manajemen juga berisiko. Bahkan dalam beberapa aspek, risiko perusahaan bisa lebih besar karena mereka mengelola data, pembayaran, dokumen pajak, akses email, dan komunikasi dengan pihak eksternal.

Bayangkan skenario sederhana.

Seorang staf pajak menerima pesan yang terlihat seperti arahan aktivasi Coretax. Ia sedang dikejar deadline. Banyak pekerjaan menumpuk. Lalu ia membuka link dari ponsel kerja, menginstal file, dan mengikuti arahan seseorang yang mengaku membantu.

Jika perangkat itu terhubung dengan email kantor, dokumen pajak, akun cloud, atau aplikasi keuangan, masalahnya tidak lagi berhenti di satu orang.

Dampaknya bisa melebar menjadi:

• kebocoran data perusahaan;
• kompromi akun email kerja;
• pencurian dokumen perpajakan;
• penyalahgunaan identitas perusahaan;
• fraud pembayaran;
• akses tidak sah ke dokumen internal;
• gangguan operasional tim finance;
• risiko reputasi jika data pihak ketiga ikut terdampak.

Inilah kenyataan yang sering terlambat disadari: serangan siber tidak selalu masuk lewat server. Kadang masuk lewat chat yang dibuka saat orang sedang sibuk.

 

Kenapa Tim Finance dan Tax Sering Jadi Target?

Karena mereka berada di persimpangan tiga hal: data, uang, dan tekanan waktu.

Tim finance dan tax terbiasa menerima dokumen, membuka lampiran, membaca instruksi pembayaran, mengecek tagihan, mengurus administrasi, dan berkomunikasi dengan banyak pihak luar.

Pada masa pelaporan pajak, tekanan naik. Volume pesan naik. Deadline dekat. Fokus terpecah.

Di situ kewaspadaan turun.

Pelaku memanfaatkan pola kerja ini. Mereka tahu pesan bertema pajak akan lebih cepat dibuka. Mereka tahu kata “validasi” terasa wajar. Mereka tahu instruksi administratif sering diikuti tanpa banyak debat.

Ini bukan berarti tim finance ceroboh. Ini berarti proses kerja mereka memang punya risiko yang harus dikendalikan.

Solusinya bukan hanya menempel poster “jangan klik link”. Poster boleh, tapi kalau hanya itu, ya seperti pakai helm sepeda untuk masuk arena tinju. Ada niat baik, tapi perlindungannya kurang.

Perusahaan butuh kebijakan, pelatihan, verifikasi, dan prosedur respons yang jelas.

 

Cara Perusahaan Mengurangi Risiko Coretax Palsu

Pertama, buat panduan kanal resmi perpajakan. Isinya tidak perlu panjang, tetapi harus jelas: situs resmi yang boleh diakses, kontak yang valid, prosedur verifikasi, dan siapa yang harus dihubungi jika menerima pesan mencurigakan.

Kedua, larang instalasi APK dari sumber tidak resmi, terutama pada perangkat kerja. Tidak ada APK dari WhatsApp. Tidak ada aplikasi dari tautan asing. Tidak ada “coba dulu nanti hapus”.

Ketiga, terapkan verifikasi ganda untuk instruksi pembayaran. Jangan biarkan satu orang menerima instruksi, menyetujui, dan mengeksekusi transaksi sendirian.

Keempat, latih tim dengan simulasi nyata. Bukan ceramah panjang yang dilupakan setelah makan siang. Buat simulasi pesan phishing pajak, panggilan palsu, domain palsu, dan skenario jika sudah terlanjur klik.

Kelima, siapkan incident response playbook. Saat insiden terjadi, perusahaan tidak boleh baru bertanya, “Ini lapor ke siapa?” Harus sudah jelas siapa yang memutus akses perangkat, siapa yang menghubungi bank, siapa yang mengamankan bukti, dan siapa yang mengambil keputusan pemblokiran sementara.

Keenam, bangun kebiasaan Stop, Verify, Report.

Berhenti sebelum klik.
Verifikasi lewat kanal resmi.
Laporkan jika ada yang mencurigakan.

Sederhana, tapi jika dilakukan konsisten, dampaknya besar.

 

Bangun Kesiapan Cyber Security Tim Anda Bersama PROSXSIS IT

Modus Coretax palsu menunjukkan bahwa ancaman siber tidak selalu dimulai dari serangan teknis yang rumit. Sering kali, pintu masuknya adalah pesan WhatsApp, tautan palsu, file APK, atau panggilan yang terdengar meyakinkan.

Karena itu, perusahaan perlu membekali tim dengan pemahaman praktis tentang cyber security, social engineering, phishing awareness, mobile malware, incident response, dan perlindungan data.

Melalui program Cyber Security dari PROSXSIS IT GROUP/GRC, organisasi dapat membangun kesiapan tim untuk mengenali pola serangan, memahami risiko operasional, dan merespons ancaman digital dengan lebih terstruktur.

Tujuannya bukan membuat semua karyawan menjadi ahli teknis.

Tujuannya lebih sederhana: agar mereka tidak menjadi pintu masuk termudah bagi penyerang.

Dalam banyak kasus, satu klik bisa terlalu mahal. Maka edukasi keamanan yang tepat bukan sekadar pelengkap. Ia adalah lapisan pertahanan pertama.

 

Kesimpulan

Ancaman Coretax palsu adalah pengingat bahwa penipuan digital semakin matang. Pelaku tidak hanya membuat aplikasi palsu. Mereka membangun skenario, memilih waktu yang tepat, meniru otoritas, menekan korban lewat komunikasi personal, lalu memakai malware untuk mengambil alih perangkat dan akses finansial.

Ini bukan penipuan satu langkah. Ini operasi.

Bagi wajib pajak, pesannya jelas: jangan pernah mengunduh APK Coretax dari tautan pribadi, jangan memberi OTP atau data sensitif, dan selalu akses layanan pajak melalui kanal resmi.

Bagi perusahaan, pesannya lebih besar: keamanan siber harus masuk ke kebiasaan kerja harian, terutama di tim yang memegang data, pembayaran, dan administrasi pajak.

Karena ancaman terbesar tidak selalu datang dengan kode rumit atau serangan besar-besaran. Kadang ia datang sebagai pesan yang terlihat resmi, masuk di jam sibuk, lalu menunggu satu klik kecil yang membuka masalah besar.

 

FAQ 

1. Apakah Coretax punya aplikasi APK resmi?
   Tidak. Jika ada pihak yang mengirim file APK Coretax melalui WhatsApp, SMS, Telegram, atau email pribadi, sebaiknya langsung dicurigai sebagai penipuan.
2. Apa tanda paling jelas pesan Coretax palsu?
   Tanda paling jelas adalah adanya file APK, tautan tidak resmi, permintaan OTP, permintaan password, tekanan untuk segera bertindak, atau instruksi pembayaran ke rekening tertentu.
3. Kenapa APK palsu bisa sangat berbahaya?
   Karena APK berbahaya dapat meminta izin sensitif seperti membaca SMS, melihat notifikasi, merekam layar, dan mengendalikan perangkat. Dari sana, pelaku bisa mencuri kredensial dan memanfaatkan akses finansial korban.
4. Kalau hanya klik link tapi tidak install APK, apakah tetap berbahaya?
   Risikonya lebih rendah dibanding menginstal APK, tetapi tetap perlu hati-hati. Link phishing bisa mencuri data jika Anda memasukkan informasi di halaman palsu.
5. Apa yang harus dilakukan jika sudah install APK mencurigakan?
   Putuskan koneksi internet, jangan buka mobile banking, hubungi bank dari perangkat lain, ganti password dari perangkat aman, simpan bukti, dan laporkan ke kanal resmi.
6. Mengapa perusahaan perlu memperhatikan modus ini?Karena tim finance dan tax sering menangani data, pembayaran, dokumen pajak, dan komunikasi eksternal. Jika satu perangkat kerja dikompromikan, dampaknya bisa melebar ke data dan operasional perusahaan.
7. Bagaimana cara sederhana mencegah modus seperti ini?
   Gunakan prinsip Stop, Verify, Report: berhenti sebelum klik, verifikasi lewat kanal resmi, dan laporkan jika ada pesan mencurigakan.