Sebuah email mengaku berasal dari Amazon.co.jp. Isinya sopan: terima kasih sudah menjadi pelanggan, demi keamanan silakan verifikasi akun. Nama perusahaan, pemberitahuan tidak menerima balasan, dan catatan hak cipta sudah lengkap. Seolah-olah penipu baru lulus pelatihan layanan pelanggan.
Masalahnya, host yang tertulis dalam URL bukan milik Amazon. Email ini sangat mencurigakan sebagai upaya phishing. Jangan masuk ke akun lewat tautan email; buka aplikasi resmi Amazon atau alamat tepercaya yang biasa Anda gunakan.
1. Katanya penting, tetapi masalahnya tidak disebutkan
Email tersebut tidak menjelaskan apa yang terjadi. Ada login asing? Pembayaran bermasalah? Alamat berubah? Tidak jelas. Sebagai gantinya, ada kalimat menenangkan bahwa proses verifikasi tidak akan mengubah informasi akun.
Bayangkan orang tak dikenal datang dan berkata, “Demi keamanan rumah, boleh saya periksa kuncinya sebentar?” Kata “sebentar” bukan bukti bahwa dia petugas.
Nama perusahaan dan keterangan hukum mudah disalin. Tampilan profesional bukan jaminan keaslian.
2. Teks sebelum @ bukan alamat situs sebenarnya
Berikut contoh yang sudah dinonaktifkan, bukan tautan untuk dibuka:
URL dapat memakai bentuk informasi-pengguna@host. Kata yang mirip Amazon di depan @ berada di bagian informasi pengguna, bukan nama domain tujuan. Host yang ditunjukkan struktur ini adalah share.google, sesudah @. MDN mendokumentasikan format tersebut.[1]
Triknya mengandalkan orang yang hanya membaca awal URL. Kostumnya Amazon, tetapi kartu identitasnya milik pihak lain.
3. share.google memang domain resmi Google
Ada hal yang harus dibedakan: share.google adalah domain tautan pendek resmi yang dipakai aplikasi Google. Ini tercantum dalam bantuan Google.[2]
Jadi masalahnya bukan karena domain Google itu palsu. Yang mencurigakan adalah permintaan verifikasi akun Amazon memakai host non-Amazon, tautan pendek, dan teks merek yang menyesatkan di depan @.
Kami tidak membuka tautan khusus dari email ini. Tujuan pengalihan akhirnya, kemungkinan halaman login palsu, atau pencurian data tidak dapat dipastikan. Namun alasan untuk tidak mengekliknya sudah sangat kuat.
4. Footer perusahaan bukan bukti keaslian
Pernyataan hak cipta, nama perusahaan, pesan “jangan dibalas”, dan tautan berhenti berlangganan bisa ditulis siapa saja. Bahkan tautan lain yang berisi domain terkenal tidak membuktikan seluruh email sah.
Header email asli dan hasil autentikasi pengirim juga tidak diperiksa. Kesimpulan di sini berdasarkan teks dan struktur URL yang diberikan, bukan investigasi server.
5. Jika sudah menerima atau mengeklik
Belum mengeklik: jangan gunakan tautan verifikasi maupun berhenti berlangganan. Cek akun melalui aplikasi resmi dan laporkan email mencurigakan.
Hanya membuka halaman: tutup halaman dan periksa apakah ada berkas atau aplikasi terunduh. Klik saja tidak otomatis membuktikan akun dibajak.
Memasukkan kata sandi: masuk melalui kanal resmi, ubah kata sandi Amazon dan layanan lain yang memakai kata sandi sama, aktifkan autentikasi multifaktor, lalu periksa pesanan dan pembayaran.
Memasukkan data kartu: segera hubungi penerbit kartu melalui nomor resminya. FTC juga menganjurkan pemeriksaan lewat kanal perusahaan yang Anda kenal, bukan lewat pesan tak terduga.[3]
Kesimpulan
Email ini mengenakan pakaian Amazon, tetapi URL memperlihatkan kartu identitas berbeda. Saat diminta memverifikasi akun, jangan mengikuti pemandu asing: datangi layanan resminya sendiri.
[1] MDN: https://developer.mozilla.org/en-US/docs/Web/URI/Reference/Authority
[2] Google: https://support.google.com/websearch/answer/7013866?hl=en-AU
[3] FTC: https://consumer.ftc.gov/consumer-alerts/2025/04/protect-yourself-phishing-scams
