“Yang terhormat pelanggan bernilai.”

Kalimatnya kaku.

Huruf kapital random.

Grammar berantakan.

Nama perusahaan salah sedikit.

Kita ketawa, delete, lanjut hidup.

Red flag itu sekarang makin nggak bisa diandalkan.

Generative AI membuat penipu tidak perlu jago bahasa untuk terdengar natural. Mereka bisa meminta model merapikan pesan, menerjemahkan ke Bahasa Indonesia, menyesuaikan tone, membuat follow-up, bahkan meniru gaya komunikasi yang lebih kasual.

Google Threat Intelligence Group sudah melihat threat actor memakai generative AI untuk productivity dalam social engineering, research, localization, dan content creation. Google juga menilai AI memberi pelaku kemampuan bergerak lebih cepat dan dalam volume lebih besar, walaupun AI tidak otomatis menciptakan kemampuan kriminal yang benar-benar baru.

Ini distinction penting.

Masalahnya bukan AI menemukan konsep phishing.

Phishing sudah tua.

AI mengurangi friction.

Dulu pelaku dari luar Indonesia mungkin menulis pesan yang terasa seperti Google Translate 2014.

Sekarang cukup bilang:

“Tulis pesan WhatsApp Bahasa Indonesia yang terdengar seperti customer service e-commerce, santai tapi profesional.”

Hasilnya bisa jauh lebih natural.

Bahkan bisa pakai “kak” di tempat yang terasa normal.

Bisa menghindari typo.

Bisa menyesuaikan bahasa formal untuk karyawan finance.

Bisa bikin versi yang lebih hangat untuk orang tua.

Language mismatch yang dulu membantu kita mendeteksi scam makin hilang.

Ini membuat satu nasihat lama perlu diperbarui.

“Kalau bahasanya jelek, kemungkinan scam.”

Masih bisa benar.

Tapi kebalikannya sudah tidak aman.

Bahasa bagus bukan bukti pesan legitimate.

Penipu juga tidak perlu selalu membuat pesan sempurna.

Mereka cuma perlu membuatnya cukup normal supaya lo tidak berhenti.

Phishing modern sering menang bukan karena pesan sangat meyakinkan.

Tapi karena tidak terlihat cukup aneh untuk diperiksa.

Pesan seperti:

“Mas, invoice revisinya sudah aku upload ya. Bisa cek yang versi baru? Tadi ada perubahan rekening karena sistem finance kami pindah.”

Secara bahasa biasa banget.

Kalau datang di tengah thread yang cocok, bahkan lebih meyakinkan.

Yang perlu dicek bukan grammar.

Perubahannya.

Rekening baru.

File baru.

Link baru.

Permintaan baru.

Security perlu bergeser dari “lihat gaya tulisan” ke “lihat perubahan perilaku dan consequence”.

Kalau pesan meminta tindakan sensitif, verifikasi.

Walaupun bahasanya enak dibaca.

AI juga membuat personalization lebih murah.

Pelaku bisa mengambil informasi dari website perusahaan.

LinkedIn.

Instagram.

Press release.

Job posting.

Nama project.

Nama atasan.

Nama vendor.

Lalu membuat pesan yang terasa relevan.

Dulu spear phishing membutuhkan waktu.

Sekarang proses research dan drafting bisa dipercepat.

Microsoft dan Google selama 2026 terus mempublikasikan bagaimana threat actor menggunakan automation dan AI di berbagai bagian attack lifecycle. Google khususnya melihat pelaku makin mengintegrasikan AI untuk reconnaissance dan social engineering.

Skala adalah bagian yang harus diperhatikan.

AI tidak harus membuat satu phishing 10 kali lebih kuat.

Kalau membuat penipu bisa menghasilkan 100 versi lokal dengan effort yang dulu hanya cukup untuk 10, risk tetap naik.

Pesan bisa diadaptasi.

Bahasa Indonesia.

English.

Campur.

Formal.

Santai.

Untuk CEO.

Untuk intern.

Untuk seller marketplace.

Untuk ibu rumah tangga.

Satu template menjadi banyak persona.

Itu industrialisasi social engineering.

Di Indonesia, ini sangat relevan karena register bahasa kita luas.

Pesan bank beda dengan marketplace.

Pesan HR beda dengan group keluarga.

Pesan ojol beda dengan vendor B2B.

Penipu dulu sering terdengar out of place.

Sekarang model bisa diberi contoh.

Bahkan tanpa meniru individu tertentu, AI sudah cukup bagus membuat register yang plausible.

“Mohon menunggu.”

“Boleh dibantu konfirmasi.”

“Untuk proses verifikasi.”

“Sekadar follow-up.”

Semua terdengar familiar.

Ada juga code-switch.

Pekerja Jakarta terbiasa dengan pesan seperti:

“Pak, quick check ya, invoice ini need approval before 3 PM.”

Kalimat seperti itu tidak otomatis mencurigakan karena memang banyak orang kerja ngomong begitu.

Scammer yang memahami culture atau dibantu AI bisa memanfaatkan.

Makanya master cyber hygiene perlu update.

Slang bukan authenticity.

Formal bukan authenticity.

Grammar sempurna bukan authenticity.

Yang authenticate adalah process.

Dulu kita disuruh mencari typo.

Sekarang kita perlu mencari anomaly.

Apakah permintaan ini biasa?

Apakah sender biasa meminta hal seperti ini?

Apakah ada urgency?

Apakah ada secrecy?

Apakah rekening berubah?

Apakah link domain berbeda?

Apakah diminta login ulang?

Apakah diminta OTP?

Apakah ada request yang memindahkan data atau uang?

Behavioral red flag lebih tahan terhadap AI daripada language red flag.

Contoh gampang.

Email vendor:

“Selamat siang, terlampir invoice bulan Agustus. Mohon pembayaran diarahkan ke rekening baru karena ada migrasi bank.”

Bahasanya boleh sempurna.

Tetap red flag karena perubahan rekening.

Perusahaan seharusnya punya prosedur callback ke contact vendor yang sudah terdaftar.

Bukan membalas email itu.

Kalau ternyata legitimate, selesai.

Kalau scam, uang selamat.

FBI untuk Business Email Compromise juga menyarankan verifikasi payment atau purchase request secara langsung atau lewat nomor yang diketahui, terutama saat ada perubahan rekening atau prosedur pembayaran.

Notice apa yang tidak disebut?

“Cek grammar.”

Karena core defense memang bukan grammar.

Ada kasus consumer.

Pesan WhatsApp:

“Halo Kak, paketnya sudah sampai hub Jakarta tapi alamat kurang lengkap. Bisa konfirmasi lewat link ini ya supaya nggak balik ke seller.”

Natural.

Sangat mungkin orang klik karena memang sedang menunggu paket.

Yang perlu dilihat:

Nomornya siapa?

Link ke domain apa?

Apakah aplikasi resmi memang meminta begitu?

Bisa cek status dari app langsung?

Keluar dari pesan.

Buka marketplace manual.

Itu independent verification.

Jangan klik karena tone-nya ramah.

AI juga membuat penipu lebih mudah membalas balik.

Ini perubahan penting.

Phishing dulu sering one-shot.

Pesan dikirim.

Korban klik atau tidak.

Sekarang conversational scam bisa beradaptasi.

Korban bertanya:

“Ini beneran dari bank?”

Penipu bisa membalas natural.

“Betul Pak, kami dari tim verifikasi. Bapak tidak perlu memberikan PIN, hanya konfirmasi data lewat halaman resmi.”

Jawabannya sengaja terdengar security-aware.

Bahkan mereka bisa bilang “jangan kasih OTP ke siapa pun” sambil mengarahkan korban ke situs yang mencuri credential.

Scammer belajar bahasa anti-scam.

Ini membuat conversation terasa aman.

Mereka tahu red flag yang sudah sering diajarkan publik.

Lalu memasukkan kalimat yang menenangkan.

“Tidak perlu transfer.”

“Tidak perlu OTP.”

“Ini hanya verifikasi.”

Tiga step kemudian baru ada pembayaran.

Jadi jangan menilai satu kalimat.

Lihat trajectory.

Percakapan membawa ke mana?

Login?

Download?

Share screen?

Install app?

Transfer?

Remote access?

Kalau ending-nya sensitive, verifikasi lebih awal.

AI membuat perjalanan menuju ending itu lebih mulus.

Phishing juga bisa dibuat lebih contextual berdasarkan event.

Ada perubahan kebijakan.

Promo besar.

Musim pajak.

Pendaftaran.

Ticket concert.

Bansos.

Lowongan kerja.

Penipu bisa membuat copy yang mengikuti percakapan publik.

Pada April dan Juni 2026, Komdigi masih menemukan hoaks deepfake yang mencatut pejabat dan institusi pemerintah untuk menawarkan bantuan dana melalui media sosial dan WhatsApp. Ini menunjukkan authority dan financial lure tetap efektif, hanya packaging-nya makin modern.

Orang tidak tertipu karena bodoh.

Sering karena pesan datang pada konteks yang plausible.

Kalau sedang daftar sesuatu, pesan “verifikasi pendaftaran” terasa normal.

Kalau sedang cari kerja, recruiter palsu terasa masuk akal.

Kalau sedang menunggu refund, pesan customer service terasa pas.

Security awareness yang suka bilang “jangan gampang percaya” kadang kurang membantu.

Semua orang tahu jangan gampang percaya.

Problem-nya adalah menentukan kapan harus curiga.

Rule yang lebih actionable:

Setiap komunikasi yang mengubah akses, uang, credential, atau account state harus punya verification step.

Tidak peduli bahasanya.

Keluarga bisa punya rule transfer.

Perusahaan punya callback procedure.

Marketplace dicek lewat app.

Bank dihubungi lewat channel resmi.

Recruiter dicek lewat domain perusahaan.

Government program dicek lewat website resmi.

Ini procedural trust.

Lebih kuat daripada linguistic trust.

Untuk perusahaan, email security masih penting.

Filter.

DMARC.

Anti-phishing.

URL protection.

MFA.

Tapi manusia tetap ada di loop.

Training perlu di-update.

Jangan kasih contoh phishing yang terlalu obvious.

Kalau simulasi internal masih memakai “Dear Costumer” dan domain bodoh, employee belajar game yang salah.

Buat simulation yang plausible.

Bahasa natural.

Thread relevant.

Context kerja.

Tapi tetap etis dan proporsional.

Tujuan training bukan menjebak employee.

Tujuannya membangun reflex.

Verify anomaly.

Finance team perlu contoh perubahan bank account.

HR contoh file kandidat.

Developer contoh GitHub notification.

Executive assistant contoh urgent request.

Role-specific.

Bahasa AI membuat generic awareness semakin kurang cukup.

Ada juga risk di voice dan video.

Bahasa natural bisa digabung dengan clone suara.

Scammer tidak hanya punya grammar bagus.

Mereka bisa membuat script yang sesuai persona, lalu dibacakan synthetic voice.

Conversation bisa terdengar jauh lebih “manusia” daripada robocall lama.

Ini reason kita perlu berhenti mencari indikator aesthetic.

Scam jelek terlihat scam.

Scam bagus terlihat seperti kerjaan biasa.

Defense harus tetap sama.

Verification.

Independent channel.

Least privilege.

Slow down high-impact action.

Ada satu hal lucu sekaligus menyebalkan.

Selama bertahun-tahun kita diajarkan bahwa penipu bisa dikenali dari typo.

Ternyata typo cuma masalah tooling.

Begitu tooling membaik, red flag hilang.

Yang tersisa adalah sesuatu yang seharusnya sejak awal menjadi fokus:

Apakah permintaannya masuk akal?

Apakah channel-nya tepat?

Apakah identity sudah diverifikasi?

Apakah action sesuai prosedur?

Kalau perusahaan dan keluarga masih mengandalkan “scammer pasti ngomong aneh”, mereka sedang bertahan dengan security heuristic yang kedaluwarsa.

Penipu sekarang bisa terdengar sopan.

Natural.

Relate.

Bahkan lebih rapi daripada teman kantor yang asli.

Jangan authenticate orang dari kualitas copywriting-nya.

Di 2026, tulisan bagus sudah terlalu murah untuk dijadikan bukti siapa pun.

Ada efek samping lain yang agak ironis. Pesan legitimate dari perusahaan kadang justru masih kaku dan template, sementara scam bisa terasa lebih personal. Jadi “yang lebih manusia pasti asli” juga bukan rule yang aman.

Perusahaan perlu memperbaiki komunikasi resmi mereka supaya customer punya baseline yang jelas. Domain konsisten. Nomor terverifikasi. Format transaksi konsisten. Tidak tiba-tiba meminta data sensitif lewat channel yang biasanya hanya dipakai marketing.

Semakin konsisten perilaku organisasi asli, semakin mudah publik mengenali anomaly.

AI membuat bahasa bisa ditiru. Kebiasaan operasional yang konsisten jauh lebih susah dipalsukan end-to-end.