“Kalau ragu, video call aja.”

Masuk akal.

Foto bisa dicuri.

Chat bisa dipalsukan.

Voice bisa ditiru.

Tapi kalau wajahnya muncul live di layar dan ngomong balik, ya harusnya asli.

Masalahnya, standar itu mulai rapuh.

Deepfake tidak harus lagi berbentuk video pre-recorded yang jelas-jelas aneh. Pelaku bisa menggabungkan synthetic video, audio, compromised account, dan social engineering untuk membuat interaksi virtual terlihat cukup meyakinkan.

Google Threat Intelligence Group pada Februari 2026 mendokumentasikan satu intrusion yang melibatkan compromised Telegram account, fake Zoom meeting, dan penggunaan video yang dilaporkan dibuat dengan AI untuk menipu korban di sektor fintech.

Hong Kong Police pada Januari 2026 juga masih mengingatkan publik soal scam yang menggunakan AI untuk meniru figur publik, pejabat, atau eksekutif melalui suara dan gambar.

Jadi video call tetap berguna.

Tapi bukan proof tunggal.

Ini perubahan mental yang lumayan besar.

Selama era remote work, kita membangun banyak trust lewat wajah di layar.

Meeting.

Interview.

Approval.

Client call.

KYC.

Family call.

Kalau visual presence kehilangan status sebagai bukti final, kita perlu layer lain.

Bukan berarti setiap video call harus dicurigai.

Itu nggak realistis.

Yang berubah adalah high-impact decision.

Kalau video call hanya ngobrol, fine.

Kalau setelah video call diminta transfer Rp500 juta, share credential, membuka remote access, atau mengubah rekening vendor, identity perlu diverifikasi lewat process.

Wajah bukan approval token.

Salah satu alasan deepfake video berbahaya adalah manusia sangat percaya pada familiarity.

Kita nggak melakukan forensic analysis setiap lihat bos di Teams.

Kita lihat wajah, dengar suara, context cocok, lanjut.

Otak bekerja efisien.

Itu normal.

Scammer mencoba memanfaatkan shortcut tersebut.

Mereka tidak perlu membuat video flawless selama dua jam.

Cukup bertahan beberapa menit.

Apalagi kalau meeting sengaja dibuat chaotic.

“Kamera gue agak lag.”

“Mic lagi bermasalah.”

“Gue di airport.”

“Connection jelek.”

“Gue cuma sebentar.”

Semua artifact punya penjelasan.

Sama seperti voice clone.

Poor quality bisa menjadi camouflage.

Ada juga group call.

Dulu mungkin terasa lebih aman.

“Kan ada beberapa orang.”

Kalau account dan media beberapa orang bisa dipalsukan atau disimulasikan, jumlah wajah tidak otomatis meningkatkan trust.

Kasus deepfake conference yang ramai dibahas beberapa tahun lalu membuat dunia sadar bahwa skenario multiple executive palsu bukan impossible.

Pada 2026, law enforcement terus memperingatkan AI impersonation karena technology dan scam ecosystem makin accessible.

Jadi bagaimana verifikasi seharusnya bekerja?

Pertama, pisahkan communication dan authorization.

Video call adalah communication.

Authorization adalah proses lain.

Contoh perusahaan.

Direktur menjelaskan di video call bahwa payment perlu dipercepat.

Fine.

Tetapi payment tetap membutuhkan approval di ERP dari identity yang sudah di-authenticate.

Kalau payment threshold membutuhkan dua approver, video call tidak mengganti.

Kalau rekening vendor berubah, callback ke vendor contact resmi tetap dilakukan.

Wajah memberi context.

System memberi authority.

Ini desain yang kuat.

Kedua, gunakan known channel.

Kalau orang yang mengaku CEO menelepon dari account baru, jangan langsung percaya hanya karena wajah mirip.

Hubungi lewat contact internal yang sudah tersimpan.

Teams account company.

Nomor kantor.

Assistant.

Sekretaris.

Channel kedua.

Independent verification.

Sama untuk keluarga.

Video call dari nomor asing mengaku saudara yang HP-nya rusak.

Tutup.

Telepon nomor lama.

Tanya keluarga lain.

Jangan terjebak pada “tapi tadi gue lihat wajahnya”.

Ketiga, gunakan challenge yang dynamic jika situasi memang membutuhkan.

Hong Kong Police dalam edukasi anti-deepfake 2026 menyarankan pengguna meminta orang di video call melakukan gerakan tertentu untuk melihat apakah ada anomaly.

Ini bisa membantu.

Tapi jangan treat sebagai magic test.

Deepfake capability akan terus membaik.

Gerakan spontan mungkin menyulitkan beberapa system hari ini.

Besok belum tentu.

Challenge visual adalah signal tambahan.

Bukan authentication final untuk transfer besar.

Pertanyaan yang lebih kuat adalah sesuatu yang menghubungkan ke shared context yang tidak publik.

Bukan “nama kucing apa?” kalau kucing ada di Instagram.

Bisa internal project detail.

Atau code word.

Namun shared secret manusia juga bisa bocor.

Jadi untuk perusahaan, authentication system tetap lebih baik.

Keempat, lihat behavior, bukan pixel.

Apakah orang ini meminta sesuatu yang biasa?

Apakah workflow-nya masuk akal?

Kenapa buru-buru?

Kenapa tidak mau pakai system?

Kenapa minta secrecy?

Kenapa rekening baru?

Kenapa MFA harus dibacakan?

Anomaly behavior sering lebih tahan terhadap peningkatan kualitas deepfake.

Scammer bisa meniru wajah.

Lebih sulit meniru seluruh organizational process dengan sempurna kalau perusahaan punya control.

Ini alasan process menjadi security feature.

Kelima, jangan lakukan identity proof hanya di channel yang sama.

Kalau Zoom mencurigakan, jangan minta dia share ID di Zoom lalu percaya.

Attacker mengontrol visual environment.

Keluar.

Call.

ERP.

Directory.

Official app.

Face-to-face jika consequence sangat besar dan memungkinkan.

FBI dalam guidance Business Email Compromise menyarankan payment dan purchase request diverifikasi secara langsung atau melalui panggilan ke orang yang bersangkutan, khususnya perubahan account atau prosedur pembayaran.

Namun perkembangan deepfake voice membuat phone call pun tidak boleh berdiri sendiri.

Jadi konsepnya sekarang multi-channel verification.

Tidak ada satu medium yang dianggap absolut.

Email bisa compromise.

Phone bisa clone.

Video bisa deepfake.

Chat bisa hijack.

Gabungkan beberapa independent factor.

Semakin besar consequence, semakin banyak factor.

Ini risk-based authentication untuk manusia.

Kita sebenarnya sudah melakukan hal serupa di banking.

Password saja tidak cukup.

Ada device.

OTP.

Biometric.

Transaction confirmation.

Kenapa transfer korporat besar masih bisa bergantung pada “gue lihat muka bos di video call”?

Harusnya tidak.

Ada satu cultural challenge di Indonesia.

Hierarchy.

Bawahan kadang nggak enak mempertanyakan atasan.

Direktur bilang transfer.

Finance officer merasa:

“Masa gue suruh Pak Bos verifikasi lagi?”

AI scam membuat budaya ini berbahaya.

Perusahaan perlu secara eksplisit memberi permission kepada staff untuk challenge.

Bahkan bisa dibuat slogan internal:

“Kalau soal uang, semua orang boleh diverifikasi.”

CEO harus mendukung.

Kalau CEO sendiri sering bypass procedure, scammer tinggal meniru behavior itu.

Security culture dimulai dari atas.

Ada juga identity proof di recruitment.

Video interview dulu dianggap cukup untuk memastikan candidate adalah orang yang ada di CV.

Sekarang remote hiring perlu lebih hati-hati, terutama role dengan access sensitif.

Bukan berarti semua candidate deepfake.

Jangan jadi paranoid.

Tapi company bisa menggunakan identity verification yang sesuai aturan, account identity, document check, dan onboarding control.

Jangan hanya “wajah di Zoom cocok foto”.

Remote work memperluas convenience.

Security harus ikut adaptasi.

Customer service juga.

Bank atau platform mungkin melakukan video call untuk verifikasi.

User perlu memastikan call memang datang dari channel resmi.

Deepfake risk berjalan dua arah.

Scammer bisa meniru customer.

Bisa meniru employee.

Perusahaan perlu liveness, device signal, document verification, dan fraud analytics tergantung risk.

Video alone tidak cukup.

Ada temptation untuk menyelesaikan dengan deepfake detector.

Upload video.

Score 92 persen synthetic.

Problem selesai?

Belum.

Detector berguna.

Tapi arms race jalan terus.

Sebuah position paper 2026 bahkan mengkritik fokus berlebihan industri riset pada detection, sementara harm nyata berkembang ke voice-clone scam dan emotional manipulation.

Detection tetap satu layer.

Keputusan high-impact tidak boleh bergantung pada detection saja.

Defense yang lebih tahan masa depan adalah decision-layer control.

Walaupun deepfake tidak terdeteksi, transfer tetap butuh approval.

Walaupun suara perfect, callback tetap.

Walaupun wajah perfect, account privilege tetap.

Ini robust.

Ada satu analogy sederhana.

Security guard gedung tidak membiarkan orang masuk server room hanya karena wajahnya mirip direktur.

Ada access card.

Authorization.

Log.

Kenapa digital workflow harus lebih longgar?

Video call sebaiknya diperlakukan seperti melihat seseorang di lobby.

Useful signal.

Belum tentu access credential.

Untuk keluarga, kita juga bisa membuat versi sederhana.

Kalau ada video call emergency minta uang:

Jangan transfer selama call.

Tutup dulu.

Hubungi orang itu lewat known contact.

Hubungi satu anggota keluarga lain.

Tanyakan informasi yang tidak publik.

Baru bertindak.

Scammer paling benci jeda.

Jeda memberi reality kesempatan masuk.

Emotional manipulation bekerja saat korban tetap berada dalam bubble yang dibuat attacker.

Video call membuat bubble lebih kuat karena ada wajah.

Jadi break the session.

Keluar.

Verify.

Baru kembali.

Ada satu hal yang akan terasa makin aneh beberapa tahun ke depan.

Kita mungkin melihat wajah orang yang kita kenal, mendengar suaranya, melihat ekspresinya, lalu tetap harus bilang:

“Gue cek dulu ya.”

Itu bukan berarti trust antar manusia mati.

Itu berarti media digital sudah kehilangan sebagian kemampuannya sebagai bukti.

Trust pindah ke kombinasi relationship dan procedure.

Wajah masih berarti.

Suara masih berarti.

Tapi untuk keputusan besar, keduanya tidak lagi cukup.

Kalau teknologi bisa memalsukan presence, security harus memverifikasi authority.

Dan authority seharusnya memang tidak pernah bergantung pada satu video call.

Ada implikasi menarik untuk kebiasaan kita di kantor. Selama remote dan hybrid work, banyak keputusan berpindah ke layar. Seseorang masuk meeting lima menit, memberi instruksi, lalu keluar. Karena semua orang terbiasa jadwal padat, pola itu tidak terasa aneh.

Scammer tidak perlu menciptakan perilaku baru. Mereka cukup meniru bentuk kerja yang sudah normal.

Maka perusahaan sebaiknya mendesain high-impact decision supaya tidak pernah bergantung pada kehadiran singkat seseorang di meeting. Approval harus meninggalkan jejak di system. Identitas digital enterprise harus lebih authoritative daripada wajah di thumbnail Zoom.

Hal yang sama berlaku untuk interview vendor atau calon partner. Kalau akan memberi access, menandatangani kontrak, atau memindahkan uang, lakukan verification lewat data perusahaan dan contact resmi, bukan hanya “tadi orangnya kelihatan genuine di video”.

Deepfake membuat intuition kita tentang presence perlu di-upgrade.

Dulu melihat berarti cukup dekat dengan percaya.

Sekarang melihat hanya berarti ada gambar yang berhasil sampai ke layar.

Untuk percakapan biasa, itu sudah cukup. Untuk keputusan besar, kita butuh bukti lain.

Dan justru di situlah security yang sehat tidak terasa paranoid. Ia hanya menempatkan tingkat verifikasi sesuai tingkat konsekuensi.