Banyak kes akaun kewangan yang dicerobohi bermula dengan sesuatu yang sangat biasa. Pemiliknya sendiri menaip kata laluan ke dalam laman palsu, selalunya selepas menekan pautan dalam SMS atau mesej WhatsApp yang berbunyi mendesak. Bagi pelabur runcit di Malaysia yang kini memegang akaun dagangan forex atau emas di samping akaun bank biasa, satu kesilapan seperti ini boleh menjejaskan simpanan dalam ringgit dan dolar AS serentak.
Jika anda baru membuka akaun dagangan dan masih belajar menggunakan portal pelanggan, halaman pengenalan hfm login boleh dijadikan titik mula untuk memahami fungsi asas sebuah kawasan pelanggan, seperti memuat naik dokumen, menyemak baki dan melihat sejarah transaksi. Apabila anda tahu rupa dan fungsi portal yang sah, laman tiruan lebih mudah dikesan kemudian.
Kata laluan yang sukar diteka tetapi masih senang diurus
Ramai pengguna masih memakai satu kata laluan untuk e-mel, aplikasi bank dan akaun dagangan. Masalahnya, jika kata laluan itu bocor daripada mana-mana satu laman, penipu boleh mencubanya pada akaun lain anda. Prinsip pertama ialah setiap akaun kewangan perlu ada kata laluan sendiri.
Panjang lebih penting daripada simbol yang rumit. Frasa empat atau lima perkataan rawak yang tidak berkaitan, contohnya gabungan nama buah, kenderaan dan tempat yang tidak membentuk ayat, lebih sukar dipecahkan berbanding kata laluan pendek seperti “Ali@1990”. Elakkan tarikh lahir, nombor kad pengenalan, nama anak atau nama kampung kerana maklumat ini sering terdedah di media sosial.
Pengurus kata laluan (password manager) memudahkan semua ini. Anda hanya perlu mengingati satu kata laluan induk yang kuat, dan aplikasi itu menyimpan yang lain. Ada kelebihan tambahan yang kurang disedari: banyak pengurus kata laluan hanya mengisi butiran secara automatik pada domain yang sama dengan yang disimpan. Jika ia enggan mengisi pada sesuatu laman, itu petanda awal yang patut diambil serius.
Satu lagi kebiasaan yang perlu dielakkan ialah log masuk dari komputer kongsi di pejabat, kafe siber atau hotel, serta menyimpan kata laluan dalam pelayar pada komputer yang digunakan orang lain.
Laman log masuk palsu biasanya tersilap pada butiran kecil
Laman phishing moden sering nampak hampir sama dengan laman asal, lengkap dengan warna dan susun atur yang betul. Perbezaannya biasanya terletak pada perkara yang jarang diperiksa orang.
| Perkara untuk disemak | Laman yang sah | Laman phishing |
| Alamat domain | Ejaan tepat, sama seperti yang anda simpan sebagai penanda halaman | Huruf ditambah atau ditukar, tanda sempang tambahan, atau sambungan domain lain |
| Cara anda sampai ke laman | Ditaip sendiri atau dibuka dari penanda halaman | Pautan dalam SMS, WhatsApp, Telegram atau iklan media sosial |
| Maklumat yang diminta | Nama pengguna dan kata laluan, kemudian kod pengesahan | Kod OTP dan nombor kad sekali gus, atau maklumat yang tidak pernah diminta sebelum ini |
| Nada mesej | Makluman biasa tanpa tekanan masa | Amaran akaun akan dibekukan, ganjaran segera atau tawaran pulangan tinggi |
| Ikon gembok di bar alamat | Ada | Selalunya ada juga, kerana sijil HTTPS mudah diperoleh |
Baris terakhir itu penting. Ikon gembok hanya bermaksud sambungan anda disulitkan. Ia tidak membuktikan siapa pemilik laman tersebut, jadi ejaan domain tetap perlu disemak huruf demi huruf.
Penipu juga suka meniru nama syarikat pelaburan yang sah. Suruhanjaya Sekuriti Malaysia menyenaraikan entiti tanpa lesen, termasuk entiti klon yang meminjam identiti syarikat sebenar, dalam Senarai Amaran Pelabur. Semak senarai itu sebelum mempercayai mana-mana platform yang dihubungi melalui mesej peribadi. Isu ini juga mendapat perhatian di peringkat nasional, dengan perlindungan sektor kewangan menjadi antara topik utama di CyberDSA 2026 di Kuala Lumpur awal bulan ini.
Had 2FA, dan risiko yang kekal walaupun akaun anda selamat
Pengesahan dua faktor (2FA) menambah satu lapisan selepas kata laluan, biasanya kod sekali guna yang dihantar melalui SMS atau dijana oleh aplikasi pengesah. Jika platform anda menawarkannya, aktifkan. Namun 2FA bukan perisai yang sempurna, dan ada dua kelemahan yang wajar difahami.
Pertama, kod SMS bergantung pada nombor telefon anda. Penipu yang berjaya memindahkan nombor itu ke kad SIM lain boleh menerima kod tersebut. Aplikasi pengesah pada telefon anda sendiri biasanya lebih sukar dipintas berbanding SMS.
Kedua, laman phishing yang lebih canggih boleh meminta kod 2FA anda secara langsung dan menggunakannya dalam masa beberapa saat. Sebab itu peraturannya mudah: jangan berikan kod OTP kepada sesiapa, termasuk orang yang mendakwa dari bank, broker atau pihak berkuasa. Polis turut mengingatkan bahawa Pusat Respons Scam Kebangsaan (NSRC) tidak pernah membuat panggilan kepada orang ramai. Talian 997 hanya untuk anda menghubungi mereka apabila mengesyaki telah ditipu.
Akhir sekali, perlu dikatakan dengan jelas bahawa log masuk yang selamat hanya melindungi akses kepada akaun anda. Ia tidak melindungi modal anda daripada risiko pasaran. Dagangan forex, emas dan CFD, terutama dengan leveraj, boleh menyebabkan kerugian dengan cepat. Pergerakan pasangan USD/MYR misalnya dipengaruhi oleh keputusan Bank Negara Malaysia, data ekonomi Amerika Syarikat dan sentimen global yang sukar diramal. Keselamatan akaun dan pengurusan risiko dagangan ialah dua perkara berbeza, dan kedua-duanya perlu diberi perhatian.
Rutin ringkas sebelum setiap kali log masuk
Tabiat kecil yang diulang setiap kali lebih berkesan daripada satu langkah besar yang dilakukan sekali sahaja. Sebelum memasukkan kata laluan pada mana-mana akaun kewangan, biasakan diri dengan semakan berikut:
- Buka laman melalui penanda halaman atau aplikasi rasmi, bukan pautan dalam mesej.
- Baca alamat domain dari awal hingga akhir sebelum menaip apa-apa.
- Pastikan 2FA aktif, dan gunakan aplikasi pengesah jika pilihan itu ada.
- Semak sejarah log masuk dan transaksi selepas masuk, dan tukar kata laluan segera jika ada aktiviti yang tidak dikenali.
- Jika anda tersilap memberikan maklumat, hubungi bank atau penyedia akaun dengan segera, kemudian buat laporan melalui talian 997.
Tidak ada sistem yang benar-benar kebal, tetapi banyak penipuan log masuk bergantung pada pengguna yang tergesa-gesa. Beberapa saat untuk memeriksa alamat laman sudah cukup untuk menggagalkan banyak cubaan.
