Apakah DJP pernah mengirim email resmi tentang restitusi?

DJP dapat memberi tahu bahwa proses restitusi telah dimulai, tetapi selalu mengarahkan Anda untuk masuk sendiri melalui djponline.pajak.go.id, bukan memberikan tautan login langsung, dan tidak pernah meminta EFIN atau OTP lewat email maupun SMS.

Saya sudah terlanjur klik tautan dan memasukkan NPWP serta EFIN. Apa yang harus dilakukan?

Segera ganti kata sandi DJP Online dan EFIN jika memungkinkan, pantau akun pajak Anda untuk aktivitas mencurigakan, dan segera laporkan insiden ini kepada tim keamanan atau helpdesk IT di kantor Anda.

Bagaimana cara membedakan domain DJP palsu dari yang asli?

Satu-satunya domain resmi adalah pajak.go.id beserta subdomainnya seperti djponline.pajak.go.id. Variasi apa pun, seperti tambahan kata, tanda hubung, atau ekstensi berbeda (.com, .net, .info), bukanlah domain resmi.

Mengapa penipuan semacam ini sering muncul menjelang musim pelaporan pajak?

Pelaku sengaja memilih waktu ketika wajib pajak sedang memikirkan restitusi, tenggat waktu, dan pelaporan SPT, sehingga pesan palsu terasa relevan dan masuk akal alih-alih mencurigakan.

Pemerintah / Pajak

Notifikasi Palsu Restitusi Pajak DJP

Pelaku penipuan mengatasnamakan Direktorat Jenderal Pajak (DJP) untuk menjebak wajib pajak agar mengklik tautan restitusi yang sebenarnya tidak ada. Contoh ini bersifat fiktif dan ilustratif, dibuat khusus untuk keperluan pelatihan.

Skenario

Sebuah email atau SMS masuk dengan logo bergaya DJP dan subjek seperti 'Pemberitahuan Kelebihan Bayar Pajak: Restitusi Rp 2.450.000 Tersedia'. Nama pengirim tertulis 'Notifikasi DJP Online', tetapi alamat pengirim sebenarnya tidak berkaitan, misalnya akun webmail gratis atau domain yang hanya menyerupai pajak.go.id.

Pesan menyebutkan bahwa penerima kelebihan membayar pajak tahunan (SPT Tahunan) sehingga berhak atas restitusi, atau sebaliknya memiliki tunggakan yang akan ditindaklanjuti dengan tindakan penegakan hukum jika tidak dilunasi dalam 24 hingga 48 jam. Kedua versi ini beredar dan sama-sama mengandalkan tekanan waktu.

Sebuah tombol bertuliskan 'Klaim Restitusi Sekarang' atau 'Bayar Segera' mengarahkan ke halaman yang dirancang menyerupai djponline.pajak.go.id, lengkap dengan skema warna dan lambang instansi yang mirip. URL sebenarnya adalah domain tiruan, misalnya pajak-online-refund.com, atau tautan yang dipendekkan sehingga tujuan aslinya tersembunyi.

Halaman palsu tersebut meminta pengunjung masuk menggunakan NPWP, EFIN, tanggal lahir, dan terkadang kode OTP yang dikirim ke ponsel. Setelah data dikirim, pelaku telah memiliki cukup informasi untuk mengambil alih akun atau melakukan penipuan berbasis identitas, dan korban kemudian diarahkan ke situs DJP asli sehingga tidak ada yang terlihat janggal.

Tanda-tanda yang perlu dikenali

Urgensi dengan batas waktu yang sangat singkat

Otoritas pajak umumnya tidak menuntut tindakan dalam hitungan jam. Tekanan waktu yang dibuat-buat ini dirancang agar korban tidak sempat berpikir atau memverifikasi sebelum bertindak.

Domain pengirim tidak sesuai dengan pajak.go.id

Komunikasi resmi DJP selalu berasal dari domain pemerintah resmi berakhiran .go.id. Domain yang mirip namun berbeda adalah tanda paling jelas dari upaya peniruan identitas.

Meminta NPWP, EFIN, dan OTP sekaligus

Sistem resmi DJP tidak pernah meminta EFIN dan kode OTP dikirimkan melalui tautan di email. Mengumpulkan ketiganya sekaligus memberi pelaku semua yang dibutuhkan untuk mengambil alih akun pajak Anda.

Sapaan umum, bukan nama Anda yang terdaftar

Korespondensi resmi DJP yang terkait data pajak Anda biasanya langsung menyebut nama atau nomor NPWP terdaftar, bukan sapaan umum seperti 'Yth. Wajib Pajak'.

Nominal restitusi atau denda yang terkesan spesifik namun tidak dapat diverifikasi

Angka rupiah yang tampak presisi menciptakan kesan kredibel secara palsu. Satu-satunya cara memastikan kebenarannya adalah mengecek langsung di djponline.pajak.go.id, sesuatu yang justru dihindari oleh pesan tersebut.

Pelajaran yang bisa diambil

Jangan pernah mengklik tautan dalam pesan pajak yang tidak diminta. Sebagai gantinya, buka sendiri peramban dan ketik langsung djponline.pajak.go.id, atau gunakan aplikasi resmi DJP, untuk memeriksa status pajak serta restitusi atau tunggakan Anda. Jika ragu apakah sebuah pesan asli, hubungi DJP melalui saluran resmi Kring Pajak (1500200), bukan nomor telepon atau tautan yang tercantum dalam pesan itu sendiri. Anggap setiap komunikasi pajak yang menekan Anda untuk bertindak dalam hitungan jam, serta meminta EFIN atau OTP lewat tautan, sebagai penipuan sampai terbukti sebaliknya.

Ini adalah contoh ilustratif yang dibuat khusus untuk pelatihan, bukan pesan asli yang dikirim oleh Claro atau organisasi mana pun.

Jalankan simulasi ini dengan Claro

Pertanyaan yang sering diajukan

DJP dapat memberi tahu bahwa proses restitusi telah dimulai, tetapi selalu mengarahkan Anda untuk masuk sendiri melalui djponline.pajak.go.id, bukan memberikan tautan login langsung, dan tidak pernah meminta EFIN atau OTP lewat email maupun SMS.

Jalankan pola ini sebagai simulasi nyata

Claro mengubah setiap modus ini menjadi simulasi phishing yang lokal, terukur, dan aman untuk dipelajari tim Anda.

Minta demo