Pemeriksaan pajak
Cara mengenali pesan palsu dari kantor pajak: periksa di portal resmi, bukan lewat tautan
Sebuah sms atau email menyebut ada tunggakan pajak, memberi tenggat pendek, dan menyertakan tautan untuk membayar. Versi lain meminta Anda menonaktifkan atau memverifikasi akun NPWP, mengklaim restitusi, atau membuka lampiran. Direktorat Jenderal Pajak (DJP) mencatat peningkatan kasus penipuan pajak berbasis digital dan menjelaskan modusnya: tautan palsu yang mengarah ke halaman tiruan DJP Online, email palsu dengan kop surat dan tanda tangan digital, sampai penipu yang mengaku pegawai DJP untuk meminta pembayaran tunggakan (DJP, 5 modus penipuan pajak digital, Januari 2026).
Karena itu pemeriksaan yang berguna bukan membaca nama pengirim atau logonya, melainkan membuka portal resmi Anda sendiri. Dasar panduan ini satu aturan: pesan resmi soal pajak ada di portal resmi, dan permintaan pembayaran tidak pernah datang lewat tautan di sms atau email.
Jawaban langsung: lima pemeriksaan saat sebuah pesan mengaku dari kantor pajak
- Periksa di portal resmi, bukan lewat pesan itu. Ketik sendiri alamat resminya di peramban; DJP menegaskan alamat DJP Online yang benar adalah djponline.pajak.go.id dan mengimbau masyarakat tidak mengklik tautan dari sumber yang tidak jelas (DJP, pengumuman phishing). Bila tidak ada pemberitahuan di portal Anda, pesan itu bukan dari DJP. Jangan masuk lewat tautan di pesan, juga tidak lewat tautan yang tampak seperti subdomain sistem resmi: domain resmi selalu berakhiran pajak.go.id (DJP).
- Ketahui apa yang tidak pernah dilakukan DJP. DJP tidak pernah meminta password atau kode OTP melalui sms, email, atau telepon (DJP), dan penagihan utang pajak selalu berdasarkan produk hukum serta disampaikan langsung atau melalui pos, bukan melalui email (DJP, modus penipuan mengatasnamakan DJP). Jangan memasukkan NPWP, EFIN, atau password akun DJP Online di situs selain situs resmi DJP (DJP).
- Periksa kanal resminya. Bila ada nomor WhatsApp atau telepon yang mengaku dari kantor pajak, bandingkan dengan daftar di laman resmi DJP sesuai kantor pelayanan pajak Anda (DJP). Untuk pertanyaan, hubungi Kring Pajak di 1500 200 atau kunjungi pajak.go.id (DJP); untuk laporan, gunakan kanal pengaduan resmi DJP, bukan nomor atau alamat yang tercantum di pesan mencurigakan itu.
- Herken het drukpatroon. Tunggakan, tenggat sangat pendek, ancaman sita atau aparat, dan tautan pembayaran adalah satu pola. Nama pegawai DJP dipakai untuk membuat ceritanya meyakinkan, dan permintaan mengunduh aplikasi atau memverifikasi data lewat tautan mencurigakan adalah bagian dari pola yang sama (DJP). Siapa pun yang menekan Anda untuk membayar sebelum Anda bisa memeriksa sendiri tidak menjual penyelesaian, tetapi desakan.
- Jangan bayar, jangan klik, dan laporkan. Simpan pesannya: laporkan ke kanal pengaduan resmi DJP dan, bila Anda mengalami kerugian, kepada aparat penegak hukum sesuai ketentuan yang berlaku (DJP). Laporkan juga di platform tempat Anda menerimanya, agar tautan dan nomornya bisa diturunkan. Jangan pernah memasang APK atau aplikasi dari pesan seperti itu.
Mengapa pengirim tidak membuktikan apa pun
Pada email dan sms, pengirim adalah label yang bisa dipalsukan. DJP sendiri menyebut spoofing: email tagihan pajak seolah-olah berasal dari alamat resmi @pajak.go.id padahal pengirim aslinya bukan DJP (DJP). Ada juga modus yang meminta Anda mengunduh aplikasi yang menyerupai aplikasi resmi DJP, lengkap dengan tautan yang mencurigakan (DJP). Karena itu portal Anda adalah jangkarnya: apa yang tidak ada di sana tidak dikirim oleh DJP.
Apa yang bisa dan tidak bisa dilakukan detektor
Teks pesannya bisa Anda masukkan ke detektor teks dan tangkapan layarnya ke detektor gambar. Itu triase: hasilnya membantu Anda menentukan pesan mana yang diperiksa lebih dulu. Hasilnya tidak mengatakan apa pun tentang pengirimnya. Pesan phishing biasanya berasal dari templat dan pendek; gaya menulisnya terlalu sedikit untuk sinyal yang andal, jadi skor rendah tidak pernah membuktikan bahwa pesan itu asli.
Yang tidak bisa disimpulkan dari pesan itu
- apakah benar ada tunggakan atau surat ketetapan; itu ada di portal resmi Anda;
- apakah pengirimnya DJP, meskipun logo, nama pengirim, atau domainnya terlihat cocok;
- apakah nomor rekening yang disebut milik DJP; periksa di situs resmi;
- apakah ada tindak pidana penipuan; itu hanya bisa ditetapkan aparat penegak hukum.
Bila Anda sudah membayar atau menyerahkan data
- Segera hubungi bank Anda dan tanyakan kemungkinan penarikan kembali atau pemblokiran selama masih bisa; kecepatan menentukan hasilnya.
- Laporkan ke kanal pengaduan resmi DJP dan, bila ada kerugian, buat laporan polisi sesuai ketentuan yang berlaku (DJP).
- Sudah menyerahkan NPWP, EFIN, atau password? Ganti kata sandinya dan periksa apakah data itu dipakai di tempat lain.
- Membuka lampiran atau memasang aplikasi? Hapus, periksa perangkat, dan ganti kata sandi yang Anda pakai di sana.
- Simpan semuanya: pesan, nomor atau alamat pengirim, tautan, nomor rekening, dan waktunya.
Panduan lain: tagihan atau incasso palsu, faktur palsu buatan AI, dan telepon palsu dari bank. Untuk memeriksa berkas atau teksnya saja, gunakan pemeriksa gratis.
Pertanyaan yang sering diajukan
Saya menerima sms tentang tunggakan pajak dengan tautan pembayaran. Apakah itu asli?
Tidak. DJP tidak pernah meminta password atau kode OTP melalui sms, email, atau telepon, dan penagihan dilakukan berdasarkan produk hukum serta disampaikan langsung atau lewat pos. Periksa portal resmi Anda dan jangan membayar lewat tautan.
Apakah email yang tampak dari alamat resmi menjamin pesannya asli?
Tidak. DJP menjelaskan modus spoofing, di mana email tagihan tampak berasal dari alamat @pajak.go.id padahal bukan dari DJP. Pastikan domainnya berakhiran pajak.go.id dan jangan memasukkan NPWP, EFIN, atau password di situs selain situs resmi DJP.
Apakah skor detektor yang tinggi membuktikan pesannya palsu?
Tidak. Skor menggambarkan pola pada sebuah teks atau gambar dan tidak mengatakan apa pun tentang pengirimnya; skor rendah juga bukan bukti bahwa pesan itu asli. Gunakan hasilnya sebagai alasan memeriksa pesan di portal resmi Anda sendiri, bukan sebagai bukti.