Mengenal Typosquatting Domain: Ciri URL, Sertifikat, Login Aman

Ringkasan Cepat

• Typosquatting meniru domain resmi lewat salah ketik, ekstensi berbeda, atau karakter mirip untuk mencuri kredensial.
• HTTPS dan ikon gembok tidak menjamin keaslian situs; verifikasi nama domain pada sertifikat tetap penting.
• Biasakan membuka situs dari bookmark, membaca domain, memakai password manager, dan mengaktifkan 2FA sebelum login.

Typosquatting adalah taktik membuat domain yang sekilas mirip dengan situs populer untuk menjebak pengguna memasukkan kredensial. Serangan ini tidak selalu mengandalkan malware; cukup satu huruf berbeda, ekstensi lain, atau karakter Unicode yang nyaris sama. Karena itu, kebiasaan memeriksa alamat sebelum login menjadi pertahanan paling murah dan efektif.

Apa Itu Typosquatting dan Sasaran Utamanya

Typosquatting adalah praktik membuat nama domain yang menyerupai domain resmi untuk menipu pengguna. Pelaku memanfaatkan kesalahan ketik, perbedaan satu karakter, ekstensi yang mirip, atau susunan huruf yang secara visual membingungkan. Halaman yang muncul bisa berupa formulir login palsu, halaman unduhan berbahaya, atau situs yang meniru tampilan layanan populer.

Sasaran utamanya adalah layanan yang meminta kredensial atau data sensitif. Contohnya email, media sosial, perbankan digital, e-commerce, dompet digital, aplikasi investasi, hingga akun cloud. Motifnya beragam, mulai dari pencurian akun, penipuan transfer, penyebaran malware, sampai pengambilalihan akses email yang kemudian dipakai untuk mereset password layanan lain.

Yang membuat typosquatting berbahaya adalah kedekatannya dengan kebiasaan manusia. Banyak pengguna mengandalkan ingatan visual dan tidak selalu membaca detail URL. Pelaku juga bisa memakai domain yang baru dibuat sehingga belum masuk daftar blokir. Untuk memahami variasi serupa, artikel Mengenal Typosquatting Domain dan Aplikasi Palsu: Ciri & Cegah dapat menjadi bacaan pendamping.

Ciri URL Mirip yang Perlu Diwaspadai

Langkah pertama pertahanan adalah membaca alamat situs dengan teliti. Fokus pada bagian domain inti, yaitu nama yang berada tepat sebelum ekstensi seperti .com, .co.id, .net, atau .org. Jangan hanya melihat awal URL karena pelaku sering menaruh kata login, aman, atau resmi untuk memberi kesan legitim.

• Perbedaan satu karakter: huruf yang tertukar, hilang, atau ditambah, misalnya domainresmi menjadi domainresml.
• Ekstensi berbeda: situs resmi memakai .com, tetapi tautan memakai .co, .net, .info, atau ekstensi lain yang sekilas mirip.
• Karakter visual serupa: angka 0 dengan huruf o, huruf l dengan angka 1 atau I, serta kombinasi rn yang menyerupai m.
• Subdomain menipu: nama domain asli diletakkan sebagai subdomain, misalnya layananresmi.com.login-aman.example. Domain inti sebenarnya adalah bagian paling kanan sebelum path.
• Kata tambahan yang meyakinkan: login-aman, verifikasi-akun, bantuan-resmi, atau id-utama yang tidak digunakan situs asli.
• Penggunaan tanda hubung: domain resmi tanpa tanda hubung, sedangkan tiruan memakai satu atau dua tanda hubung agar terlihat berbeda.
• URL pendek atau pengalihan: tautan yang dipendekkan dapat menyembunyikan tujuan akhir; jangan login sebelum melihat alamat aslinya.

Aspek	Contoh domain resmi	Contoh domain mencurigakan
Ekstensi	situspopuler.com	situspopuler.co
Huruf dan angka	bankaman.com	bank4man.com
Subdomain	login.bankaman.com	bankaman.com.login-aman.example
Tanda hubung	toko-resmi.com	toko--resmi.com
Path	situs.com/masuk	situs.com.masuk.example

Tabel di atas hanya ilustrasi pola, bukan daftar situs nyata. Prinsipnya, jika ada bagian yang tidak biasa pada domain, berhenti sebelum memasukkan password. Buka layanan melalui bookmark, aplikasi resmi, atau ketik alamat sendiri.

Verifikasi Sertifikat dan HTTPS: Memahami Batasannya

HTTPS dan ikon gembok menunjukkan bahwa koneksi antara browser dan situs terenkripsi. Namun, HTTPS tidak memastikan bahwa situs itu benar-benar dikelola perusahaan yang namanya tertera. Pelaku typosquatting dapat memperoleh sertifikat TLS untuk domain miliknya, termasuk sertifikat domain validation yang prosesnya relatif mudah. Karena itu, gembok bukan bukti keaslian.

Cara memeriksa sertifikat secara sederhana

1. Klik ikon gembok di address bar, lalu lihat detail sertifikat.
2. Pastikan nama domain pada sertifikat sama persis dengan alamat yang Anda tuju, bukan hanya mirip.
3. Periksa masa berlaku dan penerbit sertifikat. Sertifikat yang baru terbit tidak otomatis aman, tetapi sertifikat kedaluwarsa atau tidak cocok harus membuat Anda waspada.
4. Jika browser menampilkan peringatan nama tidak cocok atau koneksi tidak privat, jangan lanjutkan login.

Untuk layanan keuangan dan investasi, verifikasi tambahan sebaiknya dilakukan lewat aplikasi resmi, kanal bantuan, atau kontak yang Anda cari sendiri. Panduan Panduan Keamanan Akun Aplikasi Investasi & Reksa Dana Online membahas langkah pengamanan akun yang dapat melengkapi kebiasaan cek domain.

Kebiasaan Cek Alamat Sebelum Login

Kebiasaan kecil sebelum login dapat mencegah sebagian besar insiden typosquatting. Tujuannya bukan menghafal semua domain, tetapi membangun prosedur yang konsisten ketika diminta memasukkan kredensial.

1. Buka dari sumber tepercaya. Gunakan bookmark yang sudah Anda simpan, aplikasi resmi, atau ketik alamat langsung. Hindari klik tautan dari pesan, email, iklan, atau komentar.
2. Baca domain dari kanan ke kiri. Pada alamat login.bankaman.com, domain intinya adalah bankaman.com. Jika sebelum domain itu masih ada nama lain, misalnya bankaman.com.login-aman.example, maka domain intinya adalah example.
3. Arahkan kursor ke tautan. Di desktop, hover untuk melihat tujuan; di ponsel, tekan lama tautan untuk melihat pratinjau alamat sebelum membuka.
4. Periksa ejaan dan karakter. Cermati huruf yang mirip, ekstensi, serta tanda hubung yang tidak biasa.
5. Waspadai halaman dari iklan atau hasil pencarian sponsor. Iklan bisa mengarah ke situs tiruan yang meniru tampilan layanan resmi.
6. Manfaatkan password manager. Pengelola kata sandi umumnya hanya mengisi otomatis pada domain yang cocok. Jika autofill tidak muncul di situs yang biasa Anda gunakan, jangan paksa mengisi manual.
7. Aktifkan autentikasi dua faktor. 2FA tidak mencegah typosquatting, tetapi mengurangi dampak jika password sudah terlanjur dicuri.
8. Jika ragu, tutup tab. Buka ulang layanan dari alamat resmi dan pastikan tidak ada perubahan mencurigakan.

Kebiasaan ini relevan untuk semua layanan, terutama e-commerce. Anda dapat memperkuat akun marketplace dengan panduan Keamanan Akun Tokopedia, Shopee, Lazada: 2FA, PIN 2026.

Jika Terlanjur Memasukkan Kredensial di Situs Mirip

Jika Anda menyadari telah login di domain palsu, bertindak cepat dapat membatasi kerugian. Mulailah dari langkah yang paling mendesak, lalu periksa layanan terkait karena kredensial yang sama mungkin dipakai di beberapa tempat.

• Segera ganti password akun yang terdampak dari alamat resmi, bukan dari tautan mencurigakan.
• Logout dari semua perangkat atau cabut sesi aktif yang tidak dikenal.
• Aktifkan atau atur ulang 2FA, lalu simpan kode pemulihan di tempat aman.
• Periksa email pemulihan, nomor telepon, rekening, dan metode pembayaran yang terhubung.
• Hubungi dukungan resmi penyedia layanan, bank, atau dompet digital jika ada aktivitas mencurigakan.
• Pantau notifikasi transaksi dan login setidaknya selama beberapa hari.
• Jika terjadi di perangkat kerja, laporkan ke tim IT agar tidak menyebar ke jaringan kantor.

Setelah semua aman, jadikan verifikasi domain sebagai bagian dari rutinitas login harian. Dengan membaca alamat, memeriksa sertifikat, dan memakai pengelola kata sandi, risiko typosquatting dapat ditekan tanpa mengorbankan kenyamanan.

Pertanyaan yang Sering Diajukan (FAQ)

Apakah situs typosquatting bisa memiliki HTTPS dan ikon gembok?

Bisa. Sertifikat TLS dapat diperoleh untuk domain apa pun yang dikendalikan pelaku. Ikon gembok hanya menandakan koneksi terenkripsi, bukan identitas resmi. Tetap periksa nama domain di detail sertifikat.

Bagaimana cara cepat memastikan alamat login asli?

Baca domain inti sebelum ekstensi, bukan kata di awal URL. Buka dari bookmark atau aplikasi resmi, lalu cocokkan dengan domain yang biasa Anda gunakan. Jika berbeda sedikit, jangan login.

Apakah password manager membantu mencegah typosquatting?

Ya. Password manager mencocokkan domain sebelum mengisi otomatis. Jika tidak ada isian otomatis di situs yang biasanya terisi, itu tanda domain berbeda. Jangan salin password secara manual.

Apa yang harus dilakukan jika sudah terlanjur login di domain palsu?

Ganti password dari alamat resmi, logout semua sesi, aktifkan 2FA, periksa email pemulihan dan transaksi, lalu lapor penyedia layanan. Jika memakai password sama di layanan lain, segera ganti juga.

Apakah 2FA cukup melindungi dari typosquatting?

Tidak sepenuhnya. 2FA mengurangi risiko pengambilalihan akun, tetapi pelaku tetap bisa memanen password atau mencoba phishing lanjutan. Kebiasaan cek alamat tetap utama.

English Version — Recognizing Domain Typosquatting: URL Signs, Certificates, and Safe Login

Quick Summary

• Typosquatting mimics official domains through typos, different extensions, or lookalike characters to steal credentials.
• HTTPS and the padlock icon do not guarantee a site's authenticity; verifying the domain name on the certificate remains important.
• Get into the habit of opening sites from bookmarks, reading the domain, using a password manager, and enabling 2FA before logging in.

Typosquatting is a tactic of creating domains that look similar at a glance to popular sites to trick users into entering credentials. These attacks do not always rely on malware; one different letter, another extension, or a nearly identical Unicode character is enough. That is why the habit of checking the address before logging in is the cheapest and most effective defense.

What Typosquatting Is and Its Main Targets

Typosquatting is the practice of creating domain names that resemble official domains to deceive users. Attackers exploit typos, one-character differences, similar extensions, or letter arrangements that are visually confusing. The page that appears may be a fake login form, a malicious download page, or a site that mimics the look of a popular service.

Its main targets are services that request credentials or sensitive data. Examples include email, social media, digital banking, e-commerce, digital wallets, investment apps, and cloud accounts. The motives vary, from account theft, transfer fraud, and malware distribution to taking over email access that is then used to reset passwords for other services.

What makes typosquatting dangerous is how closely it aligns with human habits. Many users rely on visual memory and do not always read the URL details. Attackers can also use newly created domains that have not yet made it onto blocklists. To understand similar variations, the article Understanding Domain Typosquatting and Fake Apps: Signs & Prevention can be a companion read.

Signs of Lookalike URLs to Watch Out For

The first step in defense is to read the site address carefully. Focus on the core domain, that is, the name immediately before the extension such as .com, .co.id, .net, or .org. Do not look only at the beginning of the URL, because attackers often place words like login, secure, or official to create a legitimate impression.

• One-character difference: letters swapped, missing, or added, for example domainresmi becoming domainresml.
• Different extension: the official site uses .com, but the link uses .co, .net, .info, or another extension that looks similar at a glance.
• Similar-looking characters: the number 0 with the letter o, the letter l with the number 1 or I, and the combination rn resembling m.
• Deceptive subdomain: the real domain name is placed as a subdomain, for example layananresmi.com.login-aman.example. The actual core domain is the rightmost part before the path.
• Convincing extra words: login-aman, verifikasi-akun, bantuan-resmi, or id-utama that the original site does not use.
• Use of hyphens: the official domain has no hyphens, while the imitation uses one or two hyphens to look different.
• Short URLs or redirects: shortened links can hide the final destination; do not log in before seeing the original address.

Aspect	Official domain example	Suspicious domain example
Extension	situspopuler.com	situspopuler.co
Letters and numbers	bankaman.com	bank4man.com
Subdomain	login.bankaman.com	bankaman.com.login-aman.example
Hyphen	toko-resmi.com	toko--resmi.com
Path	situs.com/masuk	situs.com.masuk.example

The table above is only an illustration of patterns, not a list of real sites. The principle is: if any part of the domain seems unusual, stop before entering your password. Open the service through a bookmark, the official app, or by typing the address yourself.

Verifying Certificates and HTTPS: Understanding the Limits

HTTPS and the padlock icon indicate that the connection between the browser and the site is encrypted. However, HTTPS does not guarantee that the site is actually operated by the company whose name appears. Typosquatting attackers can obtain TLS certificates for their own domains, including domain validation certificates, which are relatively easy to get. Therefore, the padlock is not proof of authenticity.

How to Check a Certificate Simply

1. Click the padlock icon in the address bar, then view the certificate details.
2. Make sure the domain name on the certificate exactly matches the address you intend to visit, not just resembles it.
3. Check the certificate's validity period and issuer. A newly issued certificate is not automatically safe, but an expired or mismatched certificate should make you cautious.
4. If the browser shows a warning about a name mismatch or a non-private connection, do not continue logging in.

For financial and investment services, additional verification should be done through the official app, help channels, or contacts you look up yourself. The guide Account Security Guide for Online Investment & Mutual Fund Apps discusses account security steps that can complement the habit of checking domains.

The Habit of Checking the Address Before Logging In

A small habit before logging in can prevent most typosquatting incidents. The goal is not to memorize every domain, but to build a consistent procedure when you are asked to enter credentials.

1. Open from a trusted source. Use a bookmark you have saved, the official app, or type the address directly. Avoid clicking links from messages, emails, ads, or comments.
2. Read the domain from right to left. In the address login.bankaman.com, the core domain is bankaman.com. If there is still another name before that domain, for example bankaman.com.login-aman.example, then the core domain is example.
3. Hover over the link. On desktop, hover to see the destination; on mobile, press and hold the link to preview the address before opening it.
4. Check spelling and characters. Look closely at similar letters, the extension, and unusual hyphens.
5. Be wary of pages from ads or sponsored search results. Ads can lead to copycat sites that mimic the look of official services.
6. Use a password manager. Password managers generally autofill only on matching domains. If autofill does not appear on a site you normally use, do not force yourself to fill it in manually.
7. Enable two-factor authentication. 2FA does not prevent typosquatting, but it reduces the impact if your password has already been stolen.
8. If in doubt, close the tab. Reopen the service from the official address and make sure there are no suspicious changes.

This habit is relevant for all services, especially e-commerce. You can strengthen marketplace accounts with the guide Tokopedia, Shopee, Lazada Account Security: 2FA, PIN 2026.

If You Have Already Entered Credentials on a Lookalike Site

If you realize you have logged in to a fake domain, acting quickly can limit the damage. Start with the most urgent steps, then check related services because the same credentials may be used in several places.

• Immediately change the password for the affected account from the official address, not from the suspicious link.
• Log out from all devices or revoke active sessions you do not recognize.
• Enable or reset 2FA, then store recovery codes in a safe place.
• Check the recovery email, phone number, bank accounts, and linked payment methods.
• Contact the official support of the service provider, bank, or digital wallet if there is suspicious activity.
• Monitor transaction and login notifications for at least several days.
• If it happened on a work device, report it to the IT team so it does not spread to the office network.

Once everything is safe, make domain verification part of your daily login routine. By reading the address, checking the certificate, and using a password manager, you can reduce typosquatting risk without sacrificing convenience.

FAQ (English)

Can typosquatting sites have HTTPS and a padlock icon?

Yes. A TLS certificate can be obtained for any domain controlled by an attacker. The padlock icon only indicates an encrypted connection, not official identity. Still check the domain name in the certificate details.

How can I quickly confirm that a login address is genuine?

Read the core domain before the extension, not the words at the beginning of the URL. Open it from a bookmark or official app, then match it with the domain you normally use. If it differs even slightly, do not log in.

Does a password manager help prevent typosquatting?

Yes. A password manager matches the domain before autofilling. If autofill does not appear on a site that usually fills in, that is a sign the domain is different. Do not copy the password manually.

What should I do if I have already logged in to a fake domain?

Change the password from the official address, log out of all sessions, enable 2FA, check recovery email and transactions, then report it to the service provider. If you use the same password on other services, change it there immediately as well.

Is 2FA enough to protect against typosquatting?

Not entirely. 2FA reduces the risk of account takeover, but attackers can still harvest passwords or attempt follow-up phishing. The habit of checking the address remains essential.