Mengenal Typosquatting Domain dan Aplikasi Palsu: Ciri & Cegah

Ringkasan Cepat

• Typosquatting memakai domain yang sengaja dibuat mirip dengan situs resmi untuk menangkap pengguna yang salah ketik atau tidak memeriksa alamat.
• Aplikasi palsu biasanya menyebar lewat berkas sideload, iklan, atau tautan pesan, bukan lewat toko aplikasi resmi.
• Pertahanan utamanya adalah verifikasi sumber sebelum login atau mengunduh, plus pelaporan ke kanal yang tepat agar domain palsu cepat diturunkan.

Typosquatting adalah praktik mendaftarkan nama domain yang sengaja dibuat mirip dengan domain resmi sebuah layanan, sementara aplikasi palsu meniru nama dan tampilan aplikasi terkenal untuk menjebak pengguna. Keduanya bergantung pada hal yang sama: kelengahan kita memeriksa alamat dan sumber sebelum mengetik kata sandi atau memasang berkas. Artikel ini merangkum ciri URL mirip, cara memverifikasi sumber resmi, dan jalur pelaporan yang bisa dipakai.

Apa Itu Typosquatting dan Aplikasi Palsu

Typosquatting adalah pendaftaran domain yang menyerupai domain resmi milik sebuah layanan. Pelakunya menghitung peluang: sebagian orang akan salah ketik, sebagian lain tidak memeriksa detail alamat ketika buru-buru. Dari halaman itu mereka bisa menampilkan formulir login palsu, memanen kode OTP, atau mengarahkan unduhan ke berkas yang tidak diinginkan. Yang menarik, serangan seperti ini jarang mengeksploitasi celah teknis. Ia mengeksploitasi kebiasaan.

Aplikasi palsu memakai logika serupa, hanya saja jalurnya berbeda. Nama dan ikon dibuat semirip mungkin dengan aplikasi populer, deskripsi diisi kata kunci yang sering dicari, lalu korban diarahkan memasang berkas dari luar toko resmi atau dari tautan yang dikirim lewat pesan. Karena dipasang di luar jalur resmi, tidak ada proses pemeriksaan yang memadai sebelum aplikasi berjalan di perangkat.

Variasi typosquatting cukup banyak dan terus berkembang. Beberapa pola yang umum:

• Salah ketik sederhana: satu huruf hilang, berlebih, atau tertukar posisinya.
• Homoglyph: memakai karakter yang sekilas terlihat sama, misalnya kombinasi huruf yang menyerupai satu huruf lain.
• Combosquatting: menambahkan kata yang terdengar resmi seperti login, verifikasi, bantuan, atau promo.
• Penukaran ekstensi domain: memindahkan situs ke akhiran domain lain yang mirip.
• Subdomain sebagai kamuflase: nama brand resmi diletakkan di depan, sementara domain sebenarnya berada di belakang.
• Punycode: karakter non-Latin yang tampil mirip huruf biasa di address bar.

Pola serupa juga muncul di ekosistem paket perangkat lunak, di mana nama paket dibuat mirip dengan paket populer agar ikut terpasang oleh pengembang yang kurang teliti. Pembahasannya bisa dibaca di artikel Mengenal Serangan Supply Chain pada Paket npm dan PyPI.

Ciri URL Mirip yang Perlu Diwaspadai

Kunci membaca URL adalah dari kanan ke kiri, bukan dari kiri ke kanan. Yang menentukan identitas situs adalah nama domain utama, yaitu bagian yang berada tepat di sebelah kiri akhiran seperti .com, .id, .co.id, atau .net. Segala sesuatu di sebelah kirinya hanyalah subdomain, dan itu bisa dibuat siapa saja.

Artinya, alamat seperti nama-brand-resmi.situs-lain.example tetap milik pemilik situs-lain.example, bukan milik brand yang disebut di depan. Banyak halaman palsu memanfaatkan kesan pertama ini karena mata kita cenderung membaca kata brand lebih dulu dan berhenti di situ.

Pola manipulasi	Contoh ilustrasi	Yang perlu dicek
Salah ketik atau huruf tertukar	sainsbtye.org	Ejaan nama brand karakter per karakter
Karakter mirip	kombinasi huruf yang dibaca seperti huruf lain	Perbesar tampilan teks di address bar
Penambahan kata	sainsbyte-login.example	Apakah kata tambahan itu bagian dari domain resmi
Akhiran domain berbeda	versi .co atau .net dari domain resmi	Akhiran domain yang benar-benar dipakai layanan
Subdomain sebagai kamuflase	sainsbyte.org.portal-login.example	Domain paling kanan sebelum tanda garis miring
Punycode	alamat berawalan xn--	Tampilan address bar saat diklik

Selain bentuk alamat, perhatikan juga konteks kedatangannya. Tautan yang tiba-tiba dikirim lewat pesan singkat, email yang mendesak agar segera login, atau iklan yang menawarkan versi premium gratis adalah kombinasi yang layak dicurigai. Situs resmi umumnya tidak meminta Anda mengisi data sensitif lewat tautan tak diminta yang disingkat.

Satu hal penting: ikon gembok dan HTTPS tidak menjamin situs itu sah. Sertifikat TLS kini mudah diperoleh, sehingga situs palsu pun bisa tampil dengan gembok. HTTPS hanya berarti lalu lintas terenkripsi, bukan bahwa pemilik situsnya jujur.

Ciri Aplikasi Palsu di Ponsel dan Desktop

Aplikasi palsu menyasar rasa percaya pada tampilan. Karena itu, penilaian sebaiknya tidak berhenti pada ikon dan nama, melainkan pada detail teknis serta asal berkasnya. Beberapa tanda yang sering muncul:

• Berasal dari berkas APK atau installer yang dikirim lewat pesan, bukan dari toko aplikasi resmi.
• Nama pengembang berbeda dari pengembang yang biasa merilis aplikasi serupa, atau baru dibuat dan tanpa riwayat.
• Ulasan tipis dan mencurigakan: jumlah unduhan kecil, ulasan seragam, atau komentar yang tidak nyambung dengan fungsi aplikasi.
• Meminta izin yang tidak relevan, misalnya aplikasi senter yang meminta akses kontak, SMS, atau layanan aksesibilitas.
• Ukuran dan versi janggal: aplikasi dikenal biasanya besar, tetapi versi ini hanya beberapa ratus kilobyte dengan nomor versi jauh lebih baru.
• Deskripsi dan teks antarmuka hasil terjemahan mesin, dengan tata bahasa aneh dan istilah tidak konsisten.
• Meminta pembayaran atau data kartu di luar alur resmi, atau meminta mematikan proteksi perangkat sebelum dipasang.

Di sisi desktop, jalur masuk yang sering dipakai adalah iklan unduhan yang menempatkan tombol palsu di atas tombol asli, serta situs yang menawarkan versi modifikasi perangkat lunak berbayar. Berkas seperti ini umumnya membawa tambahan yang tidak diminta: pengubah pengaturan browser, penambang kripto, atau akses jarak jauh. Tanda-tanda aktivitas mencurigakan semacam itu dibahas lebih lanjut di Mengenal Cryptojacking di Browser dan Komputer: Tanda dan Cegah.

Setelah aplikasi terpasang, langkah lanjutan yang wajar adalah meninjau izin yang benar-benar diberikan. Cara memeriksa dan mencabutnya dijelaskan di Audit Izin Android: Lokasi, Mikrofon, Kamera, Latar Belakang.

Verifikasi Sumber Resmi Sebelum Login atau Mengunduh

Verifikasi tidak perlu rumit. Yang dibutuhkan hanya urutan langkah yang konsisten, sehingga Anda tidak bergantung pada ingatan saat sedang terburu-buru. Alur berikut bisa diulang untuk hampir semua layanan:

1. Jangan klik tautan dari pesan atau email tak diminta. Buka aplikasi atau situs resminya secara langsung, lalu cari informasi yang dimaksud dari sana.
2. Simpan alamat penting sebagai bookmark. Bookmark menghilangkan risiko salah ketik dan membuat perbedaan alamat langsung terlihat.
3. Periksa nama domain, bukan subdomain. Baca bagian paling kanan sebelum garis miring pertama.
4. Cek berkas konfigurasi pengiriman email bila relevan. Untuk brand atau organisasi, keberadaan catatan SPF, DKIM, dan DMARC bisa menjadi indikator tambahan bahwa pengirim email tidak mudah dipalsukan.
5. Unduh aplikasi hanya dari toko resmi, dan pastikan nama pengembangnya sama dengan yang tercantum di situs resmi layanan tersebut.
6. Gunakan pengelola kata sandi. Ia hanya akan mengisi otomatis pada domain yang cocok, sehingga dapat menjadi alarm ketika Anda berada di halaman mirip yang salah.
7. Aktifkan autentikasi dua faktor, dan utamakan aplikasi autentikator atau kunci keamanan fisik dibanding kode lewat pesan singkat.

Untuk pemilik domain dan pengelola situs, verifikasi juga berlaku ke dalam. Memastikan siapa yang memegang akses registrar, mengunci transfer domain, dan mengaktifkan autentikasi dua faktor di panel DNS adalah pertahanan yang menutup celah penyalahgunaan nama domain. Langkah teknisnya bisa dilihat pada Panduan Mengamankan Akun Domain dan DNS: 2FA & Kunci Transfer.

Cara Melapor dan Langkah Setelah Terlanjur

Pelaporan bukan sekadar formalitas. Domain palsu yang dilaporkan lebih cepat biasanya lebih cepat diturunkan, sehingga jumlah korban berikutnya berkurang. Beberapa kanal yang bisa dipakai, sesuaikan dengan jenis kasusnya:

• Pemilik brand yang ditiru. Hubungi tim dukungan atau keamanan layanan resmi. Mereka umumnya punya prosedur khusus untuk menindak penyalahgunaan nama brand.
• Registrar dan penyedia hosting. Kanal abuse biasanya tercantum di halaman kontak penyedia atau pada informasi pendaftaran domain.
• Layanan pelaporan konten di Indonesia. Untuk konten atau situs yang merugikan, gunakan kanal pengaduan konten pemerintah dan kanal pengaduan layanan publik.
• Otoritas sektor keuangan. Jika penipuan mengatasnamakan bank, pinjaman, atau investasi, laporkan ke kontak resmi otoritas jasa keuangan dan bank terkait.
• Pelaporan penjelajahan aman. Browser dan mesin pencari besar menyediakan formulir untuk melaporkan situs berbahaya agar masuk daftar blokir.
• Toko aplikasi. Gunakan opsi pelaporan pada halaman aplikasi untuk menandai aplikasi palsu atau peniruan.

Jika Anda sudah mengetik kata sandi atau data lain di halaman palsu, urutan penanganannya lebih penting daripada menyalahkan diri sendiri. Ganti kata sandi akun terkait dari perangkat yang bersih, lalu ganti juga kata sandi yang sama bila dipakai ulang di layanan lain. Aktifkan autentikasi dua faktor, keluarkan sesi aktif yang tidak dikenal, dan periksa aturan penerusan email yang mungkin ditambahkan tanpa sepengetahuan Anda. Untuk data keuangan, hubungi bank atau penyedia pembayaran agar transaksi mencurigakan bisa ditahan dan kartu diganti.

Simpan bukti berupa tangkapan layar, alamat lengkap, dan waktu kejadian sebelum halaman diturunkan. Bukti ini berguna saat melapor ke penyedia layanan maupun pihak berwenang. Setelah semua beres, jadikan kejadian itu sebagai bahan pembaruan kebiasaan: tambahkan bookmark, perbarui pengelola kata sandi, dan ingatkan orang di sekitar Anda yang mungkin menerima tautan serupa.

Pertanyaan yang Sering Diajukan (FAQ)

Apa perbedaan typosquatting dan phishing?

Typosquatting adalah teknik menyiapkan domain yang mirip dengan domain resmi, sedangkan phishing adalah upaya penipuan untuk membuat korban menyerahkan data atau melakukan tindakan tertentu. Keduanya sering dipakai bersamaan: domain mirip dijadikan tempat mendarat halaman phishing.

Kalau ada ikon gembok dan HTTPS, apakah situs itu pasti aman?

Tidak. Ikon gembok hanya menandakan koneksi terenkripsi, bukan bahwa pemilik situs dapat dipercaya. Situs palsu pun bisa memasang sertifikat TLS, jadi yang perlu diperiksa tetap nama domain utamanya.

Bagaimana cara cepat memastikan aplikasi di toko aplikasi itu asli?

Cocokkan nama pengembang dengan yang tercantum di situs resmi layanan, periksa jumlah unduhan dan pola ulasannya, serta bandingkan daftar izin yang diminta dengan fungsi aplikasi. Jika pengembang berbeda atau izinnya tidak relevan, sebaiknya jangan dipasang.

Ke mana saya melaporkan domain atau aplikasi palsu?

Laporkan ke pemilik brand yang ditiru, ke kanal abuse registrar atau penyedia hosting, ke layanan pelaporan konten pemerintah, ke otoritas sektor keuangan bila menyangkut bank atau investasi, serta ke formulir pelaporan situs berbahaya di browser dan toko aplikasi.

Saya sudah mengetik kata sandi di halaman palsu, apa langkah pertama?

Segera ganti kata sandi akun tersebut dari perangkat yang bersih, ganti juga kata sandi yang sama jika dipakai ulang di layanan lain, lalu aktifkan autentikasi dua faktor. Setelah itu keluarkan sesi aktif yang tidak dikenal dan periksa aturan penerusan email pada akun Anda.

English Version — \nUnderstanding Domain Typosquatting and Fake Apps: Signs & Prevention\n

Quick Summary

• \n- Typosquatting uses domains deliberately made similar to official sites to catch users who mistype or fail to check the address.\n- Fake apps usually spread through sideloaded files, ads, or message links, not through official app stores.\n- The main defense is verifying sources before logging in or downloading, plus reporting to the right channels so fake domains are taken down quickly.\n

\n

Typosquatting is the practice of registering domain names deliberately made similar to a service's official domain, while fake apps imitate the names and appearance of popular apps to trap users. Both rely on the same thing: our carelessness in checking addresses and sources before entering a password or installing a file. This article summarizes the signs of similar URLs, how to verify official sources, and the reporting channels you can use.

\n

What Are Typosquatting and Fake Apps?

\n

Typosquatting is the registration of domains that resemble a service's official domain. Perpetrators calculate the odds: some people will mistype, others will not check address details when in a hurry. From that page, they can display fake login forms, harvest OTP codes, or redirect downloads to unwanted files. Interestingly, attacks like this rarely exploit technical vulnerabilities. They exploit habits.

Fake apps use similar logic, only the path is different. Names and icons are made as similar as possible to popular apps, descriptions are filled with frequently searched keywords, and victims are then directed to install files from outside official stores or from links sent via messages. Because they are installed outside official channels, there is no adequate review process before the app runs on the device.

Typosquatting variations are numerous and constantly evolving. Some common patterns:

• Simple typos: one letter missing, extra, or transposed.
• Homoglyph: using characters that look the same at a glance, such as letter combinations that resemble another letter.
• Combosquatting: adding words that sound official, such as login, verification, help, or promo.
• Domain extension swapping: moving the site to another similar domain suffix.
• Subdomain as camouflage: the official brand name is placed at the front, while the actual domain is at the back.
• Punycode: non-Latin characters that appear similar to ordinary letters in the address bar.

Similar patterns also appear in software package ecosystems, where package names are made similar to popular packages so they are installed by less careful developers. The discussion can be read in the article Understanding Supply Chain Attacks on npm and PyPI Packages.

\n

Signs of Similar URLs to Watch Out For

\n

The key to reading a URL is from right to left, not from left to right. What determines a site's identity is the main domain name, the part immediately to the left of suffixes such as .com, .id, .co.id, or .net. Everything to its left is just a subdomain, and anyone can create that.

This means an address like official-brand-name.other-site.example still belongs to the owner of other-site.example, not to the brand named at the front. Many fake pages exploit this first impression because our eyes tend to read the brand word first and stop there.

Manipulation pattern	Illustrative example	What to check
Typo or transposed letters	sainsbtye.org	Brand name spelling character by character
Similar characters	letter combination read as another letter	Enlarge the text display in the address bar
Added words	sainsbyte-login.example	Whether the added word is part of the official domain
Different domain suffix	the .co or .net version of the official domain	The domain suffix actually used by the service
Subdomain as camouflage	sainsbyte.org.portal-login.example	The rightmost domain before the slash
Punycode	address beginning with xn--	Address bar appearance when clicked

Besides the address format, also pay attention to the context in which it arrives. A link suddenly sent via text message, an email urging you to log in immediately, or an ad offering a free premium version are combinations worth suspecting. Official sites generally do not ask you to enter sensitive data through unsolicited shortened links.

One important thing: the padlock icon and HTTPS do not guarantee that a site is legitimate. TLS certificates are now easy to obtain, so fake sites can also appear with a padlock. HTTPS only means traffic is encrypted, not that the site owner is honest.

\n

Signs of Fake Apps on Mobile and Desktop

\n

Fake apps target trust in appearance. Therefore, assessment should not stop at the icon and name, but at technical details and the file's origin. Some frequently appearing signs:

• Comes from an APK or installer file sent via message, not from an official app store.
• Developer name is different from the developer that usually releases similar apps, or is newly created with no history.
• Thin and suspicious reviews: low download counts, uniform reviews, or comments that do not match the app's function.
• Requests irrelevant permissions, such as a flashlight app asking for access to contacts, SMS, or accessibility services.
• Odd size and version: well-known apps are usually large, but this version is only a few hundred kilobytes with a much newer version number.
• Machine-translated descriptions and interface text, with strange grammar and inconsistent terminology.
• Requests payment or card data outside official channels, or asks you to turn off device protection before installation.

On desktop, commonly used entry points are download ads that place fake buttons above the real one, as well as sites offering modified versions of paid software. Files like these generally carry unwanted extras: browser setting changers, crypto miners, or remote access. Signs of such suspicious activity are discussed further in Understanding Cryptojacking in Browsers and Computers: Signs and Prevention.

After an app is installed, a reasonable next step is to review the permissions actually granted. How to check and revoke them is explained in Android Permission Audit: Location, Microphone, Camera, Background.

\n

Verify Official Sources Before Logging In or Downloading

\n

Verification does not need to be complicated. What is needed is only a consistent sequence of steps, so you do not rely on memory when in a hurry. The following flow can be repeated for almost any service:

1. Do not click links from unsolicited messages or emails. Open the app or its official site directly, then look for the information in question there.
2. Save important addresses as bookmarks. Bookmarks eliminate the risk of typos and make address differences immediately visible.
3. Check the domain name, not the subdomain. Read the rightmost part before the first slash.
4. Check email sending configuration records when relevant. For a brand or organization, the presence of SPF, DKIM, and DMARC records can be an additional indicator that the email sender is not easily spoofed.
5. Download apps only from official stores, and make sure the developer name matches the one listed on the service's official site.
6. Use a password manager. It will only autofill on a matching domain, so it can act as an alarm when you are on the wrong similar page.
7. Enable two-factor authentication, and prioritize authenticator apps or physical security keys over codes sent via text message.

For domain owners and site managers, verification also applies internally. Ensuring who holds registrar access, locking domain transfers, and enabling two-factor authentication in the DNS panel are defenses that close the gap for domain name abuse. The technical steps can be seen in Guide to Securing Domain and DNS Accounts: 2FA & Transfer Lock.

\n

How to Report and What to Do After a Mistake

\n

Reporting is not merely a formality. Fake domains reported sooner are usually taken down sooner, reducing the number of subsequent victims. Some channels you can use, adjusted to the type of case:

• The owner of the imitated brand. Contact the official service's support or security team. They generally have special procedures for addressing brand name abuse.
• Registrar and hosting provider. Abuse channels are usually listed on the provider's contact page or in the domain registration information.
• Content reporting services in Indonesia. For harmful content or sites, use the government's content complaint channel and public service complaint channels.
• Financial sector authorities. If the scam impersonates a bank, loan, or investment, report it to the official contacts of the financial services authority and the relevant bank.
• Safe browsing reporting. Major browsers and search engines provide forms to report malicious sites so they are added to blocklists.
• App stores. Use the reporting option on the app page to flag fake or impersonating apps.

If you have already entered a password or other data on a fake page, the order of handling matters more than blaming yourself. Change the password for the affected account from a clean device, then also change the same password if it is reused on other services. Enable two-factor authentication, log out unknown active sessions, and check email forwarding rules that may have been added without your knowledge. For financial data, contact your bank or payment provider so suspicious transactions can be held and the card replaced.

Keep evidence such as screenshots, the full address, and the time of the incident before the page is taken down. This evidence is useful when reporting to service providers and authorities. After everything is resolved, use the incident to update your habits: add bookmarks, update your password manager, and remind people around you who might receive similar links.

\n