# Sepuluh penipuan yang menyasar pemilik toko (bukan pelanggan), dan cara mengenalinya

> Phishing dari email Stripe palsu, penipuan kelebihan bayar lalu minta refund, penipuan pemasok, surat perpanjangan domain lewat pos. Penipuan yang menyasar Anda, bukan pembeli Anda, dan bagaimana standar keamanan dasar menghentikan sebagian besarnya.

Ryan Badger - 28 September 2025 - 8 menit baca

## Penipuan yang menyasar pedagang, bukan kartunya

Artikel sebelumnya membahas [penipuan transaksi: kartu curian, chargeback, card testing](https://v3.shoprocket.io/id/blog/penipuan-ecommerce-delapan-jenis-yang-akan-anda-temui-dan-cara-mencegahnya.md). Artikel ini tentang sisi lainnya: penipuan yang menyasar Anda, pemilik toko, secara langsung. Email phishing yang menyamar sebagai Stripe. "Pelanggan" palsu yang mencoba merekayasa sosial agar mendapat refund. Pemasok yang mengambil uang Anda lalu menghilang. Penipuan perpanjangan domain lewat pos.

Kebanyakan dari ini teknologinya rendah. Mereka berhasil karena mengelola toko itu sibuk dan email penipuan datang pada Selasa sore ketika Anda lelah. Pertahanannya sebagian besar soal tahu apa yang akan datang.

## Kategori besarnya

### 1. Phishing yang menyamar sebagai Stripe, PayPal, Shopify, bank Anda

Anda menerima email: "Akun Stripe Anda telah ditandai, klik di sini untuk verifikasi." Tautannya menuju halaman login yang tampak sempurna. Anda memasukkan kredensial. Kredensial itu tertangkap.

**Yang perlu diwaspadai:**

- Domain pengirim: email Stripe asli datang dari `@stripe.com`, bukan `@stripe-support.com` atau `@stripe.verify.co`
- Bahasa yang mendesak: "akun akan ditangguhkan dalam 24 jam" adalah pola penipuan
- Tautan: arahkan kursor sebelum mengeklik. Tautan Stripe asli menuju `dashboard.stripe.com`

**Pertahanan:**

- Aktifkan 2FA di setiap platform pembayaran dan commerce yang Anda pakai (Stripe, PayPal, bank Anda, akun Shoprocket Anda, email Anda). Kata sandi yang dicuri tidak berguna tanpa faktor kedua
- Jangan pernah mengeklik tautan login di email. Buka situsnya langsung lewat bookmark atau URL yang Anda ketik
- Gunakan pengelola kata sandi. Ia hanya mengisi otomatis di domain yang asli, jadi diam-diam menolak di halaman phishing, dan itu petunjuk yang sangat jelas

### 2. Penipuan "kelebihan bayar"

"Pelanggan" membuat pesanan besar, membayar berlebih (sekitar $500), lalu mengirim email meminta refund kelebihan bayar itu ke kartu lain atau lewat metode lain (PayPal, transfer bank, kartu hadiah). Seminggu kemudian, pembayaran awal dibatalkan sebagai penipuan, dan Anda sudah mengembalikan uang yang sebenarnya tidak pernah Anda miliki.

- Permintaan refund apa pun ke metode yang berbeda dari pembayaran awal
- Pesanan bernilai luar biasa besar dari pelanggan baru
- Tekanan mendesak untuk segera merefund

**Pertahanan:**

- **Refund hanya ke metode pembayaran awal.** Stripe memberlakukan ini secara default, jadi penipuan ini kebanyakan terjadi ketika penjual memproses refund secara manual di luar platform
- Kalau "pelanggan" ngotot meminta metode refund alternatif, itu saja sudah menjadi sinyalnya

### 3. Penipuan "alamat salah, tolong kirim ulang"

Pelanggan memesan, menerima barangnya, lalu mengklaim "alamatnya salah, tolong kirim ulang ke X". Kalau Anda kirim ulang, mereka mendapat kedua-duanya.

- Permintaan kirim ulang yang menyebut perubahan alamat setelah pelacakan menunjukkan barang sudah diterima
- Beberapa pelanggan dengan variasi cerita yang sama, kadang terkoordinasi

**Pertahanan:**

- Selalu cek pelacakan kurir sebelum menindaklanjuti masalah alamat
- Kalau barang sudah diantar ke alamat yang tertera di pesanan, pesanan itu sudah terpenuhi. Pengiriman tambahan menjadi tanggungan pelanggan

### 4. Penipuan SEO / pemerasan ulasan

Seseorang mengirim email: "Saya memberi ulasan satu bintang. Bayar $200 dan akan saya hapus." Atau: "Saya bisa menghapus ulasan negatif dengan imbalan biaya." Atau: "Google Business Profile Anda akan dilaporkan kecuali Anda membayar."

Kebanyakan hanya gertakan. Penghapusan ulasan yang sah lewat proses platform ulasan, bukan pembayaran pribadi.

**Pertahanan:**

- Jangan pernah membayar. Membayar menandai Anda sebagai sasaran empuk dan permintaan akan bertambah
- Tandai email sebagai spam, blokir pengirimnya, lanjutkan hidup
- Kalau ada ulasan negatif yang sungguhan, tanggapi secara terbuka dengan jawaban yang wajar. Itu lebih menguntungkan Anda daripada penghapusan

### 5. Penipuan pemasok / dropship palsu

Anda mencari pemasok baru, biasanya lewat Alibaba atau email dingin. Mereka menawarkan harga yang terlalu bagus. Anda mengirim uang muka (sering lewat transfer kawat karena "PayPal tidak tersedia"). Barang tidak pernah dikirim, atau dikirim berupa barang palsu, atau jumlahnya kurang.

- Metode pembayaran tanpa perlindungan pembeli (transfer kawat, kripto, Western Union)
- Harga 30%+ di bawah harga pasar
- Tidak ada keberadaan bisnis yang terverifikasi (tanpa audit pabrik, tanpa Alibaba Trade Assurance, tanpa pendaftaran perusahaan yang bisa Anda verifikasi)
- Komunikasi hanya lewat Gmail atau WhatsApp, bukan email bisnis

**Pertahanan:**

- Gunakan Trade Assurance Alibaba untuk pesanan pertama. Pembayaran ditahan sampai Anda mengonfirmasi barang diterima
- Minta sampel dulu. Pesan jumlah kecil sebelum berkomitmen ke produksi penuh
- Verifikasi bisnisnya: nomor registrasi, cari di Google, cek LinkedIn untuk karyawannya, cari foto produk mereka lewat pencarian gambar terbalik (foto curian itu umum)

### 6. Google / Meta palsu / "listing Anda belum terverifikasi"

"Google Business Profile Anda akan segera dihapus. Verifikasi sekarang." Atau: "Akun Meta Business Anda memiliki aktivitas tidak biasa." Tautannya menuju halaman login palsu yang mencuri kredensial akun iklan Anda.

Pengambilalihan akun iklan Meta terutama menyakitkan: penyerang menayangkan iklan mereka sendiri dengan kartu kredit Anda sebelum Meta menyadarinya, dan Anda yang menerima tagihan.

**Pertahanan:**

- Masuk ke Google Business dan Meta Business Manager secara langsung (bukan lewat tautan email) untuk mengecek statusnya
- 2FA di keduanya
- Tetapkan batas belanja iklan di akun iklan Anda. Kalau diambil alih, kerugian dibatasi sebesar batas Anda

### 7. Penipuan "domain Anda akan kedaluwarsa"

Sebuah surat (kertas sungguhan) atau email datang dari "Domain Registry of America" atau yang serupa. Mereka bukan registrar Anda. Surat itu adalah permintaan transfer yang disamarkan sebagai tagihan perpanjangan. Kalau Anda membayar, domain Anda berpindah ke registrar yang lambat dan mahal, yang menarik biaya tiga kali lipat dari biaya Anda sekarang dan mempersulit transfer keluar.

**Pertahanan:**

- Ketahui di mana domain Anda terdaftar. Kalau suratnya bukan dari registrar Anda yang sebenarnya, abaikan
- Aktifkan registrar lock pada domain Anda (kebanyakan registrar menyediakannya gratis)
- Atur domain Anda untuk diperpanjang otomatis di registrar yang sebenarnya agar Anda tidak pernah panik soal perpanjangan

### 8. Penipuan afiliasi / kemitraan / "duta brand" palsu

"Kami suka brand Anda! Kami ingin menampilkan Anda di kampanye pemasaran kami senilai $500 rb. Bayar $2.000 untuk penempatan." Atau: "Jadilah duta brand kami, kirim 50 unit produk Anda untuk unboxing influencer." (Mereka bukan influencer; mereka menjual ulang barangnya.)

- Permintaan produk gratis dari akun yang tidak bisa Anda verifikasi
- Tawaran pemasaran di mana Anda yang membayar mereka (bukan sebaliknya)
- Pesan kabur dan generik yang bisa dikirim ke brand mana pun

**Pertahanan:**

- Proposal kemitraan yang sungguhan selalu disertai rincian: jumlah audiens, kampanye sebelumnya, sebuah deck
- Kalau mereka minta produk gratis, kirim satu unit dan lihat apa yang mereka lakukan sebelum mengirim lima puluh
- Kalau mereka minta uang di muka untuk "feature" atau "penempatan", anggap itu tidak nyata

### 9. Penipuan ancaman hukum palsu

Anda menerima pemberitahuan takedown DMCA atau surat pelanggaran merek dagang dari "firma hukum" yang belum pernah Anda dengar. Mereka menuntut tindakan segera atau pembayaran. Firma itu tidak nyata; klaimnya direkayasa.

**Pertahanan:**

- Verifikasi bahwa firma hukum itu ada (Google, daftar asosiasi advokat)
- Teruskan email ke pengacara Anda yang sebenarnya atau layanan konsultasi hukum; jangan menanggapi langsung
- Pemberitahuan hukum yang asli datang di atas kertas atau lewat agen terdaftar Anda, bukan sebagai PDF terlampir dari alamat Gmail

### 10. Email ancaman chargeback

"Saya mau refund. Kalau Anda tidak merefund dalam 24 jam, saya akan chargeback ke bank saya DAN memberi ulasan satu bintang di semua situs." Kadang ini pelanggan yang memang marah. Kadang ini penipuan untuk memeras refund atas barang yang sudah mereka terima dan simpan.

**Pertahanan:**

- Tangani masing-masing sesuai kasusnya: kalau ada alasan nyata (barang salah, barang rusak), refund. Kalau pelacakan menunjukkan barang sudah diterima dan masalahnya kabur, minta rincian sebelum merefund
- Kalau mereka tetap chargeback, tanggapi sengketa itu dengan bukti pengiriman dan komunikasi pelanggan. Anda memenangkan sebagian besar sengketa "barang tidak diterima" dengan cara ini
- Ingat bahwa ambang rasio chargeback Stripe adalah 1%; kalau Anda mengalah pada setiap ancaman, rasio Anda naik dan akun Anda ditandai

## Standar keamanan dasar yang harus dimiliki setiap toko

Terlepas dari penipuan tertentu, beberapa kebiasaan bawaan mempersulit hampir semua ini bagi penyerang:

- **2FA di setiap akun** (email, Stripe, PayPal, Shoprocket, registrar domain, akun iklan). Idealnya lewat aplikasi autentikator, bukan SMS
- **Pengelola kata sandi** dengan kata sandi unik untuk setiap layanan
- **Email admin terpisah** (bukan Gmail pribadi Anda) untuk akun commerce
- **Kartu bisnis khusus** untuk periklanan dengan batas rendah
- **Pelacakan + tanda tangan penerima** di atas nilai tertentu
- **Statement descriptor yang jelas** di Stripe (mengurangi chargeback friendly fraud secara signifikan)
- **Tinjau log secara rutin** di platform commerce Anda. Login yang tidak dikenal harus segera diselidiki

```
<!-- EXAMPLE ONLY. Grab your real snippet from Sales channels → Embeds in your dashboard -->
<script src="https://cdn.shoprocket.io/loader.js" data-pk="pk_yourkey"></script>
<div data-shoprocket="catalog" data-embed-id="emb_xxx"></div>
```

## Yang ditangani Shoprocket

- **Pemantauan login.** Login dari perangkat baru memicu email ke pemilik akun
- **2FA tersedia untuk akun penjual** (aktifkan di Akun saya → Pengaturan akun → Keamanan, dengan aplikasi autentikator)
- **Log aktivitas admin.** Setiap tindakan penting (pengeditan produk, refund, perubahan izin) dicatat dan bisa ditinjau
- **Izin berbasis peran.** Staf hanya mendapat izin yang mereka butuhkan; agen dukungan tidak bisa mengubah detail bank
- **Perlindungan refund.** Refund dialirkan lewat metode pembayaran awal secara default. Tidak ada alur "refund ke kartu lain" yang mengejutkan

Yang tidak diselesaikan Shoprocket: penipuan yang menyasar email, akun iklan, domain, dan pemasok Anda. Itu di luar cakupan kami, tetapi standar dasar 2FA + pengelola kata sandi menangani sebagian besarnya.

> **Tips:** Kalau Anda menerima email mencurigakan yang mengaku dari Shoprocket, jangan klik tautannya. Masuk ke dasbor Anda secara langsung. Pemberitahuan asli juga akan terlihat di peringatan dalam aplikasi, bukan hanya di email.

## Ringkasnya

- **Kebanyakan penipuan yang menyasar pedagang adalah rekayasa sosial, bukan teknis.** Pertahanannya soal kewaspadaan, bukan perangkat lunak
- **Phishing + pengambilalihan akun iklan** adalah yang paling merugikan secara finansial. 2FA di setiap platform menghentikan sebagian besarnya
- **Refund hanya ke metode pembayaran awal.** Permintaan "kirim refund saya dengan cara lain" hampir selalu penipuan
- **Pemasok adalah vektor serangan utama.** Gunakan Trade Assurance, minta sampel dulu, verifikasi bahwa bisnisnya ada
- **Pemberitahuan hukum / platform yang asli tidak datang lewat lampiran Gmail.** Abaikan ancaman berbentuk PDF kecuali datang di atas kertas atau lewat saluran terverifikasi
- **Standar keamanan dasar:** 2FA di mana-mana, pengelola kata sandi, email admin terpisah dari email pribadi, pelacakan/tanda tangan untuk pengiriman bernilai tinggi

[Mulai uji coba gratis](https://app-v3.shoprocket.io/signup) dan 2FA + izin berbasis peran + log aktivitas admin aktif secara default. 14 hari, tanpa kartu.

---

- HTML version: https://v3.shoprocket.io/id/blog/sepuluh-penipuan-yang-menyasar-pemilik-toko-dan-cara-mengenalinya
- Language: Bahasa Indonesia (id)
- Also in: [العربية](https://v3.shoprocket.io/ar/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Deutsch](https://v3.shoprocket.io/de/blog/betrugsmaschen-gegen-shopbetreiber-erkennen-und-abwehren.md), [Ελληνικά](https://v3.shoprocket.io/el/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [English](https://v3.shoprocket.io/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Español](https://v3.shoprocket.io/es/blog/diez-estafas-dirigidas-a-duenos-de-tiendas-y-como-detectarlas.md), [Français](https://v3.shoprocket.io/fr/blog/dix-arnaques-visant-les-e-commercants-comment-les-reperer.md), [עברית](https://v3.shoprocket.io/he/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [हिन्दी](https://v3.shoprocket.io/hi/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Italiano](https://v3.shoprocket.io/it/blog/dieci-truffe-contro-i-titolari-di-negozi-ecommerce.md), [日本語](https://v3.shoprocket.io/ja/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Lietuvių](https://v3.shoprocket.io/lt/tinklarastis/sukciavimo-schemos-nukreiptos-i-parduotuviu-savininkus.md), [Norsk](https://v3.shoprocket.io/nb/blogg/ti-svindeltyper-som-rammer-butikkeiere-og-hvordan-du-avsloerer-dem.md), [Nederlands](https://v3.shoprocket.io/nl/blog/tien-oplichtingstrucs-tegen-shopeigenaren-herkennen.md), [Polski](https://v3.shoprocket.io/pl/blog/dziesiec-oszustw-wymierzonych-we-wlascicieli-sklepow-i-jak-je-rozpoznac.md), [Português](https://v3.shoprocket.io/pt/blog/dez-golpes-contra-donos-de-loja-e-como-identificar.md), [Română](https://v3.shoprocket.io/ro/blog/zece-escrocherii-care-tintesc-proprietarii-de-magazine-si-cum-le-recunosti.md), [Русский](https://v3.shoprocket.io/ru/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [ไทย](https://v3.shoprocket.io/th/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Türkçe](https://v3.shoprocket.io/tr/blog/magaza-sahiplerini-hedef-alan-on-dolandiricilik-ve-nasil-fark-edilir.md), [中文](https://v3.shoprocket.io/zh/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md)