Penulis: TT3LABS, Platform Rekrutmen Remote
Mencari kerja remote memungkinkan Anda mencari pekerjaan lintas kota, lintas negara, dan mendapatkan peluang terhubung ke seluruh dunia. Namun, bertemu pemberi kerja dan rekan kerja hanya melalui virtual, seringkali menggunakan stablecoin untuk penyelesaian gaji, dan proses rekrutmen banyak dilakukan melalui DM TG dan email. Dibandingkan dengan wawancara tatap muka, keaslian posisi lebih sulit dibedakan, dan lebih banyak penipu yang berpura-pura merekrut dibandingkan offline.
Panduan ini mengumpulkan modus penipuan yang benar-benar ditemui dan dilaporkan oleh anggota komunitas TT3Labs, diklasifikasikan berdasarkan "apa yang diincar penipu", dan juga merangkum beberapa langkah menghindari jebakan. Kami juga mengundang Anda untuk banyak berbagi pengalaman pencarian kerja remote di komunitas. Satu pengalaman nyata tambahan bisa membuat orang lain terhindar dari satu jebakan.
Kasus Nyata
Mari lihat kisah nyata ini
Salah satu teman di komunitas membagikan pengalamannya menghadapi modus lengkap:
Ada yang menghubunginya via DM di TG, menawarkan posisi operasional di sebuah proyek, memintanya mengirim CV, dan dengan cepat membalas "lolos seleksi awal", lalu menjadwalkan wawancara. Sebelum wawancara, dia meminta materi proyek, dan yang bersangkutan mengirimkan tautan GitBook. Tautannya sendiri sah, tetapi dokumentasi proyek tersebut sudah tidak diperbarui selama setahun.
Memasuki tahap wawancara, wawancara pertama via Zoom. Yang datang adalah seorang "bule" dengan bahasa Mandarin terbata-bata, mengaku orang Prancis, padahal teman ini pernah kuliah di Prancis, logat lawan bicara jelas-jelas tidak sesuai. Wawancaranya sangat dangkal, dengan cepat dinyatakan lulus, dan lawan bicara buru-buru ingin melanjutkan ke wawancara kedua.
Wawancara kedua dijadwalkan jam 4 sore. Lawan bicara baru mengirim tautan meeting tepat pukul 4, menggunakan software yang tidak pernah dia dengar. Dia tidak bisa membukanya, lalu menyarankan ganti ke Zoom, Google Meet, atau Lark. Lawan bicara langsung membalas: "Jangan bohongi saya, tautan ini bisa dibuka siapa saja." Dia bersikeras menolak, dan lawan bicara langsung menghapus riwayat chat TG.
Kalau saja dia mengklik tautan dan memasang "plugin meeting" itu, selanjutnya adalah: plugin meminta izin mikrofon, speaker, membuat Anda menjalankan perintah di latar belakang, yang sebenarnya adalah memasang malware, memindai dompet, kata sandi, dan private key di komputer Anda. Wawancaranya palsu, posisinya palsu, perusahaan mungkin tidak pernah ada.
Mari kita tinjau kembali, ada tiga hal yang tidak beres dalam wawancara ini
- Materi proyek tidak diperbarui selama setahun. Katanya sedang merekrut, tapi dokumentasi tidak disentuh.
- Mengaku orang Prancis, tapi logatnya tidak sesuai.
- Baru mengirim tautan tepat pada waktunya, itupun software yang tidak dikenal. Sebenarnya ini memanfaatkan psikologi pelamar yang ingin cepat-cepat, membuat Anda lengah.
Bagian Pertama
Apa sebenarnya yang diinginkan penipu?
Sekarang ada puluhan modus penipuan yang umum, wajar kalau tidak ingat semua. Tapi yang diinginkan penipu intinya hanya tiga:
- Perangkat dan dompet Anda
- Uang Anda
- Informasi identitas Anda
Ketika bertemu pewawancara yang terasa aneh atau tidak jelas, tanyakan pada diri sendiri: sebenarnya apa yang ingin dia ambil dari Anda, jawabannya seringkali langsung ketahuan.
Yang paling umum: mengincar kendali perangkat dan dompet Anda
Jenis ini paling banyak dilaporkan di komunitas. Kesamaannya hanya satu: di suatu langkah, Anda diminta memasang atau menjalankan sesuatu di komputer Anda sendiri.
- Menyuruh Anda mengunduh software meeting yang tidak dikenal. Alat wawancara video umumnya cuma Zoom, Google Meet, Lark. Penipu mengirimkan alat dengan nama asing, yang setelah diinstal adalah malware pencuri dompet dan backdoor, baik Mac maupun Windows bisa kena.
- Setelah masuk meeting bilang "tidak bisa dengar suara", menyuruh Anda memasang plugin, menyesuaikan izin latar belakang. Langkah inilah yang sebenarnya menjadi sasaran. Plugin itu malware, "perintah menyesuaikan latar belakang" adalah memberikan akses, sehingga mendapatkan izin perangkat Anda.
- Membuat soal tes coding menjadi malware. Soal tes untuk posisi developer, menyuruh Anda clone repository, jalankan lokal. Kodenya menyembunyikan sesuatu, khusus mencari plugin dompet, kata sandi yang tersimpan di browser, kunci SSH.
- Tidak menyuruh mengunduh, hanya menyuruh "tempelkan satu perintah". Metode yang lebih baru. Menggunakan halaman verifikasi palsu, atau bilang "audio Anda ada sedikit masalah, ikuti petunjuknya", membimbing Anda menyalin dan menjalankan suatu perintah. Tidak ada aksi mengunduh, lebih sulit disadari.
- Beralasan "membantu Anda mengoperasikan" menyuruh Anda berbagi layar. Mengambil kesempatan melihat Anda memasukkan kata sandi, kode verifikasi.
- Dengan dalih "lihat pengalaman blockchain Anda", menyuruh Anda menghubungkan dompet. Begitu Anda menghubungkan dompet asli, menandatangani otorisasi, aset bisa langsung ditransfer.
Dari Anda menjalankan kode sampai aset ditransfer, seringkali hanya butuh beberapa detik sampai beberapa menit.
Mengincar uang Anda secara langsung
Modus lama yang umum, offline juga ada, remote juga bisa dilakukan.
- "Tes pra-kerja" sebenarnya adalah brushing order. Menyuruh Anda melakukan "tugas tes": bayar uang muka, buat order, "donasi" ke proyek. Beberapa transaksi pertama dikembalikan untuk memberi Anda rasa manis, semakin banyak diinvestasikan, saat jumlah besar tidak bisa ditarik, lalu bilang Anda "salah operasi", menyuruh Anda menambah uang.
- Rekomendasi berbayar, jaminan dapat offer. Ada yang meminta uang Anda, bilang bisa menjamin Anda masuk ke perusahaan besar atau proyek tertentu. Jenis ini pada dasarnya bisa langsung diabaikan, rekrutmen resmi tidak meminta uang dari pelamar. Kalau memang harus mengeluarkan uang dalam mencari kerja, paling-paling mencari bimbingan karir atau bantuan memperbaiki CV, tidak ada yang bisa membeli penerimaan kerja nyata dari orang asing dengan uang.
- Pinjaman pelatihan, pinjaman masuk kerja. Atas nama "pelatihan dulu baru bekerja", membujuk Anda meminjam dan membayar biaya.
Mengincar identitas Anda
- Belum masuk kerja sudah minta KTP, paspor, kartu bank, foto selfie memegang dokumen. Ini akan digunakan untuk membuat identitas palsu, membuka rekening, pinjaman, penipuan kartu, atau menggunakan akun Anda sebagai saluran pencucian uang.
- Perusahaan resmi akan melakukan pemeriksaan latar belakang, tapi biasanya setelah Anda menandatangani kontrak, resmi masuk kerja, bukan pada tahap wawancara meminta hal-hal ini.
Ada satu jenis lagi yang perlu diwaspadai: Setelah masuk kerja tidak dapat gaji
Tidak semua risiko berasal dari perusahaan palsu. Ada perusahaan yang nyata, orangnya sudah masuk kerja, tapi perusahaan menggunakan alasan "remote sulit diverifikasi" "lintas negara sulit dikejar" untuk mengurangi atau menunggak gaji, yang paling umum adalah tidak membayar bulan terakhir sebelum resign. Karena remote dan lintas negara, uang seperti ini sulit dikejar, itulah alasan mereka berani melakukannya. Sebelum masuk kerja, cek reputasi perusahaan ini, banyak tanya di komunitas, bisa menghindari beberapa perusahaan bermasalah.
Bagian Kedua
Ciri Umum Hampir Semua Penipuan
Sinyal-sinyal di bawah ini, dilihat satu per satu tidak berarti apa-apa, tapi jika beberapa muncul bersamaan, patut diwaspadai.
- Terlalu bagus untuk menjadi kenyataan. Yang paling umum: persyaratan tidak tinggi tapi gajinya tinggi tidak masuk akal, wawancara terlalu longgar (terus memuji Anda, tidak menanyakan hal yang substansial), jika dikumpulkan menjadi mencurigakan. Tidak paham teknologi juga tidak apa-apa, perasaan "terlalu bagus untuk menjadi kenyataan" ini dimiliki kebanyakan orang, dan insting Anda seringkali benar.
- Hanya mau bicara di chat pribadi. Lawan menghubungi duluan, tanpa informasi perusahaan apa pun, seluruh percakapan dilakukan di alat komunikasi terenkripsi seperti TG, tidak mau telepon, tidak mau menunjukkan wajah, juga tidak mau menggunakan software meeting dari perusahaan besar.
- Terburu-buru. Buru-buru menjadwalkan wawancara berikutnya, tapi baru mengirim tautan tepat pada waktunya. Wawancara normal setelah janjian langsung mengirim tautan; baru mengirim tepat pada waktunya, artinya tidak memberi Anda waktu memeriksa, membuat Anda panik.
- Belum masuk kerja sudah menawarkan memberi uang duluan. Beberapa penipu akan secara aktif menawarkan gaji di muka, uang tanda tangan, bonus masuk kerja, terlihat sangat tulus. Ini kemungkinan besar ingin membuat Anda serius, takut ketinggalan, sehingga tidak sempat bertanya lebih lanjut. Begitu seseorang memikirkan uang itu, hal-hal yang seharusnya diverifikasi mudah diabaikan.
- Komunikasinya terasa aneh. Percakapan lawan seperti hasil terjemahan mesin, panggilan, urutan kalimat, pilihan kata canggung; mengaku orang negara tertentu, tapi logatnya tidak sesuai. Di baliknya seringkali adalah sindikat luar negeri yang menggunakan software terjemahan untuk menyamar sebagai HR lokal.
Namun, bahasa yang kaku sendiri bukan berarti penipu. Banyak tim luar negeri yang resmi, rekrutmen orang asing juga menggunakan alat terjemahan untuk berkomunikasi dengan kandidat, bahasa Inggris atau Mandarin yang tidak bagus bukan berarti penipu. Beberapa sinyal digabungkan baru lebih akurat.
Mengandalkan mengingat nama untuk menghindari penipuan sebenarnya kurang efektif. Penipu sering ganti identitas, hari ini akun ini, nama software ini, besok ganti yang lain, mengingat daftar nama pada dasarnya tidak bisa mengikuti, tapi menguasai logika dasar ini seringkali bisa menghindari banyak jebakan.
Bagian Ketiga
Strategi Melindungi Diri
Dalam kondisi remote, Anda seringkali tidak bisa memastikan keaslian lawan. Jadi "melihat melalui penipuan" ini sendiri agak sulit diandalkan. Coba ganti cara berpikir, terlepas dari keaslian lawan, ada beberapa hal yang bisa Anda verifikasi sendiri, dan ada beberapa batasan yang bisa dipegang.
Yang bisa diverifikasi sendiri, kira-kira ada tiga hal.
- Gunakan saluran yang terpercaya. Cara yang cukup aman adalah hanya mengakui pintu masuk yang Anda temukan sendiri. Ingin memastikan sebuah perusahaan sedang merekrut, cari sendiri halaman karir di platform pencarian kerja yang terpercaya, website resmi, daripada langsung mengklik tautan, domain, kode QR yang dikirim lawan. Untuk meeting juga sama, meskipun dia memberi tautan, unduh juga aplikasi resmi dari website resmi software meeting, gunakan ID meeting untuk masuk sendiri.
- Cek latar belakang HR-nya. Lihat apakah HR ini di internet adalah orang nyata yang spesifik, misalnya LinkedIn atau identitas terverifikasi lainnya. Materi yang dia berikan juga bisa dilihat sekilas, misalnya apakah waktu pembaruan sesuai, seperti "GitBook yang tidak diperbarui setahun" di awal. Ada juga cara lain: tanyakan secara santai topik yang membutuhkan latar belakang budaya, terjemahan mesin dan orang non-native sangat mudah ketahuan, ada penipu yang tidak bisa menjawab begitu ditanya, langsung memutuskan wawancara.
- Lihat apa yang dia minta Anda lakukan. Yang ini paling berguna, karena tidak terkait dengan keaslian perusahaan. Sebelum masuk kerja resmi, perusahaan yang sah tidak akan menyuruh Anda memasang software asing, menjalankan perintah, membayar, menyerahkan dompet atau private key, melakukan "tes" yang melibatkan transfer uang, juga tidak akan meminta Anda merahasiakannya dari siapa pun.
Isolasi perangkat juga penting. Software yang diminta untuk diunduh, tidak dipasang di ponsel, komputer yang digunakan sehari-hari; tidak menghubungkan dompet asli; tidak membayar uang; tidak menyerahkan dokumen dan private key. Dengan begitu, meskipun lawan adalah penipu, sulit mengambil informasi dan harta dari Anda.
Jika developer harus menjalankan kode yang diberikan lawan, menjalankannya di luar mesin utama akan jauh lebih aman, misalnya di virtual machine yang bersih, sandbox, atau perangkat kosong terpisah. Melakukan ini juga ada manfaatnya: proyek tahap awal, proyek masa kerahasiaan, Anda bisa membicarakannya dengan tenang.
Bagian Keempat
Beberapa Situasi yang Sulit Dinilai
- Proyek tahap awal, informasinya secara alami sedikit. Informasi yang sedikit wajar pada beberapa proyek tahap awal, belum tentu berarti penipu. Proyek tahap awal yang asli memiliki jejak yang dangkal tapi nyata: pendiri memiliki identitas publik yang lebih awal dari proyek, ada pendanaan yang bisa dicek, kontrak, atau repositori kode. Penipuan seringkali sebaliknya, websitenya dibuat bagus, di belakangnya banyak akun baru, tidak ditemukan satu pun orang hidup yang memiliki masa lalu.
- Mengatakan dalam masa kerahasiaan, tidak memberi nama perusahaan. Kerahasiaan berlaku untuk proyek itu sendiri, misalnya produk, token, rencana yang belum diumumkan. Tapi HR yang berbicara dengan Anda biasanya tidak perlu menyembunyikan identitasnya. Kerahasiaan yang resmi, khawatir Anda membocorkan informasi proyek. "Kerahasiaan" ini justru sebaliknya, yang dikhawatirkan adalah Anda memverifikasi mereka.
- Mengaku HR perusahaan besar, materi lengkap. Perusahaannya nyata, masalahnya adalah apakah orang ini benar-benar HR perusahaan itu. Cek dulu domain email: apakah domain resmi perusahaan, atau gmail, domain yang mirip, domain tiruan dengan tambahan akhiran. Proses lebih baik melalui email resmi perusahaan, sistem rekrutmen, LinkedIn yang terverifikasi.
Bagian Kelima
Sudah Terkena, Harus Bagaimana?
Hal-hal di bawah ini, semakin cepat dilakukan semakin baik, kira-kira ikuti urutannya.
- Segera putuskan internet, lalu matikan komputer. Saat malware masih berjalan, apa pun perbaikan yang Anda lakukan di mesin ini, semuanya bisa dilihatnya.
- Ganti ke perangkat yang bersih. Pindahkan aset yang masih ada di dompet ke alamat baru, pindahkan yang berharga dulu. Dompet lama dianggap sudah bocor, jangan digunakan lagi.
- Di perangkat bersih, ubah kata sandi akun penting, aktifkan semua verifikasi dua langkah.
- Riwayat chat, riwayat transfer, akun dan tautan lawan, screenshot dan simpan, juga bisa dikirim ke papan paparan komunitas, mengingatkan orang yang belum terkena.
- Lapor polisi. Beberapa penipuan lintas negara peluang pemulihannya tidak tinggi, harus siap mental, tapi tetap layak dilaporkan, untuk proses hukum, juga untuk meninggalkan catatan.
Segala sesuatu memiliki dua sisi, kerja remote membuat orang lebih bebas, tetapi juga akan menumbuhkan lebih banyak penipuan dan jebakan. Jalan mencari kerja sudah tidak mudah, sementara para penipu seringkali memanfaatkan kecemasan pelamar untuk melakukan penipuan, ini akan membuat pelamar mendapat pukulan yang lebih besar daripada gagal wawancara. Semoga semua bisa meningkatkan kesadaran anti-penipuan, dan dengan sukses menemukan pekerjaan impian masing-masing.
