Seorang manajer keuangan membuka Coretax dan menemukan faktur pajak masukan atas nama perusahaannya yang tidak pernah ia terima. Transaksi itu tidak pernah terjadi. Di titik itu, keamanan akun DJP Online Coretax sistem berubah dari urusan tim TI menjadi persoalan hukum, biaya, dan reputasi.
Coretax memindahkan hampir seluruh urusan perpajakan ke satu akun digital. SPT, faktur pajak, bukti potong, dan kode otorisasi bertemu di satu pintu. Siapa pun yang menguasai akun itu bisa membaca, mengubah, atau menerbitkan dokumen atas nama wajib pajak.
Karena itu, pengamanan akun tidak cukup dengan kata sandi kuat. Diperlukan lapisan verifikasi, otorisasi tanda tangan digital, dan kebiasaan memeriksa dokumen. Uraian berikut membedah tiga lapisan itu, modus penipuan yang menyasar akun, dan lima langkah praktis yang bisa dijalankan tim keuangan.
Keamanan Akun DJP Online Coretax Sistem: Apa yang Berubah
Keamanan akun DJP Online Coretax sistem sekarang bertumpu pada verifikasi identitas berlapis, otorisasi tanda tangan digital, dan pemantauan dokumen. Login saja tidak cukup; setiap dokumen yang terbit harus bisa ditelusuri ke pemilik akun yang sah.
Sejak 1 Januari 2025, DJP menerapkan autentikasi multifaktor atau MFA pada DJP Online. Pengguna tidak lagi hanya memasukkan NPWP dan kata sandi, tetapi juga kode sekali pakai yang dikirim melalui email, SMS, aplikasi M-Pajak, atau mobile authenticator.
Login ke DJP Online juga tidak lagi memakai EFIN. Akses kini menggunakan NPWP atau NIK disertai kode verifikasi. Perubahan ini membuat keamanan email dan nomor ponsel menjadi penentu, karena kedua kanal itulah yang menerima kode akses.
Prinsipnya mirip pengamanan sistem keuangan: identitas, izin, dan jejak audit harus dipisahkan. Pendampingan konsultan IT profesional biasanya dipakai untuk memetakan siapa yang boleh memegang ketiga lapisan tersebut.
Tiga Lapisan Pengamanan yang Wajib Aktif
Tiga lapisan yang wajib aktif adalah autentikasi multifaktor, passphrase atau Kode Otorisasi DJP, dan verifikasi biometrik saat aktivasi. Ketiganya menutup celah yang berbeda, sehingga tidak bisa saling menggantikan.
Autentikasi Multifaktor
MFA menambah satu langkah setelah kata sandi. Pilihan yang tersedia mencakup email, SMS, M-Pajak, dan mobile authenticator berbasis kode sekali pakai yang berubah setiap waktu. Aplikasi authenticator umumnya lebih aman daripada SMS karena tidak bergantung pada sinyal seluler.
Pada Coretax, verifikasi dua langkah dapat diaktifkan melalui menu Portal Saya, lalu Profil Saya, dan pilih Verifikasi Dua Langkah. Setelah aktif, setiap login meminta kode enam digit dari aplikasi authenticator atau email terdaftar.
Passphrase dan Kode Otorisasi DJP
Passphrase adalah kunci untuk membuka Kode Otorisasi DJP, yaitu alat tanda tangan elektronik tidak tersertifikasi yang dipakai saat menandatangani SPT. Passphrase dibuat melalui menu Permohonan Kode Otorisasi atau Sertifikat Digital di Portal Saya.
Passphrase berbeda dari kata sandi login. Fungsinya lebih sempit tetapi dampaknya besar: tanpa passphrase, dokumen perpajakan tidak bisa ditandatangani. Karena itu, passphrase tidak boleh dibagikan melalui pesan, disimpan di catatan terbuka, atau dipakai ulang untuk akun lain.
Verifikasi Biometrik
DJP memperkenalkan verifikasi biometrik untuk memastikan bahwa akun perpajakan hanya diakses pihak yang berhak. Verifikasi ini terutama dipakai saat aktivasi dan konfirmasi identitas, bukan sebagai pengganti MFA pada setiap login.
Menurut Direktur Jenderal Pajak, proses konfirmasi identitas di Coretax mencakup NPWP, NIK, nomor telepon, email, dan data biometrik. Tujuannya meminimalkan duplikasi data dan penyalahgunaan akun.
| Lapisan | Fungsi utama | Risiko jika tidak aktif |
|---|---|---|
| MFA | Membuktikan identitas saat login | Akun dibobol hanya dengan kata sandi bocor |
| Passphrase | Mengotorisasi tanda tangan dokumen | Dokumen tidak bisa ditandatangani atau disalahgunakan |
| Biometrik | Memastikan pemilik akun adalah orang yang sah | Akun diduplikasi atau dipakai pihak lain |
Lapisan yang paling sering diabaikan bukan MFA, melainkan pembaruan email dan nomor ponsel di profil DJP. Jika alamat email lama sudah tidak dipakai, kode verifikasi bisa jatuh ke pihak yang salah. Periksa juga data penanggung jawab dan setiap tempat kegiatan usaha agar tidak ada PIC lama yang masih tercatat.
Dari Faktur Pajak Fiktif ke Pembajakan Akun
Risiko terbesar bukan sekadar akun tidak bisa dibuka, melainkan faktur pajak diterbitkan atau dikreditkan atas nama Anda tanpa transaksi nyata. Dalam banyak kasus, pelaku memakai NPWP atau NIK pihak lain untuk membuat faktur pajak masukan palsu.
Modus yang umum terjadi cukup sederhana. Pengusaha kena pajak membeli faktur pajak masukan palsu, lalu mengkreditkannya dalam SPT Masa PPN untuk menekan pajak keluaran atau memperoleh restitusi. DJP dapat menetapkan status suspend terhadap PKP yang terindikasi, sehingga sertifikat elektroniknya dinonaktifkan sementara.
Sanksinya berat. Pasal 39A Undang-Undang Ketentuan Umum dan Tata Cara Perpajakan mengancam penjara paling singkat dua tahun dan paling lama enam tahun, ditambah denda dua hingga enam kali jumlah pajak dalam faktur pajak. Pada Januari 2026, DJP menyerahkan tersangka kasus faktur fiktif dengan taksiran kerugian negara sekitar Rp170,29 miliar.
Bagi korban, dampaknya bukan hanya sanksi, tetapi waktu dan biaya untuk membuktikan bahwa transaksi itu tidak pernah terjadi. Karena itu, memeriksa faktur pajak masukan secara berkala sama pentingnya dengan menjaga kata sandi.
Jika perusahaan memiliki banyak entitas atau cabang, sebaran NPWP dan NIK memperbesar risiko. Pemetaan aliran data antara sistem penjualan dan Coretax melalui sistem integrator membantu mendeteksi faktur yang tidak berasal dari transaksi internal.
Modus Penipuan yang Menyasar Akun Coretax
Modus yang paling sering bukan pembobolan teknis, melainkan rekayasa sosial. Penipu mengaku sebagai petugas DJP dan meminta OTP, kata sandi, passphrase, akses perangkat, atau share screen dengan dalih membantu aktivasi Coretax.
DJP menegaskan bahwa petugasnya tidak pernah meminta data tersebut. DJP juga tidak mengirim file APK melalui WhatsApp, tidak meminta mengunduh aplikasi apa pun, dan tidak meminta pemadanan NIK-NPWP melalui tautan pribadi. Email resmi DJP berasal dari domain @pajak.go.id, sedangkan portal Coretax berada di coretaxdjp.pajak.go.id.
Modus lain berupa tautan palsu aplikasi M-Pajak, file dokumen pajak yang berisi malware, dan tawaran bantuan login jarak jauh. Setelah korban membagikan layar atau memasang aplikasi palsu, penipu dapat mencuri kata sandi Coretax dan data perbankan.
Aturan sederhananya: berhenti, periksa kanal resmi, dan jangan pernah membagikan kode sekali pakai. Petugas yang sah tidak akan meminta akses perangkat, dan bantuan aktivasi tidak pernah dilakukan melalui pesan pribadi.
5 Langkah Praktis Mengamankan Akun dan Transisi
Lima langkah yang paling berdampak adalah perbarui data kontak, aktifkan MFA dengan aplikasi authenticator, amankan passphrase, periksa faktur secara berkala, dan tetapkan siapa yang boleh memegang akses.
- Perbarui data kontak dan PIC. Pastikan email, nomor ponsel, penanggung jawab, dan PIC setiap tempat kegiatan usaha masih aktif. Data lama adalah pintu masuk paling mudah bagi pengambil alih akun.
- Aktifkan MFA dengan aplikasi authenticator. Pilih mobile authenticator, bukan hanya SMS. Simpan kode pemulihan di tempat terpisah dan jangan dibagikan ke staf lain.
- Buat passphrase yang berdiri sendiri. Jangan samakan dengan kata sandi email atau Coretax. Ganti segera jika ada karyawan yang menangani penandatanganan dokumen berhenti.
- Periksa faktur pajak masukan dan bukti potong. Cocokkan dokumen yang muncul di Coretax dengan transaksi internal. Laporkan faktur yang tidak dikenal melalui kanal resmi DJP.
- Tetapkan matriks akses. Catat siapa memegang akun, passphrase, dan akses konsultan. Tinjau setiap kuartal dan cabut akses segera setelah ada pergantian peran.
| Langkah | Risiko yang ditekan | Bukti yang bisa diperiksa |
|---|---|---|
| Perbarui data kontak | OTP jatuh ke pihak lama | Profil DJP dan daftar PIC terbaru |
| Aktifkan MFA | Akun diambil alih dengan kata sandi bocor | Status verifikasi dua langkah aktif |
| Amankan passphrase | Dokumen ditandatangani tanpa izin | Catatan pemegang passphrase |
| Periksa faktur | Faktur fiktif dikreditkan atas nama perusahaan | Rekonsiliasi bulanan faktur dan transaksi |
| Matriks akses | Akses lama tetap terbuka | Daftar akses dan tanggal pencabutan |
Langkah kelima sering terlewat. Akses konsultan atau staf lama yang tidak dicabut menjadi jalur masuk yang jarang terdeteksi. Buat daftar pemegang akses, tinjau setiap kuartal, dan pastikan pencabutan dilakukan pada hari yang sama dengan pergantian peran.
Kesalahan yang Sering Terjadi
Kesalahan paling sering bukan pada teknologi, melainkan pada kebiasaan sehari-hari. Berikut pola yang berulang muncul di tim keuangan dan konsultan pajak.
- Memakai kata sandi yang sama untuk email, Coretax, dan aplikasi lain.
- Membagikan OTP atau passphrase melalui pesan tanpa prosedur tertulis.
- Membiarkan email lama di profil DJP karena malas memperbarui.
- Tidak memperbarui PIC setelah mutasi atau pergantian kepala cabang.
- Mengabaikan faktur pajak masukan yang tidak dikenal karena menganggapnya kesalahan administrasi.
Kesalahan terakhir paling berbahaya. Faktur yang dibiarkan bisa berubah menjadi sengketa saat pemeriksaan. Laporkan dan dokumentasikan sejak awal, jangan menunggu sampai jumlahnya bertambah.
Tata Kelola Data dan Kepatuhan UU PDP
Keamanan akun perpajakan juga bagian dari pelindungan data pribadi. NPWP yang terhubung dengan NIK membuat data wajib pajak semakin sensitif, sehingga akses harus dibatasi dan aktivitasnya dicatat.
UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data memastikan pemrosesan yang terbatas, aman, dan dapat dipertanggungjawabkan. Prinsip ini sejalan dengan data privacy dan protection yang menekankan pembatasan akses dan jejak audit.
Dalam praktik, tata kelola mencakup matriks akses, pencatatan siapa membuka data, perjanjian dengan pihak ketiga, dan prosedur penanganan insiden. Pengujian berkala, termasuk vulnerability assessment dan penetration testing, membantu menemukan celah sebelum dipakai pihak lain.
Apakah MFA DJP Online wajib?
MFA diterapkan sebagai lapisan keamanan pada DJP Online sejak awal 2025. Wajib pajak dapat memilih email, SMS, M-Pajak, atau mobile authenticator. Aplikasi authenticator umumnya lebih aman karena kodenya berubah secara berkala dan tidak bergantung pada jaringan seluler.
Apa beda password dan passphrase Coretax?
Password dipakai untuk masuk ke akun, sedangkan passphrase dipakai untuk membuka Kode Otorisasi DJP saat menandatangani dokumen. Passphrase tidak boleh sama dengan password dan tidak boleh dibagikan kepada pihak lain.
Bagaimana jika ada faktur pajak tidak dikenal di akun saya?
Cocokkan lebih dulu dengan data transaksi internal. Jika tidak ada transaksi yang sesuai, laporkan melalui kanal resmi DJP dan simpan bukti komunikasi. Jangan mengkreditkan faktur tersebut sebelum statusnya jelas.
Apakah verifikasi biometrik menggantikan MFA?
Tidak. Biometrik terutama dipakai saat aktivasi dan konfirmasi identitas, sedangkan MFA memverifikasi setiap login. Keduanya menutup celah yang berbeda dan sebaiknya aktif bersamaan.
Kesimpulan
Keamanan akun DJP Online Coretax sistem bertumpu pada tiga lapisan: identitas, otorisasi dokumen, dan pemantauan. MFA, passphrase, dan verifikasi biometrik tidak saling menggantikan, sehingga ketiganya perlu aktif dan ditinjau secara berkala.
Lima langkah praktis di atas dapat dijalankan tanpa menunggu audit: perbarui data kontak, aktifkan authenticator, amankan passphrase, periksa faktur, dan tetapkan matriks akses. Jika tim Anda memerlukan pendampingan untuk menyusun prosedur dan matriks akses, diskusikan kebutuhannya bersama tim kruge.co.id.
Sumber & referensi
- Direktorat Jenderal Pajak. Mengapa Harus ada MFA di DJP Online? 25 Februari 2025 - https://pajak.go.id/index.php/id/artikel/mengapa-harus-ada-mfa-di-djp-online
- Direktorat Jenderal Pajak. Mengamankan akses dengan verifikasi dua langkah. 17 September 2025 - https://pajak.go.id/coretaxpedia/mengamankan-akses-dengan-verifikasi-dua-langkah
- Direktorat Jenderal Pajak. Penyebarluasan Informasi Mengenai Coretax - https://pajak.go.id/id/pengumuman/penyebarluasan-informasi-mengenai-coretax
- Direktorat Jenderal Pajak. Awas Modus Baru! Jangan Terkecoh Petugas Pajak Palsu. 4 November 2026 - https://stats.pajak.go.id/id/artikel/awas-modus-baru-jangan-terkecoh-petugas-pajak-palsu
- Direktorat Jenderal Pajak. DJP Serahkan Tersangka Faktur Fiktif yang Rugikan Negara 170 Miliar. 9 Januari 2026 - http://stats.pajak.go.id/sites/default/files/2026-01/SP-2_2026%20DJP%20SERAHKAN%20TERSANGKA%20FAKTUR%20FIKTIF%20YANG%20RUGIKAN%20NEGARA%20170%20MILIAR%20%281%29.pdf
- Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi - https://peraturan.bpk.go.id/Details/229798/uu-no-27-tahun-2022