Akun Facebook Dibajak untuk Pasang Iklan: Penyebab, Cara Menghentikan, dan Melapor ke Meta serta Bank

Bayangkan Anda membuka ponsel di pagi hari dan menemukan notifikasi tagihan kartu atau mutasi saldo yang membengkak — jutaan rupiah terpakai untuk iklan Facebook yang tidak pernah Anda buat. Skenario ini nyata dan makin sering menimpa pemilik UMKM maupun pengguna biasa. Ketika akun Facebook dibajak, yang hilang bukan sekadar akses ke profil, melainkan kendali atas Halaman, akun iklan, dan metode pembayaran yang tertaut di baliknya.

Artikel ini membahas mengapa peretasan semacam ini bisa terjadi, apa saja tanda-tandanya, bagaimana menghentikannya secepat mungkin, serta cara melapor ke Facebook/Meta dan ke bank atau penyedia dana Anda. Fokusnya sepenuhnya defensif: melindungi, mendeteksi, memulihkan, dan melapor.

Prinsip utama. Dalam kasus akun iklan yang dibajak, kecepatan dan urutan langkah jauh lebih menentukan daripada banyaknya percobaan acak. Perlakukan ini sebagai keadaan darurat finansial — bertindak dalam hitungan jam, bukan hari.

Mengapa akun iklan jadi sasaran favorit

Peretas mengincar akun Facebook yang terhubung ke akun iklan karena satu alasan sederhana: di situ ada dana yang bisa langsung dibakar. Begitu metode pembayaran otomatis tertaut — entah kartu kredit, kartu debit, saldo iklan, atau dompet digital — penyerang bisa menjalankan kampanye iklan mereka sendiri (biasanya scam, judi, atau produk tipuan) dan membiarkan sistem penagihan otomatis menguras dana Anda sampai batas kartu atau saldo habis.

Yang membuatnya berbahaya: penagihan iklan berjalan otomatis dan cepat. Tergantung pengaturan billing, kerugian bisa mencapai jutaan hingga puluhan juta rupiah hanya dalam hitungan menit hingga jam.

Bagaimana peretasan bisa terjadi

Memahami pintu masuknya membantu Anda menutup celah yang tepat. Ini penyebab yang paling umum:

Phishing. Halaman login palsu atau pesan yang mengaku dari Meta — "akun Anda melanggar kebijakan, verifikasi sekarang" — lengkap dengan tautan yang meniru situs resmi. Begitu Anda memasukkan kata sandi di sana, penyerang mendapatkannya.

Kata sandi lemah atau dipakai ulang. Jika sandi Facebook Anda sama dengan sandi di situs lain yang pernah bocor, penyerang tinggal mencobanya secara otomatis (teknik credential stuffing).

Pencurian cookie sesi (session hijacking). Ini yang paling licik dan sering terlewat. Malware jenis info-stealer di komputer Anda bisa mencuri cookie sesi login. Dengan cookie itu, penyerang masuk ke akun Anda tanpa perlu kata sandi maupun kode 2FA. Inilah sebabnya banyak korban yang sudah mengganti sandi tetap dibobol lagi dalam hitungan menit — karena mereka menggantinya di perangkat yang masih terinfeksi.

Akses pihak ketiga yang disalahgunakan. Agensi, karyawan, atau aplikasi yang punya akses ke Business Manager bisa menjadi celah bila akun mereka sendiri diretas.

2FA tidak aktif. Tanpa verifikasi dua langkah, satu kata sandi yang bocor sudah cukup untuk membuka seluruh akses.

Tanda-tanda akun Anda dibajak

Kenali gejalanya sedini mungkin:

• Muncul iklan atau kampanye yang tidak Anda buat di Ads Manager.
• Ada admin, partner, atau system user baru di pengaturan bisnis yang tidak Anda kenal.
• Metode pembayaran baru ditambahkan, atau batas billing dinaikkan diam-diam.
• Email dari Meta soal login dari perangkat/lokasi asing, atau perubahan email/nomor pemulihan.
• Tagihan atau mutasi yang tidak sesuai dengan kampanye yang pernah Anda setujui.
• Ada aturan otomatis (automated rules) baru — penyerang kerap memasangnya agar iklan yang Anda jeda otomatis menyala lagi.

Langkah darurat pertama

Jika Anda masih punya akses ke akun, lakukan ini secepatnya, berurutan. Kerjakan dari perangkat yang Anda yakini bersih (bukan komputer yang mungkin terinfeksi malware).

1. Jeda semua kampanye iklan yang mencurigakan di Ads Manager.
2. Hapus metode pembayaran yang tidak Anda kenal, dan lepaskan kartu/dompet Anda sendiri sementara waktu untuk memutus penagihan.
3. Hapus aturan otomatis yang mencurigakan agar iklan tidak menyala kembali sendiri.
4. Cabut akses admin, partner, dan aplikasi pihak ketiga yang tidak Anda kenal di pengaturan bisnis.
5. Keluar dari semua sesi aktif lewat pengaturan keamanan (fitur "Tempat Anda login" / logout dari semua perangkat). Ini penting untuk membunuh sesi hasil pencurian cookie.
6. Ganti kata sandi dengan yang kuat dan unik — lakukan setelah logout semua sesi, dan dari perangkat bersih.
7. Aktifkan verifikasi dua langkah (2FA), sebaiknya lewat aplikasi authenticator, bukan SMS.
8. Amankan email yang tertaut ke akun Facebook — ganti sandinya dan aktifkan 2FA di sana juga, karena email adalah kunci pemulihan.

Peringatan penting. Jangan hanya mengamankan profil pribadi Anda. Penyerang bisa tetap memegang kendali lewat Business Portfolio, akun iklan, atau relasi partner, dan menambahkan dirinya kembali meski login Anda sudah "diperbaiki". Periksa dan bersihkan seluruh aset bisnis, bukan cuma profil.

Jika Anda sudah terkunci total dari akun, mulai dari alur pemulihan resmi Facebook di facebook.com/hacked.

Memeriksa jejak: apa yang harus diaudit

Setelah situasi terkendali, kumpulkan bukti dan telusuri apa yang terjadi. Ini juga akan Anda butuhkan saat melapor:

• Log aktivitas keamanan — riwayat login, perubahan pengaturan, siapa mengubah apa dan kapan.
• Riwayat pembayaran di Ads Manager — bandingkan setiap tagihan dengan kampanye yang benar-benar Anda setujui.
• Daftar akses — catat admin/partner/system user yang ditambahkan penyerang beserta waktunya.
• Tangkapan layar — simpan bukti iklan tak sah, perubahan admin, dan setiap transaksi. Catat ID akun iklan, ID Halaman, nama kampanye, jumlah spend, dan cap waktu.

Dokumentasi rapi ini adalah modal utama Anda, baik untuk laporan ke Meta maupun untuk klaim pengembalian dana ke bank.

Cara lapor ke Facebook/Meta

Setelah akun diamankan dan bukti terkumpul, laporkan insiden ini melalui jalur resmi:

1. Pemulihan akun lewat facebook.com/hacked bila Anda kehilangan akses.
2. Laporan tagihan tidak sah — Meta menyediakan formulir untuk melaporkan biaya iklan yang tidak sah. Sampaikan detail kampanye asing beserta bukti tagihannya.
3. Meta Business Support di business.facebook.com/help untuk kasus yang melibatkan Halaman dan akun iklan. Buka tiket dan lampirkan paket bukti Anda: ID Business Portfolio, ID akun iklan, ID Halaman, daftar admin baru, dan rincian spend tak sah.
4. Verifikasi identitas — proses pemulihan mungkin meminta Anda mengunggah kartu identitas resmi yang cocok dengan nama profil. Prosesnya biasanya memakan waktu beberapa hari kerja. Jangan mengirim banyak permohonan sekaligus — tiap pengajuan baru justru bisa mengatur ulang posisi antrean Anda.

Melapor secepat mungkin meningkatkan peluang penyelesaian dan kemungkinan pengembalian sebagian spend yang tak sah, meski Meta tidak menjamin refund.

Cara lapor ke bank atau penyedia dana

Jalur ini berjalan paralel dengan laporan ke Meta — jangan menunggu satu selesai untuk memulai yang lain. Karena dana Anda yang terpotong, langkah ke bank sama mendesaknya.

1. Blokir kartu segera. Hubungi layanan pelanggan bank atau lakukan lewat aplikasi mobile banking untuk memblokir kartu yang tertaut, agar penagihan berikutnya berhenti.
2. Ajukan sengketa transaksi (dispute/chargeback). Minta formulir dispute atau pengaduan penipuan kartu. Chargeback adalah mekanisme penarikan kembali dana dari merchant ke pemegang kartu untuk transaksi yang tidak sah, sesuai perlindungan konsumen jaringan kartu seperti Visa dan Mastercard.
3. Perhatikan batas waktu. Laporkan secepatnya — untuk penipuan kartu, banyak pihak menyarankan melapor dalam waktu sekitar 14 hari sejak kejadian agar peluang dana kembali lebih besar. Batas pengajuan chargeback sendiri umumnya berkisar 60–120 hari sejak transaksi, mengikuti standar jaringan kartu internasional.
4. Lengkapi bukti. Sertakan tangkapan layar iklan tak sah, riwayat tagihan, log aktivitas Facebook, dan kronologi kejadian. Semakin lengkap dokumen, semakin kuat posisi Anda.
5. Untuk dompet digital, hubungi kanal resmi penyedia e-wallet, laporkan transaksi tidak sah, dan minta pemblokiran serta investigasi. Prinsipnya sama: cepat, dengan bukti selengkap mungkin.

Jika bank tidak merespons secara layak, Anda berhak mengeskalasi ke Otoritas Jasa Keuangan (OJK) lewat layanan konsumennya, yang dapat memediasi sengketa Anda dengan bank. Untuk kerugian besar atau bila ingin menempuh jalur hukum, buat laporan kepolisian; surat laporan polisi juga sering memperkuat dan mempercepat investigasi bank. Kanal lain yang relevan di Indonesia mencakup Bank Indonesia dan Indonesia Anti-Scam Centre (IASC) untuk kasus penipuan keuangan digital.

Tips. Aktifkan notifikasi transaksi (SMS/email/push) untuk setiap mutasi kartu. Peringatan dini beberapa detik setelah transaksi pertama yang janggal bisa menyelamatkan Anda dari kerugian berlipat.

Waspada penipuan lanjutan

Korban yang panik adalah sasaran empuk penipuan tahap kedua. Berhati-hatilah:

• Nomor "layanan bantuan Facebook" palsu. Facebook/Meta tidak menyediakan hotline telepon untuk pemulihan akun. Nomor yang beredar di hasil pencarian yang mengaku "Facebook support" hampir pasti penipuan. Gunakan hanya jalur resmi di dalam produk (facebook.com/hacked dan Business Help Center).
• "Jasa recovery" bergaransi. Banyak yang meminta bayaran di muka lalu menghilang, atau justru meminta kredensial Anda. Hindari.
• Verifikasi kontak bank. Hubungi bank hanya lewat nomor di kartu, aplikasi resmi, atau situs resmi — bukan nomor yang dikirim seseorang lewat chat.

Mencegah agar tak terulang

Setelah pulih, perkuat pertahanan:

1. Aktifkan 2FA di Facebook dan email pemulihan, utamakan aplikasi authenticator.
2. Gunakan kata sandi unik untuk tiap layanan, dikelola dengan password manager.
3. Terapkan prinsip hak akses minimum di Business Manager — beri peran seperlunya, tinjau daftar akses secara berkala, dan segera cabut akses yang tak lagi dipakai.
4. Waspadai info-stealer — jangan mengunduh software bajakan atau lampiran mencurigakan; pindai perangkat secara berkala.
5. Pisahkan kartu khusus iklan dengan limit terbatas, sehingga potensi kerugian terkurung bila terjadi lagi.
6. Biasakan mengecek log aktivitas dan daftar admin akun bisnis Anda secara rutin.

Penutup

Peretasan akun Facebook yang berujung penyalahgunaan dana iklan terjadi karena satu kombinasi: metode pembayaran otomatis yang tertaut, dan celah keamanan akun seperti phishing, sandi lemah, atau pencurian cookie sesi. Kabar baiknya, dampaknya bisa ditekan bila Anda bertindak cepat dan berurutan — hentikan penagihan, amankan seluruh aset bisnis (bukan cuma profil), dokumentasikan bukti, lalu lapor ke Meta dan bank secara paralel.

Kalau hanya satu hal yang Anda ingat dari artikel ini, ingat ini: begitu Anda menemukan iklan atau tagihan yang tak Anda buat, ini keadaan darurat finansial — jeda kampanye, putus metode pembayaran, dan blokir kartu dalam hitungan jam pertama. Sisanya bisa menyusul, tapi menghentikan aliran dana harus lebih dulu.

Catatan. Nama menu, formulir, dan alur pelaporan di Meta maupun bank bisa berubah sewaktu-waktu. Selalu verifikasi langkah terbaru lewat Help Center resmi Facebook dan kanal resmi bank Anda sebelum bertindak.