Scam Sokongan Meta Palsu di Malaysia: Cara Mengenalinya

Sudah pukul 11 malam dan anda sedang membungkus pesanan untuk esok apabila satu sembang Messenger muncul. Pengirimnya bernama "Meta Business Support", gambar profilnya logo Meta, dan mesejnya menyatakan Facebook Page kedai anda ada pelanggaran hak cipta dan akan dipadam dalam 24 jam melainkan anda merayu melalui pautan itu. Page anda ialah tempat kebanyakan pelanggan menemui anda, jadi naluri anda ialah menekannya dengan segera.

Jangan tekan. Mesej seperti ini ialah antara cara paling biasa pemilik Page, penjual dan kreator di Malaysia kehilangan akaun mereka. Meta menunjukkan amaran sebenar di dalam aplikasinya sendiri, di tempat yang boleh anda buka sendiri, dan wakilnya tidak meminta kata laluan, kod log masuk atau butiran pembayaran anda melalui sembang, e-mel atau telefon. Panduan ini menunjukkan cara membezakannya, di mana notis sebenar berada, dan apa perlu dibuat jika anda sudah menekan, menaip kata laluan atau membayar. Satu perkara awal: AwareXone juga tidak akan sekali-kali meminta kata laluan atau kod log masuk anda.

Kali terakhir disemak: 28 September 2026.

#Bagaimana mengetahui mesej Meta Support itu palsu?

Anggap apa-apa mesej tidak dijangka yang mendakwa datang daripada Meta sebagai palsu sehingga anda menyemaknya sendiri di dalam aplikasi Facebook atau Instagram. Amaran akaun yang tulen muncul dalam Account Status, Support Inbox, Page Status dan, untuk perniagaan, Meta Business Support Home. Mesej yang meminta kata laluan, kod log masuk, butiran kad atau bayaran, mengugut untuk memadam Page anda dalam beberapa jam, menawarkan lencana disahkan, atau menawarkan untuk "memulihkan" akaun dengan bayaran ialah scam. E-mel daripada Meta hanya datang dari senarai pendek domain yang Meta terbitkan, dan Facebook menyenaraikan e-mel keselamatan terbarunya dalam tetapan anda supaya anda boleh bandingkan. Jika anda sudah menaip kata laluan, tukarnya dari aplikasi sebenar dan log keluar sesi lain. Jika wang telah keluar dari akaun anda, hubungi talian bank anda atau National Scam Response Centre di talian 997 dengan segera, kemudian buat laporan polis.

#Mesej Meta palsu mana yang perlu anda awasi?

Perkataannya berubah setiap beberapa minggu, tetapi umpannya terbahagi kepada beberapa corak. Setiap satu cuba mendesak anda ke pautan atau bayaran sebelum anda terfikir untuk menyemak aplikasi.

Mesej ini tiba melalui Messenger, mesej terus Instagram, e-mel, komen yang menanda Page anda, panggilan dan iklan. Pusat bantuan Meta menyenaraikan "false claims that you went against our Community Standards" antara tanda mesej palsu (Facebook Help Centre). Logo, nombor kes atau nama Page anda tidak membuktikan apa-apa. Sesiapa pun boleh menyalinnya.

#Kenapa pengguna dan perniagaan Malaysia disasarkan?

Bagi ramai penjual di Malaysia, Facebook Page atau akaun Instagram itulah kedai mereka. Pesanan, sembang pelanggan dan iklan berjalan melaluinya, jadi mesej yang menyatakan ia akan hilang esok memberi kesan yang kuat. Scam ini bergantung kepada desakan, kuasa dan takut kehilangan, titik tekanan yang sama di sebalik kebanyakan kejuruteraan sosial.

Angka yang lebih luas menunjukkan betapa banyak perkara ini berlaku. Penipuan merangkumi 5,751 daripada 7,616 insiden yang dilaporkan kepada pusat Cyber999 CyberSecurity Malaysia antara Januari dan Disember 2025 (CyberSecurity Malaysia, statistik insiden 2025). Ini laporan sukarela kepada satu pusat tindak balas Malaysia, bukan ukuran setiap kes di negara ini. Secara berasingan, memetik angka polis, Ketua Polis Negara menyatakan rakyat Malaysia kerugian RM2.97 bilion akibat pelbagai jenis scam dalam talian pada 2025, meningkat daripada RM1.57 bilion pada 2024 (Bernama, 15 Jun 2026). Angka itu merangkumi semua penipuan dalam talian, bukan hanya mesej Meta palsu.

#Di mana notis Meta yang tulen muncul?

Amaran sebenar tentang akaun anda berada di dalam aplikasi dan alat perniagaan Meta sendiri. Anda sampai kepadanya dengan membuka aplikasi atau menaip alamat sendiri, tidak pernah melalui pautan dalam mesej. Pada masa penulisan, halaman bantuan Meta menerangkan tempat-tempat ini:

Dua perincian patut diingat. Instagram menyatakan ia "will never contact you about account security through Direct messaging", iaitu ia tidak akan menghubungi anda tentang keselamatan akaun melalui mesej terus. Senarai Recent emails Facebook menunjukkan e-mel keselamatan dari setahun lalu, manakala senarai Instagram hanya menunjukkan 14 hari terakhir, jadi e-mel "keselamatan" terbaru yang tiada dalam senarai itu patut dianggap palsu. Meta sedang memindahkan pengguna ke Meta Accounts, jadi anda mungkin nampak "Meta Account settings" dan bukan "Accounts Centre".

#Bagaimana menyemak sama ada mesej itu tulen?

Jangan siasat mesej itu dengan menggunakannya. Tutup dan semak dari arah lain, bermula di dalam aplikasi.

1. Jangan tekan pautan, buka lampiran atau balas. Ambil tangkapan skrin mesej dan profil pengirim terlebih dahulu.
2. Buka aplikasi Facebook atau Instagram sendiri, atau taip facebook.com dalam pelayar. Jangan gunakan pautan daripada mesej itu.
3. Semak Account Status dan Support Inbox. Untuk Page, semak Page Status. Untuk iklan atau portfolio perniagaan, semak Meta Business Support Home.
4. Untuk e-mel, buka "Recent emails" dalam Accounts Centre dan lihat sama ada e-mel yang sama disenaraikan.
5. Semak alamat pengirim. Meta menyatakan e-melnya hanya datang dari fb.com, facebook.com, facebookmail.com, instagram.com, meta.com, metamail.com dan global.metamail.com, atau subdomainnya, dan memberi amaran tentang domain tiruan yang salah eja (Facebook Help Centre). Halaman bantuan perniagaannya menambah cases.meta.com dan finance.fb.com (Meta Business Help Centre).
6. Jika mesej itu meminta kata laluan, kod log masuk, butiran kad, foto kad pengenalan melalui pautan, atau bayaran, berhenti di situ. Itu sahaja sudah menjadikannya palsu.
7. Jika tiada apa-apa dalam aplikasi, tiada apa yang perlu dibetulkan. Laporkan mesej itu dan padamkannya.

#Tanda bahaya: apa yang didakwa mesej dan apa yang sebenarnya benar

Gunakan jadual ini apabila sesuatu mesej membimbangkan anda. Jika dakwaannya sepadan dengan satu baris, lajur realiti ialah apa yang dinyatakan oleh halaman Meta sendiri.

#Apa perlu dibuat jika anda hanya menekan pautan?

Jika anda membuka halaman itu tetapi tidak menaip apa-apa, risikonya lebih rendah. Tutupnya, kemudian buka aplikasi sendiri dan semak Account Status serta "Where you're logged in" untuk apa-apa yang tidak dikenali. Jika pautan itu memuat turun fail, padamkannya tanpa membuka dan jalankan imbasan keselamatan peranti anda. Kemudian laporkan mesej itu kepada Meta.

#Apa perlu dibuat jika anda telah memasukkan kata laluan atau kod log masuk?

Bertindak pantas. Penyerang sering menggunakan kod log masuk dalam beberapa minit, semasa ia masih sah. Ikut langkah ini mengikut urutan, dari aplikasi sebenar atau pelayar di mana anda menaip alamat sendiri.

1. Tukar kata laluan Facebook atau Instagram anda. Jika anda menggunakan kata laluan yang sama di tempat lain, tukar juga di situ, bermula dengan e-mel anda.
2. Lindungi akaun e-mel yang dipautkan kepada Facebook atau Instagram: kata laluan baharu, semak telefon dan e-mel pemulihan, dan buang apa-apa peraturan pemajuan yang bukan anda buat.
3. Dalam Accounts Centre, buka "Password and security", kemudian "Where you're logged in", dan log keluar setiap sesi yang anda tidak kenali.
4. Hidupkan pengesahan dua faktor dengan aplikasi pengesah, atau tetapkan semula jika ia sudah hidup.
5. Untuk Page atau portfolio perniagaan, semak akses Page dan orang serta rakan kongsi yang disenaraikan dalam Meta Business Suite. Buang sesiapa yang bukan anda tambah.
6. Jika anda sudah terkunci, mulakan di facebook.com/hacked atau instagram.com/hacked, sebaik-baiknya pada peranti yang pernah anda gunakan. Untuk Page yang anda urus, Meta ada borang Page digodam yang berasingan, dan halaman pemulihan Facebook Page kami menerangkan cara kami mengendalikan kes Page.
7. Ambil tangkapan skrin semuanya: mesej scam, pengirim, alamat halaman palsu, dan apa-apa e-mel tentang butiran yang ditukar. Anda akan memerlukannya jika perlu membuat rayuan.

Panduan kami menerangkan langkah seterusnya untuk setiap platform: memulihkan akaun Facebook yang kena hack di Malaysia, mendapatkan semula Instagram yang kena hack, dan, jika iklan atau admin telah diambil, apa perlu dibuat apabila Business Manager kena hack.

#Apa perlu dibuat jika anda telah membayar atau berkongsi butiran kad atau bank?

Anggap ini kecemasan kewangan dahulu dan masalah akaun kemudian. Bank boleh menyekat kad atau pindahan. Meta tidak boleh.

1. Hubungi talian bank anda atau National Scam Response Centre di talian 997 dengan segera. Halaman NSRC kerajaan menasihatkan anda menghubungi dalam masa 24 jam selepas menyedari scam supaya akaun dan transaksi boleh disekat (malaysia.gov.my).
2. Minta bank menyekat kad jika anda telah menaip butiran kad, dan menandakan apa-apa caj yang bukan anda buat.
3. Buat laporan polis di balai polis terdekat. Bawa tangkapan skrin anda, butiran pembayaran yang diberikan kepada anda dan penyata bank anda.
4. Simpan setiap rekod: sembang, pautan profil pengirim, resit pembayaran dan nombor akaun atau e-dompet yang anda bayar.
5. Tukar kata laluan anda jika anda juga berkongsi butiran log masuk, mengikut langkah di atas.

997 adalah untuk wang yang sudah keluar dari akaun anda. NFCC, yang mengendalikan NSRC, menyifatkannya sebagai talian tindak balas kecemasan untuk mangsa yang wangnya telah dipindahkan, bukan talian aduan umum, dan menyatakan tiada jaminan anda akan mendapat semula wang itu (NFCC, About NSRC). Jika anda hanya menekan dan tiada wang berpindah, lindungi akaun dan laporkan mesej itu sahaja. Sebelum anda membayar sesiapa dalam talian pada masa hadapan, portal Semak Mule PDRM membolehkan anda menyemak sama ada akaun bank atau nombor telefon pernah muncul dalam laporan scam.

#Kenapa "penggodam pemulihan" ialah scam kedua?

Orang yang baru kehilangan akaun ialah orang yang paling mudah ditipu kali kedua. Tawaran muncul dalam komen, mesej terus dan iklan dalam beberapa jam selepas hantaran awam meminta bantuan, menjanjikan pemulihan pantas melalui "kenalan di Meta" atau alat khas, dengan bayaran pendahuluan.

Polis Malaysia telah memberi amaran tentang corak yang sama melibatkan wang yang hilang. Pada April 2026, Jabatan Siasatan Jenayah Komersial Bukit Aman menyatakan sindiket mengiklankan perkhidmatan pemulihan palsu di Facebook, kemudian menuntut bayaran pendahuluan berulang kali, dan tiada individu atau agensi boleh menjanjikan untuk mendapatkan semula dana yang ditipu dengan bayaran (Malay Mail, melaporkan Bernama, 13 April 2026). JSJK juga menyatakan pihak berkuasa tidak meminta bayaran daripada mangsa untuk menyiasat atau mendapatkan semula kerugian (AFP Fact Check).

Perkhidmatan yang sah menyatakan dengan jelas bahawa hanya platform yang memutuskan, tidak pernah meminta kata laluan atau kod log masuk anda, dan menggunakan borang rasmi dan bukannya mendakwa ada jalan pintas. SocialSafe by AwareXone, perkhidmatan pemulihan AwareXone, menyemak setiap kes sebelum apa-apa dipersetujui, tiada akses khas kepada kakitangan Meta, dan menggunakan laluan rasmi yang sama seperti yang boleh anda gunakan. Baca cara kami bekerja dan apa yang tidak akan sekali-kali kami minta.

#Bagaimana melaporkan mesej Meta palsu di Malaysia?

Laporkannya kepada Meta supaya pengirim boleh dibuang, kepada Cyber999 jika ia memaut ke laman phishing, dan kepada pihak berkuasa jika wang telah hilang.

• Kepada Meta: gunakan pilihan lapor pada mesej atau Page pengirim di Facebook, Messenger atau Instagram. Meta meminta orang ramai memajukan e-mel phishing ke [email protected] (Messenger Help Centre).
• Pautan phishing atau laman palsu: laporkan kepada Cyber999 CyberSecurity Malaysia melalui borang dalam taliannya, melalui e-mel ke [email protected], di 1-300-88-2999 semasa waktu pejabat, atau di talian 24 jam +6019-266 5850 untuk phishing (saluran laporan MyCERT).
• Wang hilang: talian bank anda atau 997, kemudian laporan polis, seperti di atas.
• Page palsu yang menyamar sebagai perniagaan anda: laporkan di bawah kategori penyamaran platform. Panduan bukti penyamaran kami menerangkan apa yang perlu disimpan dahulu.

#Semakan dua minit sebelum bertindak atas apa-apa mesej Meta

Bertindak atas amaran Meta hanya jika setiap baris di bawah benar:

• Masalah yang sama ditunjukkan dalam Account Status, Support Inbox, Page Status atau Business Support Home.
• Apa-apa e-mel disenaraikan di bawah "Recent emails" dalam Accounts Centre.
• Tiada apa yang meminta kata laluan, kod log masuk, butiran kad, foto kad pengenalan melalui pautan, atau wang.
• Tiada tarikh akhir dalam kiraan jam, tiada ugutan padam, tiada tawaran lencana dan tiada pemulihan berbayar.
• Anda telah mengambil tangkapan skrin mesej itu sebelum melaporkan dan memadamkannya.

#Bagaimana menjadikan mesej palsu seterusnya tidak berbahaya?

Sediakan akaun anda supaya satu tekanan tersilap tidak menyebabkan anda kehilangan segalanya. Hidupkan pengesahan dua faktor dengan aplikasi pengesah untuk setiap admin, kekalkan sekurang-kurangnya dua admin yang dipercayai pada Page perniagaan, dan gunakan e-mel khusus untuk log masuk perniagaan. Beritahu kakitangan dan pekerja bebas supaya menyemak aplikasi sebelum bertindak atas apa-apa amaran. Panduan keselamatan media sosial untuk Malaysia kami merangkumi persediaan penuh, dan jika anda mahukan lencana, panduan kami tentang mendapatkan pengesahan di Instagram, Facebook dan TikTok menerangkan laluan rasmi.

Jika laluan rasmi tidak berjaya, atau akaun perniagaan dengan pelanggan dan iklan terlibat, anda boleh meminta kami menyemak kes itu. Kami meneliti apa yang berlaku, memberitahu anda dengan jujur sama ada laluan rasmi masih kelihatan terbuka, dan membantu anda menyediakan bukti yang Meta minta.

#Soalan Lazim