1. Pendahuluan: Apakah Uang Anda Benar-Benar Aman di Bank Digital?

Perbankan digital telah mengubah cara masyarakat Indonesia mengelola keuangan. Nasabah kini dapat mentransfer uang, membayar tagihan, memeriksa saldo rekening, dan mengajukan produk keuangan tanpa harus mengunjungi kantor cabang bank.

Namun, kemudahan tersebut juga membawa risiko keamanan siber. Penjahat siber terus mencari celah dalam infrastruktur perbankan, aplikasi seluler, sistem autentikasi, hingga perilaku manusia untuk melancarkan serangan.

Serangan siber terhadap perbankan tidak selalu berarti peretas berhasil menembus sistem pusat bank secara langsung. Dalam beberapa kasus, pelaku mengeksploitasi kerentanan perangkat lunak. Dalam kasus lainnya, mereka menipu nasabah agar menyerahkan kredensial, memasang malware di perangkat korban, atau mengambil alih nomor telepon korban.

Perbedaan ini penting karena setiap jenis serangan membutuhkan langkah pengamanan yang berbeda.

Indonesia telah mengalami gangguan layanan perbankan yang signifikan serta berbagai bentuk penipuan keuangan digital. Dengan mempelajari insiden-insiden tersebut, kita dapat memahami bagaimana serangan terjadi, kelemahan keamanan apa yang mungkin berkontribusi terhadapnya, serta langkah-langkah yang dapat dilakukan bank, pengembang perangkat lunak, dan nasabah untuk mengurangi risikonya.

2. Tidak Semua Kejahatan Siber Perbankan Merupakan Peretasan Bank

Sebelum membahas kasus-kasus tertentu, kita perlu memahami perbedaan beberapa jenis serangan yang sering terjadi di sektor perbankan.

2.1. Serangan terhadap Infrastruktur

Serangan ini menargetkan infrastruktur IT bank, termasuk server, jaringan, dan sistem internal.

Contohnya adalah serangan ransomware, eksploitasi server yang rentan, serta akses tidak sah ke sistem internal.

Dampaknya dapat berupa gangguan layanan, pencurian data, atau kebocoran informasi sensitif.

2.2. Pengambilalihan Rekening

Pengambilalihan rekening terjadi ketika pelaku mendapatkan akses tidak sah ke rekening perbankan milik nasabah.

Pelaku dapat memperoleh kredensial melalui phishing, mencuri sesi autentikasi, mengompromikan perangkat korban, atau memanipulasi prosedur pemulihan akun.

Dalam situasi seperti ini, infrastruktur inti bank mungkin tetap aman, meskipun rekening nasabah tertentu berhasil diambil alih.

2.3. Rekayasa Sosial dan Phishing

Social engineering atau rekayasa sosial memanfaatkan kepercayaan manusia, bukan hanya kelemahan teknis.

Pelaku dapat menyamar sebagai pegawai bank, mengirimkan pesan palsu, atau membuat situs web yang menyerupai layanan perbankan resmi.

Tujuannya adalah membujuk korban agar mengungkapkan informasi rahasia atau menyetujui transaksi tertentu.

2.4. Ancaman Orang Dalam dan Fraud Perbankan

Tidak semua kejahatan perbankan melibatkan peretas dari luar organisasi.

Pegawai atau individu lain yang memiliki akses resmi dapat menyalahgunakan hak akses, memanipulasi catatan transaksi, atau terlibat dalam transaksi yang bersifat curang.

Kasus-kasus seperti ini menunjukkan pentingnya pengendalian internal yang kuat, pemisahan tanggung jawab, serta mekanisme audit yang efektif.

Memahami kategori-kategori tersebut membantu kita menghindari kesalahan dalam menyebut setiap kasus penipuan keuangan sebagai peretasan terhadap sistem pusat bank.

3. Kasus-Kasus Keamanan Siber Perbankan yang Menonjol di Indonesia

Kasus 1: Serangan Ransomware terhadap Bank Syariah Indonesia (BSI), Mei 2023

Pada Mei 2023, Bank Syariah Indonesia (BSI) mengalami gangguan besar pada layanan perbankannya.

Kelompok ransomware LockBit 3.0 dilaporkan mengklaim bertanggung jawab atas serangan tersebut dan menyatakan telah mencuri sekitar 1,5 terabyte data. Angka tersebut merupakan klaim yang diberitakan dan tidak boleh dianggap sebagai temuan yang telah diverifikasi secara independen.

Teknik serangan

Afiliasi LockBit umumnya dapat memperoleh akses melalui kredensial yang telah dicuri, phishing, layanan akses jarak jauh, atau aplikasi yang terhubung ke internet dan memiliki kerentanan.

Setelah mendapatkan akses, pelaku dapat meningkatkan hak akses, berpindah antarjaringan, mencuri data sensitif, dan mengenkripsi berkas untuk mengganggu operasional organisasi.

Namun, berdasarkan sumber yang dirujuk dalam artikel ini, titik masuk dan teknik spesifik yang digunakan dalam insiden BSI belum dapat dipastikan secara konklusif.

Pelajaran bagi pengembang dan bank

Bank dan pengembang perlu:

  • Menerapkan pembaruan keamanan sesegera mungkin.
  • Mewajibkan autentikasi multifaktor (multifactor authentication atau MFA).
  • Membatasi akses akun dengan hak istimewa tinggi.
  • Memisahkan jaringan dan sistem kritis melalui segmentasi jaringan.
  • Memantau aktivitas yang mencurigakan.
  • Menyimpan cadangan data yang terisolasi dari sistem utama serta menguji prosedur pemulihannya.
  • Menerapkan otorisasi di sisi server dan prinsip least privilege.
  • Mengamankan API serta layanan backend untuk membatasi dampak ketika terjadi kebocoran atau kompromi sistem.

Sumber terkait:

Kasus 2: Penipuan Menggunakan APK Berbahaya dan Phishing di Indonesia, 2023

Pada Januari 2023, Bareskrim Polri mengumumkan penangkapan 13 tersangka yang terkait dengan skema penipuan menggunakan berkas aplikasi Android yang dimodifikasi atau APK berbahaya, serta tautan phishing.

Menurut kepolisian, para pelaku mengirimkan aplikasi pelacakan paket palsu kepada korban melalui WhatsApp dengan menyasar nasabah bank.

Penyidik mengidentifikasi berbagai peran dalam jaringan tersebut, termasuk pengembang APK, pelaku rekayasa sosial, serta pihak yang bertugas menguras rekening dan menarik uang.

Teknik serangan

Pelaku menyamar sebagai penyedia layanan pelacakan paket yang sah untuk membujuk korban membuka tautan berbahaya atau memasang berkas APK.

Aplikasi berbahaya tersebut dapat membantu pencurian informasi sensitif yang berpotensi digunakan untuk melakukan transaksi perbankan tanpa izin.

Kepolisian melaporkan bahwa jaringan tersebut melibatkan pihak-pihak yang bertugas melakukan rekayasa sosial dan menarik dana. Namun, pengumuman publik tersebut tidak menjelaskan secara pasti mekanisme teknis yang digunakan untuk mengambil alih setiap rekening korban.

Pelajaran bagi pengembang dan nasabah

Nasabah tidak boleh memasang berkas APK yang diterima dari kontak WhatsApp yang tidak dikenal.

Pengembang perlu meminimalkan paparan data sensitif, menerapkan otorisasi yang kuat di sisi server, melindungi kredensial autentikasi, serta memantau transaksi yang mencurigakan.

Bank juga perlu mendeteksi transfer yang tidak biasa dan menyediakan mekanisme pelaporan yang cepat bagi nasabah yang menduga rekeningnya telah disusupi.

Sumber terkait:

Kasus 3: Penipuan Perbankan melalui SIM Swapping di Indonesia, 2020

Pada Juni 2020, Kepolisian Daerah Kepulauan Riau (Polda Kepri) mengumumkan penangkapan tiga tersangka yang terkait dengan sindikat SIM swapping.

Menurut kepolisian, kelompok tersebut diduga mengambil alih nomor telepon korban dan mengakses internet banking sehingga menyebabkan kerugian sekitar Rp415,6 juta.

Salah satu tersangka diduga menggunakan surat kuasa palsu untuk melaporkan bahwa nomor telepon korban hilang dan mengaktifkan kembali nomor tersebut di bawah kendalinya.

Teknik serangan

Para tersangka diduga memperoleh informasi nasabah, memindahkan kendali nomor telepon korban secara curang ke kartu SIM lain, kemudian menggunakan nomor tersebut untuk membantu mengakses layanan internet banking.

Selanjutnya, uang ditransfer ke rekening yang terkait dengan para tersangka.

Kasus ini menunjukkan bagaimana kelemahan dalam prosedur penggantian kartu SIM dapat dikombinasikan dengan kelemahan autentikasi perbankan untuk mengambil alih rekening nasabah.

Pelajaran bagi pengembang dan bank

Bank tidak boleh hanya mengandalkan OTP melalui SMS atau kepemilikan nomor telepon sebagai satu-satunya cara untuk memverifikasi identitas.

Bank perlu memperkuat prosedur pemulihan akun, meminta verifikasi tambahan untuk perubahan sensitif, memantau transaksi yang tidak biasa, serta memberi tahu nasabah ketika nomor telepon terdaftar atau perangkat yang digunakan mengalami perubahan.

Sumber terkait:

Kasus 4: Dugaan Kejahatan Perbankan di BPR Panca Dana, 2026

Pada 23 Februari 2026, Otoritas Jasa Keuangan (OJK) mengumumkan bahwa penyidikan dugaan tindak pidana perbankan di BPR Panca Dana, Depok, Jawa Barat, telah selesai dilakukan.

OJK mengidentifikasi tiga tersangka, yaitu mantan direktur utama, petugas layanan nasabah (customer service), dan kepala bagian operasional.

Dugaan perbuatan yang diungkap mencakup pencatatan palsu dalam pembukuan bank, pencairan dana tanpa kewenangan yang semestinya dengan melibatkan simpanan nasabah, serta fasilitas kredit fiktif.

Kasus ini merupakan penyidikan tindak pidana perbankan, bukan serangan siber yang telah dikonfirmasi. (OJK)

Teknik dan kelemahan yang terlibat

Menurut OJK, dugaan tindakan tersebut melibatkan manipulasi catatan perbankan dan pemrosesan transaksi tanpa otorisasi yang semestinya.

Kasus ini menyoroti risiko penyalahgunaan akses oleh orang dalam, pemisahan tugas yang tidak memadai, serta kelemahan dalam pengendalian keuangan.

Pengumuman tersebut tidak menunjukkan bahwa terdapat bug perangkat lunak yang terlibat.

Pelajaran bagi pengembang dan bank

Bank perlu:

  • Menerapkan kontrol akses berbasis peran (role-based access control atau RBAC).
  • Mewajibkan persetujuan independen untuk operasi yang sensitif.
  • Menyimpan log audit yang tahan terhadap manipulasi.
  • Memantau aktivitas rekening dan transaksi yang tidak biasa.
  • Memastikan bahwa tidak ada seorang pegawai pun yang dapat memulai, menyetujui, sekaligus menyembunyikan transaksi keuangan berisiko tinggi tanpa pengawasan independen.

Sumber terkait:

Kasus 5: Hoaks Virus BCA Mobile dan Penipuan melalui Pop-up, 2023

Pada Juli 2023, sebuah unggahan media sosial yang viral mengklaim bahwa peringatan virus yang muncul di atas aplikasi BCA Mobile dapat menguras saldo rekening nasabah.

BCA memberikan klarifikasi bahwa aplikasi perbankannya tidak terinfeksi virus. Bank tersebut menjelaskan bahwa pop-up tersebut berkaitan dengan sistem ponsel yang mendeteksi aplikasi lain yang berpotensi membahayakan perangkat.

BCA juga mengingatkan nasabah agar berhati-hati terhadap aplikasi tidak resmi dan klaim palsu yang beredar di internet.

Risiko keamanan

Insiden ini menyoroti bahaya peringatan keamanan yang menyesatkan, aplikasi tidak resmi atau yang telah dimodifikasi, malware, serta rekayasa sosial.

Pemasangan aplikasi dari sumber yang tidak tepercaya dapat membuka peluang bagi pelaku untuk mengakses informasi sensitif dan aktivitas perbankan pengguna.

Pelajaran bagi nasabah

  • Unduh aplikasi perbankan hanya melalui toko aplikasi resmi.
  • Selalu perbarui sistem operasi dan aplikasi.
  • Periksa kebenaran peringatan keamanan melalui kanal resmi bank.
  • Jangan langsung memercayai pesan viral yang mengklaim adanya ancaman terhadap rekening.

Pelajaran bagi pengembang dan bank

Bank dan pengembang perlu menyediakan panduan keamanan yang jelas, memantau upaya penyamaran dan penipuan, serta membantu nasabah membedakan peringatan sistem yang sah dari pesan yang menyesatkan.

Sumber terkait:

4. Kerentanan Umum di Balik Serangan terhadap Perbankan

Kasus dan teknik serangan yang telah dibahas menunjukkan sejumlah kategori kelemahan yang perlu ditangani oleh organisasi perbankan.

Penting untuk membedakan kerentanan (vulnerability) dari teknik serangan (attack technique).

Kerentanan adalah kelemahan yang dapat dieksploitasi, sedangkan teknik serangan adalah metode yang digunakan pelaku untuk memanfaatkan kelemahan tersebut.

  1. Autentikasi yang Lemah terjadi ketika sistem perbankan tidak memverifikasi identitas pengguna secara memadai. Contohnya meliputi kata sandi sederhana, tidak adanya autentikasi multifaktor (MFA), atau perlindungan login yang tidak memadai. Kelemahan ini dapat memungkinkan pelaku mengakses rekening menggunakan kredensial yang dicuri atau melalui serangan brute force.
  1. Kontrol Akses yang Tidak Memadai terjadi ketika sistem gagal membatasi akses atau tindakan pengguna secara tepat. Sebagai contoh, pelaku dapat memanipulasi ID rekening dalam permintaan API untuk melihat informasi nasabah lain atau melakukan transaksi tanpa izin.
  1. SQL Injection (SQLi) terjadi ketika aplikasi memasukkan input pengguna yang tidak tepercaya ke dalam kueri database tanpa perlindungan yang memadai. Pelaku dapat mengeksploitasi kelemahan ini untuk mengakses, mengubah, atau menghapus data sensitif dalam database. Penggunaan parameterized queries serta pengaturan hak akses database yang aman dapat membantu mencegah kerentanan ini.
  2. Cross-Site Scripting (XSS) terjadi ketika aplikasi menampilkan konten yang tidak tepercaya tanpa penanganan yang tepat sehingga skrip berbahaya dapat dijalankan di browser korban. Bergantung pada aplikasi dan kontrol keamanannya, skrip tersebut dapat mencuri informasi sensitif atau melakukan tindakan tanpa izin.
  3. API yang Tidak Aman. Aplikasi perbankan sering menggunakan API untuk bertukar informasi antara aplikasi seluler, situs web, dan layanan backend. Autentikasi yang lemah, pemeriksaan otorisasi yang tidak lengkap, paparan data berlebihan, atau pembatasan jumlah permintaan (rate limiting) yang tidak memadai dapat memungkinkan pelaku mengakses informasi sensitif atau menyalahgunakan fungsi perbankan.
  4. Pengelolaan Sesi yang Tidak Aman terjadi ketika aplikasi menangani sesi login atau token autentikasi secara tidak aman. Jika pelaku berhasil mencuri atau menyalahgunakan token sesi yang masih valid, mereka dapat menyamar sebagai pengguna sah tanpa harus mengetahui kata sandi pengguna tersebut.
  5. Phishing dan Rekayasa Sosial mengeksploitasi kepercayaan manusia, bukan hanya kelemahan perangkat lunak. Pelaku dapat menyamar sebagai bank atau organisasi tepercaya melalui situs web palsu, pesan, atau panggilan telepon untuk menipu nasabah agar menyerahkan kredensial, membagikan OTP, atau memasang aplikasi berbahaya.
  6. Malware dan Aplikasi Berbahaya adalah perangkat lunak berbahaya yang dirancang untuk mencuri informasi, memantau aktivitas, atau melakukan tindakan tanpa izin. Dalam serangan perbankan, aplikasi berbahaya dapat menyamar sebagai layanan resmi, merekam kredensial, atau menyalahgunakan izin perangkat untuk mengompromikan rekening nasabah.
  7. Kerentanan SIM Swapping terjadi ketika pelaku secara curang mengambil alih nomor telepon korban dengan memindahkannya ke kartu SIM lain. Jika bank sangat bergantung pada OTP melalui SMS, pelaku mungkin dapat mencegat kode verifikasi dan mencoba mengambil alih rekening korban.
  8. Kesalahan Konfigurasi Keamanan terjadi ketika sistem, server, database, sumber daya cloud, atau aplikasi diterapkan dengan pengaturan yang tidak aman. Contohnya meliputi penyimpanan data yang dapat diakses publik, layanan yang tidak diperlukan, kredensial bawaan, serta aturan akses yang terlalu longgar. Kondisi tersebut dapat membuka peluang bagi pelaku untuk mengakses data perbankan yang sensitif.
  9. Perangkat Lunak yang Belum Diperbaiki dapat memberikan peluang bagi pelaku untuk mengompromikan server, aplikasi, atau perangkat jaringan. Pelaku dapat mengeksploitasi kelemahan yang telah diketahui publik untuk memperoleh akses tanpa izin, menjalankan kode berbahaya, atau mengganggu layanan perbankan.
  10. Penyimpanan dan Transmisi Data yang Tidak Aman dan sensitif dapat terekspos ketika aplikasi menyimpan data tanpa perlindungan memadai atau mengirimkannya melalui koneksi yang tidak aman. Enkripsi saat data dikirim (encryption in transit) maupun saat data disimpan (encryption at rest), pengelolaan kunci enkripsi yang tepat, dan pembatasan penyimpanan data sensitif dapat mengurangi risiko kebocoran informasi.
  11. Validasi Transaksi yang Tidak Memadai terjadi ketika sistem perbankan tidak memverifikasi detail transaksi dengan benar di sisi server. Pelaku dapat mencoba memanipulasi nominal pembayaran, penerima dana, atau parameter transaksi apabila backend terlalu bergantung pada nilai yang dikirim oleh aplikasi klien.
  12. Pencatatan dan Pemantauan yang Tidak Memadai dapat menyebabkan aktivitas mencurigakan terlambat terdeteksi. Tanpa peringatan yang efektif dan jejak audit yang memadai, bank dapat kesulitan mengidentifikasi pengambilalihan rekening, transaksi tidak wajar, akses tanpa izin, atau aktivitas ransomware sebelum kerusakan menjadi lebih besar.
  13. Ancaman Orang Dalam dan Hak Akses Berlebihan melibatkan pegawai atau kontraktor yang menyalahgunakan akses resmi, baik secara sengaja maupun tidak sengaja. Hak akses yang berlebihan, pemisahan tugas yang lemah, dan kurangnya pengawasan dapat memungkinkan transaksi tanpa izin, pencurian data nasabah, atau manipulasi catatan perbankan.

Satu hal penting lainnya adalah bahwa tidak semua kerentanan merupakan bug dalam kode program.

Sebagian kelemahan muncul dari arsitektur sistem, prosedur operasional, kebijakan akses, desain autentikasi, atau pengambilan keputusan manusia.

Karena itu, mengatasinya membutuhkan lebih dari sekadar menulis kode yang lebih baik.

5. Cara Nasabah Melindungi Diri dari Serangan Perbankan Digital

Nasabah memang tidak dapat mengendalikan infrastruktur internal bank. Namun, ada sejumlah langkah yang dapat dilakukan untuk mengurangi kemungkinan rekening atau perangkat mereka dikompromikan oleh pelaku kejahatan.

5.1. Jangan Pernah Membagikan OTP, PIN, atau Kata Sandi

Pegawai bank tidak seharusnya meminta kata sandi atau PIN transaksi Anda untuk memberikan bantuan.

Jangan memberikan kode OTP, PIN, kata sandi, atau kode autentikasi kepada siapa pun yang menghubungi Anda secara tiba-tiba.

Berhati-hatilah terhadap pihak yang mengancam akan memblokir rekening jika Anda tidak segera memberikan kode tertentu.

OTP bukan sekadar angka. Bergantung pada proses autentikasi yang digunakan, kode tersebut dapat digunakan untuk menyetujui tindakan sensitif.

5.2. Periksa Tautan Sebelum Login

Hindari mengakses layanan perbankan melalui tautan yang dikirimkan dalam SMS, email, atau pesan obrolan yang tidak diminta.

Sebagai gantinya, buka aplikasi resmi bank atau masukkan alamat situs web resmi yang telah Anda verifikasi secara manual.

Waspadai nama domain yang menyerupai alamat resmi bank tetapi memiliki tambahan kata, kesalahan ejaan, atau akhiran domain yang tidak biasa.

Situs web yang terlihat profesional belum tentu merupakan situs resmi.

Koneksi HTTPS saja tidak membuktikan bahwa suatu situs web benar-benar milik bank Anda.

5.3. Jangan Memasang Berkas APK yang Tidak Dikenal

Jangan pernah memasang aplikasi hanya karena seseorang mengklaim bahwa aplikasi tersebut diperlukan untuk menerima pengembalian dana, memverifikasi rekening, atau menyelesaikan masalah perbankan.

Gunakan toko aplikasi resmi dan periksa identitas pengembangnya.

Hindari memberikan izin sensitif kepada aplikasi yang tidak memiliki alasan jelas untuk memintanya, terutama izin aksesibilitas (accessibility access), akses notifikasi, atau izin untuk memasang aplikasi lain.

Jika Anda mencurigai suatu aplikasi berbahaya, jangan gunakan perangkat yang mungkin telah dikompromikan untuk memasukkan kredensial perbankan baru.

5.4. Gunakan Kata Sandi yang Kuat dan Unik

Jangan menggunakan kata sandi perbankan yang sama untuk email, media sosial, platform belanja, atau layanan lainnya.

Jika salah satu layanan mengalami kebocoran data, penggunaan kata sandi yang sama dapat memungkinkan pelaku mengakses akun lain.

Jika tersedia, gunakan pengelola kata sandi (password manager) untuk membuat dan menyimpan kata sandi unik.

Lindungi akun email utama Anda dengan baik karena akun tersebut mungkin digunakan untuk mereset kata sandi layanan lainnya.

5.5. Lindungi Nomor Telepon Anda

Lindungi kartu SIM dan akun Anda pada operator seluler.

Jika ponsel tiba-tiba kehilangan layanan seluler tanpa alasan yang jelas, terutama ketika Anda tidak mengubah pengaturan apa pun, hubungi operator melalui kanal resmi.

Kehilangan layanan seluler secara tiba-tiba tidak selalu berarti telah terjadi SIM swapping, tetapi kondisi tersebut patut diperiksa.

Jika tersedia, gunakan fitur perlindungan tambahan yang ditawarkan oleh operator seluler Anda.

5.6. Aktifkan Notifikasi Transaksi

Aktifkan notifikasi untuk transfer, pembayaran, penarikan dana, dan perubahan keamanan rekening jika fitur tersebut tersedia.

Periksa riwayat transaksi secara berkala.

Semakin cepat Anda mengetahui adanya transaksi tanpa izin, semakin cepat Anda dapat meminta bank melakukan investigasi dan mencoba menghentikan kerugian lebih lanjut.

5.7. Selalu Perbarui Perangkat

Pasang pembaruan keamanan sistem operasi dan aplikasi sesegera mungkin.

Hapus aplikasi yang tidak lagi digunakan, terutama aplikasi yang dipasang dari sumber yang tidak dikenal.

Hindari melakukan rooting atau jailbreaking pada perangkat yang digunakan untuk perbankan kecuali Anda benar-benar memahami risiko keamanannya.

Gunakan kunci layar dan jangan biarkan aplikasi perbankan Anda dapat diakses oleh orang lain.

5.8. Tetapkan Batas Transaksi yang Wajar

Jika bank menyediakan batas transfer harian atau batas terpisah untuk jenis transaksi tertentu, aturlah sesuai kebutuhan.

Batas transaksi yang lebih rendah dapat mengurangi jumlah uang yang mungkin dipindahkan pelaku sebelum masalah terdeteksi.

Jika memungkinkan, pertimbangkan untuk menggunakan rekening terpisah untuk kebutuhan sehari-hari dan menyimpan sebagian besar tabungan di rekening dengan kemampuan transaksi yang lebih terbatas.

Langkah ini tidak menghilangkan risiko sepenuhnya, tetapi dapat mengurangi dampak finansial jika rekening diambil alih.

5.9. Segera Bertindak Jika Mencurigai Penipuan

Jika Anda menemukan transaksi yang tidak pernah dilakukan, segera lakukan langkah-langkah berikut:

  1. Hubungi bank melalui hotline atau aplikasi resminya.
  2. Minta pemblokiran akses perbankan atau instrumen pembayaran yang terdampak jika diperlukan.
  3. Minta bank menyelidiki transaksi tersebut dan menjelaskan prosedur pengajuan sanggahan atau sengketa transaksi.
  4. Simpan bukti transaksi, waktu kejadian, pesan, tautan mencurigakan, dan bukti lain yang relevan.
  5. Ganti kredensial yang telah dikompromikan menggunakan perangkat yang tepercaya.
  6. Laporkan kejadian kepada pihak berwenang yang sesuai.

Di Indonesia, korban juga dapat memanfaatkan Indonesia Anti-Scam Centre (IASC), yang dibentuk oleh OJK bersama pelaku industri keuangan untuk mengoordinasikan penanganan penipuan keuangan.

Kunjungi situs resmi OJK untuk memperoleh informasi terkini dan mengakses layanan pelaporan IASC.

Kecepatan pelaporan sangat penting karena dana hasil kejahatan dapat dipindahkan melalui beberapa rekening dalam waktu singkat.

Pelaporan penipuan tidak menjamin bahwa dana akan kembali, tetapi tindakan cepat dapat meningkatkan peluang untuk memblokir dana sebelum dipindahkan lebih jauh.

6. Pelajaran Penting tentang Keamanan bagi Software Developer

Keamanan perbankan harus menjadi persyaratan utama dalam proses rekayasa perangkat lunak, bukan sekadar tambahan setelah aplikasi selesai dibuat.

Pengembang harus memastikan bahwa aplikasi tetap aman sekalipun pengguna, perangkat, atau sistem internal telah dikompromikan.

  1. Jangan Pernah Memercayai Frontend sebagai Satu-Satunya Lapisan Keamanan

Validasi di frontend bertujuan meningkatkan kenyamanan pengguna, bukan menjadi mekanisme keamanan utama. Backend harus memvalidasi setiap permintaan secara independen, memeriksa hak akses, dan menerapkan seluruh aturan transaksi keuangan.

  1. Cegah Broken Access Control dan BOLA

Periksa otorisasi untuk setiap sumber daya dan operasi sensitif. Pengguna hanya boleh mengakses rekening dan data yang memang menjadi haknya. ID acak saja tidak cukup untuk menjamin keamanan. Pengembang harus memastikan bahwa setiap permintaan telah melalui pemeriksaan otorisasi yang tepat, termasuk pada API yang menerima ID rekening, ID transaksi, atau ID nasabah.

  1. Perkuat Autentikasi

Gunakan mekanisme autentikasi yang kuat dan pertimbangkan metode yang tahan terhadap phishing, seperti passkey, untuk operasi sensitif. Terapkan verifikasi tambahan ketika pengguna mengubah detail rekening, mendaftarkan perangkat baru, atau melakukan transaksi berisiko tinggi.

  1. Jangan Hanya Mengandalkan OTP melalui SMS

OTP melalui SMS memiliki risiko terhadap phishing dan SIM swapping. Gunakan metode autentikasi yang sesuai dengan tingkat risiko dan pastikan konfirmasi transaksi terikat secara aman pada operasi yang dimaksud.

  1. Cegah Replay Attack dan Transaksi Ganda

Gangguan jaringan dan pengulangan permintaan (retry) dapat menyebabkan pembayaran diproses lebih dari satu kali. Gunakan idempotency key dengan cakupan yang tepat, transaksi database yang andal, dan validasi status transaksi untuk mencegah eksekusi berulang.

  1. Terapkan Aturan Bisnis di Backend

Validasi saldo, batas transaksi, kelayakan penerima dana, dan status transaksi di sisi server. Gunakan transisi status yang terkontrol untuk operasi keuangan yang sensitif. Jangan hanya mengandalkan nilai yang dikirim oleh frontend untuk menentukan apakah transaksi boleh dilakukan.

  1. Lindungi Secret dan Data Sensitif

Jangan pernah mengekspos kredensial, API key, atau token autentikasi dalam kode sumber maupun log. Gunakan sistem pengelolaan secret yang aman, batasi akses, dan samarkan informasi sensitif dalam log.

  1. Amankan API

Terapkan autentikasi yang kuat, otorisasi, validasi input, rate limiting, pengelolaan token yang aman, serta enkripsi saat data dikirim. Hindari mengekspos informasi sensitif melalui respons API atau pesan kesalahan.

  1. Siapkan Sistem Menghadapi Kompromi Infrastruktur

Terapkan prinsip least privilege, segmentasi jaringan, pembaruan keamanan tepat waktu, autentikasi multifaktor, pencadangan data yang terlindungi, serta prosedur pemulihan yang telah diuji. Langkah-langkah tersebut membantu membatasi dampak serangan, termasuk ransomware.

  1. Terapkan Pemantauan Keamanan

Pantau aktivitas login yang mencurigakan, perubahan perangkat, transfer tidak biasa, kegagalan autentikasi berulang, dan aktivitas administratif yang tidak terduga. Gunakan sistem peringatan yang dapat ditindaklanjuti agar ancaman dapat dideteksi dan ditangani dengan cepat.

  1. Uji Keamanan Secara Berkelanjutan

Integrasikan threat modeling, pemindaian keamanan otomatis, pemeriksaan dependensi, pengujian otorisasi API, dan penetration testing ke dalam siklus pengembangan perangkat lunak. Berikan perhatian khusus pada logika bisnis, pemulihan akun, serta alur kerja administratif. Perangkat lunak perbankan yang aman membutuhkan pendekatan defense in depth atau pertahanan berlapis.

Kembali ke halaman utama