Menangkal Kejahatan Sistem Pembayaran

Remon Samora
Analis di Departemen Surveilans Sistem Keuangan Bank Indonesia

DI TENGAH pesatnya ke­ma­juan teknologi, modus ke­jahatan di bidang sis­tem pembayaran juga semakin berkembang. Dalam sepekan ter­akhir industri perbankan kem­bali dikejutkan oleh pe­ris­ti­wa raibnya dana nasabah secara misterius di Kediri dan be­bera­pa kota lainnya.

Puluhan na­sa­bah melaporkan berkurangnya saldo tabungan mereka kendati tidak melakukan penarikan da­na. Tak pelak kejadian ini me­mun­culkan pertanyaan ten­tang apa yang sebenarnya te­r­ja­di. Berdasarkan penyelidikan pi­hak kepolisian, ihwal kasus ini diduga akibat praktik skimming .

Per definisi, skimming me­ru­pa­kan tindakan pencurian in­for­masi kartu kredit atau debit de­ngan cara menyalin infor­ma­si yang terdapat pada strip mag­netik kartu secara ilegal. Ber­mo­dalkan mesin gesek pem­ba­ca kartu (skimmer ), pelaku ke­ja­hat­an menempelkan alat ter­sebut pada slot mesin ATM.

Se­lanjutnya data strip magnetik pada kartu ATM nasabah akan ter­duplikasi, lalu dipindahkan ke kartu ATM kosong. Celakanya, beberapa jenis me­sin skimmer saat ini di­leng­kapi dengan kemampuan mem­ba­ca kode PIN kartu ATM. Te­rang saja pelaku bebas mengu­ras tabungan nasabah selepas data kartu ATM dicuri.

Selain skimming, risiko fraud di bidang sistem pembayaran ju­ga dibayang-bayangi oleh be­berapa praktik kecurangan lain­nya.

Pertama, gesek ganda (double swipe). Pada saat me­la­ku­kan pembayaran, kartu debit konsumen terkadang tidak ha­nya digesek di mesin elec­tronic data capture (EDC) saja, tapi juga di mesin kasir. Dari sudut pan­dang toko/pedagang (mer­chant), praktik ini semata-mata ha­nya mempermudah proses penc­atatan pembayaran.

Na­mun, proses bisnis ini tetap me­nyimpan risiko bocornya data kartu milik konsumen. Tatkala kartu tersebut telah digesek dua kali, maka informasi yang men­ca­kup nama pemegang kartu, no­mor kartu, dan masa berlaku kar­tu akan terbaca otomatis oleh mesin.

Apabila data-data tersebut diretas oleh oknum tidak bertanggung jawab, maka perampokan mela­lui perangkat digital niscaya akan terjadi. Bank Indonesia secara te­gas telah me­larang praktik ini me­­la­lui Peraturan Bank In­do­nesia Nomor 18/40/PBI/2016 ten­tang Penyelenggaraan Pem­­r­o­ses­an Transaksi Pem­bayaran. Da­lam se­tiap tran­sak­si, kartu ha­nya boleh di­ge­sek sekali di mes­in EDC dan ti­dak diper­bo­­leh­kan me­lakukan peng­ge­sek­an lain­nya, termasuk di mesin kasir. Pe­la­rangan peng­ge­sekan gan­da tersebut ber­tu­juan m­e­lindungi ma­sya­ra­kat dari pen­cu­rian data dan infor­masi kartu.

Untuk mendukung per­lin­dungan data masyarakat, bank (acquirer ) wajib memastikan ke­patuhan pedagang terhadap la­rangan penggesekan ganda. Bank juga diharapkan meng­am­bil tindakan tegas, antara lain dengan menghentikan kerja sa­ma dengan pedagang yang ma­sih melakukan praktik peng­ge­sekan ganda.
Untuk kepen­ting­an rekonsiliasi transaksi pem­ba­yaran, pedagang diharapkan dapat menggunakan metode lain yang tidak melibatkan peng­gesekan ganda.

Kedua, pengelabuan melalui situs palsu (phising ). Phising di­definisikan sebagai bentuk pe­nipuan untuk mendapatkan in­formasi pribadi, seperti kata sandi dan kartu kredit, dengan me­nyamar sebagai entitas ter­percaya melalui komunikasi elek­tronik.

Sering kali praktik ini dilakukan dengan me­m­be­ri­kan penawaran menarik me­la­lui surat elektronik dan me­nyer­takan tautan palsu. Calon kor­ban lalu diminta mengisi se­buah form yang mencakup bio­da­ta pribadi, termasuk data kar­tu kredit yang akan disimpan di server peretas. Seluruh data ter­sebut kemudian akan di­gu­na­kan pelaku kejahatan untuk meng­gandakan kartu kredit dan berbelanja online meng­gu­na­kan data korban.

Ketiga, malware atau perang­kat lunak yang diciptakan ses­e­orang de­ngan tujuan ja­hat. Prak­tik ini sempat he­boh pada ta­hun 2015 ka­rena meli­bat­kan na­sabah di tiga bank besar se­bagai korban. Modus operandi ke­ja­hat­an ini dilakukan dengan me­nyebarkan iklan software inter­net banking palsu yang mun­cul di laman internet.

Saat na­sabah mengunduh software palsu ter­se­but, malware akan bergerak masuk ke ponsel se­hingga tam­pilan laman internet banking palsu seolah-olah ber­asal dari bank. Me­na­riknya, prak­tik ini me­li­bat­kan pihak ke­ti­ga yang di­sebut “kurir” untuk mengi­rimkan uang hasil pen­cu­rian.

Upaya Preventif
Untuk memiti­ga­sikan risiko fraud, terutama ber­­sum­ber dari fi­tur strip magnetik, Bank In­do­nesia telah me­ner­bitkan Surat Edaran No. 17/52/ DKSP ten­tang Imple­men­tasi Standar Na­sional Teknologi Chip dan Peng­gu­na­an PIN online 6 digit un­tuk kartu ATM/ de­bit. Ke­ten­tu­an ini mewa­jib­kan seluruh kartu debit/ATM yang beredar telah meng­gu­na­kan chip dan PIN online 6 digit secara penuh pada tanggal 1 Januari 2022.

Selama ini teknologi strip magnetik terbukti rentan di­ma­nipulasi oleh oknum-oknum tertentu, ter­utama melalui prak­­tik skim­ming. Pada lain pi­hak, teknologi chip memiliki fi­tur peng­aman­an berlapis se­hing­ga pro­ba­bilitas kartu di­pal­sukan sangat minim. Dengan hadirnya beleid ini, diharapkan per­lindungan terhadap kartu ATM/debit berbasis chip akan se­makin ketat.

Setali tiga uang, Bank In­do­ne­sia juga mewajibkan peng­gu­na­an PIN 6 digit untuk kartu kre­dit pada tahun 2020. Kewa­jib­an penggunaan PIN tersebut menggantikan proses veri­fi­kasi dan autentikasi transaksi pem­ba­yaran yang sebelumnya meng­gunakan tanda tangan. Penggunaan tanda tangan di­ni­lai berpotensi disa­lah­gu­na­kan apabila kartu kredit hilang atau berpindah tangan.

Di sisi lain, edukasi kon­su­men berperan sangat penting da­lam pencegahan kejahatan di bi­dang sistem pembayaran. Be­berapa langkah sederhana yang bisa dilakukan nasabah di an­ta­ra­nya tidak memberitahukan kode PIN kepada siapa pun, mengganti kode PIN secara reguler, membawa sendiri kartu debit/kredit ke mesin ATM dan EDC merchant, serta ber­tran­sak­si di situs resmi bank atau toko online.

Selain itu, na­sabah diharapkan turut meng­ambil bagian dalam memenuhi ke­ten­tuan Bank Indonesia, misalnya segera mengganti kartu ATM/ debit apabila belum dilengkapi teknologi chip dan selalu meng­gunakan PIN saat bertransaksi de­ngan kartu kredit.

Bank Indonesia sebagai oto­ritas sistem pembayaran telah menyediakan laman khusus terkait edukasi dan per­lin­dungan konsumen. Ma­sya­ra­kat bisa mengunjungi situs Bank Indonesia untuk men­da­pat­kan informasi lebih lanjut perihal hal-hal yang harus di­per­hatikan agar tidak menjadi kor­ban kejahatan sistem pem­bayaran. Selain itu, konsumen juga dapat memperoleh pen­je­las­an tentang tata cara dan me­kanisme pengaduan nasabah terkait permasalahan transaksi keuangan.

*)Tulisan ini adalah pandangan pribadi dan tidak mewakili lembaga tempat bekerja