Asian Games dan Risiko Kejahatan Siber

Iwan Setiawan
Analis Eksekutif, Akademi Sistem Pembayaran Bank Indonesia Institute Bank Indonesia

Berbicara mengenai event olahraga yang bersifat internasional, terlebih lagi dalam skala yang cukup besar seperti Asian Games yang diselenggarakan di Jakarta dan Palembang pada 18 Agustus-2 September 2018, dapat dipastikan pihak tuan rumah akan kedatangan pelancong atau travelers dalam jumlah yang sangat banyak. Terdapat 45 negara yang dipastikan mengikuti Asian Games 2018 (Asian Games Federation). Selain ribuan atlet dan ofisial dari tiap negara peserta, dapat dipastikan puluhan ribu suporter fanatik juga akan datang untuk mendukung.

Hal yang sering kali luput dari perhatian berbagai pihak terkait perhelatan internasio-nal adalah meningkatnya potensi kejahatan siber. Bak pepatah lama “ada gula ada se-mut”, demikian juga dengan risiko kejahatan siber yang menyasar aspek finansial travelers. Para pelaku kriminal sangat paham dan bahkan termotivasi dengan datangnya ribuan atau bahkan puluhan ribu travelers asing dan/atau domestik yang mayoritas berkocek tebal ke kota penyelenggara event di suatu negara.

Terlebih lagi saat ini kejahatan siber sudah menjadi pilihan banyak pihak, tidak saja para pelaku kriminal yang bersifat perseorangan, tetapi juga organisasi kejahatan internasional atau bahkan “negara”. Alasannya tidak lain karena potensi keuntungannya yang sangat besar dan risikonya yang relatif kecil.

Berbagai event olahraga global yang terjadi sebelumnya di berbagai negara seperti FIFA World Cup di Brasil 2014, Winter Olympics Games di PyeongChang 2018, dan FIFA World Cup di Rusia 2018 diwarnai dengan meningkatnya kejahatan siber (identity theft & fraud) oleh financially motivated criminals. Berbagai metode yang digunakan antara lain phising sites, attacks on public Wi-Fi, dan malware serta skimming kartu ATM/ debet di mesin ATM/point of sale (POS-EDC).

Sebagai contoh World Cup 2014 di Brasil diwarnai dengan peningkatan insiden kejahatan siber, yaitu lebih dari 2.000 serangan siber per hari terhadap infrastruktur pemerintah, lebih dari 90.000 upaya peluncuran program terinfeksi malware yang utamanya berbentuk phising e-mail, dan peningkatan kasus skimming sebanyak 300% (ACFE Insigh).

Adapun penyelenggaraan Winter Olympics Games di Pyeong Chang diwarnai dengan knock down koneksi jaringan internet dan website penyelenggara akibat serangan siber. Hal ini tentu di samping merugikan secara finansial, juga dapat merusak reputasi penyelenggara/negara.

Titik Kerentanan
Travelers yang sedang berkunjung ke suatu negara/tempat tertentu pasti memiliki kebutuhan melakukan pembayaran untuk transaksi ekonomi tertentu. Adalah fakta bahwa tidak semua transaksi pembayaran dapat dilakukan dengan menggunakan kartu kredit atau debet/ATM, khususnya di tempat-tempat atau toko-toko yang tidak memiliki mesin POS-EDC.

Untuk itu kebutuhan mata uang lokal menjadi keniscayaan untuk memuluskan transaksi. Travelers akan menukarkan uang asing miliknya dengan mata uang lokal melalui gerai jasa penukaran uang asing (money changer) atau utamanya melalui penarikan mata uang lokal melalui mesin-mesin ATM yang memiliki interkoneksi dengan jaringan finansial global. Dari sudut pandang kriminal, mesin-mesin POS-EDC dan utamanya mesin ATM yang berlokasi di dekat pusat-pusat penginapan travellers, venue pertandingan, dan/atau destinasi wisata merupakan point of compromise yang penting untuk dipasangi alat kejahatan.

Saat ini kartu kredit dan/ atau debet/ATM yang dikeluarkan berbagai institusi keuangan di dunia termasuk perbankan di Indonesia telah ditingkatkan keamanannya dengan menggunakan teknologi EMV-Chip dan PIN. Kartu pembayaran berteknologi chip relatif lebih aman karena terbukti sulit (bukan tidak mungkin) dicuri datanya dengan teknologi skimming.

Namun kartu-kartu pembayaran tersebut relatif masih memiliki tingkat kerentanan yang tinggi (inherent vulnerability) karena masih adanya teknologi magnetic stripe (magstripe) di belakang kartu sebagai media penyimpan data. Teknologi magstripe ini masih disematkan oleh penerbit kartu pembayaran karena belum meratanya infrastruktur pemroses kartu yang dapat membaca chip di berbagai negara, khususnya infrastruktur mesin ATM.

Di Indonesia sendiri baru pada akhir 2021 seluruh infrastruktur kartu pembayaran termasuk mesin-mesin ATM dan EDC ditargetkan dapat memproses kartu pembayaran berteknologi chip dan PIN dengan standar internasional dan lokal (Bank Indonesia). Ketika infrastruktur pemroses kartu pembayaran di suatu negara belum dapat memproses teknologi chip, transaksi kartu pembayaran akan diproses berdasarkan data keuangan nasabah yang tersimpan di dalam magstripe (fall-back). Di sinilah potensi kerentanan data dicuri akan terjadi, khususnya terkait skimming kartu kredit atau de-bet/ ATM bermagstripe di mesin ATM dan/atau POS-EDC.

Lebih dari dua dekade ini metode kejahatan skimming untuk mencuri data kartu pembayaran nasabah selalu menduduki peringkat utama (EAST). Dalam kaitan ini Indonesia termasuk negara dengan peringkat teratas yang mengalami kejahatan skim-ming. Ribuan data kartu pembayaran nasabah perbankan dan puluhan miliar rupiah dana nasabah perbankan telah dicuri menggunakan metode kejahatan ini. Yang agak mengkhawatirkan, dewasa ini organisasi kejahatan internasional, khususnya di Eropa Timur, telah mengembangkan alat-alat skimming (skimmer) yang lebih canggih dan kecil (mini-deep skimmer).

Alat tersebut tidak lagi diletakkan di depan mulut ATM sebagaimana lazimnya, tetapi dimasukkan ke dalam mulut ATM sehingga hampir tidak mungkin dideteksi oleh nasabah. Alat skimmer canggih ini bahkan telah ditemukan dan digunakan di Indonesia dalam berbagai kasus akhir-akhir ini. Di sisi lain, saat ini berkembang pula informasi bahwa data keuangan nasabah dalam chip kartu pembayaran bahkan telah dapat dicuri dengan menggunakan metode shimming atau menggunakan malware (www.bankinfosecurity.com).

Pencegahan dan Mitigasi
Melihat fakta, data, dan nyatanya ancaman serangan siber, khususnya potensi risiko skimming kartu pembayaran, tidaklah berlebihan bahwa seluruh stakeholders terkait penyelenggaraan Asian Games 2018 seperti penyelenggara, perbankan, Bank Indonesia, OJK, dan berbagai otoritas terkait keamanan siber seperti kepolisian, Badan Siber dan Sandi Negara (BSSN), Asosiasi Kartu Kredit Indonesia (AKKI), Aso-siasi Sistem Pembayaran Indonesia (ASPI) perlu berkoordinasi dan merumuskan serta meningkatkan langkah-langkah pencegahan dan mitigasi risiko cy ber attack tersebut.

Oleh karena itu adanya risk management yang mumpuni dan peningkatan keamanan infrastruktur teknologi informasi, identifikasi risiko, fraud detection, pemasangan anti-malware/virus terkini, monitoring mesin ATM/EDC, dan edukasi nasabah mengenai risiko identity theft dan fraud menjadi hal yang tidak dapat ditawar lagi.Hal ini menjadi sangat penting karena setelah penyelenggaraan Asian Games di Jakarta dan Palembang, Indonesia akan menjadi penyelenggara Pertemuan Tahunan IMF-World Bank 2018 (IMF-World Bank Annual Meetings 2018) di Bali yang akan dihadiri oleh 189 negara dan lebih dari 15.000 delegasi. Lebih penting lagi, Bali sebagai destinasi turis terbesar di Indonesia selama ini selalu menjadi target utama kejahatan sistem pembayaran seperti skimming.