TEMPO.CO, Jakarta - Pakar keamanan siber dan forensik digital dari Vaksincom, Alfons Tanujaya, mengungkap adanya modus baru pembobolan mobile banking atau m-banking yang sedang marak terjadi. Modus tersebut menggunakan surat undangan pernikahan palsu.

“Surat undangan pernikahan itu sebenarnya mengandung APK (berkas paket aplikasi Android yang digunakan untuk mendistribusikan dan memasang software dan middleware ke ponsel) dari luar Play Store yang jika diinstal akan mencuri kredensial One Time Password atau OTP dari perangkat korbannya,” ujar dia lewat keterangan tertulis pada Sabtu, 28 Januari 2023.

Baca: Bobol M-Banking Lewat Undangan Nikah Online, Dari Mana Pelaku Dapat Data Kredensialnya?

Menurut Alfons, ketika APK Android berbahaya ini dijalankan, sebenarnya akan muncul beberapa peringatan. Dia mencontohkan seperti menginstal aplikasi dari luar Play Store sangat berbahaya dan tidak disarankan.

Saat peringatan itu diabaikan, kata dia, peringatan lain akan tetap muncul ketika memberikan akses SMS kepada aplikasi yang ingin diinstal. “Termasuk data dokumen dan foto perangkat kepada aplikasi berbahaya yang diinstal tersebut,” ucap Alfons.

Sebelum modus pembobolan m-banking menggunakan surat undangan pernikahan palsu, banyak modus lain yang serupa. Misalnya menggunakan resi pengiriman palsu, pencairan BPJS Ketenagakerjaan palsu, hingga pemberitahuan tarif transfer bank.

Selanjuntya: Cara cegah pembobolan m-banking<!--more-->

Pakar Sarankan Bank Miliki Verifikasi What You Have, Apa Itu?

Modus pembobolan m-banking dapat dicegah dengan beberapa cara. Pertama, nasabah pengguna mobile banking jangan pernah menginstal aplikasi apapun yang tidak diketahui keamanannya.

Kedua, Alfons melanjutkan, jika sering menggunakan mobile banking dan saldo di bank signifikan, ada baiknya mempertimbangkan menggunakan ponsel yang berbeda. Ketiga, pastikan penyedia mobile banking yang digunakan memiliki pengamanan transaksi yang mumpuni

Meski demikian, Alfons juga menyarankan agar pencegahan tidak hanya dilakukan oleh pengguna. Tetapi juga dari pihak bank. “Ada titik lemah dari pengamanan transaksi, yaitu pengguna akhir atau end user yang awam dan pengamanannya berada di luar kendali penyedia layanan,” ujar Alfons.

Bagi bank penyedia layanan m-banking, Alfons menyarankan untuk menerapkan verifikasi What You Have untuk perpindahan akun m-banking ke ponsel baru atau nomor ponsel baru. Jadi jangan mengandalkan verifikasi What You Know saja untuk memindahkan akun m-banking ke ponsel atau nomor ponsel baru.

“Verifikasi What You Have ini contohnya adalah verifikasi kartu ATM, KTP asli, fisik pemilik rekening. Sedangkan verifikasi What You Know adalah user ID, password, PIN persetujuan transaksi, dan kode OTP,” ucap dia.

Kemudian, Alfons memberikan gambaran, bahwa langkah Two Factor Authentication (TFA) sebagai langkah pengamanan ‘What you know' dan ‘what you have’. “What you know kan bisa bocor. Jadi, bank harus antisipasi kalau ‘what you know’ bocor, harus ada verifikasi ‘What you have’.” jelasnya.

Langkah jelasnya, seperti bawa KTP ke bank, verifikasi tiap ganti nomor HP mobile banking, atau ganti user mobile banking ke ATM tiap kali ganti HP atau ganti nomor.

Sebenarnya, jika bank menerapkan sistem dan prosedur dengan baik dan cerdik, penjahat akan kesulitan mengambil alih akun m-banking. “Sekalipun berhasil mendapatkan semua kredensial dan OTP persetujuan transaksi,” kata dia.

MOH. KHORY ALFARIZI | MARIA FRANSISCA LAHUR

Baca Juga: Terkini: Cerita Para Pemburu Diskon Holland Bakery, Modus Baru Pembobolan M-Banking

Ikuti berita terkini dari Tempo di Google News, klik di sini.