TEMPO.CO, Jakarta - Pakar keamanan siber dan forensik digital dari Vaksincom, Alfons Tanujaya, merenpons adanya modus-modus pembobol mobile banking atau m-banking lewat undangan pernikahan online. Untuk mencegahnya, dia meminta agar pemerintah dan regulator mengatur lembaga finansial memiliki standar keamanan transaksi yang ketat.

“Sehingga tidak mudah dieksploitasi,” ujar dia lewat keterangan tertulis yang dikutip pada Senin, 30 Januari 2023.

Menurut dia, hal itu sangat penting karena banyaknya kasus pembobolan m-banking ini akan menurunkan kepercayaan masyarakat terhadap sektor keuangan digital. Bahkan cenderung akan menghindari menggunakan channel digital.

Baca: Bobol M-Banking Lewat Undangan Nikah Online, Dari Mana Pelaku Dapat Data Kredensialnya?

“Padahal pemerintah sangat berkepentingan terhadap digitalisasi dalam sektor finansial. Karena akan memberikan efek berganda bagi perkembangan ekonomi Indonesia,” ucap Alfons.

Salah satu modus baru yang muncul adalah pembobolan m-banking melalui surat undangan pernikahan yang palsu. Di mana surat undangan itu sebenarnya mengandung APK (berkas aplikasi Android untuk mendistribusikan dan memasang software dan middleware ke ponsel) dari luar Play Store yang jika diinstal akan mencuri kredensial One Time Password atau OTP dari perangkat korbannya

Menurut Alfons, ketika APK Android berbahaya ini dijalankan, sebenarnya akan muncul beberapa peringatan. Dia mencontohkan seperti menginstal aplikasi dari luar Play Store sangat berbahaya dan tidak disarankan.

Saat peringatan itu diabaikan, kata dia, peringatan lain akan tetap muncul ketika memberikan akses SMS kepada aplikasi yang ingin diinstal. “Termasuk data dokumen dan foto perangkat kepada aplikasi berbahaya yang diinstal tersebut,” ucap Alfons.

Bagi bank penyedia layanan m-banking, Alfons menyarankan untuk menerapkan verifikasi What You Have untuk perpindahan akun m-banking ke ponsel baru atau nomor ponsel baru. Jadi jangan mengandalkan verifikasi What You Know saja untuk memindahkan akun m-banking ke ponsel atau nomor ponsel baru.

“Verifikasi What You Have ini contohnya adalah verifikasi kartu ATM, KTP asli, fisik pemilik rekening. Sedangkan verifikasi What You Know adalah user ID, password, PIN persetujuan transaksi, dan kode OTP,” ucap dia.

Selanjutnya: Dua langkah pengamanan<!--more-->

Kemudian, Alfons memberikan gambaran, bahwa langkah Two Factor Authentication (TFA) sebagai langkah pengamanan ‘What you know' dan ‘what you have’. “What you know kan bisa bocor. Jadi, bank harus antisipasi kalau ‘what you know’ bocor, harus ada verifikasi ‘What you have’.” jelasnya.

Langkah jelasnya, seperti bawa KTP ke bank, verifikasi tiap ganti nomor HP mobile banking, atau ganti user mobile banking ke ATM tiap kali ganti HP atau ganti nomor.

Sebenarnya, jika bank menerapkan sistem dan prosedur dengan baik dan cerdik, penjahat akan kesulitan mengambil alih akun m-banking. “Sekalipun berhasil mendapatkan semua kredensial dan OTP persetujuan transaksi,” kata dia.

Untuk penggunanya, modus pembobolan m-banking dapat dicegah dengan beberapa cara. Pertama, nasabah pengguna mobile banking jangan pernah menginstal aplikasi apapun yang tidak diketahui keamanannya.

Kedua, Alfons melanjutkan, jika sering menggunakan mobile banking dan saldo di bank signifikan, ada baiknya mempertimbangkan menggunakan ponsel yang berbeda. Ketiga, pastikan penyedia mobile banking yang digunakan memiliki pengamanan transaksi yang mumpuni

Meski demikian, Alfons juga menyarankan agar pencegahan tidak hanya dilakukan oleh pengguna. Tetapi juga dari pihak bank. “Ada titik lemah dari pengamanan transaksi, yaitu pengguna akhir atau end user yang awam dan pengamanannya berada di luar kendali penyedia layanan,” ujar Alfons.

Baca Juga: Marak Modus Pembobolan M-Banking, Pakar Siber Sarankan Bank Miliki Verifikasi What You Have

Ikuti berita terkini dari Tempo di Google News, klik di sini.