Faktara.my.id | Jakarta – Pakar keamanan siber Alfons Tanujaya mengungkap modus penipuan yang membobol kartu kredit melalui fitur pembayaran QR pada dompet digital DANA. Pelaku memanfaatkan data kartu kredit curian untuk melakukan transaksi tanpa harus menggunakan akun DANA milik korban.
Pelaku Manfaatkan Data Kartu Kredit Curian
Alfons menjelaskan, pelaku biasanya mengantongi nomor kartu, masa berlaku, CVV, dan nama pemilik kartu. Pelaku diduga mendapatkan data tersebut melalui infostealer, malware pada aplikasi bajakan, web skimming, atau phishing.
“Korban tidak perlu punya akun DANA untuk menjadi korban. Yang dipakai hanya data kartunya,” kata Alfons di Jakarta, Selasa.
Pelaku kemudian menguji kartu melalui transaksi bernilai nol rupiah. Setelah memastikan kartu masih aktif, pelaku menautkannya ke akun DANA miliknya.
Pelaku selanjutnya menggunakan kartu tersebut untuk membayar transaksi melalui merchant QRIS. Transaksi dapat menyasar layanan atau barang yang mudah dicairkan kembali, termasuk top up aset kripto dan pembelian melalui e-commerce.
Transaksi Bisa Lolos Tanpa OTP
Alfons mengatakan sistem keamanan bank menjadi salah satu faktor yang memungkinkan transaksi berjalan tanpa kode One Time Password (OTP).
Pada teknologi autentikasi 3-D Secure generasi baru, bank menentukan kebutuhan OTP berdasarkan skor risiko transaksi. Menurut Alfons, transaksi yang lolos tanpa OTP berarti sistem bank menilainya sebagai transaksi berisiko rendah.
Ia juga menyoroti lemahnya velocity check. Sistem seharusnya mampu mengenali transaksi berulang dengan nominal identik dalam waktu sangat singkat.
“Artinya, transaksi yang lolos tanpa OTP adalah transaksi yang oleh sistem risiko bank dinilai aman, dan penilaian itu keliru,” ujarnya.
Pakar Minta Bank Perketat Sistem
Alfons menilai modus tersebut dapat terjadi karena dua lapisan keamanan sama-sama gagal mencegah transaksi, yakni sistem risiko bank penerbit dan kontrol pada aplikasi pembayaran.
Ia meminta masyarakat yang menjadi korban segera memblokir kartu kredit dan mengajukan sanggahan tertulis kepada bank. Nasabah juga tidak boleh memberikan kode OTP kepada siapa pun yang mengaku sebagai petugas bank.
Alfons mendorong Bank Indonesia dan Otoritas Jasa Keuangan (OJK) memperkuat aturan verifikasi saat nasabah menautkan kartu kredit ke dompet digital.
Menurut dia, pihak terkait juga perlu menelusuri sumber kebocoran data, memperketat autentikasi, dan memastikan korban tidak menanggung kerugian akibat transaksi yang tidak mereka lakukan.
Kasus Ramai Dibahas di Threads
Modus pembobolan kartu kredit melalui DANA QR ramai dibahas pengguna Threads dalam beberapa hari terakhir. Sejumlah pengguna kartu kredit bank swasta dan bank BUMN mengaku menerima notifikasi transaksi QR di DANA meski mereka tidak menggunakan dompet digital tersebut.
Kasus tersebut menunjukkan bahwa seseorang tetap dapat menjadi korban penyalahgunaan kartu meski tidak memiliki atau menggunakan akun DANA.
(Rls/Red)
About the Author
