BI Minta DANA Investigasi Kasus Dugaan Kartu Kredit Dibobol via QR

Bank Indonesia (BI) meminta platform dompet digital DANA melakukan investigasi secara menyeluruh terkait dugaan pembobolan kartu kredit melalui penyalahgunaan fitur pembayaran kode QR pada aplikasi itu. BI juga meminta DANA memperbaiki kelemahan sistem dan memperkuat pengamanan untuk memastikan transaksi berjalan sesuai mekanisme autentikasi dan standar keamanan yang dipersyaratkan.

“Bank Indonesia terus mencermati dan melakukan pendalaman atas insiden transaksi tidak sah pada aplikasi DANA,” kata Kepala Departemen Komunikasi BI Ramdan Denny Prakoso dikutip dari Antara.

BI meminta DANA bersama pihak terkait segera melakukan identifikasi dan verifikasi terhadap transaksi yang tidak diakui oleh pengguna. Penyelenggara dompet digital itu juga diminta menindaklanjuti setiap pengaduan konsumen, serta menyelesaikannya sesuai mekanisme dan ketentuan yang berlaku.

Selain investigasi dan penanganan pengaduan, BI meminta DANA melakukan perbaikan atas kelemahan sistem yang berkaitan dengan insiden tersebut. Penguatan pengamanan diperlukan untuk memastikan transaksi kembali berlangsung sesuai mekanisme autentikasi dan standar keamanan transaksi yang dipersyaratkan.

BI menegaskan bahwa keamanan, keandalan, dan pelindungan konsumen merupakan prinsip utama dalam penyelenggaraan sistem pembayaran. Setiap penyelenggara sistem pembayaran wajib memastikan pengembangan dan perubahan sistem maupun aplikasi didukung oleh tata kelola, manajemen risiko, pengujian, serta pengendalian keamanan yang memadai.

“Bank Indonesia akan terus mengawal proses tersebut hingga hak konsumen yang terdampak terpenuhi sesuai ketentuan,” ujar Ramdan.

Ia juga menegaskan BI akan terus mengawal penyelesaian insiden dan melakukan tindak lanjut pengawasan secara tegas sesuai dengan ketentuan yang berlaku.

DANA Blokir Akun Terindikasi Disalahgunakan

Sebelumnya, DANA menyampaikan respons atas dugaan modus fraud yang ramai diperbincangkan warganet melalui media sosial Threads. Modus ini berkaitan dengan penyalahgunaan fitur pembayaran kode QR pada aplikasi DANA untuk melakukan pembobolan kartu kredit.

Director of Communications DANA Indonesia Olavina Harahap menyampaikan permintaan maaf kepada para korban sekaligus menjelaskan langkah penanganan yang telah dilakukan perusahaan dalam keterangan pers pada Selasa (22/9).

DANA telah memblokir akun-akun dompet digital yang terindikasi disalahgunakan pelaku kejahatan untuk menjalankan aksinya. Perusahaan juga berkoordinasi dengan bank penerbit kartu untuk pengembalian dana secara penuh kepada para korban, sejalan dengan kebijakan DANA Protection terkait perlindungan transaksi.

“DANA berkomitmen menindaklanjuti setiap laporan dan terus memperkuat keamanan sistem untuk melindungi pengguna,” kata Olavina.

Perusahaan juga menjanjikan penguatan langkah keamanan agar kejadian serupa tidak terulang di kemudian hari.

DANA Kembalikan Uang Korban Kartu Kredit Dibobol

DANA menjelaskan sejumlah langkah yang dapat dilakukan pemilik kartu kredit yang terdampak untuk memperoleh pengembalian dana atau limit kartu.

Pertama, pemilik kartu kredit perlu menghubungi bank penerbit kartu untuk menyanggah transaksi yang tidak dilakukannya. Setelah itu, pemilik kartu dapat mengirimkan nama bank dan nomor laporan dari bank melalui pesan langsung atau direct message (DM) ke akun Instagram resmi DANA, @dana.id.

Setelah laporan diverifikasi, DANA akan memproses pengembalian dana atau limit ke bank penerbit dalam waktu 24 jam.

“Pengembalian dana/limit ke kartu kredit akan tercantum di lembar tagihan berikutnya, sesuai prosedur dan kebijakan masing-masing bank,” kata Olavina.

DANA mengingatkan pengguna kartu kredit agar tidak membagikan informasi sensitif, seperti PIN, OTP, CVV, kata sandi, maupun nomor kartu kredit lengkap kepada siapa pun.

Ahli IT Ungkap Dugaan Modus Kartu Kredit Dibobol via DANA QR

Pakar keamanan siber dari Vaksincom, Alfons Tanujaya, menjelaskan bahwa dugaan pembobolan kartu kredit melalui DANA QR dapat terjadi jika pelaku memiliki data kartu kredit curian yang kemudian ditautkan ke akun DANA.

“Korban tidak perlu punya akun DANA untuk menjadi korban. Yang dipakai hanya data kartunya,” kata Alfons, yang juga Wakil Ketua Umum 2 Asosiasi Pengusaha Teknologi Informasi dan Komunikasi Nasional (Aptiknas) dikutip dari keterangan pers.

Menurut analisisnya, data yang dieksploitasi meliputi nomor kartu, masa berlaku, CVV, dan nama pemilik kartu. Ia memperkirakan data tersebut dapat diperoleh pelaku melalui serangan infostealer atau malware pada aplikasi bajakan, web skimming, maupun phishing.

Pelaku terlebih dahulu menguji keaktifan data kartu melalui transaksi bernominal nol rupiah beberapa kali. Kartu yang terbukti aktif kemudian ditautkan ke dompet digital milik pelaku.

Setelah kartu terhubung, pelaku dapat menggunakan kartu kredit korban untuk melakukan berbagai transaksi melalui merchant QRIS. Alfons menyebut contoh penggunaan berupa top up aset kripto maupun belanja di e-commerce, dengan nilai transaksi yang mudah dicairkan.

Alfons juga menjelaskan mengapa sebagian transaksi yang diduga tidak sah dapat berhasil tanpa kode One Time Password (OTP). Menurut dia, hal ini berkaitan dengan sistem risiko keamanan bank penerbit.

Pada teknologi autentikasi 3-D Secure generasi baru, keputusan pengiriman OTP ditentukan berdasarkan skor risiko dari bank penerbit. Dengan demikian, transaksi yang lolos tanpa OTP dinilai aman oleh sistem risiko bank, meskipun penilaian tersebut dapat keliru.

“Artinya, transaksi yang lolos tanpa OTP adalah transaksi yang oleh sistem risiko bank dinilai 'aman', dan penilaian itu keliru,” katanya.

Ia turut menyoroti kontrol kecepatan transaksi atau velocity check. Menurut Alfons, sistem dinilai gagal memblokir secara otomatis pola transaksi berulang dengan nominal identik dalam hitungan detik.

Menurut dia, terdapat dua area yang perlu diperhatikan dalam dugaan fraud tersebut, yakni sistem risiko bank penerbit dan kontrol pada aplikasi pembayaran yang sama-sama memungkinkan transaksi lolos.

Alfons mendorong regulator, termasuk Bank Indonesia dan Otoritas Jasa Keuangan (OJK), untuk mewajibkan verifikasi kuat saat kartu ditautkan ke dompet digital serta mengevaluasi sistem risiko perbankan.

“Yang dibutuhkan yakni investigasi sumber kebocoran, pengetatan otentikasi, dan kepastian bahwa korban tidak menanggung kerugian yang bukan kesalahannya,” ujar Alfons.

Ia mengimbau masyarakat yang telah menjadi korban untuk segera memblokir kartu dan mengajukan sanggahan tertulis kepada bank. Pengguna juga diingatkan agar tidak memberikan kode OTP kepada pihak yang mengaku sebagai petugas bank.

Hal senada disampaikan BI, yakni masyarakat diminta menjaga kerahasiaan data dan kredensial pembayaran. Pengguna juga diminta memantau riwayat transaksi secara berkala serta segera melaporkan transaksi yang tidak dikenali melalui kanal resmi bank penerbit kartu dan/atau penyelenggara.

BI menegaskan bahwa keamanan, keandalan, dan pelindungan konsumen merupakan prinsip utama dalam penyelenggaraan sistem pembayaran. Setiap penyelenggara wajib memastikan pengembangan dan perubahan sistem maupun aplikasi didukung tata kelola, manajemen risiko, pengujian, serta pengendalian keamanan yang memadai.

Bank sentral menyatakan akan terus mengawal penyelesaian insiden dan melakukan tindak lanjut pengawasan secara tegas sesuai ketentuan yang berlaku.

Dengan demikian, penanganan dugaan pembobolan kartu kredit melalui DANA QR mencakup investigasi transaksi tidak sah, verifikasi pengaduan konsumen, perbaikan kelemahan sistem, dan penguatan pengamanan transaksi. BI menempatkan pemenuhan hak konsumen terdampak sebagai prioritas dalam proses penyelesaian insiden tersebut.