Hacker Kuras Uang Tiga Lembaga Keuangan Indonesia dalam 7 Jam, Ini Modusnya

Serangan siber terhadap lembaga keuangan di Indonesia semakin cepat. Tim respons insiden ZENTARA menangani tiga kasus pencurian dana di lembaga keuangan sejak Agustus. Dalam setiap kasus, uang berhasil dipindahkan dalam waktu kurang dari tujuh jam melalui sistem pembayaran milik lembaga keuangan itu sendiri.

Menariknya, ketiga pencurian itu tidak membutuhkan malware maupun kecerdasan buatan (AI). Penyerang justru memanfaatkan akses yang sah, seperti kunci penandatanganan yang dicuri, token milik staf, hingga akun back-office asli.

ZENTARA mengungkapkan, tiga kasus pencurian dana itu terjadi dalam periode delapan pekan. Padahal, dalam tiga bulan sebelumnya, tim tidak menangani satu pun kasus serupa.

Kecepatan menjadi salah satu karakteristik utama serangan tersebut. Dana dalam setiap kasus selesai dipindahkan dalam rentang 36 menit hingga hampir tujuh jam setelah transfer penipuan pertama dilakukan.

Waktu tersebut jauh lebih singkat dibandingkan kebiasaan korban melaporkan penipuan. Data Indonesia Anti-Scam Centre (IASC) yang dikutip dalam siaran pers ZENTARA menunjukkan 85% korban penipuan baru melapor setelah 12 jam.

Keterlambatan pelaporan membuat dana semakin sulit dilacak dan berpotensi mengurangi peluang pemulihan.

ZENTARA menyebut kelemahan yang ditemukan pada ketiga lembaga keuangan tersebut memiliki pola serupa, meskipun tidak menggunakan vendor, teknologi, maupun staf yang sama. Perusahaan menilai kondisi ini menunjukkan persoalan keamanan yang lebih luas di sektor keuangan, bukan sekadar insiden individual.

Modus Hacker: Manfaatkan Akun dan Akses Resmi

Dalam investigasi terhadap pencurian dana tersebut, ZENTARA menemukan penyerang tidak selalu perlu meretas sistem melalui celah login atau memasang malware.

Pelaku justru menggunakan kredensial yang sah untuk masuk ke sistem internal lembaga keuangan. Beberapa di antaranya berupa kunci penandatanganan yang dicuri, token staf, dan akun back-office asli.

Modus ini membuat sistem pertahanan yang dirancang untuk memantau upaya login dan pemindaian sistem tidak mendeteksi aktivitas mencurigakan.

ZENTARA juga menemukan mekanisme persetujuan berlapis atau maker-checker tidak berfungsi sebagaimana mestinya di ketiga lembaga keuangan yang ditangani.

Mekanisme maker-checker seharusnya memastikan transaksi dibuat oleh satu pihak dan disetujui pihak lain. Namun, dalam salah satu sistem yang diperiksa, sistem hanya menghitung jumlah tanda tangan persetujuan tanpa memeriksa identitas pihak yang memberikan persetujuan.

Akibatnya, mekanisme yang seharusnya mencegah transaksi tidak sah justru dapat dilewati penyerang.

Kelemahan lainnya ditemukan pada sistem pencatatan aktivitas atau log. ZENTARA menemukan sistem pemantauan dan analitik di ketiga lembaga menyimpan kata sandi, token, maupun rahasia autentikasi dua faktor (2FA).

Dengan demikian, siapa pun yang memiliki akses untuk membaca log berpotensi memperoleh kredensial yang dapat digunakan untuk mengambil alih akses administrator.

Penyerang kemudian memanfaatkan sistem pembayaran milik lembaga keuangan itu sendiri untuk memindahkan dana. Uang dikirim ke rekening domestik atas nama orang lain.

Menurut ZENTARA, pencocokan sederhana antara nama penerima dan data rekening sebenarnya dapat menandai pembayaran rupiah yang mencurigakan dalam salah satu kasus tersebut.

Tidak Ada Alarm Otomatis saat Hacker Masuk

ZENTARA juga menyoroti lemahnya sistem deteksi terhadap aktivitas penyerang.

Dalam kasus yang memiliki dokumentasi deteksi, tidak ada peringatan otomatis yang berbunyi ketika pencurian berlangsung.

Dalam salah satu insiden, staf justru mengetahui serangan secara langsung. Mereka kemudian menutup platform dalam waktu 29 menit sehingga seluruh upaya penarikan dana berikutnya berhasil diblokir.

Masalah lain muncul dari tidak tersedianya catatan aktivitas sistem. Dalam tiga dari lima penugasan respons insiden dan asesmen kompromi yang dilakukan ZENTARA, tim tidak dapat memastikan bagaimana penyerang pertama kali masuk karena log tidak pernah disimpan.

Bahkan, salah satu lembaga kembali mengalami penyusupan delapan hari setelah penanganan awal.

Temuan itu memperlihatkan bahwa persoalan keamanan tidak hanya berkaitan dengan kemampuan mendeteksi serangan, tetapi juga pengelolaan akses, penyimpanan kredensial, dan pencatatan aktivitas sistem.

Data publik juga menunjukkan peningkatan aktivitas penipuan. Berdasarkan analisis ZENTARA terhadap angka IASC, laju bulanan pemblokiran akun yang terhubung dengan penipuan meningkat sekitar 53% pada Agustus-September dibandingkan Januari-Juli.

Hingga 30 September 2026, tercatat sebanyak 702.833 akun telah diblokir.

AI Percepat Pembobolan

Di tengah pencurian dana yang memanfaatkan akses resmi tersebut, perkembangan AI turut meningkatkan risiko keamanan siber secara global.

ZENTARA menilai AI membuat proses pencarian dan pemanfaatan celah keamanan perangkat lunak semakin cepat dan murah. Sementara itu, organisasi masih membutuhkan waktu lebih lama untuk memperbaiki kelemahan sistem.

Salah satu contoh terbaru yakni PHP2Shell pada Oktober. Dua celah kritis pada perangkat lunak PHP memungkinkan penyerang mengambil alih server tanpa harus melakukan login.

Celah tersebut ditemukan dengan bantuan AI oleh Wiz, Calif, dan OpenAI. Menurut SecurityWeek, upaya eksploitasi dimulai empat hari sebelum patch dirilis pada 21 Oktober dan mencapai jutaan dalam hitungan jam.

Dampaknya, pemerintah Finlandia, Belanda, dan Jerman mengambil situs web mereka secara offline. Otoritas Keamanan Siber Singapura atau CSA juga mengeluarkan peringatan terkait kerentanan tersebut.

ZENTARA menyebut masih terdapat sekitar 758.000 server yang terhubung langsung ke internet dan menjalankan versi PHP yang tidak lagi mendapatkan perbaikan resmi.

Data Google juga menunjukkan jumlah pengungkapan celah keamanan meningkat dari 5.045 pada Januari menjadi 10.740 pada Agustus 2026.

Sekitar separuh celah yang ditemukan memungkinkan eksekusi kode jarak jauh atau remote code execution (RCE), dibandingkan 26% pada celah lainnya.

Microsoft memperkirakan median waktu antara penemuan celah keamanan dan eksploitasi oleh penyerang telah jauh di bawah 24 jam.

Dalam kasus lain, seorang penyerang dilaporkan menggunakan agen AI untuk membobol lebih dari 100 organisasi dengan biaya sekitar US$50 per pembobolan.

Meski demikian, Google mengingatkan bahwa tidak semua celah keamanan yang diungkapkan benar-benar dieksploitasi. Berdasarkan data perusahaan, hanya sekitar satu dari 431 celah yang pernah terlihat dimanfaatkan dalam serangan.

Artinya, risiko terbesar terletak pada kecepatan penyerang mengubah sejumlah kecil celah berbahaya menjadi senjata untuk menyerang organisasi.

ZENTARA Peringatkan 18 Bulan Masa Kritis

Wakil Chief Information Security Officer (CISO) Anthropic Jason Clinton sebelumnya memperingatkan bahwa kondisi keamanan siber akan semakin memburuk sebelum membaik.

Dalam unggahannya pada 22 Oktober, Clinton menyebut organisasi yang bertahan harus mempersiapkan diri menghadapi sekitar 18 bulan ke depan.

Menurut dia, AI memungkinkan penemuan kelemahan perangkat lunak dalam skala lebih besar, sementara organisasi belum mampu memperbaiki seluruh celah dengan kecepatan yang sama.

ZENTARA memperkirakan 12-18 bulan ke depan menjadi periode paling sulit sebelum sistem pertahanan berbasis AI mampu mengejar kemampuan penyerang.

Perusahaan juga memperkirakan serangan siber akan semakin banyak menyasar bank, bursa, penyedia pembayaran, hingga pemasok teknologi informasi mereka.

Co-founder sekaligus CEO ZENTARA Regal Star mengatakan ketiga pencurian dana yang ditangani perusahaan dalam dua bulan terakhir memiliki pola serupa.

"Dalam setiap pencurian yang kami investigasi selama dua bulan terakhir ini, penyerang tidak membobol masuk, mereka masuk dengan sah. Kontrolnya ada di atas kertas, log-nya sama sekali tidak ada, dan uangnya raib dalam hitungan jam," kata Regal.

Ia menambahkan AI tidak menciptakan kelemahan baru, tetapi mempercepat penemuan kelemahan lama yang belum diperbaiki organisasi.

"AI tidak menciptakan kelemahan baru. AI menemukan kelemahan lama yang tidak pernah kita perbaiki dengan kecepatan mesin," ujarnya.

Menurut Regal, organisasi perlu mempercepat penerapan pembaruan keamanan, mengetahui seluruh sistem yang digunakan, dan melakukan pemantauan secara berkelanjutan untuk menghadapi peningkatan ancaman siber.

ZENTARA merekomendasikan perusahaan dan pemerintah menerapkan jendela pembaruan darurat untuk celah kritis yang terhubung ke internet dengan target maksimal 48 jam.

Selain itu, organisasi perlu melakukan threat hunting pada server web dan perangkat edge karena pemasangan patch saja tidak otomatis mengeluarkan penyerang yang sudah berada di dalam sistem.

Perusahaan juga disarankan memperkuat deteksi berbasis threat intelligence, menguji ketahanan sistem melalui vulnerability assessment and penetration testing (VAPT) dan red teaming, serta membatasi hak akses agen AI dan gateway yang digunakan.

ZENTARA menekankan bahwa kecepatan memperbaiki kelemahan sistem dan memantau aktivitas jaringan menjadi faktor penting untuk menghadapi serangan siber yang semakin cepat.