- Kasus BSI mencetak rekor, layanan perbankan yang terganggu selama berhari-hari.
- Pakar keamanan siber meyakini layanan BSI yang down karena serangan ransomware.
- Penanganan kebocoran data BSI dinilai sangat buruk.
Sekelompok pekerja lepas mengomel di grup WhatsApp mereka pada Senin (8/5) siang. Gaji yang sudah diterima melalui PT Bank Syariah Indonesia Tbk alias BSI malah tidak bisa diambil hari itu. Masalahnya, seluruh layanan bank untuk menampung gaji tidak bisa diakses.
Nada Tri Hazka Syahirah (22) beruntung hari itu karena tidak sedang mengambil pekerjaan dan gajinya bulan itu masih mencukupi. Tapi tetap saja, mahasiswa yang terbiasa cashless ini sangat terganggu karena tidak bisa membayar transaksi apapun, sementara ia tidak memegang uang kartal sama sekali.
Keesokan harinya, barulah Nada bisa mengambil uang dari anjungan tunai mandiri (ATM) untuk kebutuhannya di rantau. Sayangnya, ia masih belum bisa menggunakan layanan BSI Mobile di gawainya.
BSI sebenarnya bukan bank pilihannya untuk bertransaksi sehari-hari. Namun, karena terdaftar sebagai mahasiswa Universitas Andalas, Sumatera Barat, ia otomatis mendapatkan kartu mahasiswa berbentuk ATM di bank syariah tersebut.
Lewat sepekan layanan BSI terus menjadi sorotan. Layanan perbankan tidak kunjung berjalan normal. Ini menjadi rekor terburuk yang pernah dialami sebuah bank Tanah Air. BSI mengklaim telah berjalan normal pada 11 Mei lalu tapi konsumen di media sosial berkata sebaliknya.
Lalu, muncul isu layanan bank pelat merah itu sempat down karena aksi peretasan kelompok hacker LockBit. Nasabah pun menjadi was-was. Nada akhirnya memutuskan memindahkan seluruh uangnya dari BSI, menyisakan hanya Rp 300 ribu. "Kalau ada risiko uangnya hilang, aku enggak masalah karena jumlahnya cuma segitu,” kata Nada beberapa hari lalu.
Berbagai kalangan merespon negatif kejadian selama sepekan tersebut. “Sejauh menjalankan bisnis sekuriti siber, baru ini kami alami bank down berhari-hari dan yang mengalami itu tidak mau mengaku,” tutur pakar keamanan siber dari Vaksincom Alfons Tanujaya. “Kenapa enggak sportif dengan mengabarkan nasabah, sih?”
Penyangkalan Konsisten BSI
Pada Selasa pekan lalu, pihak bank mengatakan gangguan ini terjadi karena BSI melakukan pemeliharaan sistem dan butuh waktu untuk penyesuaian. Perusahaan memastikan dana nasabah tetap aman dan meminta waspada terhadap penipuan.
Pengamat keamanan siber tidak sepakat dengan hal ini. Direktur Eksekutif ICT Institute Heru Sutadi menyebut kemungkinan besar BSI kena serangan siber ransomware.
Melansir dari situs Microsoft, serangan ransomware adalah 'program jahat' yang mengancam korban dengan menghancurkan atau memblokir akses ke data atau sistem penting hingga permintaan tebusan dibayarkan.
Sebagian besar ransomware menargetkan individu. Namun, belakangan targetnya menjadi organisasi yang lebih luas dan semakin sulit untuk dicegah atau ditanggulangi.
Beberapa serangan tersebut, Microsoft menulis, sangat canggih. Penyerang dapat memakai dokumen keuangan internal yang merka curi untuk menetapkan harga tebusan.
Perusahaan keamanan siber Kaspersky menyebut saat ini ransomware merupakan kejahatan siber yang paling populer, karena memiliki model monetisasi yang jelas dan mudah diimplementasikan.
Perusahaan keamanan siber Coveware mengestimasi, sepanjang kuartal pertama 2023 rata-rata uang tebusan yang dibayarkan korban ransomware kepada pelakunya mencapai USD 327,8 ribu atau sekitar Rp4,8 miliar.
BSI tidak mengiyakan adanya ransomware dalam sistem perbankannya. Namun, Menteri Badan USaha Milik Negara Erick Thohir berkata sebaliknya. “Ada serangan, saya bukan ahlinya. Ada tiga poin apalah itu, sehingga mereka down hampir satu hari kalau tidak salah,” katanya saat ditemui di sela-sela KTT ASEAN di Labuan Bajo.
Seiring dengan pernyataan Etho, geng peretas asal Rusia, LockBit, mengaku mereka adalah “penyandera” data-data BSI pada Sabtu pekan lalu. Total ada 1,5 terabita data yang dicuri, dan mereka meminta “uang tebusan” pada BSI agar datanya dikembalikan.
BSI gagal dalam negosiasi tersebut, sehingga tiga hari kemudian kelompok ini mengunggah seluruh data itu ke situs gelap alias darkweb. Di Twitter, tangkapan layar penjualan data nasabah BSI hingga informasi para direksinya ramai beredar.
Hingga hari ini, Jumat (19/5), publik tidak tahu adakah langkah yang dilakukan, baik dari BSI ataupun Otoritas Jasa Keuangan, untuk menindaklanjuti kebocoran data tersebut. Bahkan nilai kerugian dari tidak beroperasinya layanan perbankan BSI selama berhari-hari tidak pula muncul ke publik.
Menteri Keuangan Sri Mulyani menyebut Komite Stabilitas Sistem Keuangan (KSSK) telah menerima laporan dari OJK terkait masalah ini. Namun, ia tak merinci bagaimana pembicaraan di internal terkait kejadian itu.
Yayasan Lembaga Konsumen Indonesia alias YLKI sudah menerima berbagai pengaduan terkait layanan BSI. Kepala Bidang Pengaduan YLKI, Aji Warsito, menghitung ada empat pengaduan per 17 Mei 2023, berupa kerugian materil maupun moril.
“Konsumen tidak menyebut nominal kerugiannya. Tapi, menurut pandangan kami, seharusnya pihak BSI bisa memberi kompensasi hingga ganti rugi pada nasabah yang dananya hilang,” kata Aji pada Katadata, Rabu.
