Pakar keamanan siber Pratama Persadha menyoroti kasus pembobolan dana nasabah melalui kanal BI Fast yang disebut mencapai ratusan miliar rupiah. Menurutnya, insiden ini bukan karena kelemahan inti sistem BI Fast, melainkan eksploitasi titik terlemah pada bank-bank peserta.
Chairman Lembaga Riset Keamanan Siber CISSReC itu menjelaskan, BI Fast merupakan infrastruktur pembayaran nasional yang menghubungkan sistem internal bank peserta. Oleh karena itu, serangan sering kali menyasar celah pada sistem pendukung, integrasi aplikasi, dan proses operasional di bank, yang berada di luar pengawasan langsung Bank Indonesia (BI).
Pantau terus artikel terbaru dan terupdate hanya di mureks.co.id!
Serangan Sasar Sistem Internal Bank
Pratama Persadha menegaskan, “Artinya, serangan tidak selalu menargetkan “inti” BI Fast, melainkan sering kali mengeksploitasi titik terlemah di sisi bank peserta, khususnya pada sistem pendukung, integrasi aplikasi, dan proses operasional yang berada di luar pengawasan langsung Bank Indonesia (BI).”
Dari perspektif teknik peretasan, Pratama menyebut skenario paling realistis adalah kompromi sistem internal bank melalui akses tidak sah. Akses ini kemudian dimanfaatkan untuk mengirimkan instruksi transaksi yang secara format dan alur terlihat sah oleh BI Fast.
Ia menambahkan, “Hal ini bisa terjadi melalui pencurian kredensial administrator, penyalahgunaan akun berprivilege tinggi, atau eksploitasi celah pada middleware dan API yang menghubungkan core banking dengan BI Fast.”
Dalam banyak kasus serupa di berbagai negara, pelaku kejahatan siber tidak perlu meretas sistem pembayaran nasional secara langsung. Mereka cukup menyamar sebagai entitas internal bank yang sah, sehingga transaksi lolos dari pemeriksaan karena memenuhi parameter teknis dan bisnis yang telah ditentukan.
Pratama menjelaskan, “Teknik seperti malware khusus perbankan, akses jarak jauh ilegal, hingga manipulasi log dan monitoring sistem kerap digunakan untuk memperpanjang waktu deteksi.”
Perpaduan Human Error dan Kelemahan Sistem
Mengenai pertanyaan apakah insiden ini murni akibat human error atau kelemahan sistem, Pratama menyatakan bahwa keduanya hampir selalu memiliki irisan dalam dunia keamanan siber.
Menurutnya, human error sering menjadi pintu masuk awal, seperti kelalaian pengelolaan kredensial, lemahnya kontrol akses, atau kegagalan mendeteksi aktivitas anomali sejak dini. Namun, kesalahan manusia tersebut baru berdampak besar apabila sistem tidak dirancang dengan prinsip pertahanan berlapis.
“Jika satu akun internal yang disusupi dapat memicu transaksi bernilai besar tanpa verifikasi tambahan atau tanpa alarm yang efektif, maka di situ terdapat kelemahan desain keamanan. Dengan kata lain, pelaku memanfaatkan kombinasi kelemahan tata kelola, kontrol teknis yang kurang ketat, dan celah pada proses pengawasan transaksi,” pungkas Pratama.
