Sistem Teknologi Perbankan di Tengah Ancaman Serangan Siber

tirto.id - Sistem teknologi perbankan di Tanah Air tengah menghadapi ancaman serius dari serangan siber. Secara sederhana, serangan cyber adalah upaya mendapatkan akses tidak sah ke sistem komputer untuk mencuri, mengubah, atau menghancurkan data.

Serangan ini bertujuan untuk merusak atau mendapatkan kontrol atau akses ke dokumen dan sistem penting dalam jaringan komputer bisnis atau pribadi. Serangan siber ini biasanya didistribusikan oleh individu atau organisasi untuk tujuan politik, kriminal, atau pribadi guna menghancurkan atau mendapatkan akses ke informasi rahasia.

PT Bank Syariah Indonesia (BSI) sendiri menjadi korban serangan siber pertama di awal 2023. BSI diduga mengalami serangan ransomware yang dilakukan oleh kelompok hacker Lockbit 3.0 pada Senin, 8 Mei 2023.

Sebagai varian lebih canggih dari jenis LockBit sebelumnya, LockBit 3.0 dapat mengumpulkan sistem informasi seperti nama, host, konfigurasi host, informasi domain, konfigurasi local drive, berbagi jarak jauh, dan perangkat penyimpanan eksternal.

Selang beberapa hari kemudian, perusahaan pembiayaan, PT BFI Finance Indonesia Tbk (BFIN) mengakui tengah mengalami serangan siber pada Minggu, 21 Mei 2023. Akibatnya situs perusahaan pembiayaan hingga layanannya perusahaan sempat mengalami gangguan.

“Kami informasikan bahwa pada 21 Mei 2023, perseroan telah mengalami serangan siber," tulis manajemen dalam keterbukaan informasi Bursa Efek Indonesia (BEI).

Manajemen perusahaan mengatakan, gangguan siber berdampak kepada gangguan sejumlah layanan kepada konsumen dan operasional perusahaan. Namun, BFI Finance sudah melakukan temporary switch off ke beberapa sistem utama yang menyebabkan terganggunya layanan kepada konsumen.

Namun dari kedua kejadian di atas, manajemen BSI dan BFI Finance menjamin bahwa tidak terjadi kebocoran data konsumen.

Berdasarkan data Badan Siber dan Sandi Negara (BSSN) sepanjang 2022, terjadi serangan siber berjumlah 976.429.996 dengan anomali trafik paling banyak masih berasal dari aktivitas malware. Ini adalah serangan dari perangkat lunak yang dirancang mampu merusak sistem komputer atau jaringan komputer sehingga membahayakan pemilik perangkat.

Pada 2022, malware tercatat mendominasi dibanding dengan jenis serangan-serangan siber lainnya dengan total persentase mencapai 56,84 persen. Di posisi kedua, kebocoran data atau information leak menjadi serangan siber terbanyak dengan persentase 14,75 persen.

“Serangannya hampir 1 miliar (untuk 2022). Ini anomali-anomali ancaman yang ada di ruang siber," ujar Kepala BSSN Hinsa Siburian.

Sementara berdasarkan data dari Checkpoint Research 2022, sektor jasa keuangan termasuk perbankan memang jadi target utama serangan siber. Mereka mencatat ada 1.131 kali serangan siber setiap pekannya.

Kerugian dari serangan siber tersebut pun tak bisa dipandang remeh. Menurut data International Monetary Fund (IMF) pada 2020 menghitung kerugian rata-rata tahunan akibat serangan siber di sektor jasa keuangan. Berdasarkan hasil riset IMF, secara global kerugian dari serangan siber menyentuh angka 100 miliar dolar AS.

Pertahanan Siber Perbankan Lemah?

Ketua Communication & Information System Security Research Centre (Cissrec) Pratama Persadha mengatakan, secara umum pertahanan siber di sektor perbankan tidak dapat dikatakan lemah. Karena sektor perbankan biasanya memiliki perangkat keamanan siber yang paling mutakhir serta spesifikasi dan kualifikasi paling tinggi.

Menurutnya serangan siber yang selama ini terjadi karena banyak titik masuk yang dapat dimanfaatkan oleh penyerang untuk masuk ke sistem yang menjadi targetnya. Seperti serangan phising, social engineering, pengunduhan berkas yang mengandung exploit serta dari USB dan perangkat penyimpanan eksternal yang dihubungkan ke server.

“Kita ketahui bahwa tidak ada sistem keamanan yang 100 persen bisa melindungi sistem yang dijaganya," jelasnya saat dihubungi reporter Tirto, Jumat (26/3/2023).

Pratama melihat perkembangan serangan siber sendiri saat ini semakin canggih dan sudah banyak perubahan variasi malware yang beredar. Sehingga hal ini juga menyulitkan untuk dideteksi ditambah banyaknya hacktivist yang secara spesifik mencari celah kerentanan dari suatu sistem yang dimiliki oleh organisasi dan melakukan serangan.

Tidak hanya lembaga finansial, lanjut dia, beberapa lembaga lain seperti telekomunikasi, energi, listrik, dan lainnya juga rentan menjadi sasaran dari serangan siber. Hal ini karena lembaga tersebut merupakan bagian dari infrastruktur informasi vital (IIV) yang akan selalu dijadikan target oleh pelaku kejahatan siber.

“Mereka (hacker melakukan) karena beberapa alasan seperti akses ke data pribadi dan finansial, keuntungan finansial, infrastruktur keuangan yang terkoneksi, prestise dan tujuan politik, sampai bisa menimbulkan kegaduhan dan ketidakstabilan situasi perekonomian," jelas dia.

Praktisi Perbankan, Agus Wibowo juga meyakini bahwa pengamanan siber perbankan di Indonesia sudah bagus secara sistem. Hal ini karena sudah diatur oleh regulator yang ketat seperti Bank Indonesia (BI) hingga Otoritas Jasa Keuangan (OJK).

"Itu mengisaratkan regulasi yang ketat mengenai keamanan sistem informasinya. Saya yakin bank-bank di Indonesia itu sudah memiliki satu panduan keamanan yang berbasiskan ISO 27.000," kata dia dihubungi terpisah.

Meski begitu, dia tidak menampik bahwa dari beberapa sistem keamanan dimiliki perbankan ada celah atau satu kelamahan, salah satunya manusia itu sendiri. Walaupun tidak selalu yang lemah itu adalah poin manusia atau Sumber Daya Manusia (SDM).

“Jadi sebenarnya bukan sistem kita yang lemah, tapi ada kelengahan. Benteng kita bagus, cuma kadang-kadang menjaga pintu itu lengah. Lagi ngantuk atau bagaimana itu dimanfaatkan oleh pihak yang nakal," ujarnya.

Pengamanan Sistem Teknologi Harus Diperkuat

Dari beberapa kasus kejadian serangan siber di sektor perbankan, Wakil Presiden Ma'ruf Amin mengingatkan, agar seluruh pihak memperkuat pengamanan sistem teknologi. Termasuk menyiapkan berbagai langkah antisipatif untuk mencegah kejadian serupa di masa mendatang.

“Bukan hanya BSI saya kira, bank-bank syariah yang lain juga harus antisipatif,” pintanya dalam keterangan resminya.

Termasuk, kata Wapres Ma'ruf, bank-bank konvensional juga yang harus menguatkan sistem keamanannya. Terutama untuk mengantisipasi berbagai serangan siber yang kerap terjadi.

“Karena itu, kepada seluruh bank, baik yang syariah maupun konvensional supaya lebih siap dengan situasi terjadinya pembajakan-pembajakan,” kata dia mengingatkan.

Sementara itu, Anggota Komisi XI DPR RI, Junaidi Auly meminta perbankan dan pemerintah meningkatkan sensitivitas terhadap keamanan dan ancaman siber yang terus berkembang. Politikus dari Fraksi PKS itu juga mendorong setiap perbankan untuk melakukan evaluasi keamanan layanan, termasuk membangun dan meningkatkan efektivitas antisipasi melalui alternatif strategi dan respons terhadap berbagai resiko kejahatan siber.

“Perbankan harus sadar betul, sudah sampai mana tingkat keamanan layanan jika dihadapkan dengan perkembangan ancaman. Peningkatan ancaman siber tentu harus dibarengi dengan kesiapan keamanan layanan,” ungkap Junaidi dalam keterangan tertulis.

Legislator Dapil Lampung II ini mengingatkan, ada implikasi serius dari berbagai aktivitas kejahatan siber di dunia perbankan. Implikasi dari kejahatan ini bukan saja merugikan finansial perbankan dan nasabah, melainkan juga akan mempengaruhi kepercayaan nasabah terhadap keamanan perbankan.

“Kita harus belajar banyak dari kasus serangan siber yang bisa mempengaruhi kepercayaan nasabah,” imbuhnya.

Junaidi mendorong roda kesiapan keamanan siber, menurutnya perbankan harus berputar lebih cepat dibanding roda kejahatan siber. Ia menambahkan, jika kesiapan keamanan dikayuh lambat, dikhawatirkan bukan saja meningkatkan risiko, tapi meningkatkan kemungkinan gangguan aktivitas layanan perbankan nasional.

Ia lantas menegaskan bahwa kepedulian pemerintah dan OJK harus hadir semakin dalam, sehingga ada tindak lanjut nyata untuk benar-benar memperkuat cyber security dan cyber protection. Selain itu, diharapkan Kementerian BUMN dan jajaran Direksi BSI dapat bersikap transparan terkait permasalahan ini.

“Memperkuat keamanan siber tentu tidak hanya dilakukan dan menjadi tanggung jawab perbankan, melainkan perlu dukungan pemerintah dalam membangun model yang lebih efektif dalam mengantisipasi serangan siber di masa depan,” tutup Junaidi.

Antisipasi Serangan Siber

Praktisi Perbankan BUMN, Chandra Bagus Sulistyo memahami bahwa di tengah percepatan transformasi digital perubahan pola perilaku masyarakat harus diperhatikan. Karena ini akan membuat ekses berupa risiko siber dan juga ketidakpahaman masyarakat akan berbagai produk berbasis digital serta bagaimana bisa melindungi dirinya terkait risiko data pribadi.

“Solusi agar tidak terkena serangan cyber perlu dilakukan upaya penjagaan dengan menaruh empat layar penjagaan yang sering dikenal dengan aspek people, operation, technology, dan deteksi fraud," ujarnya kepada Tirto.

Pada lapis people, kata dia, perbankan harus berikan penanganan fraud sebagai budaya organisasi yang diterapkan di internal maupun eksternal perusahaan. Ketika bicara di internal perbankan harus melakukan awareness yang berkesinambungan ke seluruh pegawai terkait dengan risk control penjagaan berkala.

Tapi di sisi eksternal dilakukan edukasi ke nasabah melalui channel layanan komunikasi secara berkala. Menurunnya kesadaran ini merupakan perlindungan pertama dan utama. "Karena seringkali justru lemah dan menjadi pintu masuk bagi hacker untuk porak porandakan teknologi yang ada," jelasnya.

Di sisi operasional, perbankan harus melakukan penanganan mulai dari design control pada setiap aktivitas dan dieksekusi secara disiplin oleh pegawai. Perbankan juga harus memonitoring pelaksanaan kontrol secara berkala termasuk di dalamnya melalui proses monitoring kehandalan layanan dan sistem serta rekonsiliasi transaksi dengan pihak terkait.

“Karena bagaimanapun proses tersebut harus dilakukan bukan secara berkala agar memastikan bahwa operasional berjalan dengan baik," sebutnya.

Pada lapis ketiga perbankan perlu melakukan teknologi multilayer mekanisme pertahanan guna mencegah serangan siber. Serta melakukan monitoring kuat dengan Security Operation Center (SOC) yang beroperasi selama 7x24 jam.

"Tidak boleh berhenti karena itu harus dilakukan untuk melihat pergerakan para hacker yang merusak sistem teknologi kita," ujarnya.

Namun lapisan ketiga ini harus didukung oleh tools pendeteksian potensi kejahatan siber yang terjadi. Sehingga apabila terjadi percobaan kejahatan teknologi, maka akan langsung terdeteksi dan dapat diantisipasi hal-hal apa yang harus dilakukan.

Kemudian lapisan terakhir untuk mendeteksi fraud, perbankan harus menerapkan kombinasi sistem dan proses untuk mendeteksi aktivitas-aktivitas terindikasi fraud. Perbankan bisa menggunakan fraud detection system yang mampu mendeteksi apabila terdapat anomali transaksi di nasabah.

"Dan harapannya ini menjadi pembelajaran kita semuanya untuk pencegahan lebih awal," jelasnya.

Sementara itu, Pratama Persadha menambahkan beberapa hal lain yang perlu dilakukan terutama untuk organisasi, adalah memasang sistem pemantauan keamanan yang dapat mendeteksi aktivitas mencurigakan atau ancaman serangan siber. Ini bisa dilakukan menggunakan pendekatan multi-layered security dengan menggabungkan berbagai teknologi dan metode keamanan, menerapkan BCM (Bussiness Continuity Management) dan selalu simulasikan prosedur dalam BCM.

"Salah satunya adalah prosedur backup & recovery secara berulang-ulang dan yang tidak kalah penting adalah secara berkala dan terus menerus melakukan assessment terhadap kerawanan serta celah keamanan siber dari sistem yang dimiliki," jelas dia.

Selain itu, menurut dia, ada beberapa cara lain yang bisa perbankan lakukan supaya terhindar dari serangan siber. Di antaranya adalah perbarui sistem operasi, aplikasi, dan perangkat lunak lainnya dengan patch keamanan terbaru. Kemudian pasang dan perbarui perangkat lunak keamanan yang kuat.

Selanjutnya jangan mengklik tautan atau membuka lampiran dari email atau pesan yang mencurigakan dan dari sumber yang tidak dikenal atau berisi permintaan yang tidak biasa. Serta buat salinan data penting anda secara teratur dan simpan salinan tersebut di tempat yang terpisah.

“Kita juga perlu untuk meningkatkan kesadaran tentang ancaman dan cara mengidentifikasi serangan siber, kemudian berikan hak akses yang sesuai kepada pengguna dalam organisasi," jelasnya.

Pratama juga mengingatkan agar hindari mengunjungi situs web yang mencurigakan atau tidak terpercaya, terutama yang berisi konten ilegal atau berbahaya. Serta gunakan kata sandi yang kuat dan unik untuk akun-akun online.

“Kita juga perlu secara berkala melakukan pergantian password dan tidak sembarangan menghubungkan perangkat kita ke akses wifi gratisan serta menggunakan layanan pengisian daya gratis,” kata dia.