Kartu Kredit Dibobol Lewat DANA QR, BI Minta Investigasi, Sistem Bank Ikut Disorot

---

JAMLIMA.COM, JAKARTA — Bank Indonesia (BI) meminta DANA menginvestigasi dugaan transaksi kartu kredit tidak sah melalui DANA QR.

Kasus mencuat setelah sejumlah pemegang kartu menemukan transaksi yang tidak mereka kenali.

Sebagian korban mengaku tidak menggunakan atau bahkan tidak memiliki akun DANA.

Kepala Departemen Komunikasi BI Ramdan Denny Prakoso mengatakan BI terus mencermati dan mendalami insiden tersebut.

“Bank Indonesia terus mencermati dan melakukan pendalaman atas insiden transaksi tidak sah pada aplikasi DANA,” kata Ramdan.

BI meminta DANA mengidentifikasi transaksi yang tidak diakui konsumen, memperbaiki kelemahan yang ditemukan, dan memperkuat sistem keamanan.

BI juga meminta penyelenggara menindaklanjuti pengaduan sesuai mekanisme yang berlaku serta memastikan hak konsumen tetap terlindungi.

Setiap penyelenggara sistem pembayaran, menurut BI, wajib memiliki tata kelola, manajemen risiko, pengujian, dan pengendalian keamanan yang memadai.

Data Kartu Diduga Disalahgunakan

Pakar keamanan siber Alfons Tanujaya menilai pelaku tidak harus mengambil alih akun dompet digital korban untuk melakukan transaksi.

Menurut Alfons, pelaku dapat menggunakan data kartu kredit yang diperoleh sebelumnya, lalu menautkannya ke akun yang mereka kuasai.

Data itu dapat mencakup nomor kartu, masa berlaku, CVV, dan nama pemegang kartu.

Namun, investigasi masih harus memastikan dari mana data tersebut berasal.

Alfons menyebut pelaku bisa mencuri data kartu melalui berbagai modus kejahatan siber, seperti phishing, web skimming, hingga malware jenis infostealer.

Transaksi Bisa Tanpa OTP

Dugaan transaksi tanpa kode one time password atau OTP menjadi salah satu bagian yang ikut disorot.

Alfons menjelaskan sistem autentikasi kartu tidak selalu meminta OTP dalam setiap transaksi.

Pada mekanisme 3-D Secure, bank penerbit dapat menggunakan penilaian berbasis risiko sebelum meminta autentikasi tambahan.

Sistem bank akan membaca sejumlah parameter untuk menentukan tingkat risiko sebuah transaksi.

Jika sistem menilai transaksi berisiko rendah, pembayaran dapat berjalan tanpa OTP.

“Artinya, transaksi yang lolos tanpa OTP adalah transaksi yang oleh sistem risiko bank dinilai ‘aman’, dan penilaian itu keliru,” kata Alfons.

Ia juga menyoroti mekanisme velocity check yang digunakan untuk membaca pola transaksi berulang dalam waktu singkat.

Sistem tersebut seharusnya dapat menandai aktivitas tidak wajar sehingga bank bisa melakukan pemeriksaan lebih lanjut.

Sistem Bank Ikut Disorot

Alfons menilai investigasi tidak cukup hanya mencari sumber kebocoran data kartu.

Bank penerbit juga perlu memeriksa sistem deteksi risiko dan autentikasi transaksi.

Di sisi lain, penyelenggara pembayaran perlu memastikan proses penautan kartu ke dompet digital memiliki verifikasi yang memadai.

Alfons mendorong BI dan Otoritas Jasa Keuangan (OJK) mengambil langkah sesuai kewenangan masing-masing.

“Yang dibutuhkan adalah investigasi sumber kebocoran, pengetatan otentikasi, dan kepastian bahwa korban tidak menanggung kerugian yang bukan kesalahannya,” ujarnya.

Hingga Jumat, 25 September 2026, langkah resmi yang secara khusus terkonfirmasi terkait dugaan transaksi tidak sah melalui DANA QR berasal dari BI.

BI meminta DANA menginvestigasi kasus tersebut sekaligus memperkuat keamanan transaksi.

DANA Blokir Akun

DANA menyatakan telah memblokir akun yang terindikasi digunakan dalam transaksi bermasalah.

Director of Communications DANA Indonesia Olavina Harahap mengatakan perusahaan juga berkoordinasi dengan bank penerbit kartu untuk menangani laporan nasabah.

“DANA berkomitmen menindaklanjuti setiap laporan dan terus memperkuat keamanan sistem untuk melindungi pengguna,” kata Olavina.

DANA meminta pemegang kartu yang menemukan transaksi tidak dikenal segera menghubungi bank penerbit dan mengajukan sanggahan.

Nasabah kemudian dapat menyampaikan nomor laporan dari bank melalui kanal resmi DANA untuk menjalani proses verifikasi.

DANA menyebut pengembalian dana atau pemulihan limit kepada bank penerbit dapat diproses dalam 24 jam setelah laporan terverifikasi.

Selanjutnya, bank penerbit akan mencatat penyelesaian tersebut sesuai prosedur masing-masing.

Telusuri Titik Kebocoran

Investigasi kini perlu menelusuri seluruh alur transaksi, mulai dari sumber data kartu hingga proses pembayaran.

Penelusuran juga perlu memeriksa bagaimana kartu dapat ditautkan ke layanan pembayaran, mengapa sistem deteksi fraud tidak menghentikan transaksi, dan bagaimana proses autentikasi berjalan.

BI mengingatkan masyarakat menjaga kerahasiaan data pembayaran dan rutin memeriksa riwayat transaksi.

Nasabah diminta segera menghubungi bank penerbit jika menemukan transaksi yang tidak dikenali.

DANA juga meminta pengguna tidak memberikan PIN, OTP, CVV, kata sandi, maupun nomor kartu kredit lengkap kepada pihak lain.

Hasil investigasi akan menjadi dasar untuk mengetahui titik pengamanan yang gagal dalam rangkaian transaksi tersebut.

---