Dana Nasabah Diserang: SORBAN Minta Pemerintah Perketat Pengawasan Siber

Penulis: Tim Redaksi SORBAN
Dateline: Taipei–Paris | 8 November 2026

Awal November membawa peringatan keras bagi masyarakat pengguna layanan keuangan digital. Di Taiwan, ratusan nasabah SinoPac dilaporkan menjadi korban transfer tanpa izin; di Prancis, sebuah rekening milik Crédit Mutuel Arkéa dipakai untuk mengalirkan dana bank; di Jepang, sistem penjaminan kredit mengalami akses tak sah. Kasus Malaysia menyentuh situs korporat, sementara CERT-In India mengingatkan ancaman otomatisasi serangan berbantuan AI. Bentuk dan dampaknya tidak sama, tetapi semuanya menegaskan perlunya pemerintah memastikan bank dan penyedia teknologinya siap melindungi masyarakat.

Kerugian Bank, Transfer Tanpa Izin, dan Risiko Data Muncul di Jalur Berbeda

Perhatian publik kerap tertuju pada satu angka kerugian, padahal gelombang awal November ini memuat beberapa jenis risiko. Di Taiwan, PTS News melaporkan 419 nasabah Bank SinoPac mengalami transaksi tanpa izin dengan total lebih dari NT$40 juta. Dana dikabarkan masuk ke rekening tertentu setelah verifikasi digital dimanfaatkan. SinoPac menyatakan telah mengembalikan dana yang terdampak serta memperbaiki layanan. Pengembalian dana adalah langkah penting, tetapi penyelidikan tentang bagaimana verifikasi bisa ditembus tetap harus menjawab persoalan pencegahan.

Di Prancis, Crédit Mutuel Arkéa mengumumkan sekitar €100 juta dana milik bank hilang setelah transaksi penipuan pada 4 November. CNA/Reuters mengutip bank yang menyatakan aset nasabah tidak terdampak. Beberapa transaksi dihentikan sementara sebagai upaya pencegahan dan menimbulkan keterlambatan transfer. Bank melaporkan perkara kepada ECB, pengawas perbankan Prancis, dan kejaksaan; unit kejahatan siber Paris membuka penyelidikan. Jumlah yang dapat dipulihkan belum diketahui.

SMBC Consumer Finance di Jepang mendeteksi akses tidak sah pada sistem layanan penjaminan kredit pada 2 November. Tirto.id mengutip Internet Watch yang melaporkan informasi hingga 320.118 orang berpotensi terpapar, dengan lingkup akhir masih diperiksa. Di Malaysia, Bank Rakyat mengatakan peretasan pada 6 November hanya mengenai situs korporat yang dikelola penyedia pihak ketiga; bank menegaskan data, simpanan, serta operasi perbankan tidak terdampak.

Untuk ancaman AI, CERT-In India menerbitkan advisori pada 4 November tentang CRAFTY FALCON dan perangkat yang dapat mengotomatisasi pencarian celah serta serangan terhadap entitas keuangan. Peringatan ini berdiri sebagai temuan tersendiri. Tidak ada dasar untuk menyimpulkan bahwa kelompok tersebut berada di balik semua kasus di negara lain. Pembedaan ini penting agar publik memperoleh informasi yang tegas sekaligus akurat.

Kewaspadaan Pemerintah Harus Terasa dalam Perlindungan Nyata

Dalam perspektif editorial SORBAN, nasabah tidak semestinya menjadi lapisan terakhir yang diminta menanggung risiko. Meminta masyarakat berhati-hati terhadap tautan palsu memang perlu, tetapi itu tidak menjawab bagaimana rekening bank bisa digunakan dalam transaksi penipuan, bagaimana verifikasi digital bisa dilewati, atau mengapa sistem yang dipercayakan kepada vendor dapat membuka akses terhadap data.

Pemerintah perlu memastikan OJK dan Bank Indonesia memeriksa keamanan layanan digital sebagai satu rantai: aplikasi, API, sistem transaksi dan pencairan, koneksi vendor, serta akses internal bank. BSSN perlu memperkuat koordinasi pertukaran peringatan dan respons insiden. Pemeriksaan harus menguji skenario yang nyata—rekening tujuan berulang, transaksi tidak lazim, akun vendor yang disalahgunakan, dan gangguan pada layanan penting—serta memastikan bank dapat menghentikan aliran dana dengan cepat.

Transparansi menjadi bagian dari perlindungan. Bank perlu menyampaikan fakta yang sudah diketahui tanpa menyembunyikan dampak, tetapi juga tidak boleh mengumumkan angka atau penyebab yang belum terverifikasi. Nasabah harus diberi kanal pengaduan yang mudah dijangkau, informasi tentang pengamanan rekening, dan jalur pemulihan dana yang jelas. Jika ada potensi kebocoran data, pemberitahuan harus membantu orang memahami risiko dan langkah yang perlu dilakukan.

Pengawasan tidak boleh berhenti pada pemeriksaan dokumen kepatuhan. Pemerintah perlu meminta bukti uji keamanan independen, evaluasi vendor kritis, simulasi penghentian transaksi dan pemulihan, serta tindak lanjut atas celah yang ditemukan. Jika bank bergantung pada penyedia pihak ketiga, tanggung jawab kepada nasabah tetap harus terang dan tidak terpecah di antara kontrak yang sulit dipahami masyarakat.

POJK dan UU PDP Menjadi Dasar Pemeriksaan dan Pemulihan

POJK Nomor 11/POJK.03/2022 mengatur penyelenggaraan teknologi informasi oleh bank umum, termasuk kewajiban penilaian sendiri atas maturitas keamanan siber. OJK menyebut penilaian digital bank meliputi tata kelola, manajemen risiko, keamanan dan ketahanan siber, data, serta pelindungan konsumen. OJK berwenang mengawasi pemenuhan ketentuan sektor perbankan dan meminta bank memperbaiki tata kelola ketika ditemukan kelemahan.

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi juga menetapkan tanggung jawab pengendali data. Apabila terjadi kegagalan pelindungan data, Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga berwenang, dengan penjelasan mengenai data yang terungkap, waktu dan cara kejadian, serta langkah penanganan. Penerapan kewajiban ini mengikuti fakta dan syarat hukum pada tiap kejadian; potensi paparan harus ditindaklanjuti dengan penyelidikan, bukan disamakan dengan kebocoran yang telah dipastikan.

Langkah yang dapat segera dilakukan ialah audit sistem dan vendor berisiko tinggi, autentikasi berlapis untuk transaksi berisiko, pembatasan akses istimewa, pemantauan pola transfer, pelaporan cepat ke regulator, serta penyediaan mekanisme pemulihan bagi nasabah. Aparat penegak hukum harus menelusuri transaksi dan menjaga bukti elektronik. OJK, BI, dan BSSN perlu memastikan hasil pemeriksaan dan perbaikan dapat dipertanggungjawabkan.

Gelombang serangan ini menunjukkan bahwa keamanan siber adalah bagian dari perlindungan konsumen dan stabilitas layanan publik. SORBAN menyerukan agar Pemerintah meningkatkan kewaspadaan, menagih kesiapan bank dan vendor, serta memastikan nasabah mendapat perlindungan dan informasi yang layak.

Catatan akhir: Tim Redaksi SORBAN — perspektif editorial Solidaritas Rakyat untuk Bangsa dan Negara. Editorial 8 November 2026.

Referensi

1. Tirto.id, “Serangan Siber Hantam Bank di Eropa-Asia, Dana Nasabah Terancam,” 8 November 2026.

2. Channel NewsAsia/Reuters, “French bank Credit Mutuel Arkea says €100 million missing after cyberattack,” 5 November 2026, diperbarui 6 November 2026.

3. PTS News, “Ratusan rekening nasabah Bank SinoPac dibobol, 419 orang menjadi korban,” 5 November 2026.

4. CERT-In, Advisori CIAD-2026-0058, “Escalation of AI-Driven Attacks on BFSI Entities by Threat Actor CRAFTY FALCON,” 4 November 2026.

5. Reuters, “India flags Chinese-linked AI tools in hacking campaign against financial firms,” 5 November 2026.

6. Otoritas Jasa Keuangan, POJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum.

7. Otoritas Jasa Keuangan, “OJK Terbitkan Aturan dan Pedoman untuk Mendukung Transformasi Digital Sektor Perbankan,” 29 Desember 2023.

8. Kementerian Komunikasi dan Digital, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Muhammad Naufal Taftazani | sorban.naufallawyer.com | Solidaritas Rakyat untuk Bangsa dan Negara (SORBAN)