Begini teknik yang digunakan untuk membobol internet banking

Mobile device menjadi alat yang diandalkan banyak orang selain berkomunikasi kegiatan seperti transaksi online dengan internet banking. Transaksi financial dengan internet banking adalah hal yang selalu mengandalkan adanya keamanan yang cukup. Apakah saat ini keamanan tersebut sudah mumpuni?

Jika kita bicara 5 tahun ke belakang kejahatan internet banking di indonesia tidak begitu marak seperti sekarang. Waktu itu masih sedikit orang bertransaksi dengan internet banking. Maraknya penggunakan mobile phone tentunya menumbuhkan angka penggunaan internet banking. Dengan peningkatan tersebut para penjahatan dalam negri maupun luar negri mulai mengincar bank-bank di indonesia.

Banyak pelaku kejahatan internet banking berasal dari luar negri. Ini menunjukkan bahwa indonesia menjadi target seragan dari luar negri. Ditambah dengan pengguna yang tidak aware terhadap privacy dan keamanan data. Seolah semua diserahkan ke bank dan menganggap segala sesuatunya aman-aman saja dilakukan. Bank sendiri selalu menganggapnya sistemnya sudah sesuai standart keamanan dan sulit untuk ditembus.

Jika kita melihat sistem keamanan internet banking yang mengandalkan koneksi enkripsi HTTPS dan token seolah sistem ini tidak dapat ditembus. Memang sistem yang diterapkan sulit untuk ditembus namun bukan berarti tidak bisa dimanipulasi. Dalam rangkaian proses ini hal yang paling lemah adalah dari sisi user dan perangkatnya.

User tidak pernah tahu perangkatnya sudah disusupi malware. Sistem akan menggangap perangkat yang digunakan user aman digunakan padahal sistem tidak bisa mencegah apabila transaksinya dibelokkan. Teknik yang dilakukan bukan menjebol sistem bank tetapi mengelabuhi perangkat user agar bisa membelokkan transaksi.

Saya akan coba menjelaskan alurnya secara singkat

1. Pelaku membuka rekening bank lokal untuk tampungan dana
Di indonesia membuka rekening bank dengan KTP palsu masih mungkin dilakukan karena belum berlakunya sistem E-KTP untuk verifikasi. Namun beberapa bank sudah menerapkan sistem yang ketat untuk pembukaan rekening baru sebisa mungkin mereka memverifikasi keaslian KTP. Pelaku cukup cerdik untuk membuka rekening dengan KTP orang lain. Merek cukup mendatangi ke desa-desa meminta orang buka rekening bank dengan imbalan uang. Bukan hal sulit untuk dilakukan.
2. Membuat malware untuk membelokkan transaksi
Pelaku akan membuat sebuah malware yang memanipulasi tampilan. ada beberapa teknik yang digunakan
a) manipulasi tampilan rekening tujuan
Misalkan kita transfer ke rekening A dengan nominal 1jt, pada tampilan benar adalah rekening A dengan nominal 1jt namun data yang sebenarnya dikirim adalah ke rekening B dengan nominal 10jt. Teknik ini bisa dilakukan apabila bank tidak menerapkan konfirmasi balik input yang diterima dari server. Walaupun bisa juga tampilan konfirmasi sudah dimanipulasi
b) manipulasi DNS dan MITM
Cara ini adalah membelokkan alamat IP bank dengan alamat IP palsu tujuannya adalah untuk meninterferensi transaksi pengguna. Ketika transaksi terjadi hubungan antara device pengguna dengan server bank. Jika device pengguna sudah terinfeksi malware maka dengan mudah akan diinterferensi transasinya. Input data yang keluar dari device pengguna dimodifikasi agar ditransfer ke rekening lain.
3. Cash Out
Pelaku akan transfer dari rekening tampulan ke bitcoin agar tidak terlacak. Dengan bitcoin akan sulit dilacak siapa sebenarnya pemilik rekening terakhirnya.

Berdasarkan uraian saya di atas dapat dilakukan langkah pencegahan.
Dari sisi Bank:
1. Prosedur verifikasi pembukaan rekening dan monitoring
Bank perlu menerapkan prosedur untuk verifikasi identitas nasabah baru misal dengan E-KTP. Kemudian rekening yang baru dibuat perlu dimonitor transaksinya. Bila mencurigakan bisa dilakukan cross check. Misal baru buka rekening tapi mutasi masuknya banyak dan dari berbagai sumber kemudian langsung ditarik semua. Tentu ini mencurigakan perlu dikonfirmasi dengan yang transfer.
2. Review ulang sistem internet banking
Problemnya bukan lagi soal otentifikasi login tetapi bagaimana mencegah pembelokan transaksi. Bisa dilakukan dengan konfirmasi akhir rekening tujuan misalnya dengan sms konfirmasi. Hal ini untuk mencegah aplikasi atau tampilan website di device pengguna sudah dirubah karena malware.
3. Menerapkan sistem remote app
Skenario ini menurut saya cukup ektrim dan biayanya cukup besar. Bank menyiapkan semacam PC atau device virtual yang berada di jaringannya. Pengguna hanya akan meremote ke device virtual tersebut. Dengan cara ini walaupun device pengguna terinfeksi malware transaksi akan tetapi aman. Karena semua inputnya dilakukan di device virtual yang berada di jaringan bank. Tidak bisa dimanipulasi dari sisi perangkat pengguna. Mengintercept koneksi remotenya pun akan tetap terlihat dilayar jika input rekeningnya dirubah.

Cara ini bisa dikembangkan mengingat teknologi virtualisasi semakin berkembang. Mungkin tidak harus device virtual tapi bisa langsung berbentuk applikasi yang nantinya semua nasabah memiliki 1 virtual aplikasi sendiri di sistem bank. Ini akan membuat transaksi dilakukan di satu jaringan yang sama dengan tingkat keamanan yang sama dan benar-benar trusty dan secure. Tidak ada lagi kelemahan dari sisi device pengguna. Keamanan sepenuhnya menjadi tanggung jawab bank.

Dari Sisi Pengguna
1. Selalu gunakan mobile data atau wifi yang keamananya terjamin untuk transaksi internet banking.
2. Jangan install app di luar apps store atau playstore karena app berbayar yang dicrack bisa saja disusupi malware. Jika terpaksa install sebaiknya dipastikan dulu keamananya
3. Jangan root smartphone android. Menurut saya ini penting karena membuka akses root dapat menimbulkan masalah keamanan. Root dalam linux hanya digunaan saat diperlukan akses yang benar-benar membutuhkan perubahan. Untuk itu device sebaiknya dalam posisi unroot.

Kesalahan user adalah tidak tahu fungsi root. Membuka akses root hanya untuk customize dan oprek-oprek tanpa tahu akibatnya. Sebisa mungkin hindari root, jika terpaksa membuka akses root maka selalu perhatikan akses permissionnya. Jangan sampai ada app berbahaya yang mendapat akses root karena dampaknya akan sangat berbahaya.

You may also like...

Leave a Reply

Your email address will not be published. Required fields are marked *