Masalah Inti: Dompet Digital Nyaman, Tapi Belum Aman
Pembobolan kartu kredit melalui dompet digital adalah bentuk fraud transaksi online ketika pelaku memanfaatkan kelemahan sistem pembayaran non-3D secure dan fitur dompet digital untuk mendebit kartu korban tanpa OTP, cukup dengan data kartu yang sudah bocor, sehingga transaksi online yang tidak pernah disetujui pemilik kartu tetap berjalan dan menimbulkan kerugian besar bagi nasabah bank-bank penerbit. Fenomena ini bukan kecelakaan teknis sekali dua kali, melainkan konsekuensi logis dari desain ekosistem pembayaran yang mengutamakan kemudahan dibanding keamanan. Selama dompet digital dan bank masih mengizinkan transaksi kartu kredit tanpa pengamanan kuat seperti OTP, klaim "dompet digital aman" terdengar kosong. Kita sedang membayar harga dari budaya memudahkan klik, sambil mengabaikan lapisan proteksi 3D secure yang semestinya jadi pagar utama.
Mekanisme Non-3D Secure: Nyaman Bagi Pengguna, Surga Bagi Peretas
Inti celah ini ada pada skema non-3D secure. Dalam skema ini, merchant boleh menarik dana hanya dengan nomor kartu, masa berlaku, dan CVV tanpa perlu PIN atau OTP. Ketika data kartu kredit bocor, skema ini menjelma jalur tol bagi pembobolan kartu kredit. Media sosial sudah dipenuhi keluhan nasabah bank besar yang kaget melihat transaksi unauthorized hingga jutaan rupiah pada dompet digital dan e-commerce, padahal mereka merasa tak pernah bertransaksi. Salah satu korban melaporkan dua transaksi bodong masing-masing Rp5 juta dan Rp2 juta yang lolos tanpa OTP. Dalam praktik, ini berarti siapa pun yang memegang data lengkap kartu dapat menautkannya ke aplikasi pihak ketiga dan menarik dana seolah-olah pemilik kartu yang bertransaksi. Selama bank dan aplikasi masih mengizinkan skema ini, pengguna tidak bisa merasa aman hanya karena tidak pernah menginstal dompet digital tertentu.
Serangan Lewat QR Code: DANA, QRIS, dan Jalur Baru Penipuan
Lapisan kedua masalah muncul pada fitur pembayaran QR code di dompet digital. Pakar keamanan siber Alfons Tanujaya menjelaskan bagaimana pelaku menggunakan data kartu kredit curian untuk ditautkan ke akun dompet digital mereka, lalu membayar berbagai hal di merchant QRIS dengan nilai yang mudah dicairkan, seperti top up aset kripto atau belanja di e-commerce. Korban bahkan tidak perlu punya akun dompet tersebut; yang dipakai hanya data kartunya. Modus ini ramai dibahas warganet di Threads, termasuk pengguna kartu kredit bank swasta berlogo biru yang mengaku tidak pernah memakai DANA namun kartunya tiba-tiba dibobol lewat pembayaran QR di dompet itu. Ini menunjukkan bahwa fraud transaksi online tidak lagi bergantung pada interaksi korban dengan aplikasi, melainkan pada seberapa longgar kontrol saat kartu ditautkan dan seberapa lemah sistem deteksi risiko bank dan dompet digital.
Kegagalan Sistem Risiko dan Kontrol Kecepatan Transaksi
Masalahnya bukan hanya di fitur, tetapi juga di cara bank dan dompet digital menilai risiko. Pada teknologi autentikasi 3D secure generasi baru, keputusan mengirim OTP ditentukan oleh skor risiko dari bank penerbit. Dalam kasus-kasus ini, transaksi yang jelas merugikan justru dinilai "aman" oleh sistem sehingga lolos tanpa OTP—penilaian yang keliru dan mahal bagi nasabah. Alfons juga menyoroti kontrol kecepatan transaksi (velocity check) yang gagal menghentikan pola transaksi berulang dengan nominal sama dalam waktu sangat singkat. Artinya, dua lapis penting—sistem risiko bank dan kontrol keamanan di aplikasi pembayaran—sama-sama tidak mampu menahan aktivitas mencurigakan. Menuntut dompet digital aman tanpa membenahi algoritma penilaian risiko hanya akan mengulang kasus yang sama. Kita tidak kekurangan teknologi; yang kurang adalah keberanian regulator dan bank untuk memaksa standar keamanan 3D secure yang konsisten dan ketat, terutama untuk penautan kartu dan transaksi QR.
Apa yang Harus Dilakukan Pengguna: 3D Secure, Monitoring, dan Menolak Kecerobohan
Selama ekosistem belum rapi, pengguna harus bersikap defensif. Pertama, pastikan keamanan 3D secure aktif dan minta bank mewajibkan OTP untuk setiap transaksi online, bukan hanya berdasarkan algoritma risiko abstrak. Kedua, jangan sembarangan menyambungkan kartu ke platform digital dan jangan pernah membagikan masa berlaku kartu, CVV, atau OTP kepada siapa pun—termasuk pihak yang mengaku petugas bank. Ketiga, pantau mutasi kartu kredit secara berkala; begitu melihat transaksi mencurigakan, segera blokir kartu dan ajukan sanggahan tertulis ke bank. Terakhir, dorong perubahan sistemik: suarakan ke regulator perlunya pengetatan otentikasi ketika kartu ditautkan ke dompet digital serta investigasi sumber kebocoran data kartu. Dompet digital aman bukan slogan iklan, tetapi hasil kombinasi arsitektur keamanan yang kuat dan pengguna yang tidak lagi menoleransi kecerobohan dalam desain transaksi.
