Dari OTP ke Passkey: Cara Uang Anda Dijaga di Pembayaran Digital

PembayaranOleh Vokara Editorial Board± 8 menit baca

Gembok di rantai sebagai simbol keamanan — Kredit foto: Douglas Iuri Medeiros Cabral, CC BY-SA 2.0, via Wikimedia Commons.

Satu pembayaran digital selesai dalam hitungan detik: memindai kode, mengetuk layar, menerima notifikasi. Di baliknya bekerja lapisan pengaman yang jarang terlihat, dari penilaian risiko dan token sampai enkripsi dan pemantauan transaksi. Sayangnya, lapisan yang makin rapat tidak otomatis memadamkan penipuan. Indonesia Anti-Scam Centre (IASC) telah menerima ratusan ribu laporan, dan pelaku bergeser menyasar sisi manusia. Artikel ini membedah cara kerja keamanan pembayaran digital di Indonesia, sekaligus kebiasaan yang membuat proteksi itu bekerja.

Pembayaran Digital Tumbuh, Celahnya Ikut Berpindah

Data Bank Indonesia menunjukkan QRIS menjangkau 65,77 juta pengguna dan 44,86 juta merchant per Juni 2026, dengan 96,68% merchant merupakan UMKM. Sepanjang semester I 2026, QRIS mencatat 12,55 miliar transaksi senilai Rp1,12 kuadriliun, tumbuh 93,92% dibanding periode yang sama tahun sebelumnya.

Volume uang yang berpindah ke jalur digital itu diikuti perpindahan celah. Hingga 31 Agustus 2026, IASC menerima 668.441 laporan penipuan transaksi keuangan, menurut Kontan, mengutip OJK. Sebelumnya, OJK mencatat 411.055 laporan dengan kerugian dilaporkan Rp9 triliun sejak IASC beroperasi pada November 2024 hingga 28 Desember 2025, dan sekitar Rp402,5 miliar di antaranya berhasil diblokir. Modus terbanyak bukan peretasan canggih, melainkan penipuan belanja daring, panggilan palsu, impersonasi, dan deepfake.

Cara Kerja 3D Secure 2: Autentikasi Sebelum Otorisasi

3D Secure (3DS) adalah protokol autentikasi yang memverifikasi identitas pemilik kartu sebelum transaksi diproses, melibatkan merchant, jaringan pembayaran, dan bank penerbit. Visa mempelopori protokol ini lebih dari 15 tahun lalu, dan generasi terbarunya, EMV 3D Secure atau 3DS2, memungkinkan pertukaran data yang jauh lebih kaya antara merchant dan penerbit, sebagaimana dijelaskan EMVCo.

Inti 3DS2 adalah risk-based authentication. Penerbit menilai transaksi memakai ratusan titik data, seperti jenis perangkat, lokasi, dan pola belanja. Transaksi berisiko rendah diselesaikan tanpa gangguan (frictionless), sedangkan yang berisiko tinggi ditantang dengan OTP, PIN, atau biometrik. Menurut data Visa, transaksi terautentikasi mencatat fraud sekitar 45% lebih rendah dibanding transaksi e-commerce tanpa autentikasi, 11 basis poin berbanding 20 basis poin.

Di Indonesia, pengalaman itu akrab. Pada kartu kredit BNI, misalnya, OTP dikirim lewat SMS dengan peringatan agar kode tidak diberikan kepada siapa pun termasuk pihak bank; masa berlakunya sekitar 3 menit 30 detik, dan salah memasukkan tiga kali membuat layanan diblokir.

Tokenisasi: Kenapa Merchant Tidak Perlu Menyimpan Nomor Kartu

Tokenisasi mengganti nomor kartu (Primary Account Number) dengan nilai pengganti yang tidak berarti di luar konteksnya. Kartu yang tersimpan di aplikasi pun memakai token yang bisa dicabut ketika perangkat atau akun berubah.

Pendekatan ini menjadi fondasi Kartu Kredit Indonesia (KKI) yang diluncurkan Bank Indonesia dan ASPI pada 17 Agustus 2026. Transaksi KKI tidak memakai nomor kartu, melainkan Customer PAN, One Time Token dari penerbit, dan konfirmasi di aplikasi bank penerbit, dengan tokenisasi menyusul untuk pembayaran berulang, seperti diuraikan dalam dokumentasi DOKU. Pada tahap awal, KKI diterbitkan delapan penyedia jasa pembayaran dan dipakai sebagai sumber dana QRIS, baik pindai maupun tap.

Bagi merchant: tanpa nomor kartu asli yang tersimpan, kebocoran di satu titik tidak langsung memberi penjahat kartu yang bisa dipakai di tempat lain.

PCI DSS dan Merchant Kecil: Yang Benar-Benar Relevan

Payment Card Industry Data Security Standard (PCI DSS) adalah baseline persyaratan teknis dan operasional untuk melindungi data akun pembayaran. Standar ini ditujukan bagi semua pihak yang menyimpan, memproses, atau mengirimkan data pemegang kartu, termasuk merchant dan penyedia layanan, sebagaimana dijelaskan PCI Security Standards Council.

Untuk UMKM, jalan paling praktis bukan membangun benteng sendiri, melainkan menghindari menyentuh data kartu. Merchant yang belum tersertifikasi PCI DSS umumnya hanya boleh menerima pembayaran kartu lewat halaman checkout milik penyedia pembayaran, sehingga data kartu ditangani pihak bersertifikat. Prinsip yang layak dipegang: jangan pernah menyimpan CVV, jangan mencatat nomor kartu di chat atau spreadsheet, batasi akses data, dan perbarui perangkat lunak di setiap titik transaksi. Enkripsi data saat disimpan dan dikirim adalah syarat dasar.

Membaca QRIS dengan Kepala Dingin

QRIS dibangun dengan fitur keamanan sesuai praktik terbaik; penyedia jasa pembayaran yang menyelenggarakannya wajib mendapat persetujuan BI, termasuk memenuhi aspek keamanan sistem, manajemen risiko, dan perlindungan konsumen, ditegaskan Bank Indonesia. Meski begitu, penyalahgunaan tetap terjadi, misalnya penggantian stiker QRIS di rumah ibadah yang ditindaklanjuti BI bersama industri dan penegak hukum.

Kenali dua wajah QRIS, seperti dirangkum Antara. QR bayar (customer presented mode) adalah kode milik pembeli yang dipindai merchant, dan aplikasi menampilkan nama usaha sebagai penerima. QR transfer (merchant presented mode) dipakai untuk mengirim dana; nama penerima bisa berupa nama pribadi, dan inilah celah yang sering dieksploitasi, termasuk lewat QR palsu yang dikirim melalui chat. Pada QRIS dinamis, nominal sudah terkunci pada kode yang dibuat mesin saat transaksi, sedangkan pada QRIS statis nominal diisi pembeli, demikian penjelasan BCA.

Sebelum menyetujui pembayaran, cocokkan nama merchant di aplikasi dengan toko yang Anda hadapi dan pastikan nominalnya benar. Kenali tanda QRIS resmi: logo, nama merchant yang jelas, serta footer berisi kode NNS dan tanggal versi cetak. Pindai hanya lewat aplikasi pembayaran, bukan kamera ponsel, karena kode QRIS resmi berupa string pembayaran, bukan tautan; jangan mengisi kredensial apa pun di halaman yang dibuka dari QR. Untuk merchant, periksa QRIS terpasang secara berkala agar tidak ditimpa pihak lain, dan jangan menyelesaikan transaksi hanya berdasarkan tangkapan layar bukti bayar, tunggu notifikasi resmi, sesuai imbauan BI yang dikutip detikFinance.

Modus Fraud yang Sedang Ramai

Empat pola mendominasi. Pertama, penipuan OTP dan panggilan palsu: pelaku mengaku petugas bank, menciptakan situasi mendesak, lalu meminta kode OTP untuk "verifikasi". OJK menempatkan fake call dan impersonasi sebagai modus dengan laporan tertinggi. Otoritas pun ikut ditiru: Satgas PASTI pernah memperingatkan situs palsu yang mengatasnamakan IASC; pelaporan hanya sah lewat iasc.ojk.go.id.

Kedua, aplikasi palsu berformat APK yang disebar lewat pesan, menyamar sebagai resi paket, tagihan, atau pembaruan aplikasi bank. Setelah terpasang, aplikasi itu dapat membaca SMS termasuk OTP dan mencuri data, seperti dijelaskan Bank Jago. Ketiga, jual beli data pribadi yang menyuplai bahan penipuan; UU Pelindungan Data Pribadi mengancam pelaku dengan pidana penjara hingga 6 tahun dan denda sampai Rp6 miliar, sementara pengendali data yang lalai bisa dikenai denda administratif hingga 2% dari pendapatan tahunan.

Keempat, penyalahgunaan AI: deepfake dan kloning suara untuk meyakinkan korban. IASC menerima 1.379 laporan penipuan terindikasi AI hingga Juni 2026. Celah juga bisa muncul dari sisi industri, seperti kasus dugaan transfer ilegal di sejumlah bank pada Desember 2025 yang diperkirakan merugikan Rp200 miliar; BI menegaskan sumbernya bukan sistem BI-FAST, melainkan aplikasi di bank terkait.

Otoritas dan Arah Baru: Passkey, Biometrik, AI Anti-Fraud

Bank Indonesia mengatur sekaligus mengawasi. Ketentuan keamanan sistem informasi dan ketahanan siber untuk penyelenggara sistem pembayaran berlaku sejak akhir 2024, sementara aturan BI-FAST terbaru mewajibkan peserta memiliki fraud detection system di level akun dan transaksi, melaporkan insiden fraud maksimal 30 menit dan insiden siber maksimal 1 jam, plus audit keamanan tahunan; persyaratan teknis minimum proteksi infrastruktur harus dipenuhi paling lambat 1 Januari 2026. OJK memimpin IASC bersama Satgas PASTI dan sejak Januari 2026 menggandeng Bareskrim Polri agar laporan korban langsung terhubung ke proses hukum. Kementerian Komunikasi dan Digital memutus akses situs dan konten terindikasi scam serta terlibat dalam peluncuran IASC sebagai pusat pengaduan nasional.

Arah autentikasi berikutnya adalah passkey. Visa Payment Passkey memakai standar FIDO: kunci privat tersimpan di perangkat dan dibuka dengan biometrik atau PIN perangkat, menggantikan kata sandi dan OTP SMS. Visa mencatat fraud pada autentikasi biometrik sekitar 50% lebih rendah dibanding OTP SMS, dan perangkat yang mendukung FIDO diperkirakan mencapai 4 miliar. Mastercard mengembangkan layanan serupa dengan jaminan data biometrik tidak pernah meninggalkan perangkat, dan menargetkan checkout bebas kata sandi serta entri nomor di Asia Pasifik pada 2030, menurut pengumuman resminya.

AI dipakai dua arah: pelaku memakai deepfake, industri mengembangkan deteksi dini dan pemantauan anomali, seperti patroli siber OJK bersama platform digital. QRIS Tap dan konfirmasi di aplikasi penerbit pada KKI adalah wajah lain tren ini: keputusan keamanan dipindahkan ke perangkat yang memang milik Anda.

Bagi konsumen, modal utamanya kebiasaan: perlakukan OTP dan PIN seperti kunci rumah, verifikasi nama penerima dan nominal sebelum menyetujui transaksi, aktifkan notifikasi transaksi, dan bila menjadi korban, lapor secepatnya ke bank atau penyedia jasa pembayaran serta ke IASC melalui iasc.ojk.go.id, sebab kecepatan laporan menentukan berapa sisa dana yang bisa diselamatkan. Bagi pelaku usaha, jaga QRIS tetap dalam pengawasan, gunakan kanal pembayaran resmi untuk kartu, jangan menyimpan data kartu pelanggan, dan jangan menyelesaikan transaksi hanya dari tangkapan layar bukti bayar.

Semua lapisan itu, 3DS2, tokenisasi, PCI DSS, pengawasan otoritas, hingga passkey, berbagi satu titik lemah yang sama: perilaku manusia. Teknologi hanya menutup celah sejauh pemakainya tidak membukanya sendiri. Keterampilan paling murah untuk melindungi uang tetap kebiasaan yang tepat: tidak berbagi kode rahasia, memeriksa sebelum menyetujui, dan melapor secepat mungkin ketika ada yang terasa salah.

Sumber

Coba Vokara

Ubah rekaman rapat menjadi transkrip dan notulen rapi dalam hitungan menit.

Mulai gratis