Cegah Kejahatan Internet Banking dengan Enkripsi
Jum'at, 06 Maret 2015 - 14:32 WIB
Cegah Kejahatan Internet Banking dengan Enkripsi
A
A
A
JAKARTA - Kasus pencurian uang nasabah perbankan melalui internet banking hingga kini masih sulit diatasi. Praktik pencurian ini ditengarai menggunakan teknik “Man in the Middle Phising Attack” atau biasa disebut Phising 2.0.
Pakar keamanan cyber Pratama Persadha angkat suara terkait peristiwa ini. Dia menjelaskan bahwa praktik phising pertama kali terjadi pada 2004, dan sering disebut sebagai Phising 1.0. Praktik ini dilakukan terhadap sistem keamanan yang menggunakan model “one factor”, artinya pengamanan hanya menggunakan username dan password.
“Para penyerang ini cukup membuat web palsu dengan nama dan tampilan yang mirip dengan aslinya. Pada kasus BCA yang dulu, para penyerang membuat halaman palsu (fake login) klikbca.com dengan alamat-alamat seperti wwwklikbca.com, kilkbca.com, clikbca.com, klickbca.com dan klikbac.com. Secara sekilas sama, sehingga nasabah tertipu dan memasukkan username-password mereka,” ungkap ketua lembaga riset keamanan cyber CISSReC ini kepada Sindonews dalam keterangan tertulisnya.
Phising 1.0 ini pada akhirnya bisa diatasi dengan penggunaan sistem keamanan multi factor, selain menggunakan username-password, nasabah juga dilengkapi dengan token maupun alat lain yang berfungsi untuk otentifikasi.
Namun para penyerang juga menemukan metode baru, Phising 2.0. Menurut Pratama teknik phising 2.0 cukup berbahaya bagi nasabah dan perbankan, terutama saat transaksi lewat internet banking. “Teknik ini menyerang komputer nasabah dan juga mentarget web perbankan. Sehingga, walaupun dengan pengamanan multi factor, masih ada kemungkinan ditembus juga,” jelasnya.
“Multi factor dengan tambahan SMS misalnya memang lebih aman. Namun, bisa jadi alat komunikasi nasabah sudah disadap atau ditanami trojan, sehingga para penyerang juga bisa tahu nomor otentifikasinya. Atau seperti kasus BCA dan Mandiri kemarin, para penyerang menggunakan penipuan berkedok sinkronisasi token. Jadi nasabah memasukkan nomor token resmi BCA atau Mandiri ke kolom sinkronisasi token yang dibuat para penyerang. Dalam time period token tersebut, para cracker bisa mengambil uang sesuka mereka,” terangnya.
Pratama juga mengimbau agar korban bisa memberikan print out history transaksi. “Dengan model pencurian seperti itu, seharusnya uang berpindah dengan cara transfer, sehingga ketahuan kemana saja uang nasabah tersebut terkirim. Dari sana akan jelas siapa saja kemungkinan pihak-pihak yang bertanggung jawab,” jelasnya.
Melihat hal ini, Pratama menyarankan agar perbankan menambahkan pengamanan dengan multi factor berbasis enkripsi. “Sebaiknya perbankan harus menambahkan enkripsi sebagai otentifikasi final. Enkripsi sangat aman, karena hanya pemilik rekening yang tahu kode untuk membuka pesan terenkripsi tersebut. Bisa jadi cracker juga mendapatkan pesan otentifikasinya, namun karena tak tahu kode dan tak ada software dekripsinya, maka pesan yang mereka dapat menjadi tak terbaca,” jelas Pratama.
Dia juga mengimbau agar perbankan di Indonesia secara regular melakukan audit pada sistem IT mereka. “Audit sistem IT di tiap perbankan perlu dilakukan secara berkala. Sehingga, pihak perbankan juga mengetahui mana saja lubang yang bisa ditembus oleh penyerang dan segera memperbaikinya,” jelas mantan Ketua Tim IT LemSaNeg untuk Kepresidenan ini.
Pakar keamanan cyber Pratama Persadha angkat suara terkait peristiwa ini. Dia menjelaskan bahwa praktik phising pertama kali terjadi pada 2004, dan sering disebut sebagai Phising 1.0. Praktik ini dilakukan terhadap sistem keamanan yang menggunakan model “one factor”, artinya pengamanan hanya menggunakan username dan password.
“Para penyerang ini cukup membuat web palsu dengan nama dan tampilan yang mirip dengan aslinya. Pada kasus BCA yang dulu, para penyerang membuat halaman palsu (fake login) klikbca.com dengan alamat-alamat seperti wwwklikbca.com, kilkbca.com, clikbca.com, klickbca.com dan klikbac.com. Secara sekilas sama, sehingga nasabah tertipu dan memasukkan username-password mereka,” ungkap ketua lembaga riset keamanan cyber CISSReC ini kepada Sindonews dalam keterangan tertulisnya.
Phising 1.0 ini pada akhirnya bisa diatasi dengan penggunaan sistem keamanan multi factor, selain menggunakan username-password, nasabah juga dilengkapi dengan token maupun alat lain yang berfungsi untuk otentifikasi.
Namun para penyerang juga menemukan metode baru, Phising 2.0. Menurut Pratama teknik phising 2.0 cukup berbahaya bagi nasabah dan perbankan, terutama saat transaksi lewat internet banking. “Teknik ini menyerang komputer nasabah dan juga mentarget web perbankan. Sehingga, walaupun dengan pengamanan multi factor, masih ada kemungkinan ditembus juga,” jelasnya.
“Multi factor dengan tambahan SMS misalnya memang lebih aman. Namun, bisa jadi alat komunikasi nasabah sudah disadap atau ditanami trojan, sehingga para penyerang juga bisa tahu nomor otentifikasinya. Atau seperti kasus BCA dan Mandiri kemarin, para penyerang menggunakan penipuan berkedok sinkronisasi token. Jadi nasabah memasukkan nomor token resmi BCA atau Mandiri ke kolom sinkronisasi token yang dibuat para penyerang. Dalam time period token tersebut, para cracker bisa mengambil uang sesuka mereka,” terangnya.
Pratama juga mengimbau agar korban bisa memberikan print out history transaksi. “Dengan model pencurian seperti itu, seharusnya uang berpindah dengan cara transfer, sehingga ketahuan kemana saja uang nasabah tersebut terkirim. Dari sana akan jelas siapa saja kemungkinan pihak-pihak yang bertanggung jawab,” jelasnya.
Melihat hal ini, Pratama menyarankan agar perbankan menambahkan pengamanan dengan multi factor berbasis enkripsi. “Sebaiknya perbankan harus menambahkan enkripsi sebagai otentifikasi final. Enkripsi sangat aman, karena hanya pemilik rekening yang tahu kode untuk membuka pesan terenkripsi tersebut. Bisa jadi cracker juga mendapatkan pesan otentifikasinya, namun karena tak tahu kode dan tak ada software dekripsinya, maka pesan yang mereka dapat menjadi tak terbaca,” jelas Pratama.
Dia juga mengimbau agar perbankan di Indonesia secara regular melakukan audit pada sistem IT mereka. “Audit sistem IT di tiap perbankan perlu dilakukan secara berkala. Sehingga, pihak perbankan juga mengetahui mana saja lubang yang bisa ditembus oleh penyerang dan segera memperbaikinya,” jelas mantan Ketua Tim IT LemSaNeg untuk Kepresidenan ini.
(dmd)
