Awas! 2 Cara Ini Dipakai Bobol Rekening Bank Via Nomor Ponsel
Jakarta, CNBC Indonesia - Kasus pembobolan mobile banking yang terjadi belakangan ini membuat pengguna harus semakin berhati-hati. Para oknum kejahatan ini dalam melancarkan aksinya tidak perlu menjadi peretas handal maupun memakai software yang canggih.
Oknum pencuri tersebut hanya melakukan rekayasa sosial dengan dua skema yaitu :
1. Call Forwarding
Executive Director Indonesia ICT Institute, Heru Sutadi, menjelaskan bahwa call forwarding adalah pengalihan komunikasi telepon dari suatu nomor ponsel ke nomor ponsel lainnya.
Jadi nantinya, ketika fitur Call Forward dipakai semua panggilan yang tertuju ke nomor ponsel kita akan dialihkan ke nomor yang dituju. Oleh karena itu, pelaku memakai modus ini untuk mengambil alih nomor korban dengan tujuan membajak akun mobile banking atau yang lainnya.
Seperti yang telah diketahui, nomor ponsel saat ini memiliki peran penting dalam proses mobile banking maupun mobile payment. Karena setiap konfirmasi data pribadi pastinya perusahaan akan mengirimkan password khusus melalui nomor ponsel yang disebut OTP (One Time Password).
"Kemungkinan besar masalah terjadi karena adanya OTP yang diminta ke korban langsung melalui voice atau SMS ke nomor ponsel ponsel korban Karena kan bisa kita daftar dengan aplikasi di ponsel baru dengan memasukkan nomor dan nomor itu akan dikirimi OTP," ujar Heru kepada wartawan CNBC, pekan lalu.
Selain itu, Analisis Keamanan Vaksin.com, Alfons Tanujaya, menjelaskan betapa bahayanya bila kita sembarang memakai fitur Call Forward kepada orang lain.
"Kalau berhasil mengelabui korban untuk lakukan call forward atau SMS forward yah sama saja berhasil menguasai perangkat. Itu sama saja menguasai akun-akun yang diamankan dengan TFA (two factor authentication)," kata Alfons.
"Akun seperti Gopay, OVO, Tokped dan sejenisnya, internet banking, otorisasi kartu kredit itu semua akan dikuasai. Termasuk akun internet email, sosmed, Whatsapp dan lainnya yang menggunakan otorisasi lewat OTP," jelasnya.
Cara mengaktifkan fitur Call Forward sendiri sangat sederhana, kita hanya perlu menekan *21* (dilanjutkan dengan nomor ponsel tujuan forward)#. Jika ada orang asing dengan iming-iming kepada kita untuk menekan hal tersebut, jangan pernah anda lakukan!
Seperti yang telah diketahui, nomor ponsel saat ini memiliki peran penting dalam proses mobile banking maupun mobile payment. Karena setiap konfirmasi data pribadi pastinya perusahaan akan mengirimkan password khusus melalui nomor ponsel yang disebut OTP (One Time Password).
"Kemungkinan besar masalah terjadi karena adanya OTP yang diminta ke korban langsung melalui voice atau SMS ke nomor ponsel ponsel korban Karena kan bisa kita daftar dengan aplikasi di ponsel baru dengan memasukkan nomor dan nomor itu akan dikirimi OTP," ujar Heru kepada wartawan CNBC, pekan lalu.
Selain itu, Analisis Keamanan Vaksin.com, Alfons Tanujaya, menjelaskan betapa bahayanya bila kita sembarang memakai fitur Call Forward kepada orang lain.
"Kalau berhasil mengelabui korban untuk lakukan call forward atau SMS forward yah sama saja berhasil menguasai perangkat. Itu sama saja menguasai akun-akun yang diamankan dengan TFA (two factor authentication)," kata Alfons.
"Akun seperti Gopay, OVO, Tokped dan sejenisnya, internet banking, otorisasi kartu kredit itu semua akan dikuasai. Termasuk akun internet email, sosmed, Whatsapp dan lainnya yang menggunakan otorisasi lewat OTP," jelasnya.
Cara mengaktifkan fitur Call Forward sendiri sangat sederhana, kita hanya perlu menekan *21* (dilanjutkan dengan nomor ponsel tujuan forward)#. Jika ada orang asing dengan iming-iming kepada kita untuk menekan hal tersebut, jangan pernah anda lakukan!
2. SIM Swap Fraud
CEO & Chief Digital Forensic Indonesia, Ruby Alamsyah mengungkapkan modus pembobolan mobile banking bisa dilakukan dengan cara 'sim swap fraud'. Di mana pelaku mengaku Simcard korban sebagai miliknya dan meminta operator membuatkan simcard dengan nomor yang sama.
"Kejahatan 'SIM swap fraud' ini utamanya membobol rekening bank korban lewat aplikasi mobile banking," kata Ruby kepada CNBC Indonesia, (21/1/2020).Ruby menjelaskan bahwa sebelum pelaku akhirnya berhasil membobol rekening seseorang, ada tiga tahap yang dilakukan oleh pelaku :
Pertama, pelaku melakukan pendekatan ke korban yang dinamakan "phising" atau mengelabui korban untuk mendapatkan data-data pribadi.
Modus "phising" dapat dilakukan melalui telepon menghubungi korban, SMS, maupun mengirim link palsu. Perlu diketahui, korban "phising" ini bisa secara acak atau orang tertentu yang dikejar. Dalam kasus Ilham Bintang ini, modus tersebut belum bisa dipastikan.
"Phising ini misalnya saya sebagai pelaku mengaku dari operator bank, menelepon korban untuk verifikasi, bilang ada transaksi mencurigakan sehingga perlu tahu 'username' mobile banking korban," kata Ruby.
Kedua setelah mendapatkan username tersebut, pelaku mendatangi gerai operator tertentu dan berpura-pura telah kehilangan SIM. Dengan sudah berbekal data di tahap pertama, pelaku dapat mengisi formulir untuk mendapatkan kartu SIM nomor korban.
Ketiga, setelah mendapatkan SIM, pelaku mendownload aplikasi mobile banking yang digunakan korban, menggunakan username dan password untuk login ke aplikasi tersebut. Pelaku juga bisa melakukan reset password yang nantinya kode verifikasi dikirimkan lewat SMS.
Setelah berhasil mendapatkan username dan password, pelaku hanya tinggal mendapatkan kode PIN untuk transaksi perbankan di mobile banking.
"Sudah dapat semuanya sehingga akun berhasil dikuasai. Dan ternyata setiap transaksi di bank tersebut hanya perlu OTP (one time password) saja. Saat korban sedang di luar negeri atau dalam jangkauan yang jauh dan sulit untuk bertindak cepat, saat itulah dilakukan transaksi-transaksi yang tidak diketahui korban," terangnya.
Dengan demikian, di tahap pertama (phishing), celahnya ada di pengguna atau nasabah. Sedangkan di tahap kedua, operator dikelabui dengan data-data yang didapat pelaku dari phishing. Di tahap terakhir, ada celah dari aplikasi yang dibobol.
"Phising ini misalnya saya sebagai pelaku mengaku dari operator bank, menelepon korban untuk verifikasi, bilang ada transaksi mencurigakan sehingga perlu tahu 'username' mobile banking korban," kata Ruby.
Kedua setelah mendapatkan username tersebut, pelaku mendatangi gerai operator tertentu dan berpura-pura telah kehilangan SIM. Dengan sudah berbekal data di tahap pertama, pelaku dapat mengisi formulir untuk mendapatkan kartu SIM nomor korban.
Ketiga, setelah mendapatkan SIM, pelaku mendownload aplikasi mobile banking yang digunakan korban, menggunakan username dan password untuk login ke aplikasi tersebut. Pelaku juga bisa melakukan reset password yang nantinya kode verifikasi dikirimkan lewat SMS.
Setelah berhasil mendapatkan username dan password, pelaku hanya tinggal mendapatkan kode PIN untuk transaksi perbankan di mobile banking.
"Sudah dapat semuanya sehingga akun berhasil dikuasai. Dan ternyata setiap transaksi di bank tersebut hanya perlu OTP (one time password) saja. Saat korban sedang di luar negeri atau dalam jangkauan yang jauh dan sulit untuk bertindak cepat, saat itulah dilakukan transaksi-transaksi yang tidak diketahui korban," terangnya.
Dengan demikian, di tahap pertama (phishing), celahnya ada di pengguna atau nasabah. Sedangkan di tahap kedua, operator dikelabui dengan data-data yang didapat pelaku dari phishing. Di tahap terakhir, ada celah dari aplikasi yang dibobol.
