JAKARTA, KOMPAS - Ancaman serangan siber terhadap sektor perbankan berisiko membobol dana dan mencuri data nasabah. Otoritas Jasa Keuangan (OJK) tengah memperkuat koordinasi dengan industri perbankan guna memastikan kesiapan sistem keamanan digital.
Kepala Eksekutif Pengawas Perbankan OJK, Dian Ediana Rae, Minggu (8/11/2026), menyatakan OJK telah meningkatkan koordinasi dengan seluruh bank untuk mengantisipasi peningkatan ancaman tersebut.
Sejak Jumat pekan sebelumnya, pengawas teknologi informasi (TI) perbankan OJK telah berkoordinasi dengan personel TI masing-masing bank.
“Kami menaruh perhatian lebih terhadap masalah ini. Sejak Jumat pekan lalu, Pengawas IT Perbankan OJK sudah melakukan koordinasi dengan personel IT seluruh bank untuk meningkatkan kewaspadaan,” ujar Dian kepada Kompas.
Berdasarkan pemantauan FortiGuard Labs Threat Map, sekitar 350.600 aktivitas ancaman siber terdeteksi di wilayah Indonesia pada Sabtu (7/11/2026). Dari jumlah tersebut, 214.000 aktivitas tercatat menyasar sektor perbankan, keuangan, dan asuransi.
Selain koordinasi teknis oleh OJK, Dian juga mengingatkan jajaran direksi bank agar memastikan kesiapan menghadapi serangan siber. Dian mengatakan, pihaknya telah beberapa kali mengirimkan surat kepada direksi bank. Surat terakhir dikirimkan pada pekan lalu dan berisi langkah-langkah preventif untuk mengantisipasi peningkatan serangan siber.
Pengawasan OJK juga mencakup risiko keamanan yang berasal dari penyedia jasa pihak ketiga (third-party risk). Risiko ini menjadi perhatian karena penggunaan layanan eksternal, termasuk penyedia teknologi informasi, dapat menimbulkan celah keamanan bagi sistem perbankan.
Ia menjelaskan, risiko pihak ketiga telah lama menjadi perhatian Basel Committee on Banking Supervision (BCBS), komite internasional yang menetapkan standar dan pedoman pengawasan perbankan. Sebagai anggota, mereka telah mengatur pengelolaan risiko pihak ketiga melalui regulasi dan pengawasan perbankan.
Pemeriksaan teknologi informasi (TI) yang dilakukan OJK juga mencakup risiko tersebut. Dalam pengawasan sistem pembayaran, mereka turut berkoordinasi dengan Bank Indonesia (BI), yang memiliki kewenangan dalam pengaturan dan pengawasan sistem pembayaran.
Kepala Makroekonomi Institute for Development of Economics and Finance (INDEF), M. Rizal Taufikurahman, menilai, tingginya aktivitas ancaman siber perlu ditanggapi serius. Namun, angka tersebut tidak boleh langsung diterjemahkan sebagai keberhasilan pembobolan sistem perbankan.
“Sumber, periode, dan metode perhitungan risiko harus jelas. Jumlah ancaman bukan ukuran kerugian, apalagi bukti terjadinya krisis. Risiko ekonomi ditentukan oleh keberhasilan penetrasi, kehilangan dana, gangguan pembayaran, dan respons nasabah,” kata Rizal.
Ancaman siber dapat berkembang menjadi risiko sistemik ketika kegagalan operasional meluas dan menggerus kepercayaan masyarakat. Kondisi tersebut berpotensi mendorong perpindahan simpanan serta menimbulkan tekanan pada likuiditas perbankan.
Oleh karena itu, kemungkinan serangan serupa di Indonesia tidak boleh diremehkan. Namun, besarnya risiko tetap harus dibuktikan melalui pemeriksaan kerentanan sistem serta hasil pengujian ketahanan masing-masing bank.
Rizal mencontohkan kasus Crédit Mutuel Arkéa di Prancis yang memperlihatkan pentingnya pengawasan terhadap penyedia jasa pihak ketiga. Berdasarkan pernyataan bank, serangan menyasar rekening institusi melalui penyedia jasa, sementara aset nasabah tidak terdampak.
Kasus tersebut menunjukkan bahwa pengamanan internal bank dapat kehilangan efektivitas apabila akses pihak ketiga tidak diawasi secara memadai. Dengan demikian, besarnya aset dan kecukupan modal tidak otomatis menjamin bank terbebas dari gangguan siber.
Celah keamanan yang perlu diperiksa tidak hanya berkaitan dengan kecanggihan teknologi, tetapi juga kedisiplinan pengelolaannya. Sejumlah aspek yang perlu dievaluasi meliputi pengaturan hak akses, pembaruan sistem keamanan, pengawasan terhadap vendor, hingga kemampuan mendeteksi transaksi mencurigakan.
Rizal menekankan, edukasi nasabah tidak boleh menjadi alasan bagi bank untuk mengabaikan kelemahan pengendalian internal. Bank merupakan pihak yang mengendalikan sistem dan otorisasi transaksi.
Oleh karena itu, mereka wajib membangun perlindungan berlapis yang turut memperhitungkan kemungkinan kesalahan manusia.
Rizal menilai efektivitas pengamanan perbankan harus diukur dari kemampuan bank mencegah dan menghentikan kerugian. Penilaian tersebut tidak cukup hanya berdasarkan kelengkapan dokumen kepatuhan.
Bank perlu memperketat autentikasi dan pengaturan akses terhadap sistem kritis. Selain itu, pemantauan transaksi tidak wajar perlu ditingkatkan. Bank juga perlu menyiapkan mekanisme penundaan atau pemblokiran transaksi berdasarkan tingkat risiko.
Adapun, pengamanan terhadap penyedia jasa teknologi perlu diperkuat. Langkah ini mencakup isolasi cadangan data serta pengujian pemulihan sistem secara berkala.
Hal terpenting adalah kecepatan bank dalam mendeteksi serangan dan menghentikan aliran dana ilegal. Bank juga harus mampu memulihkan layanan dengan memastikan data dan saldo nasabah tetap akurat.
Terkait tanggung jawab terhadap nasabah, Rizal mengingatkan, label serangan siber tidak otomatis membebaskan bank dari kewajiban memberikan ganti rugi. Ketentuan itu tertuang dalam Peraturan OJK Nomor 22 Tahun 2023.
Regulasi itu mengatur tanggung jawab pelaku usaha jasa keuangan atas kerugian konsumen akibat kesalahan, kelalaian, atau pelanggaran bank, termasuk pihak ketiga yang bekerja untuk kepentingannya. Pengecualian akibat kesalahan atau kelalaian nasabah harus dibuktikan sesuai ketentuan.
Rizal juga mendorong pelaksanaan simulasi serangan siber secara nasional untuk menguji ketahanan industri perbankan dalam menghadapi krisis. Simulasi itu perlu mencakup skenario gangguan yang terjadi secara bersamaan di beberapa bank.
Pengujian juga perlu memperhitungkan kemungkinan kegagalan penyedia teknologi yang digunakan bersama oleh sejumlah bank. Selain itu, simulasi perlu mencakup skenario terhentinya sistem pembayaran hingga lonjakan penarikan dana nasabah.
Bank, OJK, Bank Indonesia, Badan Siber dan Sandi Negara, serta penyedia infrastruktur kritis perlu menguji koordinasi, pengambilan keputusan manajemen, komunikasi publik, dan pemulihan layanan.
“Simulasi kehilangan makna terjadi apabila temuan tidak diikuti perbaikan dan pengujian ulang. Ukuran keberhasilannya adalah berkurangnya kerentanan dan terjaganya layanan kritis ketika serangan benar-benar terjadi,” tutur Rizal.
