Kebocoran Data Kartu Kredit Menantang Penegak Hukum

Tantangan layanan elektronik dalam perkembangan bisnis dunia

Belakangan ini masyarakat Indonesia cukup resah dengan adanya fenomena “kebocoran data” yang menyebabkan mengemukanya beragam kasus semacam beredarnya dokumen rahasia Wikileaks, SMS penawaran kredit, gambar/video porno, nomor kartu kredit, data/ informasi rahasia perusahaan, dan lain sebagainya. Kebocoran data yang selama ini disinyalir kerap terjadi, dipicu oleh sejumlah hal, yang kalau dilihat secara sungguh-sungguh disebabkan karena hal-hal yang bersifat non teknis. Ketidaktahuan pengguna teknologi, kecerobohan pemilik data, keterbatasan edukasi masyarakat, kealpaan individu, dan ketidakpedulian seseorang merupakan sejumlah “lubang kerawanan” yang kerap dipergunakan oleh pihak jahat untuk menjalankan misi negatifnya. Banyak pihak yang bertanya-tanya, siapa yang perlu disalahkan atau bertanggung jawab terhadap hal ini? Pasalnya, kebocoran data ini merupakan fenomena negatif ini, yang sudah berulang kembali dan tidak kunjung berhenti. 

Masa depan layanan elektronik sangat terang tetapi tetap memiliki beberapa tantangan. Ada beberapa tantangan dalam layanan elektronik, seperti yang di identifikasi oleh Sheth & Sharma (2007)  adalah:

 Rendahnya penetrasi TIK terutama di negara-negara berkembang;

 Penipuan di ruang internet yang diperkirakan sekitar USD 2.8billion

 Privasi karena munculnya berbagai jenis spyware dan

 Karakteristik mengganggu layanan (misalnya berbasis telepon selular) sebagai pelanggan mungkin tidak suka dihubungi dengan penyedia layanan setiap saat dan di setiap tempat.

Tantangan pertama dan kendala utama untuk platform layanan elektronik terhadap penetrasi internet. Di beberapa negara berkembang, akses ke internet terbatas dan kecepatan juga terbatas. Dalam kasus ini perusahaan-perusahaan dan pelanggan akan terus menggunakan platform tradisional. Isu kedua yang menjadi perhatian adalah penipuan di internet. Hal ini di antisipasi bahwa penipuan di bisnis elektronik biaya internet ruang $ 2,8 miliar. Kemungkinan penipuan akan terus mengurangi pemanfaatan internet. Isu ketiga adalah privasi. Karena baik spyware dan lubang keamanan dalam sistem operasi, ada kekhawatiran bahwa konsumen melakukan transaksi yang memiliki keterbatasan privasi. Misalnya, dengan diam-diam mengikuti aktivitas online, perusahaan dapat mengembangkan deskripsi yang cukup akurat mengenai profil pelanggan. 

Kemungkinan pelanggaran privasi akan mengurangi pemanfaatan internet. Masalah terakhir adalah bahwa layanan elektronik juga bisa mengganggu karena layanan elektronik mengurangi hambatan waktu dan lokasi lain dari kontrak. Sebagai contoh, perusahaan dapat menghubungi orang melalui perangkat telepon genggam setiap saat dan di setiap tempat. Pelanggan tidak mengambil seperti perilaku mengganggu dan tidak boleh menggunakan platform layanan elektronik. (Heiner dan lyer, 2007)

Keamanan

Keamanan adalah tantangan yang paling penting yang menghadapi implementasi layanan elektronik karena tanpa jaminan privasi dan warga negara keamanan tidak akan bersedia untuk mengambil layanan e-government. Masalah keamanan ini, seperti serangan hacker dan pencurian informasi kartu kredit, membuat pemerintah ragu-ragu untuk memberikan layanan publik online. Menurut laporan GAO tahun 2002 "kekhawatiran keamanan menyajikan salah satu dari tantangan paling berat untuk memperluas jangkauan dari e-government. The ruam serangan hacker, defacing halaman Web, dan informasi kartu kredit yang disiarkan di papan buletin elektronik dapat membuat pejabat-sebagai agen federal yang banyak serta masyarakat umum enggan untuk melakukan transaksi sensitif pemerintah yang melibatkan data pribadi atau keuangan melalui Internet ", Keamanan adalah salah satu tantangan utama yang dihadapi implementasi dan pengembangan layanan elektronik. orang ingin diyakinkan bahwa mereka aman ketika mereka sedang melakukan layanan online dan bahwa informasi mereka akan tetap aman dan rahasia

Aspek keamanan informasi adalah aspek-aspek yang dilingkupi dan melingkupi keamanan informasi dalam sebuah sistem informasi. Aspek-aspek ini adalah :

 privasi/ kerahasiaan, menjaga kerahasiaan informasi dari semua pihak, kecuali yang memiliki kewenangan;

 integritas, meyakinkan bahwa data tidak mengalami perubahan oleh yang tidak berhak atau oleh suatu hal lain yang tidak diketahui (misalnya buruknya transmisi data);

 otentikasi/ identifikasi, pengecekan terhadap identitas suatu entitas, bisa berupa orang, kartu kredit atau mesin;

 tanda tangan, mengesahkan suatu informasi menjadi satu kesatuan di bawah suatu otoritas;

 otorisasi, pemberian hak/kewenangan kepada entitas lain di dalam sistem;

 validasi, pengecekan keabsahan suatu otorisasi;

 kontrol akses, pembatasan akses terhadap entitas di dalam sistem;

 sertifikasi, pengesahan/pemberian kuasa suatu informasi kepada entitas yang tepercaya;

 pencatatan waktu, mencatat waktu pembuatan atau keberadaan suatu informasi di dalam sistem;

 persaksian, memverifikasi pembuatan dan keberadaan suatu informasi di dalam sistem bukan oleh pembuatnya

 tanda terima, pemberitahuan bahwa informasi telah diterima;

 konfirmasi, pemberitahuan bahwa suatu layanan informasi telah tersedia;

 kepemilikan, menyediakan suatu entitas dengan sah untuk menggunakan atau mengirimkan kepada pihak lain;

 anonimitas, menyamarkan identitas dari entitas terkait dalam suatu proses transaksi;

 nirpenyangkalan, mencegah penyangkalan dari suatu entitas atas kesepakatan atau perbuatan yang sudah dibuat;

 penarikan, penarikan kembali suatu sertifikat atau otoritas.

Masalah Keamanan e-Business

Kerahasiaan dan Pribadi

Kerahasiaan adalah sejauh mana suatu bisnis menyediakan informasi pribadi yang tersedia untuk bisnis lain dan individu lain.[4] Bisnis apapun harus menjaga kerahasiaan informasi agar tetap aman dan hanya dapat diakses oleh penerima yang dimaksud. Untuk menjaga informasi tetap aman dan terjaga, setiap catatan transaksi dan berkas lain perlu dilindungi dari akses yang tidak sah, serta memastikan transmisi data dan penyimpanan informasi yang aman. Cara enkripsi dan firewall adalah yang mengatur sistem ini.

Keabsahan Data

Transaksi e-Business memiliki tantangan yang lebih besar untuk membangun keabsahan karena data dari internet sangat mudah untuk diubah dan disalin. Kedua belah pihak yang terkait dalam e-Business sama-sama ingin memastikan keaslian masing-masing rekan, terutama jika salah satu pihak akan melakukan pemesanan dan transaksi pembayaran elektronik. Salah satu cara yang umum untuk memastikan hal ini adalah dengan membatasi akses ke jaringan Internet dengan menggunakan teknologi Virtual Private Network. Pembuktian keabsahan yang lebih rumit adalah dengan adanya kata kunci rahasia atau pin, kartu kredit, dan pengenalan suara. Sebagian besar transaksi e-Business diverifikasi dengan memeriksa kartu kredit dan nomor kartu kredit pembeli.

Integritas Data

Integritas data menjawab pertanyaan "Dapatkah informasi diubah atau dirusak dengan berbagai cara?". Hal ini mengarah pada jaminan kesamaan pesan yang diterima dengan pesan yang dikirim. Sebuah bisnis perlu merasa yakin bahwa data tidak diubah dalam perjalanan, baik sengaja atau karena kecelakaan. Untuk membantu integritas data, firewall melindungi data yang disimpan terhadap akses yang tidak sah, seraya menyimpan data cadangan yang mungkin berguna untuk pemulihan data.

Tanpa Penyangkalan

Hal ini berkaitan dengan adanya bukti dalam transaksi. Sebuah bisnis harus memiliki jaminan bahwa pihak yang menerima atau pembeli tidak dapat menyangkal bahwa transaksi telah terjadi, dan ini berarti memiliki bukti yang cukup untuk membuktikan transaksi. Salah satu cara untuk mengatasi penyangkalan ini adalah menggunakan tanda tangan digital.[5] Sebuah tanda tangan digital tidak hanya memastikan bahwa pesan atau dokumen elektronik telah ditandatangani oleh seseorang, tapi karena tanda tangan digital hanya dapat dibuat oleh satu orang, juga menjamin bahwa orang ini tidak dapat menyangkal di kemudian waktu bahwa mereka memberikan tanda tangan mereka.

Kontrol Akses

Ketika suatu sumber data dan informasi elektronik hanya terbatas pada beberapa individu yang berwenang, pelaku bisnis dan pelanggannya harus memiliki jaminan bahwa tidak ada orang lain dapat mengakses informasi tersebut. Ada beberapa teknik untuk mengatur kontrol akses ini, yaitu firewall, hak akses, identifikasi pengguna dan teknik otentikasi (seperti password dan sertifikat digital),Virtual Private Network (VPN), dan banyak lagi.

Ketersediaan Layanan

Hal ini secara khusus berhubungan dengan penyediaan layanan dan informasi bagi pelanggan bisnis. Pesan harus disampaikan dalam cara yang dapat diandalkan dan tepat waktu, dan informasi harus dapat disimpan dan diambil sesuai kebutuhan. Karena ketersediaan layanan penting untuk semua website e-Business, langkah-langkah tertentu harus diambil untuk mencegah gangguan layanan oleh peristiwa-peristiwa seperti listrik padam dan kerusakan infrastruktur fisik. Contohnya, tersedianya data cadangan, sistem pemadaman api, sistem Uninterrupted Power Supply (UPS), perlindungan virus, serta memastikan bahwa ada kapasitas yang memadai untuk menangani kesibukan yang ditimbulkan oleh lalu lintas jaringan yang berat.

Keamanan Umum untuk Sistem e-Business

Berbagai bentuk keamanan ada untuk e-Business. Beberapa pedoman keamanan umum termasuk daerah di keamanan fisik, penyimpanan data, transmisi data, pengembangan aplikasi, dan sistem administrasi.

Keamanan Fisik

Meskipun e-Business dilakukan secara online, tetapi perlu ada langkah-langkah keamanan fisik yang diambil untuk melindungi bisnis secara keseluruhan, gedung tempat server dan komputer harus dilindungi dan memiliki akses terbatas pada karyawan dan orang lain. Misalnya, ruangan tersebut hanya memungkinkan pengguna yang berwenang untuk masuk, dan harus memastikan bahwa jendela, langit-langit, saluran udara yang besar, dan lantai bertingkat tidak mengizinkan akses mudah ke orang yang tidak sah. Lebih baik untuk menyimpan unit-unit penting di ruangan tertutup yang ber-AC. Berjaga-jaga terhadap lingkungan sama pentingnya dengan menjaga keamanan fisik dari pengguna yang tidak sah. Ruangan dapat melindungi peralatan terhadap banjir dengan menjaga semua peralatan tidak bersentuhan langsung dengan lantai. Selain itu, ruangan harus tersedia sistem pemadam api jika terjadi kebakaran.

Organisasi harus memiliki rencana penanganan kebakaran jika muncul situasi yang seperti ini. Selain menjaga keamanan server dan komputer, keamanan fisik dari informasi yang bersifat rahasia juga penting. Informasi klien seperti nomor kartu kredit, cek, nomor telepon, dan juga termasuk semua informasi pribadi organisasi. Mengunci salinan fisik dan elektronik di laci atau lemari merupakan salah satu tambahan keamanan. Pintu dan jendela yang mengarah ke daerah ini juga harus aman terkunci. Karyawan yang mempunyai akses menggunakan informasi ini hanyalah sebagai bagian dari pekerjaan mereka.

Penyimpanan Data

Menyimpan data dengan cara yang aman adalah sangat penting untuk semua bisnis, tetapi terutama untuk e-Business di mana sebagian besar data yang disimpan secara elektronik. Data yang bersifat rahasia tidak boleh disimpan pada server e-Business, tapi sebaiknya dipindahkan ke komputer lain untuk disimpan. Jika perlu, mesin ini tidak boleh langsung terhubung ke internet, dan juga harus disimpan di tempat yang aman. Informasi tersebut harus disimpan dalam format yang terenkripsi. Setiap informasi yang sangat sensitif tidak boleh disimpan jika mungkin. Jika ada data yang tidak terlalu penting, simpanlah di beberapa mesin atau sistem yang tidak mudah diakses. Langkah-langkah keamanan tambahan harus diambil untuk melindungi informasi ini (seperti kunci pribadi) jika memungkinkan. Selain itu, informasi hanya harus disimpan untuk jangka waktu yang singkat, dan setelah tidak lagi diperlukan harus dihapus untuk mencegah jatuh ke tangan yang salah. Demikian pula, cadangan data dan salinan informasi harus disimpan yang aman dengan langkah-langkah keamanan yang sama seperti informasi yang asli. Setelah cadangan tidak lagi diperlukan, harus dihancurkan secara hati-hati dan menyeluruh.

Transmisi Data dan Pengembangan Aplikasi

Semua informasi penting yang akan dikirim harus dienkripsi. Pihak pebisnis dapat memilih untuk menolak klien yang tidak dapat menerima tingkat enkripsi. Informasi rahasia dan sensitif sebaiknya juga tidak pernah dikirim melalui e-mail. Jika itu harus, maka harus dienkripsi juga. Mentransfer dan menampilkan informasi yang aman harus dijaga seminimal mungkin. Hal ini dapat dilakukan dengan tidak menampilkan nomor kartu kredit secara penuh. Hanya beberapa nomor yang dapat ditampilkan, dan perubahan informasi ini dapat dilakukan tanpa menampilkan nomor lengkap. Hal ini juga harus memungkinkan pengguna untuk mengambil informasi secara online.

Solusi Keamanan Sistem Administrasi

Keamanan pada sistem operasi dasar harus cepat ditingkatkan. Tambahan dan pembaharuan perangkat lunak harus diterapkan secara tepat waktu. Perubahan sistem konfigurasi semua harus disimpan dalam daftar berkas dan segera diperbarui. Sistem administrator harus terus mengawasi kegiatan yang mencurigakan dalam bisnis dengan memeriksa daftar berkas dan meneliti berulang-ulang kegagalan yang tercatat dalam berkas. Mereka juga bisa memantau sistem e-Business mereka dan mencari setiap celah di keamanan. Hal ini penting untuk menguji apakah rencana keamanan sudah tepat dan bisa benar-benar bekerja.

Ketika datang ke solusi keamanan, ada beberapa tujuan utama yang harus dipenuhi. Tujuan ini adalah data integritas, otentikasi kuat, dan privasi.

Jangan Umpankan Nasabah sebagai korban

Data pemegang kartu Mastercard, Visa, Discover, dan American Express diduga bobol. Ini berawal dari bobolnya keamanan data perusahaan yang memproses pembayaran kartu kredit itu. Dinas Rahasia AS kini menyelidiki dugaan adanya akses ilegal terhadap Global Payments Inc (GPI), perusahaan yang berbasis di Atlanta, AS. GPI berperan memproses transaksi yang menggunakan sebagai jenis kartu kredit seperti Visa dan lainnya. Situs ITWire, Sabtu (31/3), menuliskan empat besar penerbit kartu kredit dan bank-bank besar AS mengakui bahwa keamanan data mereka terpengaruh karena bobolnya GPI. Peretas ( Hacker) memiliki akses ilegal terhadap kartu-kartu, yang bisa merugikan pemegang kartu, selama sebulan dari 21 Januari 2012 hingga 25 Februari 2012. Kejadian ini bisa berdampak buruk bagi jutaan pemegang kartu.

Visa Inc, Marstercard Inc, American Express Co, dan Discover Financial Services membenarkan jika mereka terkena dampak. Bank dan perusahaan waralaba lain yang menerbitkan kartu menduga logo-logo kartu mereka telah dipalsukan. Dinas Rahasia AS kini sedang menyelidiki proses jebolnya keamanan data GPI. Tidak disebutkan secara pasti jumlah pemegang kartu yang bisa terkena pembobolan. Namun, dikhawatirkan lebih dari 10 juta nasabah bisa terkena dampak. Seorang juru bicara Dinas Rahasia AS mengatakan, pemeriksaan sedang dilakukan. Pihak Mastercard menuturkan, mereka telah menyewa organisasi keamanan soal data untuk memeriksa insiden kebocoran data. Saham GPI, penghubung antara pedagang dan penerbit kartu, anjlok 9 persen sebelum penutupan sesi perdagangan pada Jumat lalu di AS. GPI akan membahas kasus pembobolan tersebut dengan para investor pada hari Senin (2/4).

Para analis mengatakan, Mastercard dan Visa tidak mungkin mengalami kerugian akibat kasus itu. Kerugian akan ditanggung pedagang, bank-bank, dan lembaga-lembaga penerbit kartu serta GPI. Namun, saham Mastercard, Visa, dan American Express (Amex) turun pada perdagangan hari Jumat. Saham Discover justru naik 1,2 persen pada penutupan perdagangan menjadi 33,34 dollar AS per lembar. Bocornya keamanan data kartu kredit merupakan kasus terbaru dari rangkaian panjang kasus serupa yang dilakukan peretas. Belum jelas bagaimana GPI bisa dibobol. Konsumen yang mendeteksi kasus itu bisa minta ganti rugi. Pedagang merupakan pihak paling dirugikan, tetapi bisa mengajukan klaim ke GPI.

JPMorgan Chase & Co, American Express, dan Discover, yang menerbitkan kartu sendiri, mengatakan, mereka sedang memeriksa rekening nasabah. Citigroup Inc mengatakan telah diberi tahu soal kasus kebocoran data itu. Bank-bank dan pemroses menegaskan kepada nasabah bahwa mereka tidak akan bertanggung jawab atas potensi penipuan yang mungkin terjadi. Michael Smonsen, seorang eksekutif perusahaan peneliti real estat Altos Research, mengaku telah menjadi korban. 

Di Indonesia, pihak bank juga tidak bertanggungjawab dengan kebocoran informasi nasabah, bahkan para ‘hacker’ berdasi ini tak segan-segan menyebutkan bahwa yang mebeberkan data nasabah justru pihak manajemen. Dari beberapa pengakuan nassabah yang sudah sangat terganggu dengan perilaku pembocoran data oleh pihak bank, akan mengadukan masalah ini ke pihak penegak hokum. Tetapi saat hal ini dikonfirmasi kepada pihak bank, malah pihak bank dengan lantang menantang; ‘…silahkan, adukan saja….’.

PROF. RICHARDUS EKO INDRAJIT, Guru Besar Institut Perbanas mencatat beberapa penyebab terjadinya kebocoran informasi nasabah kartu kredit di Indonesia :

1. perilaku atau budaya masyarakat Indonesia yang senang membagi-bagi data serta informasi mengenai  kerabat dan teman dekatnya.

2. kecerobohan pemilik data dalam mengelola data rahasia miliknya karena 

ketidaktahuan ataupun keteledoran

3. maraknya fenomena dengan menggunakan teknik “social engineering” dilakukan oleh pihak tak bertanggung jawab untuk menipu orang lain.

4. pelanggaran etika atau aturan internal yang dilakukan oleh individu dan/atau kelompok dalam mengelola informasi organisasi.

5. lemahnya  manajemen informasi yang diberlakukan dan dipraktekan oleh organisasi

6. adanya proses digitalisasi dari koleksi data/informasi sekunder yang dimiliki komunitas tertentu yang diunggah ke dunia siber (internet).

7. adanya kerawanan (vulnerabilities) dari kebanyakan sistem teknologi informasi yang dimiliki institusi.

8. terkait dengan karakteristik dari internet yang “memaksa” seseorang untuk senantiasa bersikap terbuka.

9. menjamurnya para “pemulung data” di dunia siber (internet).

10. perilaku piranti lunak (software)  rancangan khusus  yang diperuntukkan untuk mengoleksi beragam data dan informasi pribadi.

Memang diakui bahwa ada pihak-pihak tertentu yang sengaja untuk melakukan kegiatan kriminal, baik melalui domain eksternal maupun internal. Sangat disayangkan, apabila perbankan Indonesia dibangun dengan cara seperti ini. Untuk itu Bank Indonesia harus menindak tegas pihak bank yang masih getol melakukan praktek-praktek seperti ini. Dalam kondisi ekonomi yang berat seperti ini, pihak Bank sudah sepatutnya etika bisnis harus ditegakkan. Pasalnya, hacker saja memiliki etika, walaupun mereka penjahat ‘sebenarnya’. Etika Peretas (hacker) antara lain adalah

 Di atas segalanya, hormati pengetahuan & kebebasan informasi.

 Memberitahukan sistem administrator akan adanya pelanggaran keamanan/lubang di keamanan yang anda lihat.

 Jangan mengambil keuntungan yang tidak fair dari hack.

 Tidak mendistribusikan & mengumpulkan software bajakan.

 Tidak pernah mengambil resiko yang bodoh

 selalu mengetahui kemampuan sendiri.

 Selalu bersedia untuk secara terbuka/bebas/gratis memberitahukan& mengajarkan berbagai informasi & metoda yang diperoleh.

 Tidak pernah meng-hack sebuah sistem untuk mencuri uang.

 Tidak pernah memberikan akses ke seseorang yang akan membuat kerusakan.

 Tidak pernah secara sengaja menghapus & merusak file di komputer yangdihack.

 Hormati mesin yang di hack, dan memperlakukan dia seperti mesin sendiri.

Setiap individu harus memiliki kesadaran, keperdulian, dan  kemampuan  – sesuai dengan kapasitas dan pekerjaannya sehari-hari  – untuk mengelola keamanan informasi dalam lingkungannya sendiri. Aspek pendidikan merupakan kunci paling efektif dalam usaha untuk mencegah terjadinya peristiwa kebocoran data secara masal dan masif yang kerap terjadi belakangan ini. Prinsip “your security is my security” perlu ditanamkan secara mendalam ke seluruh insan pengguna komputer dan internet. Kebiasaan bersifat hati-hati atau “prudent” harus merupakan budaya yang perlahan-lahan perlu ditanamkan melalui pendekatan pendidikan kepasa semuar orang tanpa kecuali. Pepatah mengatakan “there is no patching for human stupidity” secara eksplisit mengatakan bahwa kerawanan teknis pada sistem dapat dengan mudah diperbaiki, namun lubang-lubang kerawanan pada manusia tidak ada obatnya kecuali pengetahuan, kemampuan, dan kemauan.

Bank Indonesia dan Bank-bank umum sebenarnya memiliki kewajiban untuk  melakukan pendidikan ‘perbankan dan keuangan kepada masyarakat. Selain itu, pihak-pihak terkait, khususnya penegak hokum sudah saatnya ikut serta memberikan pembelajaran dan bertindak tegas secara hokum dalam melindungi nasabah. Akhirnya, seluruh pemangku kepentingan terkait data dan kebocoran data nasabah ini, sebaiknya segera berbenah – mulai dari manajemen, karyawan, pelanggan, mitra, dan seluruh stakeholder terkait lainnya.