Belum lama ini muncul modus penipuan yang berhasil membobol kartu kredit.

Bahkan aksi ini bisa dilakukan tanpa perlu menggunakan lapisan keamanan One Time Password (OTP).Korban dari modus penipuan ini melihat ada transaksi yang menggunakan kartu kreditnya untuk sebuah pembayaran berbasis kode QR lewat sebuah aplikasi dompet digital.

Tagihan itu disebutkan tidak pernah dilakukan ataupun tidak menghubungkan kartu kredit dengan layanan dompet digital.

Pakar keamanan siber Alfons Tanujaya mengatakan kemungkinan pelaku telah memiliki data kartu kredit korban, misalnya nomor kartu, masa berlaku, kode CVV, hingga nama pemilik itu sendiri.

Untuk melancarkan aksinya, pelaku akan mengujinya dengan bertransaksi Rp 0 secara berulang kali. Berikutnya akan digunakan untuk transaksi yang dapat dicairkan seperti top-up kripto atau belanja e-commerce.

Temuan Alfons menyebutkan transaksi ini bisa dilakukan tanpa OTP. Biasanya kode ini akan masuk ke nomor ponsel pemilik saat ada percobaan menggunakan sebuah layanan.

Namun ternyata tidak ada kode OTP yang masuk ke nomor ponsel korban. Alfons menjelaskan OTP tidak selalu dikirimkan setiap transaksi, melainkan hanya pada situasi atau nominal tertentu saja.

Ini juga membuat pelaku tidak perlu ribet membobol akun dompet digital korban. Karena mereka telah mengantongi data-data kartu kredit yang diperlukan.

Kemunculan OTP juga dikaitkan dnegan algoritma sistem manajemen risiko (risk system) dari pihak bank penerbit. Saat dinilai aman, maka transaksi bisa diloloskan tanpa harus menggunakan verifikasi keamanan tambahan.

“Artinya, transaksi yang lolos tanpa OTP adalah transaksi yang oleh sistem risiko bank dinilai ‘aman’, dan penilaian itu keliru. Tanggung jawabnya bersama: sistem risiko bank penerbit dan kontrol di aplikasi pembayaran sama-sama meloloskan,” jelas Alfons.

Alfons juga menjelaskan beberapa cara yang mungkin bisa menjadi sumber kebocoran data kartu kredit. Berikut rangkumannya:

1) Malware Infostealer: Perangkat korban disusupi virus pencuri data yang mampu merekam data autofill kartu di browser, kata sandi, hingga cookie.

2) Web Skimming: Skrip berbahaya yang menanam di situs tertentu untuk merekam data kartu saat diketik oleh pengguna.

3) Phishing: Penipuan lewat situs palsu yang menyamar sebagai promo, kurir ekspedisi, atau bank untuk mengelabui korban agar memasukkan data kartu.

4) Kebocoran Pihak Ketiga: Kebocoran data dari rantai pemrosesan pembayaran (payment processor).

Sumber: cnbc indonesia