Jenis-jenis Kartu Jenius. | Foto: folderbisnis.com
Jenis-jenis Kartu Jenius. | Foto: folderbisnis.com
Cyberthreat.id – Beberapa waktu lalu terjadi penipuan terhadap nasabah Jenius, layanan digital milik Bank BTPN. Pelaku mengambil alih akun Jenius berawal dari permintaan kode one-time password (POTP) kepada korban.
Dari situlah, pelaku menggasak rekening Jenius milik Anggita Wahyuningtyas Tungka hingga Rp 54 juta. Anggita tak menyadari bahwa dirinya terkena modus rekayasa sosial (social engineering) lantaran di ponselnya, panggilan telepon yang muncul dari nomor +6281271268718 tertulis “CALL JENIUS”. Karena yakin dari Jenius, Anggita mengangkatnya.
Baca:
Menanggapi kasus tersebut, perusahaan keamanan siber di Jakarta, Vaksincom pun melakukan analisis.
Menurut Vaksincom, sebenarnya teknik rekayasa sosial yang digunakan oleh para penipu secara teknis tidak canggih dan tidak butuh teknologi atau kemampuan teknis yang tinggi. Dalam pelaksanaannya justru memanfaatkan kelemahan sistem dan korbannya yang awam.
“Lebih kepada eksploitasi kelemahan korbannya secara psikologis,” tulis Analis dan Pakar TI Vaksincom, Alfons Tanujaya di blog perusahaan, Minggu (27 September 2020).
“Kabar buruknya hal ini (kondisi keawaman pelanggan) secara tidak langsung difasilitasi oleh pihak penyedia jasa keuangan dan penyedia layanan seluler sehingga korbannya bisa tertipu.”
Menurut Alfons, penyedia jasa layanan keuangan berperan dengan hanya mengandalkan pada kata kunci (PIN/password) untuk otorisasi transaksi keuangan penting.
Sementara, penyedia layanan seluler kurang peka dan memberikan layanan nilai tambah (value added) yang ternyata dapat disalahgunakan oleh penipu untuk mengelabui korban. Akibatnya, korban mengira bahwa penipu yang menelponnya benar-benar dari lembaga yang sah. Korban pun mudah dikelabui ketika dimintai PIN/password, padahal kode rahasia ini tidak boleh diberikan kepada siapa pun, sekalipun kepada petugas bank/lembaga terkait.
Layanan PopCall
Dalam analisisnya, Vaksincom berkesimpulan bahwa penipu yang menargetkan nasabah Jenius tersebut memanfaatkan layanan “PopCall” yang disediakan oleh operator seluler, Telkomsel.
“Jika diperhatikan dengan teliti, kemungkinan besar penerima telepon akan percaya dengan klaim tersebut dan mengira ia melihat “Caller ID”, tapi sebenarnya yang dilihat adalah fasilitas ‘PopCall’ dan bukan ‘Caller ID’,” kata Alfons.
“PopCall”, dikutip dari situs web resmi Telkomsel, merupakan layanan yang memungkinkan pelanggan untuk memunculkan status telepon saat melakukan panggilan telepon keluar.
Status telepon akan muncul tiga detik sebelum dering telepon. Penerima telepon yang mengaktifkan layanan tersebut adalah sebuah pop-up (pesan sembulan) yang berisikan status pesan yang dimasukkan penelepon tersebut.
Jika berkaca pada kasus Anggita, yang muncul di ponselnya adalah CALL JENIUS. Artinya, si penipu memasukkan status pesan “CALL JENIUS” untuk layanan “PopCall”-nya.
Menurut Alfons, sebetulnya layanan “PopCall” menerapkan metode blacklist, di mana kata-kata atau kalimat yang sering dipakai untuk penipuan telah diblokir agar tidak bisa dipakai lagi.
Namun,kata dia, metode itu terbukti memiliki banyak kelemahan dan mudah diterobos. “Penipu tinggal mencari kata yang tidak di-blacklist dan menggunakan kata tersebut sehingga pop-up kalimat tersebut muncul dan dikira sebagai ‘Caller ID’ oleh penerima telepon, padahal hanya tampilan ‘PopCall’,” ujar Alfons.
Alfons pun menampilkan contoh modus penipuan berbasis “PopCall” dari pengguna Twitter, seperti di bawah ini:
Alfons mengatakan, jika melihat gambar yang dibagikan Hantsutomo itu, penipu mengakali metode blacklist yang dilakukan Telkomsel terhadap layanan “PopCall”-nya, dengan menambahkan huruf “r” di kata “Center” menjadi “Call Centerr JENIUS”.
“Kata ‘Center’ diblokir, maka digunakan kata “Centerr” dan terbukti ‘PopCall’ meloloskan teks “Call Centerr JENIUS” dan yang lolos dari blokir sistem dan akan tampil di layar ponsel penerima telepon yang kemungkinan besar akan mengira ia menerima telepon dengan Caller ID “Call Centerr JENIUS”,” kata Alfons.
Selain metode blacklist, layanan “PopCall” juga mengatur pemblokiran lain, yaitu jika mencapai jumlah tertentu terkait percobaan pesan yang dilarang, nomor telepon yang dipakai akan diblokir.
Namun, Alfons menilai itu tidak cukup juga mencegah terjadinya penipuan karena penipu tinggal membeli nomor prabayar lain untuk beraksi kembali.
Mengenai kasus pengambilalihan kode PIN/OTP, menurut Alfons, secara hukum memang kesalahan ada di pihak nasabah: mengapa sampai bisa tertipu memberikan PIN otorisasi transaksi?
“Namun, tidak dapat disangkal bahwa pengamanan otorisasi transaksi yang lemah dan fitur PopCall sangat berperan pada keberhasilan aksi penipuan ini,” ujar dia.
Oleh karenanya, menurut dia, sebaiknya Telkomsel menggunakan metode whitelist atau pilihan terbatas untuk kalimat “PopCall” atau persetujuan manual untuk setiap teks “Pop Call” baru yang ingin ditampilkan, demikian saat dihubungi Cyberthreat.id, Senin (28 September).
Tanggapan dari Telkomsel
Cyberthreat.id sudah menghubungi Telkomsel sejak Rabu (23 September 2020), terkait layanan “PopCall” tersebut. Saat itu Telkomsel mengatakan akan membantu memeriksa.
Ketika diminta hasilnya Senin atau hari ini, Telkomsel belum bisa memberikan tanggapannya terkait “PopCall”. Namun, Telkomsel menyarankan pelanggan Telkomsel melapor jika ada indikasi nomor seluler digunakan untuk kejahatan penipuan.
Telkomsel mengarahkan pelanggannya melakukan pelaporan dengan menghubungi layanan call center 24 jam 188, mengirimkan SMS pengaduan ke 1166 secara gratis dengan format PENIPUAN#NOMOR MSISDN PENIPU#ISI SMS PENIPUAN.
Selain itu, pelanggan juga bisa menghubungi via chatting dengan asisten virtual di LINE, Telegram, dan Facebook Messenger Telkomsel, email cs@telkomsel.co.id, atau media sosial (Facebook dan Twitter).
“Informasi lebih lanjut mengenai penipuan yang mengatasnamakan Telkomsel dapat dilihat di https://www.telkomsel.com/support/waspada-penipuan,” kata Vice President Corporate Communications Telkomsel, Denny Abidin, dalam keterangan tertulisnya, Senin.
“Telkomsel juga siap berkoordinasi jika sudah ada permohonan tindak lanjut secara resmi dari aparat penegak hukum sesuai dengan laporan yang diajukan oleh masyarakat dan melakukan blokir sesuai permintaan Ppmerintah dan atau sesuai ketentuan dan peraturan perundangan yang berlaku.” kata Denny.[]
Redaktur: Andi Nugroho
Share:
