Lima tahap mobile fraud, dan hanya satu yang terlihat oleh fraud engine

Banyak kasus mobile fraud di bank Indonesia mengikuti alur yang sama: phishing tiba, nasabah berinteraksi, perangkat ter-compromise, kredensial dicuri, lalu transaksi disubmit. Saat transaksi itu sampai ke fraud engine, empat tahap sebelumnya sudah terjadi di tempat yang tidak terlihat oleh bank.

Tidak semua kasus melewati kelima tahap tersebut. Pada banyak penipuan, misalnya toko online palsu, tidak ada yang disusupi di ponsel korban; nasabah hanya dibujuk untuk mengirim uang. Namun ketika perangkat menjadi bagian dari serangan, pola ini cukup sering berulang sehingga layak dipetakan.

Lima tahapnya

1. Phishing tiba. Melalui SMS, pesan WhatsApp, iklan media sosial, atau telepon. Pada Maret 2025, polisi mengungkap BTS palsu di dalam mobil yang berkeliling Jakarta dan mengirim SMS yang dibuat seolah-olah berasal dari bank.¹
2. Nasabah berinteraksi. Nasabah mengetuk tautan, memasukkan data di halaman palsu, atau memasang sebuah file. "Undangan pernikahan" pada 2023 adalah APK Android yang dikirim lewat WhatsApp dan meminta akses SMS setelah dipasang.²
3. Perangkat ter-compromise. Malware memperoleh izin yang dibutuhkannya. Kampanye Gigabud yang didokumentasikan pada September 2026 meminta akses Accessibility dan izin menampilkan overlay di atas aplikasi lain.³
4. Kredensial dicuri. Melalui halaman phishing, OTP yang disadap, atau overlay di atas aplikasi bank yang asli. Gigabud memakai layar login palsu dan overlay tak terlihat untuk menangkap kredensial dan kode kunci layar.³
5. Transaksi disubmit. Dari perangkat pelaku, atau, seperti pada kampanye Gigabud, dari ponsel korban sendiri yang dikendalikan dari jarak jauh, dengan kredensial dan OTP yang valid.³

Seperti apa setiap tahap dari sisi bank

Dua tahap pertama berada di luar jangkauan bank. Tahap kelima adalah tempat sebagian besar kontrol fraud berada. Tahap ketiga dan keempat adalah celahnya: keduanya terjadi di perangkat nasabah atau di dalam sesi perbankan, tempat aturan di sisi server hanya punya sedikit informasi, dan pada tahap kelima transaksi sering kali terlihat sah.

Mengapa menunggu tahap kelima itu mahal

Begitu dana berpindah, pemulihan bergantung pada seberapa cepat korban melapor. Pada Agustus 2025, pejabat OJK menyebut rata-rata 83% korban baru melapor setelah lewat 12 jam, saat dana biasanya sudah dipindahkan.⁴ Setiap tahap yang terdeteksi lebih awal berarti satu transfer yang tidak perlu dipulihkan.

Memajukan deteksi

• Pantau perangkat dari dalam aplikasi. Layanan Accessibility yang berisiko, overlay di atas aplikasi bank, hooking, dan tampering terlihat oleh perlindungan yang berjalan di dalam aplikasi, dan muncul pada tahap ketiga, sebelum kredensial digunakan.
• Perlakukan aktivitas tahap keempat sebagai aksi berisiko. Device binding, registrasi ulang, dan pemulihan akun layak diperiksa seketat transfer, karena di situlah kredensial curian diubah menjadi akses.
• Nilai sesi tepat saat transfer. Login yang bersih sepuluh menit lalu bisa saja kini dikendalikan dari jarak jauh. Periksa ulang konteks perangkat dan sesi saat dana akan berpindah, bukan hanya saat login.
• Satukan dalam satu keputusan. Sinyal perangkat dan sesi paling berguna jika sampai ke fraud engine bersama transaksinya, sebagai bagian dari keputusan yang sama.

Baca juga: Fake BTS: dari SMS phishing ke pengambilalihan rekening · Gigabud dan aplikasi bank hasil kloning · Jendela 12 jam