Siapa yang menanggung kerugian saat nasabah tertipu?

Pada Mei 2026, OJK melaporkan bahwa 93 lembaga jasa keuangan telah memberikan ganti rugi kepada konsumen dengan total Rp22,89 miliar hingga April.¹ Empat bulan kemudian, angka untuk periode Januari hingga Agustus mencapai Rp77,26 miliar, dibayarkan oleh 146 lembaga.²

Angka tersebut mencakup semua jenis pengaduan konsumen, bukan hanya penipuan. Namun arahnya jelas: makin banyak lembaga yang membayar, dan nilainya makin besar.

OJK kini bisa menggugat ke pengadilan

Sejak 22 Desember 2025, POJK 38/2025 memberi OJK kewenangan untuk mengajukan gugatan terhadap lembaga jasa keuangan atas nama konsumen yang dirugikan, tanpa biaya bagi konsumen. Ganti rugi yang diperoleh dibayarkan kepada pihak yang dirugikan.³

Aturan ini tidak mengubah siapa yang bersalah dalam suatu kasus. Yang berubah adalah apa yang terjadi ketika konsumen merasa lembaga keuangannya bersalah: konsumen tidak lagi membutuhkan biaya dan tenaga untuk menggugat sendiri. Regulator dapat melakukannya untuk mereka.

Sementara itu, volume penipuan terus bertambah

Hingga 31 Agustus 2026, Indonesia Anti-Scam Centre telah menerima 668.441 laporan, memblokir dana korban senilai Rp771,2 miliar, dan mengembalikan Rp206 miliar kepada korban.² Setiap laporan itu adalah nasabah yang cepat atau lambat mungkin bertanya kepada banknya: mengapa ini bisa terjadi?

Ke mana arah kawasan

Negara tetangga Indonesia sudah menjawab sebagian pertanyaan itu.

• Malaysia. Penyedia e-wallet wajib mengembalikan dana korban penipuan dalam tujuh hari kerja jika tidak memenuhi standar perlindungan anti-penipuan Bank Negara Malaysia, bahkan ketika nasabah turut lalai. Jika kesalahan ada di kedua pihak, ganti rugi mengikuti tingkat kelalaian masing-masing. Standarnya mencakup autentikasi transaksi yang lebih kuat, masa jeda (cooling-off) untuk transaksi berisiko tinggi, verifikasi akun pada satu perangkat, hotline penipuan, dan kill switch.⁴
• Singapura. Melalui Shared Responsibility Framework, bank dan operator telekomunikasi ikut menanggung kerugian akibat phishing jika gagal menjalankan kewajiban tertentu.⁵

Kami tidak memprediksi bahwa Indonesia akan meniru salah satu model tersebut. Namun keduanya menunjukkan arah yang sama: tanggung jawab mengikuti kontrol yang diterapkan, atau tidak diterapkan, oleh lembaga keuangan.

Pertanyaannya sedang berubah

Selama bertahun-tahun, jawaban standar dalam sengketa penipuan adalah nasabah membagikan OTP, menginstal aplikasi, atau mengklik tautan, sehingga kerugian menjadi tanggungannya. Jawaban itu makin sulit diandalkan, karena dua hal:

1. Nasabah kini bisa mengeskalasi keluhan dengan mudah, dan regulator bisa menggugat.
2. Regulator di kawasan menilai lembaga keuangan dari kontrol yang diterapkannya, bukan hanya dari apa yang dilakukan nasabah.

Jadi pertanyaan yang perlu disiapkan bank bukan lagi hanya “apakah nasabah lalai?”, melainkan: apa yang dilihat sistem Anda, apa yang diputuskannya, dan apakah keputusan itu wajar?

Seperti apa kontrol yang wajar di kanal mobile

Daftar dari Malaysia bisa menjadi cermin yang berguna, karena hampir semuanya terjadi di ponsel nasabah:

• Mengikat akun ke perangkat yang dikenal, dan memperlakukan perangkat baru sebagai kejadian berisiko, bukan sekadar formalitas.
• Autentikasi yang sesuai risiko: pemeriksaan lebih ketat untuk aksi berisiko, bukan OTP yang sama untuk semua transaksi.
• Masa jeda untuk transaksi berisiko tinggi, misalnya transfer besar ke penerima baru tepat setelah penggantian password.
• Mengetahui kapan perangkat atau aplikasi tidak bisa dipercaya: remote control, aplikasi yang dimodifikasi, malware, atau panggilan telepon aktif saat transfer.

Masalah bukti

Saat sengketa muncul, log transaksi menunjukkan apa yang terjadi: nominal, waktu, dan penerima. Log itu jarang menunjukkan kondisi saat transaksi terjadi. Apakah aplikasi yang dipakai asli? Apakah ponselnya sedang dikendalikan dari jarak jauh? Apakah nasabah sedang menerima telepon saat menyetujui transfer? Apakah ini perangkat yang biasa dipakai nasabah?

Tanpa bukti tersebut, lembaga keuangan berargumen hanya dengan separuh gambaran, ke mana pun fakta sebenarnya mengarah. Dengan bukti itu, lembaga keuangan dapat menunjukkan kontrol yang diterapkannya dan alasan di balik keputusannya, atau lebih cepat mengetahui di mana kontrolnya masih kurang.

Pertanyaan untuk tim Anda

1. Jika transfer berasal dari ponsel terdaftar milik nasabah, dengan PIN dan OTP yang benar, apa yang membedakan di log Anda antara nasabah yang melakukannya sendiri dan malware yang mengendalikan ponselnya?
2. Saat transfer disetujui, apakah Anda tahu jika layar sedang dikendalikan lewat accessibility service, tertutup overlay, dibagikan lewat screen sharing, atau ada panggilan telepon aktif?
3. Bisakah Anda membuktikan bahwa permintaan transfer berasal dari aplikasi asli Anda, bukan versi yang dimodifikasi atau salinan yang berjalan di profil tersembunyi?
4. Apakah kondisi perangkat itu ikut menentukan keputusan saat transfer terjadi, atau baru dicari setelah nasabah melapor?
5. Apakah catatan keputusan itu bisa dipertanggungjawabkan kepada pihak ketiga, misalnya karena tidak bisa diubah setelah kejadian?

Artikel ini menjelaskan regulasi dan angka sebagai informasi saja, bukan nasihat hukum.

Sumber

1. Bareksa, 6 Mei 2026: OJK jatuhkan 79 sanksi ke PUJK, ganti rugi konsumen capai Rp22,89 miliar
2. Infobanknews, 7 Sep 2026: OJK minta industri jasa keuangan ganti kerugian konsumen Rp77,26 miliar
3. Bisnis.com, 20 Jan 2026: OJK kini bisa gugat pelaku jasa keuangan atas kerugian konsumen
4. IDN Financials, 3 Jul 2026: Malaysia wajibkan e-wallet bayar ganti rugi korban penipuan
5. Herbert Smith Freehills Kramer: Financial institutions and telcos required to share responsibility for phishing scams in Singapore (bahasa Inggris)

Angka sesuai laporan sumber di atas pada saat tulisan ini dibuat. Menemukan kesalahan? Kirim email ke contact@mosecure.id dan kami akan memperbaikinya.