KEAMANAN AUTENTIKASI PERBANKAN
MFA Tahan Phishing Perbankan: Lindungi Akses Kritis dengan Security Key FIDO2
OTP SMS dan kode aplikasi masih bisa dicuri melalui phishing real-time, SIM swap, dan serangan adversary-in-the-middle. Security key berbasis FIDO2 menghadirkan autentikasi yang secara teknis tidak dapat di-phishing — selaras dengan pendekatan manajemen risiko TI dalam POJK 11/2022.
Serangan phishing terhadap sektor keuangan Indonesia semakin canggih. Pelaku tidak lagi sekadar mengirim email palsu berisi tautan mencurigakan; mereka menggunakan perangkat phishing modern yang mereplikasi halaman login secara identik, meneruskan kredensial dan kode OTP korban ke sistem asli secara real-time. Dalam skema adversary-in-the-middle (AiTM) seperti ini, MFA berbasis kode — OTP SMS, email, bahkan aplikasi authenticator — dapat dilewati karena kode yang diketik korban langsung dipakai penyerang sebelum kedaluwarsa. Di sinilah konsep MFA tahan phishing perbankan menjadi relevan: autentikasi yang tetap aman bahkan ketika pengguna tertipu.
POJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum menempatkan tanggung jawab pengelolaan risiko TI — termasuk keamanan siber dan pengamanan akses — pada bank, dengan pendekatan berbasis risiko. Regulasi ini tidak mendikte satu teknologi autentikasi tertentu; bank dituntut memilih kontrol yang proporsional terhadap profil risikonya. Untuk akses berisiko tinggi — administrator sistem, petugas treasury, pengguna dengan akses data nasabah, akun privileged pada core banking — kontrol autentikasi yang terbukti tahan phishing adalah pilihan yang mudah dipertanggungjawabkan kepada auditor maupun regulator.
Standar FIDO2/WebAuthn, yang diimplementasikan pada hardware security key seperti YubiKey, bekerja dengan kriptografi kunci publik yang terikat pada domain layanan (origin binding). Kredensial tidak pernah meninggalkan perangkat, tidak ada kode yang bisa diketik ulang di situs palsu, dan tidak ada rahasia bersama yang bisa bocor dari server. NIST SP 800-63B mengkategorikan autentikator semacam ini sebagai phishing-resistant — tingkat jaminan yang tidak dapat dicapai OTP berbasis SMS. Halaman ini membahas mengapa perbedaan itu penting bagi bank Anda, dan bagaimana melakukan rollout secara bertahap tanpa mengganggu operasional.
Mengapa MFA Berbasis Kode Tidak Lagi Cukup untuk Perbankan
Phishing real-time menembus OTP
Perangkat AiTM modern meneruskan kredensial dan kode OTP korban ke sistem asli dalam hitungan detik. Kode sekali pakai tetap valid di tangan penyerang selama jendela waktunya belum habis.
SIM swap dan intersepsi SMS
OTP SMS bergantung pada jaringan seluler yang berada di luar kendali bank. Pengambilalihan nomor melalui SIM swap atau intersepsi jalur SS7 membuat kanal ini rapuh — NIST SP 800-63B sendiri menggolongkan OTP via PSTN/SMS sebagai autentikator restricted.
Akun privileged sebagai target utama
Satu akun administrator core banking atau petugas dengan akses data nasabah yang dibobol dapat berdampak jauh lebih besar daripada ribuan akun biasa. Kontrol autentikasi untuk akses ini seharusnya paling kuat, bukan disamakan dengan pengguna umum.
Beban pembuktian saat audit dan insiden
Ketika insiden terjadi, bank harus mampu menunjukkan bahwa kontrol akses yang diterapkan proporsional terhadap risikonya sesuai kerangka POJK 11/2022. MFA yang diketahui bisa di-phishing semakin sulit dipertahankan sebagai kontrol yang memadai untuk sistem kritikal.
Security Key FIDO2: Autentikasi yang Secara Desain Tahan Phishing
Origin binding — kunci hanya merespons domain asli
Kredensial FIDO2 terikat kriptografis pada domain layanan yang mendaftarkannya. Di situs phishing yang domainnya berbeda, autentikasi tidak akan berjalan — pengguna tidak bisa 'tertipu' menyerahkan sesuatu yang bisa dipakai penyerang.
Tidak ada rahasia bersama di server
Server hanya menyimpan kunci publik; kunci privat tidak pernah meninggalkan perangkat keras. Kebocoran database tidak menghasilkan kredensial yang bisa dipakai ulang, berbeda dengan seed OTP atau password.
Verifikasi kehadiran fisik pengguna
Setiap autentikasi memerlukan sentuhan fisik pada key, sehingga malware di komputer tidak dapat memicu login diam-diam. Kombinasi dengan PIN memberikan faktor kepemilikan dan pengetahuan sekaligus.
Satu key untuk banyak sistem — termasuk smart card/PIV
Selain FIDO2/WebAuthn, YubiKey mendukung PIV (smart card), OpenPGP, dan OTP legacy, sehingga satu perangkat dapat mengamankan login Windows/AD, VPN, IAM (Entra ID, Okta, dan lainnya), hingga SSH. Migrasi bisa berjalan bertahap tanpa mengganti semua sistem sekaligus.
Varian FIPS untuk kebutuhan jaminan lebih tinggi
Untuk lingkungan yang mensyaratkan modul kriptografi tervalidasi, tersedia seri YubiKey FIPS yang tervalidasi FIPS 140-2/140-3. Ini memudahkan justifikasi kontrol pada sistem dengan klasifikasi risiko tertinggi.
DTI telah mendampingi lembaga keuangan dan institusi teregulasi di Indonesia dalam pengadaan serta implementasi hardware security key, dari tahap pilot hingga rollout skala organisasi.
Rollout Bertahap: Dari Penilaian Risiko hingga Skala Penuh
Penilaian risiko dan pemetaan akses
Bersama tim Anda, DTI memetakan sistem dan peran berdasarkan tingkat risiko sesuai kerangka manajemen risiko TI POJK 11/2022: akun privileged, akses core banking, treasury, hingga pengguna kantor cabang. Hasilnya adalah daftar prioritas siapa yang perlu MFA tahan phishing lebih dulu.
Uji integrasi pada sistem identitas
Security key diuji pada direktori dan IAM yang sudah Anda pakai — Active Directory, Entra ID, Okta, atau IdP berbasis SAML/OIDC lain — termasuk skenario smart card/PIV untuk login workstation. Tahap ini memvalidasi kompatibilitas tanpa menyentuh produksi.
Pilot pada kelompok berisiko tinggi
Rollout dimulai dari administrator TI dan pengguna privileged: populasi kecil, dampak keamanan terbesar. Pada tahap ini disusun juga prosedur operasional — pendaftaran key, key cadangan, penanganan kehilangan, dan pencabutan akses saat karyawan keluar.
Perluasan bertahap dan pelaporan
Setelah pilot stabil, cakupan diperluas per kelompok pengguna dengan target waktu yang realistis. DTI membantu dokumentasi kebijakan dan bukti implementasi sehingga kontrol ini siap dipresentasikan dalam audit internal maupun pemeriksaan regulator.
Pertanyaan yang Sering Diajukan
Apakah POJK 11/2022 mewajibkan bank memakai security key FIDO2?
Tidak. POJK 11/2022 menggunakan pendekatan berbasis risiko: bank wajib mengelola risiko TI dan menerapkan pengamanan yang proporsional, tanpa mendikte teknologi tertentu. Security key FIDO2 adalah salah satu cara terkuat untuk memenuhi ekspektasi tersebut pada akses berisiko tinggi, bukan sebuah kewajiban regulasi.
Apa yang membuat FIDO2 lebih tahan phishing dibanding OTP SMS atau aplikasi authenticator?
Kode OTP bisa diketik ulang di situs palsu dan diteruskan penyerang ke situs asli secara real-time. Kredensial FIDO2 terikat pada domain asli dan tidak menghasilkan kode apa pun yang bisa dicuri, sehingga skema phishing dan adversary-in-the-middle tidak mendapatkan apa-apa untuk dipakai ulang.
Bagaimana jika karyawan kehilangan security key-nya?
Praktik standarnya adalah mendaftarkan minimal dua key per pengguna — satu utama, satu cadangan yang disimpan aman. Key yang hilang cukup dicabut dari sistem identitas sehingga langsung tidak berlaku, dan prosedur recovery yang terkontrol menjadi bagian dari kebijakan yang kami bantu susun saat implementasi.
Apakah security key bisa diintegrasikan dengan sistem yang sudah berjalan di bank kami?
Umumnya ya. FIDO2/WebAuthn didukung secara native oleh browser modern dan platform identitas utama seperti Entra ID, Okta, dan IdP berbasis SAML/OIDC, sementara mode PIV/smart card mendukung login Windows dan Active Directory. Aplikasi internal yang belum mendukung WebAuthn biasanya dijembatani melalui IdP tanpa mengubah aplikasinya.
Dari mana sebaiknya rollout dimulai agar tidak mengganggu operasional?
Mulailah dari populasi kecil dengan risiko terbesar: administrator sistem, akses core banking, dan akun privileged lainnya. Pendekatan bertahap ini memberi dampak keamanan maksimal sejak awal, sekaligus waktu untuk mematangkan prosedur sebelum diperluas ke kantor cabang dan pengguna umum.
Kapan bank perlu mempertimbangkan varian YubiKey FIPS?
Seri FIPS relevan bila kebijakan internal, kontrak, atau klasifikasi sistem Anda mensyaratkan modul kriptografi yang tervalidasi FIPS 140-2/140-3. Untuk mayoritas kasus perbankan, seri YubiKey 5 standar sudah memberikan ketahanan phishing yang sama; perbedaannya ada pada validasi formal modul kriptografinya.
KEAMANAN AUTENTIKASI PERBANKAN
Diskusikan Peta Jalan MFA Tahan Phishing untuk Bank Anda
Tim DTI siap membantu penilaian risiko akses, uji integrasi, hingga pengadaan dan rollout security key secara bertahap. Hubungi kami untuk sesi konsultasi dan demo tanpa biaya.
