Otoritas Keuangan Dikritik Karena Celah dalam Pemeriksaan Keamanan Mendesak terhadap Sektor Perbankan

red and white painted wall — Vladimir Fedotov / Unsplash

Otoritas keuangan menghadapi tuduhan serius mengenai adanya celah dalam standar pemeriksaan keamanan mendesak yang diterapkan setelah serangkaian insiden kebocoran data pribadi di sektor keuangan. Kritik ini muncul selama audit parlemen di mana terungkap bahwa beberapa bank hanya memeriksa catatan akses selama tiga bulan terakhir sebelum melaporkan tidak adanya anomali, sementara bank internet yang memeriksa catatan selama satu tahun penuh menemukan jejak akses dari alamat protokol internet yang dicurigai sebagai peretas di masa lalu.

Anggota parlemen menyoroti bahwa formulir pemeriksaan mandiri mendesak yang didistribusikan oleh pengawas keuangan kepada lembaga keuangan tidak menyertakan periode pemeriksaan spesifik maupun kriteria konfirmasi yang jelas. Formulir yang berisi dua belas butir pemeriksaan tersebut mencakup aspek seperti upaya pelanggaran dan status operasi sistem pengawasan keamanan waktu nyata, namun gagal menentukan seberapa jauh ke belakang catatan akses masa lalu harus ditelusuri. Hal ini menyebabkan ketidakseragaman metode pemeriksaan di antara berbagai perusahaan keuangan yang menghasilkan laporan dengan kesimpulan serupa meskipun didasarkan pada rentang waktu investigasi yang berbeda.

Investigasi lebih lanjut yang dilakukan oleh kantor anggota parlemen menggunakan data alamat protokol internet terkait insiden peretasan pada sebuah bank besar mengungkapkan fakta mengkhawatirkan. Ketika tiga bank internet diperiksa berdasarkan data tersebut, dua di antaranya ditemukan memiliki riwayat akses dari alamat protokol internet yang sama pada tanggal dua puluh empat Januari tahun ini. Penemuan ini hanya terlihat karena bank-bank tersebut melakukan penelusuran catatan akses selama satu tahun penuh, bukan hanya tiga bulan seperti yang dilakukan oleh sebagian bank konvensional.

Meskipun penggunaan alamat protokol internet yang sama tidak serta merta membuktikan bahwa pelaku serangannya adalah orang yang identik, terdapat kemungkinan bahwa akses pada bulan Januari merupakan kegiatan pengintaian awal untuk serangan terhadap sektor keuangan yang terjadi kemudian. Penting untuk dicatat bahwa penemuan riwayat akses ini tidak secara otomatis berarti bank-bank internet tersebut benar-benar telah disusupi atau mengalami kebocoran data pribadi. Analisis tambahan terhadap konten permintaan, status otentikasi, dan respons sistem pada saat akses terjadi masih diperlukan untuk menentukan tujuan sebenarnya dari kegiatan tersebut.

Masalah signifikan lainnya yang terungkap adalah keterlambatan kemampuan deteksi insiden di kalangan perusahaan keuangan. Data resmi menunjukkan bahwa terdapat sembilan puluh satu kasus di mana lembaga keuangan baru menyadari terjadinya insiden keuangan elektronik atau pelanggaran keamanan lebih dari satu bulan setelah kejadian berlangsung antara tahun dua ribu dua puluh dua hingga Agustus dua ribu dua puluh enam. Tujuh belas kasus di antaranya baru terdeteksi setelah lebih dari satu tahun berlalu, dengan kasus terparah membutuhkan waktu hingga sembilan ratus dua hari untuk disadari. Statistik ini mencakup kesalahan sistem internal selain peretasan eksternal, sehingga tidak semua kasus dapat dikategorikan sebagai serangan siber dari pihak luar.

Keterlambatan deteksi juga terlihat dalam insiden terbaru di mana sebuah perusahaan pembiayaan baru menyadari adanya pelanggaran lima hari setelah kejadian, sementara sebuah bank lainnya mendeteksi tanda-tanda awal anomali melalui departemen pengembangan perangkat lunak, bukan melalui departemen keamanan yang seharusnya mengawasi layanan terkait. Pejabat tinggi komisi keuangan mengakui bahwa hasil pemeriksaan tiga bulan tidak dapat disamakan dengan pemeriksaan satu tahun dan berjanji akan meninjau ulang respons yang diperlukan setelah menerima hasil pemeriksaan tambahan dari seluruh jenis lembaga keuangan. Tuntutan telah diajukan agar semua perusahaan keuangan melakukan investigasi ulang terhadap catatan akses minimal satu tahun dan melaporkan temuan secara rinci sebelum sidang parlemen berikutnya.