CISO BRI Ungkap 6 Ancaman Siber yang Dihadapi, Ajak Provider Kolaborasi Cegah SIM Swap

Cyberthreat.id - Chief Information Security Officer (CISO) Bank Rakyat Indonesia (BRI), Muharto, mengungkapkan industri perbankan saat ini menghadapi setidaknya 6 ancaman siber.

Hal itu disampaikan dalam webinar bertajuk “Strengthening Industry Collaboration to fight Cyber Threat in Banking Operation”, Rabu (7 Oktober 2020).

Pertama, skimming atau pencurian informasi kartu kredit dan debit di mesin ATM. Muharto menjelaskan pihaknya memitigasi dengan melakukan pengamanan fisik di mesin ATM untuk mencegah alat skimmingnya masuk seperti menggunakan Anti Deep Skimming, dan Anti Bazel Skimming. Ia juga mengatakan pihaknya memasang TLS (Transport Layer Security) untuk mengenkripsi komunikasi data ke host,improvisasi operasi mengelola mesin ATM seperti mengelola CCTV, dan penguncian ATM.

Kedua, SIM Swap atau pengambilan kartu SIM oleh pihak lain. Menurutnya, SIM Swap ini tergantung dari pihak ketiga atau perusahaan telekomunikasi (telco) untuk membantu BRI mencegah SIM Swap ini.

Tangkapan layar presentasi Muharto terkait ancaman dan mitigasi keamanan siber di BRI

“SIM Swap ini terjadi karena pelayanan kami pakai SMS. Di bank lain, di kami, juga masih menggunakan SMS sebagai produk. Itu akan rentan terhadap kejahatan SIM Swap ini. Ketika SIM nya dikuasai, notifikasi, OTP, kredensial yang lain akan dikirimkan kepada pihak [penjahat] itu, itulah kesulitannya dari menggunakan layanan SMS,” kata dia.

Untuk mengatasinya, kata dia, perlu kerja sama dengan perusahaan telekomunikasi selaku penyedia nomor kartu SIM.   Misalnya, pihak telco memberikan peringatan ke perbankan ketika ada orang yang datang mencoba mengganti SIM-nya ke gerai. Dengan begitu, pihak perbankan bisa mewaspadai hingga memblokir rekening bank yang terkoneksi dengan nomor ponsel tersebut.

“Kita segera merancang itu bersama Telkomsel. Ke depannya untuk telco yang lain,” ujarnya.

Ketiga, ransomware. Menurutnya, sekarang sifatnya penjahat siber menyandera endpoint. Meskipun tidak merusak, tetapi menyandera dengan harapan pihak bank membayar ke penjahat. Dengan semakin banyaknya variasi ransomware, Muharto mengatakan risikonya juga kian tinggi. Pihaknya pun melakukan mitigasi untuk pengamanan di endpoint, seperti pemasangan alat endpoint response untuk mendeteksi jika ada ancaman ransomware.

“Kemudian melakukan patching system (pembaruan keamanan) secara berkala dan security monitoring 24/7. Jadi usaha-usaha penipu untuk mengirim malware itu salah satu bisa ditangkap di honeypot yang diinisiasi oleh BSSN, salah satunya. Kemudian juga kalau sudah lalu lalang di network itu, kita ada network traffic analysis untuk memonitor itu. Jadi sebelum dia bisa nempel di endpoint kita bisa mencegah,” tambahnya.

Keempat, scam dan phising. Muharto menjelaskan bahwa banyak akun-akun di Telegram, Instagram, Whatsapp, atau [aplikasi] di Google Store yang berpura-pura atau meniru akun resmi bank.

“Ini kita kerja sama dengan pihak ketiga internasional untuk men-takedown, dan melaporkan ke BSSN," ujarnya.

Kelima, emerging DevOps atau agile. Menurutnya, pengembangan aplikasi secara agile itu menyimpan risiko yang besar. Muharto menyampaikan bahwa ada salah satu kode yang salah saja, bisa langsung dieksploitasi oleh penjahat. Untuk itu, pihaknya memonitor percobaan akses ilegal atau percobaan lainnya melalui Security Operation Center (SOC) setiap hari atau 24/7.

Terakhir, social engineering atau usaha penipu untuk mengelabui orang untuk mencuri kredensial. Untuk memitigasi ini, kata dia, pihaknya melakukan edukasi. Ia pun mendorong masyarakat saling mengingatkan hal sederhana seperti pihak bank tidak akan meminta data kredensial nasabah.

“Kalau misalnya kredensial nasabah dimiliki penipu kita tidak bisa apa-apa. Kita sudah implementasi berlapis-lapis aplikasi atau berlapis-lapis tools sistem keamanan untuk mengamankan produk perbankan kita, tapi kalau OTP itu sudah diserahkan ke pihak ketiga, percuma tadi investasi kita,” kata dia.

Di sisi lain, Muharto menyampaikan bahwa pihaknya dari sisi proses telah menerapkan framework risiko siber dari National Institute of Standards and Technology (NIST), standar utama menjalankan fungsi keamanan siber dari Amerika Serikat.

Selain NIST, Muharto menambahkan bahwa pihaknya juga menerapkan ISO 27000 tentang sistem manajemen keamanan informasi, Payment Card Industry/Payment Application Data Security Standard (PCI/PA DSS) untuk proses pembayaran ATM Debit dan Virtual Debit, ISO 20000 terkait manajemen teknologi informasi (TI), serta COBIT/COSO framework untuk tim audit dan manajemen risiko. Ia berharap ke depan pusat data pihaknya bisa menerapkan standar Tier 3 Uptime Institute.

Dari sisi teknologi, Muharto mengatakan BRI menggunakan tools yang banyak untuk mengontrol risiko siber mulai dari security services operation, perimeter security, network security, endpoint security, application security. Pihaknya pun melakukan security by design, melakukan pengamanan sejak mulai dari perencanaan.

Dari sisi manusianya, Muharto menyampaikan bahwa pihaknya pun memberikan pelatihan yang memadai untuk karyawan BRI, merekrut profesional yang ahli di bidang sekuriti dengan bekerja sama dengan penyelenggara lomba siber salah satunya, serta karyawannya wajib memiliki sertifikasi keamanan.

Sementara itu, untuk penanganan setiap insiden siber, kata dia, BRI berkoordinasi dengan berbagai pihak seperti Badan Siber dan Sandi Negara (BSSN) terkait dengan cyber forensic dan fraud detection, Bareskrim Polri terkait tindak pidana, Bank Indonesia (BI) dan Otoritas Jasa Keuangan (OJK) meliputi insiden seperti kronologi kejadian dan analisisnya. []

Editor: Yuswardi A. Suud