Tangkal Rekayasa Sosial, Gojek Tempuh Jalan Apa?
Di tengah sejumlah upaya Gojek untuk meningkatkan keamanan platformnya, pakar keamanan siber menilai masih perlu ditingkatkan. Seperti apa?
Tangkal Rekayasa Sosial di Platform Digital, Gojek Tempuh Jalan Apa?

Di tengah sejumlah upaya Gojek untuk meningkatkan keamanan platformnya, pakar keamanan siber menilai masih perlu ditingkatkan. Seperti apa?

Yuswardi A. Suud | Senin, 26 Oktober 2020 - 22:51 WIB

Cyberthreat.id - Penyanyi Maia Estianty tak pernah menyangka dirinya menjadi korban kejahatan online. Di penghujung 2019 lalu, saldo GoPay miliknya dikuras orang lain. Saat itu, 26 Desember 2019, Maia memesan makanan melalui layanan Go-Shop, fitur yang disediakan Gojek untuk transaksi makanan yang tidak tersedia di pelapak GoFood. Orderan senilai Rp800 ribu itu tercatat dengan nomor oder SH-927217276.

Tak berapa lama setelah menyelesaikan orderan, Maia mendapat telepon dari “mitra pengemudi” Gojek. Sang penelepon mengatakan sepeda motornya mogok dan meminta Maia mencari penggantinya. Tak hanya itu, penelepon juga menyarankan Maia mengklik deretan nomor . Setelah itu, Maia menerima pesan SMS berupa kode password sekali pakai atau OTP (one-time password).

“Dia minta saya klik *21* 082178912261#. Tau apa yang terjadi? Ternyata itu kode kita sedang mem-forward data telepon kita ke dia,” tulis Maia di akun Instagramnya.

Kode yang dimaksud Maia dikenal sebagai call forwarding yang disediakan oleh provider seluler. Jika fitur itu diaktifkan, setiap panggilan suara, SMS, hingga sinkronikasi data akan dialihkan ke nomor yang diisi. Dalam kasus Maia, SMS berisi kode OTP yang dikirim ke ponselnya, juga masuk ke nomor 082178912261. Jadi, meskipun Maia tidak memberikan kode OTP yang masuk ke ponselnya ke orang lain, namun lantaran dia sudah menekan kode call forwarding, SMS itu juga masuk ke ponsel pelaku. Dengan mengambil alih lalu lintas SMS masuk, besar kemungkinan pelaku bisa mengambil alih akun toko daring, dompet digital, pesan instan (WhatsApp dll), hingga media sosial.

Hal itu juga dialami Maia Estianty. Selain menguras saldo GoPay di akun Gojek miliknya, menurut Maia, pelaku juga sempat berusaha membeli barang berupa ponsel seharga Rp18 juta menggunakan akun Tokopedia miliknya. Pelaku berusaha menggunakan data kartu kredit Maia yang tersimpan di akun Tokopedia, dan mengarahkan pengiriman barangnya ke daerah di Sumatera Selatan. Untungnya, Maia cepat menyadarinya dan segera memblokir kartu kreditnya sehingga transaksinya gagal.

"Saran gue buat pemilik usaha aplikasi kayak Gojek, Tokped dll, mestinya kejadian-kejadian kayak gini udah harus diantisipasi banget, supaya gak berjatuhan korban-korban yang lain," tulis Maia ketika itu.

Dalam unggahan terpisah, Maia mengidentifikasi lokasi pelaku dari alamat pengiriman barang yang gagal dibeli di akun Tokopedia miliknya. Maia menyebut alamatnya di Tulung Selapan, Sumatera Selatan.

Belakangan, pihak Gojek mengatakan pelaku yang menipu Maia bukan pengemudi Gojek, melainkan orang lain yang telah membajak akun seorang mitra pengemudi Gojek setelah mendapatkan kode OTP Gojek-nya. Setelah mengambil alih akun mitra pengemudi Gojek itulah pelaku mencari mangsa. Gojek kemudian mengembalikan saldo GoPay milik Maia dan membantu melaporkan kasusnya ke polisi.

Sebulan sebelum kasus yang menimpa Maia, penyanyi Aura Kasih juga kehilangan uang Rp11 juta yang tersimpan di akun GoPay miliknya. Bedanya, dalam kasus Aura Kasih, pelaku tidak menggunakan fitur call forwading dari operator seluler, melainkan terperdaya dengan bujuk rayu rekayasa sosial (social engineering) alias manipulasi psikologis yang dilakukan oleh penipu agar pemilik akun digital menyerahkan kode OTP yang dikirim penyedia layananan ke ponselnya.

Maia Estianty dan Aura Kasih hanyalah dua contoh kasus korban aksi tipu-tipu penjahat dunia maya. Subdit Direkrorat Kriminal Umum Polda Metro Jaya mencatat, sepanjang 2019 ada 2.300 pengaduan kasus rekayasa sosial yang diterima oleh Subdit Cyber Crime Polda Metro Jaya. Itu adalah jenis kejahatan terbanyak dilaporkan. Sedangkan direktorat lain rata-rata menerima 100 laporan per tahun.

Kanit II Subdit Cyber Crime Polda Metro Jaya Polda Metro Jaya, AKBP Dhany Aryanda, mengatakan kasus penipuan online dengan modus rekayasa sosial itu terus meningkat setiap tahun. Menurutnya, polisi tidak bisa bekerja sendiri dalam mengusut penipuan online, melainkan perlu kerja sama dengan semua pemangku kepentingan, termasuk perbankan dan operator seluler. Terutama dalam hal membangun kesadaran keamanan digital di masyarakat.

Pada 5 Oktober 2020, Badan Reserse dan Kriminal Polri bersama Divisi Humas Polri mengumumkan telah menangkap 10 orang yang terlibat penipuan dengan modus meminta nomor OTP. Mereka ditangkap di Luwung Gajah, Tulung Selapan, dan Palembang di Provinsi Sumatera Selatan. Tulung Selapan mengingatkan pada lokasi yang disebut Maia Estianty sebagai daerah tujuan pengantaran barang yang dipesan oleh pelaku setelah membobol akun Tokopedia miliknya.

Kepala Divisi Humas Mabes Polri Irjen Argo Yuwono mengatakan, bermodal teknik rekayasa sosial, pelaku berhasil mendapatkan kode OTP dan membobol setidaknya 3.070 akun nasabah bank dan aplikasi transportasi online sejak 2017 lalu.

“Total yang didapat sekitar Rp19 miliar dari bank, dan sisanya didapat dari pembobolan akun ojek online sehingga totalnya Rp 21 miliar,” kata Argo.

Menurut Argo, dalam melancarkan aksinya, para tersangka memanfaatkan kode OTP yang dikirimkan ke pengguna. Nantinya, tersangka akan menghubungi calon korbannya dan berpura-pura sebagai pegawai bank yang akan meminta konfirmasi password atau OTP dengan alasan perbaikan data identitas dan perbaikan sistem.

"Modusnya, para pelaku akan berpura pura menjadi pegawai bank, mereka akan menelfon nasabah bank minta password dan OTP karena ada perbaikan data identitas, sistem , dan sebagainya. Secara tidak sadar korban akan memberikan kepada para pelaku. Setelah diberikan, semua akun bisa dibobol dan uangnya diambil," urai Argo.

Berkaca dari kasus itu, Argo memperingatkan kepada masyarakat agar tidak memberikan kode OTP kepada siapa pun, termasuk jika mereka mengaku dari pihak bank atau penyedia aplikasi. Sebab, pihak bank dan penyedia layanan online tidak pernah bertanya apa password akun dan OTP pengguna.

Kode OTP menjadi incaran penjahat dunia maya lantaran menjadi kunci utama untuk masuk ke sebuah akun digital, setelah kredensial berupa username dan password. Kode ini biasanya dikirimkan oleh penyedia layanan sebagai pengaman tambahan ketika pemilik akun lupa password, atau ingin mengubah kata sandinya.

Dalam catatan Kementerian Komunikasi dan Informatika, jumlah pengguna internet di Indonesia pada 2020 sebanyak 175,5 juta dari total populasi sebanyak 268.583.016 penduduk. Angka itu bertambah 23 juta orang atau meningkat 17 persen dibanding tahun 2019. Data itu disampaikan Direktur Jenderal Penyelenggaraan Pos dan Infomatika Kementerian Komunikasi dan Informatika Ahmad M Ramly saat berbicara dalam Webinar Kominfo bertajuk 'Cerdas Bertelekomunikasi Melindungi Data Pribadi,' Rabu, 30 September 2020.

Sedangkan jumlah Mobile Subscriber Integrated Services Digital Network Number (MSISDNN) atau nomor HP yang aktif hingga saat ini sebanyak 338,2 juta.

Masalahnya, menurut laporan Centre of Digital Society (CfDS) Universitas Gadjah Mada (UGM) berjudul “Kajian Peningkatan Kompetensi Keamanan Digital di Indonesia”, peningkatan jumlah pengguna internet itu belum dibarengi dengan literasi keamanan digital. Dengan literasi digital yang renda, terutama dalam hal keamanan, mereka kerap berpotensi menjadi korban penipuan.

Peneliti CfDS, Tony Seno Hartono, mengatakan kejahatan digital yang berbasis rekayasa sosial atau manipulasi psikologis masih terjadi di masa pandemi Covid-19.

"Tipe manipulasi psikologis ini tidak memanfaatkan kerentanan sistem namun memanfaatkan kelengahan dan kelemahan kompetensi digital si pengguna teknologi. Dengan semakin banyaknya pelaku usaha yang bermigrasi ke online, maka para pelaku manipulasi psikis ini pun mengincar mereka. Sehingga, sangat penting untuk melakukan edukasi terus menerus dan konsisten supaya individu serta para pelaku usha pengguna tekologi bisa memahami dan menghindari tipe penipuan seperti ini,” kata Tony.


Peringatan dari Gojek untuk bikin PIN GoPay | Tangkapan layar aplikasi Gojek

Jalan yang Ditempuh Gojek untuk Melindungi Pengguna Platform
Setelah korban berjatuhan, pada Juni 2020 Gojek mengumumkan menambah lapisan pengamanan baru: fitur keamanan verifikasi dua langkah yang disebut Multi-Factor Authentication. Fitur ini berupa PIN tambahan di dalam aplikasi. Menurut Gojek, tambahan lapisan keamanan ini akan menyulitkan penipu yang terlanjur mendapatkan kode OTP untuk menguasai akun. Sebab, si penipu masih harus memasukkan kode PIN untuk dapat menguasai akun. Ibarat kunci motor, ini adalah kunci roda tambahan yang membuat pencuri kesulitan membawa kabur motornya walau pun berhasil membobol kunci utama.

Saat bersamaan, Gojek juga memberlakukan aturan 1 akun Gojek hanya bisa digunakan di 1 perangkat saja.

“Langkah ini diambil supaya keamanan semua data yang kamu masukkan semakin terjaga,” tulis Gojek di situs resminya.

Sebelumnya, pada 28 Februari 2020, Gojek meluncurkan inisiatif #AmanBersamaGojek yang berfokus pada edukasi, teknologi dan proteksi. Ini adalah program untuk meningkatkan literasi digital dan kesadaran keamanan siber bagi masyarakat. Salah satunya dengan mengingatkan pengguna agar menjaga keamanan dengan mengampanyekan jargon JAGA: jangan bayar di luar aplikasi; amankan data pribadi dan jangan bagikan kode OTP, gunakan PIN, dan adukan hal yang mencurigakan melalui email resmi dan halaman bantuan di aplikasi Gojek.


Panduan mengamankan akun Gojek di menu 'Bantuan' pada aplikasinya.

Selain itu, di sisi teknologinya, Gojek punya Gojek Shield, perisai pengaman yang meliputi fungsi penyamaran nomor telepon baik pengguna maupun mitra driver, fitur bagikan perjalanan, serta tombol darurat yang terhubung dengan Customer Care dan Unit Darurat yang siaga 24/7 dan mengadopsi perspektif korban. Cara kerjanya, sistem ini memanfaatkan pembelajaran mesin (machine learning) agar mampu mencegah dan menindak setiap perilaku mencurigakan yang terjadi pada platform Gojek.

Pada Maret 2020, Gojek meluncurkan proteksi jaminan saldo GoPay, yaitu program yang menjamin pengembalian saldo GoPay yang hilang di luar kendali pengguna. Tak berhenti di situ, pada Juli 2020, Gojek meluncurkan inovasi verifikasi wajah mitra pengemudi untuk memastikan kesesuaian data dan informasi identitas mitra pengemudi. Dengan begitu, potensi jual beli akun oleh mitra pengemudi bisa dikontrol.

Dua bulan berselang, pada September 2020, Gojek kembali berinovasi dengan menghadirkan fitur biometrik berupa sidik jari dan verifikasi wajah di GoPay untuk memverifikasi transaksi non tunai di luar layanan Gojek.

Terbaru, pada 13 Oktober lalu Gojek mengumumkan telah memperkuat sistem keamanan pada aplikasinya dengan memanfaatkan kecerdasan buatan (artificial intelligence) dan pembelajaran mesin untuk mencegah orderan fiktif. Untuk ini, Gojek menghadirkan fitur ‘Lapor Ofik (Order Fiktif) Gak Pake Lama’. Dengan fitur ini, pengemudi tak perlu lagi melaporkan orderan fiktif ke call canter, melainkan cukup melaprkan lewat aplikasi. Setelah laporan dibuat, dalam waktu kurang dari 2 menit sistem akan otomatis membatalkan order yang terindikasi fiktif.

Selain itu, Gojek kini dilengkapi teknologi yang dapat mendeteksi penggunaan perangkat lunak ilegal secara otomatis seperti Fake GPS yang memungkinkan manipulasi lokasi. Jika terdeteksi, pengguna aplikasi ilegal akan mendapat sanksi bertahap, mulai dari penonaktifan akun sementara sampai dengan pemutusan kemitraan.

"Melalui fitur-fitur ini, keamanan dan kenyamanan mitra dalam bekerja senantiasa terjaga, sehingga dapat turut meningkatkan kualitas layanan dan keamanan bagi pengguna ekosistem Gojek secara keseluruhan," kata SPV Corporate Affairs Gojek, Rubi Purnomo dalam konferensi pers virtual ‘Gojek Perkuat Teknologi Gojek SHIELD dengan Inovasi Terbaru dan Kolaborasi Multi Sektor,' Selasa (13 Oktober 2020).

Berdiri sejak 2010 sebagai layanan kurir pengantaran barang dan transportasi roda dua yang dikenal dengan sebutan ojek, Gojek meluncurkan aplikasi pada Januari 2015. Dalam waktu kurang dari 5 tahun, Gojek menoreh prestasi mencengangkan: menjelma menjadi sebuah unicorn, perusahaan startup teknologi dengan valuasi hingga US$ 1 miliar.

Keberhasilan Gojek menjadi magnet bagi sejumlah raksasa internet dunia untuk berinvestasi di sana. Nama-nama besar di jagat maya seperti Facebook, Google, PayPal, hingga Tencent turut menyuntikkan dana ke Gojek.

Walhasil, dari sebuah layanan ojek, Gojek kini berkembang menjadi Super App yang menawarkan berbagai layanan. Mulai dari transportasi roda dua dan empat, pembayaran digital, pesan-antar makanan, logistik, dan berbagai layanan berbasis permintaan (on-demand) lainnya.

Tak hanya di Indonesia, Gojek kini juga menancapkan kukunya di Asia Tenggara dengan beroperasi di Thailand, Filipina, Vietnam, dan Singapura. Hingga Juni 2020, aplikasi dan ekosistem Gojek telah diunduh hampir 190 juta kali di Asia Tenggara. App Annie dalam laporannya bertajuk “2020 State of Mobile Report” menyebut Gojek adalah aplikasi on-demand paling banyak digunakan masyarakat Indonesia sepanjang 2019.

Tak berhenti di situ. Pada Agustus 2019, Majalah Fortune yang dikenal sebagai majalah ekonomi kenamaan dunia menobatkan Gojek di urutan ke-11 dari 53 perusahaan internasional yang mengubah dunia (Fortune’s “Change the World” 2019) untuk kedua kalinya.

Prestasi moncer itu berkat kehadiran GoPay, layanan uang elektronik dalam ekosistem Gojek yang mempermudah transaksi dan menargetkan usaha kecil dan menengah, termasuk mereka yang belum tersentuh oleh layanan dan produk jasa keuangan.

Pendek kata, Gojek menjanjikan cara pintar guna memecahkan masalah yang dihadapi masyarakat sehari-hari. Citra sebagai “pemberi solusi” diperkuat dengan membuat logo baru yang diberi nama Solv, diadopsi dari istilah Solve dari bahasa Inggris yang bermakna solusi. Bersamaan dengan itu, Gojek juga mengusung slogan: pasti ada jalan. Dengan kata lain, citra yang ingin dimunculkan adalah tak ada masalah yang tak bisa dipecahkan.

Keamanan Gojek Masih Perlu Ditingkatkan
Pertanyaannya: sudahkah Gojek memberikan solusi terbaik untuk semua masalah keamanan yang mungkin muncul di platformnya? Pakar keamanan siber dari Vaksincom, Alfons Tanujaya, mengapresiasi upaya yang dilakukan Gojek. Menurutnya, banyak kemajuan yang dilakukan Gojek untuk mengamankan ekosistem digital di tahun.

“Kita mengapreasi kemajuan-kemajuan yang dilakukan Gojek tahun ini. Kalau tahun lalu nilainya masih 5 untuk pengamanan platform, sekarang sudah bisa diberi nilai 7 dari 10,” kata Alfons kepada Cyberthreat.id, Senin, 26 Oktober 2020.

Alfons punya sejumlah catatan untuk Gojek. Terkait penambahan lapisan keamanan berupa PIN di dalam aplikasi, menurut Alfons, itu cukup bagus karena Gojek sudah menerapkan autentikasi multi-faktor (multi factor-authentication).

Hanya saja, menurut Alfons, Gojek saat ini tidak menggunakan kredensial berupa username dan password sebagai pengaman pertama untuk masuk ke akunnya. Yang terjadi saat ini, untuk login ke akun Gojek, pengguna hanya diminta memasukkan nomor telepon, lalu langsung mengirim kode OTP lewat SMS ke nomor tersebut.

“Ini terbalik. Harusnya awalnya menggunakan username dan password, lalu ditambah dengan OTP. Tapi ini dari awal malah langsung pakai OTP yang mengikat ke nomor ponsel tanpa menggunakan kredensial sama sekali (username dan password),” kata Alfons.

Alfons menambahkan, ada faktor penentu yang kelihatannya mulai disadari Gojek dalam pengamanan barunya dan kelihatannya sebelumnya menyebabkan banyak kasus peretasan akun Gojek.

"Penerapan satu akun Gojek hanya bisa digunakan di satu perangkat ini sangat bagus dan bisa menekan upaya peretasan. Apalagi proses pengalihan akun juga mulai dipersulit dan harus melalui proses pengamanan yang sudah disiapkan sebelumnya,” tambah Alfons.

Untuk menguji sistem pengamanan baru Gojek, Alfons menggunakan nomor baru untuk menindahkan akun dari nomor telepon lama. Hasilnya, Alfons menerima SMS verifikasi di nomor telepon lama, namun tidak ada pilihan untuk menolak permintaan login dari perangkat baru.

“Jadi bisa saja satu nomor telepon yang diincar ditembak terus oleh nomor baru, lalu korbannya dikelabui untuk memberikan kode akses yang diterimanya melalui SMS, dan terbukti pada beberapa kasus hal ini terjadi. Harusnya Gojek memberikan pilihan di SMS untuk menolak login sehingga nomornya tidak bisa dijadikan sasaran spam usaha login dan menerima SMS berulang-ulang,” kata Alfons.

Alfons juga menyorot pengiriman kode OTP yang masih mengandalkan SMS. Sebab, SMS rawan dieksploitasi. Penambahan PIN di dalam aplikasi juga tak berarti bebas dari risiko. Bisa saja pelaku penipuan menggunakan berbagai teknik rekayasa sosial untuk mendapatkan PIN.

Alfons mencontohkan kasus yang dialami Maia Estianty, di mana pelaku berhasil meneruskan pesan SMS untuk Maia ke ponselnya menggunakan metode call forwarding yang disediakan operator seluler. Selain itu, SMS juga bisa disadap pihak lain. Itu sebabnya, menurut Alfons, pengiriman OTP berbasis SMS merupakan autentikasi dua faktor yang paling lemah dibanding token atau OTP berbasis aplikasi seperti Google Authenticator. Sayangnya, hingga kini Gojek belum mendukung OTP berbasis aplikasi seperti yang diterapkan Facebook atau sejumlah layanan dompet elektronik di luar negeri.

“Tetapi memang faktanya penetrasi SMS paling tinggi dan penerapannya relatif lebih mudah dibanding menggunakan aplikasi tambahan seperti Google Authenticator. OTP lewat token ini lebih ribet karena dia harus mengaktifkan dan menyalakan token hingga memasukkan password. Misalnya, orang tua diajarin OTP lewat token, ya pasti bingung dia. Kalau, SMS kan dia punya dan mengerti. Ya sebetulnya dilema juga," kata Alfons.

Sebagai catatan, otoritas perbankan Eropa (European Banking Authority atau EBA) telah menyatakan bahwa penerapan OTP berbasis SMS tidak sesuai standar otentikasi yang kuat (Strong Customer Authentication atau SCA).

Standar keamanan baru pun ditetapkan. Dibuat pada 2015 dan mulai berlaku sejak 14 September 2019, peraturan baru itu merevisi soal pembayaran online di Uni Eropa dan sekaligus menerbitkan Payment Services Directive (PSD) ke-2. Walhasil, bank-bank di Eropa dipaksa untuk meninggalkan OTP berbasis SMS dan menggantikannya dengan sistem baru.

Gerakan meninggalkan OTP berbasis SMS ini sudah diperkirakan sejak lama. Maklum, teknologi OTP berbasis SMS sudah berusia 30 tahun lebih dan dianggap ketinggalan zaman serta kurang fleksibel. Nasabah sering berganti nomor telepon dan OTP bisa saja dikirimkan ke nomor lama pengguna yang mungkin sudah dipegang orang lain.

Masalah lainnya, teknologi ini punya kelemahan. Masalahnya ada pada Signalling System No.7 (SS7), protokol yang digunakan untuk meghadirkan jaringan telekomunikasi. Secara sederhana, SS7 berfungsi terkait panggilan telepon, roaming, SMS, dan menyediakan konvergensi layanan suara serta data yang umum dilakukan saat pengguna memakai ponsel atau telepon kabel (fixed-line).

Sayangnya, SS7 juga punya celah keamanan yang dapat dapat dimanfaatkan oleh peretas untuk mencegat jalannya komunikasi yang sedang berlangsung. Menggunakan celah itu, peretas bisa mengirim/menerima SMS, melakukan/menerima panggilan telepon, hanya dengan mengetahui nomor telepon si korban yang dijadikan target. Pada Mei 2017, agensi keamanan siber Jerman, BSI, telah memperingatkan bahwa hacker bisa mencegat pengiriman kode yang dikirim melalui SMS.

Dengan kerentanan itu, Alfons sepakat perlu adanya pengamanan tambahan pada platform digital untuk meminimalisir risiko bagi pengguna.

“Gojek mungkin perlu mempertimbangkan akun Gojek yang terikat dengan IMEI ponsel, yang bisa membantu mengurangi kemungkinan eksploitasi. Dengan cara ini, akun Gojek milik seseorang tidak bisa diakses diakses dari perangkat lain karena terdeteksi otomatis oleh sistem. Jika Gojek bisa mendeteksi aplikasi ilegal seperti Fake GPS, seharusnya tidak sulit juga mendeteksi IMEI ponsel,” ujar Alfons.

Dengan cara itu, kata Alfons, jika pun OTP jatuh ke tangan pihak lain, maka pelaku tidak bisa masuk ke akunnya lantaran akunnya terikat ke IMEI atau nomor ponsel tertentu.

Metode lain yang bisa dilakukan, kata Alfons, memberi jeda waktu saat ada pergantian kata sandi akun, atau akun terindikasi digunakan di perangkat yang berbeda dari biasanya.

“Jadi, jika akun Gojek diambil alih, motivasinya tentu mencuri dana akun tersebut. Untuk mencegahnya, berikan tenggang waktu. Misalnya, paling cepat 2 x 24 jam baru bisa tranfer dananya. Jika selama itu tidak ada laporan pengaduan bahwa ada akun yang diambil alih orang lain, barulah dananya bisa ditransfer,” ujar Alfons.

Ketua Indonesia Cyber Security Forum (ICSF) Ardi Sutedja mengingatkan bahwa dalam dunia siber, berlaku istilah tidak ada sistem yang 100 persen aman. Selain itu, kata dia, diperparah dengan mindset keamanan yang masih rendah.

“Kunci masalah keamanan itu ada di manusianya. Mulai dari pengembang aplikasi, hingga ke pengggunanya. Semuaya harus punya mindset keamanan sejak dari aplikasi itu mulai dibangun. Kesadaran itu yang kita lihat masih rendah. Misalnya, ada perusahaan yang statusnya sudah unicorn, tetapi masih ada kejadian kebocoran data,” kata Ardi.

Terkait sejumlah inovasi yang dilakukan Gojek, Ardi mengatakan,”mungkin itu standar maksimal yg mereka bisa lakukan. Lebih dari itu masih di luar jangkauan siapa pun sambil menunggu ada pihak yg menawarkan solusi yg lebih "sahih" namun juga belum terbukti. Semua vendor sekarang pada jualan "jeruk lemon" dan menawarkan banyak "angin sorga". Solusi yang paling sahih adalah edukasi masyarakat.”

Menurut Ardi, keamanan OTP adalah hal paling mendasar yang seharusnya dipikirkan sejak awal. Perusahaan penyedia layanan digital, apalagi yang bertekad menghadirkan solusi bagi masyarakt banyak, kata Ardi, seharusnya tidak meninggalkan konsumennya berada dalam risiko keamanan.

Tentang OTP berbasis SMS, menurut Ardi, yang terjadi selama ini penyedia layanan mengirimkan kode OTP menggunakan nomor telepon tanpa nama. Seharusnya, kata dia, penyedia layanan memberikan namanya di pesan masuk, tidak hanya berupa nomor telepon yang muncul di layar pengguna. Dengan begitu, jelas identitas pengirimnya.

Terkait Gojek, seperti halnya Alfons, Ardi juga menyarankan agar salah satu unicorn Indonesia itu menggunakan teknologi pendeteksi IMEI perangkat untuk meminimalisir risiko yang mungkin dihadapi konsumennya.

“Ini seperti yang dilakukan Google, misalnya. Ketika dia mendeteksi perangkat yang dipakai untuk login itu berbeda dari biasanya, maka dia akan terus mengajukan pertanyaan untuk verifikasi, sampai dia yakin betul itu adalah orang yang berhak, baru bisa login ke akunnya,” ujar Ardi.

Untuk perusahaan sebesar Gojek, kata Ardi, seharusnya hal itu tak sulit dilakukan. Apalagi, Gojek juga mendapat dukungan dari Google yang punya teknologi pengamanan lebih baik.

Dengan begitu, slogan Gojek sebagai “pemberi solusi” juga diterapkan untuk secara maksimal mengamankan konsumen. Bagaimana Gojek, pasti ada jalan, kan?[]