Langkah BSI Mencegah Serangan Siber

Perbesar

Pelayanan perbakan Bank Syariah Indonesia di Jakarta, 22 Mei 2023. Tempo/Tony Hartawan

Baca berita dengan sedikit iklan, klik di sini

Poin penting

Manajemen BSI masih memetakan titik lemah sistem teknologi informasi.
Manajemen BSI ragu akan validitas data nasabah yang diklaim telah dibocorkan LockBit.
BSI turut mengganti sejumlah pejabat pasca-gangguan layanan.

JAKARTA — PT Bank Syariah Indonesia Tbk (BSI) menyatakan akan membenahi tata kelola sistem informasi dan layanan yang dimiliki pasca-dugaan peretasan dan serangan siber yang menimpa perseroan pada 8 Mei lalu. Salah satu fokus utama perusahaan saat ini adalah melakukan audit dan pemeriksaan digital forensik untuk mengkonfirmasi serangan yang terjadi, menganalisis dampaknya, serta mengetahui titik kelemahan yang berpotensi dijebol penjahat siber.

Baca berita dengan sedikit iklan, klik di sini

Direktur Penjualan dan Distribusi BSI, Anton Sukarna, menuturkan proses pemeriksaan forensik hingga kini masih terus berjalan di lingkup internal perseroan sehingga belum dapat ditarik kesimpulan mengenai gangguan siber yang melumpuhkan sistem dan layanan secara serentak. “Pemeriksaannya membutuhkan waktu sehingga kami harus menunggu dulu, lalu nanti pasti secara transparan kami sampaikan juga hasilnya,” ujar dia kepada Tempo, kemarin.

Baca berita dengan sedikit iklan, klik di sini

Sebelumnya, pada Sabtu, 13 Mei lalu, grup peretas asal Rusia, LockBit, menyatakan bertanggung jawab akan serangan ramsomware yang mengganggu sistem dan layanan perbankan BSI. LockBit kemudian mengancam akan menyebarkan data sebesar 1,5 TB (terabita) dan memberi tenggat selama 72 jam kepada manajemen BSI untuk menghubungi kontak yang diberikan dan bernegosiasi. LockBit akhirnya mengunggah seluruh data yang diklaim sebagai data pribadi nasabah BSI di situs gelap pada Selasa, 16 Mei lalu, sekitar pukul 07.00 WIB, dengan berisikan 24 tautan data.

Anton membantah adanya kebocoran data nasabah yang terjadi dalam kasus serangan siber yang menimpa BSI. Menurut dia, seluruh pengamanan data pribadi nasabah berjalan sebagaimana mestinya dan telah terenkripsi sesuai dengan prosedur yang berlaku. BSI pun ragu akan validitas data yang beredar tersebut, sembari menegaskan tidak ada negosiasi yang dilakukan perseroan dengan kelompok peretas sebagaimana informasi yang beredar. “Tidak ada negosiasi itu. Kami tidak tahu-menahu soal permintaan tersebut.”

Anton menjelaskan, BSI kini terus berkoordinasi dengan nasabah untuk melakukan langkah mitigasi, seperti edukasi mengamankan PIN dan kata sandi (password) serta tidak sembarangan memberikan kode one time password (OTP) yang bersifat pribadi kepada siapa pun. Berikutnya, perseroan berkoordinasi dengan regulator, seperti Otoritas Jasa Keuangan (OJK), Badan Perlindungan Konsumen Nasional (BPKN), Badan Siber dan Sandi Negara (BSSN), serta Badan Reserse Kriminal Polri.

Direktur Sales & Distribution Bank Syariah Indonesia (BSI), Anton Sukarna, di gedung Tempo, Palmerah, Jakarta, 25 Mei 2023. TEMPO/M. Taufan Rengganis

Sistem Teknologi Informasi Dibenahi

Transformasi perangkat dan sistem teknologi informasi turut dilakukan Bank Syariah Indonesia, salah satunya memperbarui antivirus pada puluhan ribu perangkat yang dimiliki, baik di kantor pusat maupun kantor cabang di seluruh Indonesia. “Aplikasi-aplikasi kami, khususnya yang critical, juga kami upgrade untuk menjamin bahwa sistem yang sekarang itu up to date dalam kondisi yang prima sehingga kami upayakan pemulihannya secara hati-hati dan bertahap,” ucap Anton.

Langkah berikutnya adalah menambah sistem cadangan dan peladen guna mengantisipasi risiko kegagalan operasional terulang. Termasuk mencadangkan data di sistem komputasi awan. “Kami juga sudah melakukan tes penetrasi dengan menggunakan vendor-vendor dari luar untuk menemukan titik-titik mana yang masih kurang kuat sehingga bisa kami perbaiki,” kata Anton. Adapun dua pekan berlalu sejak serangan siber terjadi, pemulihan bertahap sistem BSI telah mencapai angka 95 persen. Seluruh sistem dan layanan inti untuk nasabah dan internal telah beroperasi secara normal.

Sekretaris Perusahaan BSI, Gunawan Arief, mengimbuhkan perseroan mengalokasikan belanja modal teknologi informasi dua kali lipat pada tahun ini dibanding pada tahun lalu, yaitu sebesar Rp 580 miliar. “Anggaran akan diprioritaskan untuk penggunaan pengamanan data dan layanan perbankan,” ujarnya. Terakhir, BSI berkomitmen mengoptimalkan kinerja chief information security officer (CISO) untuk mengawasi secara berkala selama 24 jam penuh. Hal ini dilakukan untuk memastikan seluruh proses yang berjalan sesuai dengan standar internasional keamanan perbankan.

Dari sisi manajemen, pemegang saham memutuskan pengangkatan Direktur IT baru di BSI, yaitu Saladin D. Effendi, menggantikan Achmad Syafii. Saladin sebelumnya menjabat CISO di PT Bank Mandiri (Persero) Tbk. Perombakan juga dilakukan di posisi Direktur Manajemen Risiko, yakni Tiwul Widyastuti digantikan Grandhis Helmi H., yang sebelumnya menjabat Group Head Commercial Risk di Bank Mandiri.

Aplikasi mobile banking Bank Syariah Indonesia (BSI) di Bogor, 18 Mei 2023. TEMPO/Bintari Rahmanita

Sementara itu, Kepala Eksekutif Pengawas Perbankan OJK, Dian Ediana Rae, membenarkan otoritas saat ini masih terus memeriksa forensik kasus BSI dan menunggu hasil akhir pemeriksaan. “Kami belum bisa menarik kesimpulan sumber kebocoran dan validitas data,” ucapnya. Dian menjelaskan, dalam konteks keamanan siber, otoritas menekankan pada aspek-aspek keamanan dan langkah-langkah mitigasi risiko siber yang secara prinsip mengacu pada praktik terbaik di dunia.

Bank diminta melakukan empat hal, yaitu asesmen risiko siber, mitigasi risiko siber, pengujian risiko siber, dan pelaporan setiap insiden report yang terjadi. Menurut Dian, secara umum, berbagai hal tersebut telah dilakukan perbankan. Tindakan itu pun telah mampu mengidentifikasi dan menangkal ratusan ribu per hari anomali di sisi transaksi serta lalu lintas data berupa percobaan peretasan sistem perbankan. “Perlu dipahami bahwa hacker selalu melakukan upaya percobaan penetrasi ke dalam aplikasi perbankan,” katanya.

Dian berujar ketahanan digital perbankan Indonesia secara menyeluruh sudah baik, tapi masih perlu upaya untuk terus meningkatkan keamanan seluruh sistem teknologi informasi. “Kasus pembobolan seperti ini cukup sering terjadi di bank-bank di berbagai negara, termasuk negara maju sekalipun.” Jika pembobolan terjadi, Dian memastikan bank dan otoritas terkait akan memprioritaskan keamanan data serta dana nasabah sehingga pelayanan nasabah tidak terhambat.

GHOIDA RAHMAH