INTERPOL memperingatkan bahwa kecerdasan artifisial mengubah skala dan kemampuan kejahatan finansial. Dalam Global Financial Fraud Threat Assessment yang diterbitkan pada Maret 2026, organisasi tersebut menyoroti bagaimana AI membantu jaringan kriminal memperluas operasi, termasuk melalui AI agent yang mampu merencanakan dan menjalankan rangkaian aktivitas penipuan.

Peringatan ini semakin relevan setelah sejumlah institusi keuangan Korea Selatan mengalami kebocoran data pada akhir September–awal Oktober 2026. Bagi perbankan Indonesia, kedua perkembangan tersebut merupakan early warning: kemampuan penyerang berkembang, sementara kesiapan pertahanan harus terus dibuktikan.

Pelajaran dari Korea

Laporan CrowdStrike pada 7 Oktober menemukan riwayat sesi Claude Code, konfigurasi ARTEX—alat pengujian penetrasi berbasis AI agent—dan berkas memori pada infrastruktur yang dikaitkan dengan penyerang. Temuan tersebut menunjukkan penggunaan AI agent bersama kemampuan serangan konvensional dalam aktivitas terhadap organisasi keuangan Korea. Namun, belum terbukti seluruh serangan berlangsung tanpa keterlibatan manusia.

Sasaran yang dilaporkan mencakup layanan pengecekan pengajuan pinjaman untuk broker serta sistem pendukung kerja pegawai. Ini mengingatkan bahwa data nasabah dapat terekspos melalui aplikasi pendukung dan akses mitra, meskipun layanan transaksi utama memiliki pengamanan kuat.

Korea sendiri sudah bergerak memperkuat pertahanan. Pada Mei 2026, Financial Services Commission mengumumkan inisiatif untuk meningkatkan penggunaan AI dalam keamanan sektor keuangan. Keberadaan kebijakan tersebut belum menjamin seluruh sistem telah terlindungi ketika serangan terjadi.

Pelajarannya jelas: regulasi, investasi teknologi, dan reputasi institusi perlu disertai pengujian yang menjangkau seluruh ekosistem operasional bank.

Indonesia memiliki fondasi, tetapi pelaksanaannya perlu diuji

Indonesia sudah memiliki ketentuan ketahanan dan keamanan siber melalui SEOJK 29/SEOJK.03/2022. Cakupannya meliputi pengelolaan risiko pihak ketiga, pengamanan akses, pengujian, dan penanganan insiden. Artinya, risiko sistem pendukung dan vendor telah menjadi bagian dari perhatian regulator.

Pertanyaan berikutnya adalah seberapa konsisten kontrol tersebut diterapkan. Apakah seluruh akses eksternal sudah terpetakan? Seberapa cepat temuan kritis diperbaiki dan diuji ulang? Jika satu bank menemukan pola serangan baru, seberapa cepat informasi itu menjadi tindakan perlindungan di institusi lain?

Kasus Korea menjadi alasan untuk menguji pertanyaan tersebut sekarang. Indonesia tidak perlu menunggu insiden serupa untuk mengevaluasi kesiapan menghadapi serangan berbantuan AI.

Taruhannya melampaui pemeriksaan regulator

Insiden dapat memicu permintaan penjelasan, pemeriksaan, dan kewajiban perbaikan dari otoritas. Konsekuensi pengawasan atau sanksi bergantung pada pelanggaran yang ditemukan. Namun, risiko bisnisnya dapat berkembang lebih luas.

• Pertama, kepercayaan nasabah. Dalam perbankan digital, informasi negatif dan rumor dapat menyebar cepat. Nasabah juga dapat memindahkan dana tanpa mendatangi kantor cabang. Apabila insiden disertai ketidakpastian mengenai keamanan dana, gangguan layanan, dan komunikasi yang buruk, tekanan penarikan simpanan dapat meningkat. Kebocoran data tidak otomatis menyebabkan rush, tetapi skenario tersebut layak masuk dalam latihan krisis bank.
• Kedua, kerahasiaan dan integritas data. Informasi nasabah yang bocor dapat digunakan untuk impersonasi dan penipuan yang lebih personal. Jika data dimanipulasi, keputusan kredit, pencatatan transaksi, atau proses verifikasi juga dapat terganggu.
• Ketiga, keberlangsungan operasional. Penanganan serangan mungkin membutuhkan isolasi sistem atau penghentian sementara layanan. Dampaknya mencakup transaksi tertunda, beban layanan pelanggan, kehilangan pendapatan, dan biaya pemulihan.
• Keempat, tata kelola dan reputasi. Insiden serta kualitas penanganannya dapat memengaruhi penilaian investor dan mitra terhadap pengawasan manajemen, pelindungan konsumen, serta aspek governance dalam ESG. Penurunan rating bukan akibat otomatis, tetapi kelemahan yang berulang dan respons yang buruk dapat memperberat penilaian.

Gangguan juga berpotensi meluas ketika beberapa institusi bergantung pada vendor atau infrastruktur yang sama. Karena itu, ketahanan individual harus terhubung dengan kesiapan sektor.

Apa yang perlu diperkuat?

Prioritas pertama adalah investasi keamanan siber berbasis risiko. Bank perlu memetakan sistem kritis, membatasi akses sesuai kebutuhan, memperkuat autentikasi, memantau pengambilan data, dan mempercepat penutupan celah. Keamanan vendor perlu diuji sepanjang kerja sama berlangsung.

Prioritas kedua adalah literasi dan pengawasan direksi serta komisaris. Board perlu memahami dampak bisnis, menetapkan toleransi gangguan, dan memastikan sumber daya tersedia. Ukuran keberhasilan sebaiknya mencakup waktu deteksi, pembatasan dampak, penyelesaian temuan, dan pemulihan layanan.

Kesiapan juga harus mencakup pegawai, vendor, broker, fungsi komunikasi, legal, dan layanan pelanggan. Simulasi perlu menggabungkan kebocoran data, gangguan layanan, fraud lanjutan, rumor, serta tekanan penarikan dana.

Prioritas ketiga adalah SOP yang mengacu pada standar dan diuji dalam praktik. ISO/IEC 27001 menyediakan dasar sistem manajemen keamanan informasi; ISO/IEC 27035 memandu penanganan insiden; sementara ISO 22301 mendukung keberlangsungan bisnis. Ketiganya membantu bank menghubungkan pencegahan, respons, dan pemulihan.

Untuk bank yang menggunakan AI, ISO/IEC 42001 dan ISO/IEC 23894 dapat melengkapi tata kelola serta pengelolaan risiko AI internal. Penerapan standar tetap harus dibuktikan melalui kontrol dan latihan operasional.

Prioritas keempat adalah asuransi siber untuk risiko finansial yang tersisa. Bank perlu menilai cakupan biaya forensik, pemulihan, gangguan bisnis, dan tanggung jawab kepada pihak ketiga sesuai polis. Pengecualian, batas pertanggungan, insiden vendor, dan kewajiban notifikasi harus dipahami sebelum terjadi insiden.

Asuransi perlu dilengkapi backup terisolasi yang diuji, layanan alternatif, protokol komunikasi krisis, bantuan kepada nasabah terdampak, serta koordinasi dengan regulator, telco, dan penegak hukum. Kebocoran data dan penipuan lanjutan harus ditangani sebagai risiko yang saling berkaitan.

Peringatan INTERPOL dan pengalaman Korea menempatkan satu pertanyaan di meja board: ketika serangan terjadi, seberapa cepat bank mampu membatasi dampak, menjaga layanan, melindungi nasabah, dan memulihkan kepercayaan?

Jawabannya harus tersedia sebelum insiden menguji kesiapan bank secara paksa.