JAKARTA, KOMPAS.com - Dana hasil pencurian di sejumlah lembaga keuangan Indonesia berpindah dalam waktu 36 menit hingga hampir tujuh jam setelah transaksi ilegal pertama dilakukan. Pelaku memanfaatkan akses internal yang sah, seperti kunci autentikasi, token pegawai, dan akun operasional. Temuan tersebut berasal dari investigasi perusahaan keamanan siber Zentara terhadap tiga kasus pencurian dana sepanjang Agustus hingga Oktober 2026. Hasil investigasi menunjukkan, ancaman keamanan digital sektor keuangan tidak selalu melibatkan serangan perangkat lunak berbahaya atau pembobolan sistem secara langsung. Pelaku justru memanfaatkan akses resmi untuk menjalankan transaksi ilegal. Co-founder sekaligus CEO Zentara Regal Star mengatakan, ketiga kasus tersebut memperlihatkan kelemahan mendasar dalam pengamanan sistem. Mekanisme pengendalian transaksi yang seharusnya mencegah penyalahgunaan akses tidak berjalan efektif. “Dalam setiap pencurian yang kami investigasi selama dua bulan terakhir, pelaku tidak membobol sistem, tetapi masuk menggunakan akses yang sah,” ujar Regal dalam keterangan tertulis, Selasa (10/11/2026). Menurut Regal, prosedur pengendalian sudah tersedia secara administratif, tetapi belum didukung pencatatan aktivitas sistem yang memadai. Akibatnya, pelaku bisa memindahkan dana sebelum lembaga keuangan mendeteksi dan menghentikan transaksi. Zentara mencatat, dana hasil transaksi ilegal dikirim melalui sistem pembayaran internal lembaga keuangan menuju rekening domestik atas nama orang lain. Proses pemindahan berlangsung antara 36 menit hingga hampir tujuh jam setelah transaksi pertama. Kecepatan pemindahan dana menjadi persoalan karena pelaporan korban penipuan sering kali lebih lambat dibandingkan transaksi ilegal tersebut. Data Indonesia Anti-Scam Centre (IASC) menunjukkan, sekitar 85 persen korban penipuan baru melaporkan kejadian setelah 12 jam. "Pada saat itu, pelacakan dan pemblokiran dana dinilai menjadi lebih sulit," imbuh dia. Investigasi Zentara juga menemukan mekanisme persetujuan berlapis atau *maker-checker* tidak berjalan efektif. Prosedur ini seharusnya memastikan transaksi dibuat dan disetujui oleh orang yang berbeda. Regal memperkirakan, perkembangan kecerdasan buatan atau *artificial intelligence* (AI) berpotensi mempercepat pencarian celah keamanan dan eksploitasi sistem yang belum diperbarui. Teknologi tersebut memungkinkan pelaku menemukan kerentanan perangkat lunak dengan biaya dan waktu lebih rendah. Data Google menunjukkan, jumlah pengungkapan kerentanan keamanan meningkat dari 5.045 kasus pada Januari menjadi 10.740 kasus pada Agustus 2026. Microsoft juga memperkirakan waktu median antara penemuan celah keamanan dan pemanfaatannya untuk serangan kini kurang dari 24 jam. Regal menilai, AI tidak menciptakan seluruh kelemahan baru. Teknologi tersebut justru mempercepat penemuan celah lama yang belum diperbaiki. Karena itu, organisasi perlu memperpendek waktu antara penemuan kerentanan dan penerapan pembaruan keamanan. Penguatan pengelolaan identitas pengguna, pengendalian transaksi, pencatatan aktivitas, pembaruan perangkat lunak, serta pemantauan selama 24 jam menjadi sejumlah langkah yang perlu diprioritaskan. Lembaga keuangan juga perlu mengawasi penggunaan akun resmi, perubahan hak akses, serta pola transaksi yang menyimpang dari kebiasaan. Pengamanan tidak cukup hanya mengandalkan sistem pendeteksi upaya masuk ilegal. Zentara merekomendasikan lembaga keuangan dan instansi pemerintah menerapkan pembaruan keamanan darurat untuk kerentanan kritis pada sistem yang terhubung ke internet. Pembaruan tersebut ditargetkan selesai maksimal dalam 48 jam. Dalam jangka menengah, organisasi perlu membangun pemantauan keamanan sepanjang waktu. Langkah lainnya mencakup pengujian penetrasi dan simulasi serangan, serta pembatasan hak akses vendor eksternal dan aplikasi berbasis AI. Ancaman pencurian dana tersebut muncul di tengah meningkatnya aktivitas serangan siber yang menyasar sistem keuangan Indonesia. Berdasarkan pemantauan dasbor keamanan siber FortiGuard Labs Threat Map, tercatat 350.600 aktivitas ancaman siber yang diarahkan ke Indonesia dalam kurun waktu 24 jam pada Sabtu (7/11/2026). Otoritas Jasa Keuangan (OJK) memastikan sistem keamanan perbankan nasional masih dalam kondisi aman. Meski demikian, regulator meningkatkan kewaspadaan terhadap potensi serangan siber yang menyasar industri perbankan. Kepala Eksekutif Pengawas Perbankan OJK Dian Ediana Rae mengatakan, pengawas teknologi informasi perbankan telah berkoordinasi dengan tim teknologi informasi dari sejumlah bank untuk meningkatkan kewaspadaan. "Kita concern mengenai masalah ini, sejak Jumat minggu lalu Pengawas IT Perbankan OJK sudah melakukan koordinasi dengan personil IT seluruh bank-bank untuk meningkatkan kewaspadaan," kata Dian kepada Kompas.com, Senin (9/11/2026).