Serangan Siber Bank Eropa-Asia: NaufalLawyer Desak Pemerintah Siaga

Penulis: Muhammad Naufal Taftazani, S.H.
Dateline: Paris–Taipei | 8 November 2026

Gelombang serangan siber pada awal November 2026 menyasar sistem keuangan di Prancis, Taiwan, Jepang, Malaysia, dan India dengan dampak yang berbeda-beda. Di Taiwan, 419 nasabah Bank SinoPac dilaporkan mengalami transfer tanpa izin senilai lebih dari NT$40 juta; bank menyatakan dana telah dikembalikan. Di Prancis, Crédit Mutuel Arkéa menyebut sekitar €100 juta dana milik bank dicuri melalui transaksi penipuan, seraya menegaskan aset nasabahnya tidak terdampak. Advisori resmi India juga memperingatkan kampanye terhadap sektor keuangan yang menggunakan perangkat berbasis kecerdasan buatan. Bagi pemerintah, pesan dari rangkaian kasus ini jelas: pengawasan dan kesiapsiagaan harus bergerak sebelum kerugian serupa muncul di Indonesia.

Rekening Bank Prancis dan Ratusan Rekening Taiwan Menunjukkan Risiko Berbeda

Laporan yang dirangkum Tirto.id pada 8 November memperlihatkan bahwa ancaman siber perbankan tidak selalu mengambil bentuk yang sama. Insiden Crédit Mutuel Arkéa di Prancis dan Bank SinoPac di Taiwan menimbulkan kerugian finansial, tetapi objek serta pihak yang terdampak berbeda.

Crédit Mutuel Arkéa menyatakan pada 5 November bahwa peretas menggunakan sebuah rekening milik bank untuk menjalankan transaksi penipuan dan mencuri sekitar €100 juta. CNA yang mengutip Reuters melaporkan bahwa uang itu bukan berupa aset kripto ketika dicuri; dana mungkin saja dikonversi setelahnya. Bank mengatakan aset nasabah tidak terdampak. Sebagai langkah pencegahan, beberapa transaksi dihentikan sementara sehingga sebagian transfer tertunda. Perusahaan melaporkan kejadian kepada Bank Sentral Eropa, pengawas perbankan Prancis, dan kejaksaan. Unit kejahatan siber Paris membuka penyelidikan bersama kepolisian siber. Jumlah dana yang berhasil dipulihkan belum dipastikan.

Di Taiwan, PTS News melaporkan pada 5 November bahwa 419 nasabah SinoPac mengalami transfer tanpa persetujuan dengan total lebih dari NT$40 juta. Modus yang diberitakan menyentuh proses verifikasi transaksi digital, termasuk pemindaian wajah. Financial Supervisory Commission mengonfirmasi jumlah korban yang dilaporkan; SinoPac menyatakan dana telah dikembalikan, menarik aplikasi bermasalah, dan memperbaiki pengamanan. Dugaan yang diberitakan mengarah pada kelemahan konfigurasi layanan digital pihak ketiga. Temuan teknis akhir tetap menjadi ranah penyelidikan otoritas dan bank.

Kasus lain memperluas gambaran risikonya. SMBC Consumer Finance di Jepang mendeteksi akses tak sah pada 2 November ke sistem untuk layanan penjaminan kredit dan segera memutus akses ke sistem terdampak. Tirto.id, mengutip Internet Watch, menyebut informasi hingga 320.118 orang berpotensi terpapar; investigasi cakupan masih berlangsung. Di Malaysia, Bank Rakyat melaporkan defacement pada situs korporat yang dikelola penyedia layanan pihak ketiga. Bank menyatakan insiden itu tidak menjangkau sistem operasional, data nasabah, maupun simpanan.

Peringatan AI datang dari India, tetapi harus dibaca dengan cermat. Pada 4 November, CERT-In menerbitkan Advisori CIAD-2026-0058 tentang CRAFTY FALCON dan peningkatan serangan berbantuan AI terhadap entitas perbankan, keuangan, dan asuransi. Perangkat yang disebut dapat membantu pencarian celah, penyusunan skrip serangan, dan eksploitasi sistem pembayaran atau pencairan dana. Advisori tersebut tidak membuktikan bahwa kelompok yang sama melakukan serangan di Prancis, Taiwan, Jepang, atau Malaysia. Justru karena jalur serangan makin cepat dan terotomatisasi, pengawasan sistem, API pembayaran, dan penyedia teknologi harus diperketat tanpa menunggu kerugian terjadi.

Pemerintah Harus Bergerak Sebelum Serangan Menjadi Krisis Nasabah

Dalam pandangan editorial Muhammad Naufal Taftazani, S.H., pemerintah tidak boleh membaca rangkaian kasus ini sebagai gangguan teknis yang cukup ditangani masing-masing bank secara tertutup. Ketika rekening bank dapat dipakai untuk transaksi ilegal, verifikasi nasabah bisa dilewati, dan vendor menjadi bagian dari rantai layanan, risiko meluas dari ruang server ke uang, identitas, serta rasa aman masyarakat.

Karena itu, OJK, Bank Indonesia, dan Badan Siber dan Sandi Negara perlu memperkuat koordinasi pengawasan terhadap layanan perbankan digital dan infrastruktur pembayaran. Pemeriksaan berkala harus menyasar bukan hanya aplikasi yang dilihat nasabah, melainkan juga API pembayaran, sistem pencairan, akun administrator, jaringan vendor, dan proses pemulihan insiden. Pengamanan tidak cukup mengandalkan satu metode verifikasi; perubahan pola transaksi dan tujuan transfer harus memicu pemeriksaan tambahan yang cepat.

Bank perlu membuktikan bahwa mereka menguji sistem dan penyedia teknologi secara nyata, menutup akses yang tidak diperlukan, serta mampu menahan transaksi mencurigakan sebelum dana berpindah berlapis. Dalam insiden, nasabah berhak mendapat penjelasan yang cepat dan mudah dipahami: layanan apa yang terganggu, data apa yang mungkin terdampak, langkah perlindungan apa yang telah diambil, dan bagaimana pengaduan serta penggantian kerugian diproses.

Pemerintah juga perlu memastikan protokol lintas lembaga berjalan sebelum krisis: kanal pelaporan insiden yang jelas, pertukaran indikator ancaman, jalur pemblokiran rekening tujuan, dan latihan respons bersama industri. Kewaspadaan publik penting, termasuk tidak mengklik tautan mencurigakan, tetapi beban utama tidak boleh dipindahkan kepada nasabah. Bank dan otoritas menguasai sistem, data, dan sarana mitigasi; mereka harus memikul tanggung jawab perlindungan yang sepadan.

Aturan Ketahanan Siber dan Pelindungan Data Menetapkan Tanggung Jawab

POJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum menempatkan keamanan teknologi sebagai bagian dari tanggung jawab bank. Pasal 22 mewajibkan bank melakukan penilaian sendiri atas tingkat maturitas keamanan siber. OJK juga menjelaskan bahwa penilaian maturitas digital perbankan mencakup tata kelola, manajemen risiko, ketahanan dan keamanan siber, data, serta pelindungan konsumen. Kewajiban ini harus diwujudkan dalam pengawasan direksi, pengujian sistem, evaluasi penyedia teknologi, dan kesiapan pemulihan.

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi memberi kewajiban tambahan bila insiden menimbulkan kegagalan pelindungan data. Pasal 46 mengatur pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan lembaga yang berwenang, disertai keterangan tentang data yang terungkap, kapan dan bagaimana insiden terjadi, serta langkah penanganan. Kewajiban pemberitahuan ini berlaku ketika syarat hukumnya terpenuhi; laporan tentang potensi akses tidak otomatis membuktikan bahwa seluruh data telah bocor.

Dalam kasus transaksi tanpa izin, bank harus segera mengamankan bukti elektronik, menghentikan akses yang disalahgunakan, berkoordinasi dengan aparat dan otoritas pengawas, serta menelusuri aliran dana. Konsekuensi administratif maupun tanggung jawab lain harus ditentukan berdasarkan hasil pemeriksaan dan unsur pelanggaran yang terbukti, bukan dugaan semata. Pemerintah perlu memastikan aturan tersebut diawasi, dilaksanakan, dan diuji secara berkala.

Serangan terhadap bank di Eropa dan Asia memperlihatkan bahwa celah pada sistem, vendor, atau proses verifikasi dapat berdampak langsung kepada masyarakat. Pemerintah Indonesia harus meningkatkan kewaspadaan sekarang: audit menyeluruh terhadap rantai layanan digital, koordinasi respons antarlembaga, dan perlindungan nasabah yang dapat diperiksa hasilnya.

Catatan akhir: Muhammad Naufal Taftazani, S.H. — advokat dan penulis editorial NaufalLawyer. Editorial 8 November 2026.

Referensi

1. Tirto.id, “Serangan Siber Hantam Bank di Eropa-Asia, Dana Nasabah Terancam,” 8 November 2026.

2. Channel NewsAsia/Reuters, “French bank Credit Mutuel Arkea says €100 million missing after cyberattack,” 5 November 2026, diperbarui 6 November 2026.

3. PTS News, “Ratusan rekening nasabah Bank SinoPac dibobol, 419 orang menjadi korban,” 5 November 2026.

4. CERT-In, Advisori CIAD-2026-0058, “Escalation of AI-Driven Attacks on BFSI Entities by Threat Actor CRAFTY FALCON,” 4 November 2026.

5. Reuters, “India flags Chinese-linked AI tools in hacking campaign against financial firms,” 5 November 2026.

6. Otoritas Jasa Keuangan, POJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum.

7. Otoritas Jasa Keuangan, “OJK Terbitkan Aturan dan Pedoman untuk Mendukung Transformasi Digital Sektor Perbankan,” 29 Desember 2023.

8. Kementerian Komunikasi dan Digital, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Muhammad Naufal Taftazani | www.naufallawyer.com | Solidaritas Rakyat untuk Bangsa dan Negara (SORBAN)