Pada 12 September 2026 perusahaan teknologi finansial Revolut mengonfirmasi apa yang disebutnya sebagai penipuan peniruan identitas eksternal yang canggih: pihak yang tidak berwenang menggunakan email pada domain sah milik sebuah lembaga pemerintah untuk mengirimkan permintaan informasi nasabah yang palsu. Permintaan itu sudah dipenuhi sebelum skema tersebut terdeteksi.

Insiden ini layak Anda perhatikan justru karena tidak ada pembobolan dalam arti biasa. Tidak ada celah perangkat lunak, tidak ada kata sandi yang bocor, tidak ada malware. Revolut sendiri menyatakan bahwa sistem dan dana nasabahnya tidak terdampak. Seseorang meminta data dengan cara yang benar melalui saluran yang benar, dan menerimanya. Itulah tepatnya mengapa hal ini penting bagi setiap bisnis yang menyimpan catatan pelanggan, bukan hanya bank.

Apa yang benar-benar terkonfirmasi

Kami membatasi diri pada apa yang diumumkan perusahaan dan apa yang dilaporkan media khusus, karena penyelidikan masih berlangsung dan banyak hal belum diungkapkan:

  • Metode: email yang dikirim dari akun tidak berwenang di dalam domain milik lembaga pemerintah sungguhan, dengan bobot sebuah permintaan informasi resmi.
  • Data: data identitas dan kontak termasuk tanggal lahir, alamat pos, alamat email, dan nomor telepon, ditambah salinan dokumen identitas seperti paspor dan SIM, beserta gambar verifikasi wajah yang dikumpulkan selama pemeriksaan kenali nasabah Anda (KYC).
  • Skala: perusahaan menyebut sejumlah terbatas nasabah, dan tidak merilis angka apa pun.
  • Lembaga: Revolut menolak menyebutkan nama badan pemerintah yang domainnya digunakan, dengan alasan penyelidikan yang sedang berlangsung.
  • Tanggapan: alamat tersebut diblokir, nasabah yang terdampak diberi tahu secara langsung, dan perusahaan memberi tahu lembaga pemerintah terkait, penegak hukum, regulator keuangan, dan otoritas perlindungan data.

Seorang peneliti keamanan kripto yang dikenal sebagai ZachXBT menilai bahwa sasarannya tampak ditujukan kepada nasabah berkekayaan tinggi, yang menunjukkan pembuatan profil terperinci alih-alih pengumpulan acak. Itu adalah penilaian seorang peneliti, bukan pernyataan perusahaan, dan kami mengutipnya sebagaimana adanya.

Mengapa permintaan itu berhasil: autentikasi bukan otorisasi

Sebagian besar sistem email perusahaan bergantung pada pemeriksaan teknis yang memastikan sebuah pesan benar-benar berasal dari domain yang diklaimnya. Pemeriksaan itu bekerja baik terhadap pemalsuan biasa: siapa pun yang meniru domain yang tidak dikuasainya akan ditolak. Tetapi pemeriksaan itu dibuat untuk menjawab tepat satu pertanyaan — apakah pesan ini keluar dari domain itu?

Itu bukan pertanyaan yang perlu Anda jawab. Pertanyaan Anda adalah apakah orang yang menulis pesan itu berwenang meminta apa yang dimintanya. Tidak ada pemeriksaan email yang menjawab hal itu. Jarak antara kedua pertanyaan itu adalah jarak antara autentikasi dan otorisasi, dan celah itulah yang dilalui seluruh operasi ini. Ketika akun pengirim berada di dalam domain asli — baik karena dibobol maupun karena dibuat secara keliru — setiap indikator kepercayaan yang dapat dilihat tim Anda akan berwarna hijau.

Konsekuensi praktisnya: tugas gateway email Anda berakhir pada mengantarkan permintaan dalam keadaan utuh. Menilai permintaan adalah pekerjaan manusia, dan itu membutuhkan prosedur tertulis, bukan naluri pribadi.

Bisnis Anda menerima permintaan yang sama dalam bentuk yang lebih sederhana

Mudah untuk menganggap ini sebagai cerita fintech Eropa yang jauh. Tetapi permintaan yang sampai ke bisnis di Arab Saudi setiap hari adalah hal yang sama dalam pakaian yang lebih sederhana: email yang meminta laporan rekening pelanggan, pesan yang meminta data karyawan untuk keperluan regulasi, telepon yang meminta Anda mengonfirmasi rincian kontrak, surat dari alamat yang memakai nama resmi yang familier dan meminta dokumen untuk menyelesaikan suatu prosedur.

Di sebagian besar perusahaan kecil dan menengah, permintaan seperti itu ditangani begini: permintaan sampai ke seorang karyawan, pengirimnya tampak resmi, menolak badan resmi terasa lebih berisiko daripada menurutinya, dan berkas pun dikirim. Tidak ada catatan siapa yang meminta, apa yang keluar, atau kapan. Tidak ada langkah verifikasi independen. Ketika masalah muncul belakangan, perusahaan tidak punya apa pun untuk merekonstruksi kejadian.

Perhatikan juga tekanan yang diberikan. Urgensi dan status resmi yang digabungkan itulah yang melumpuhkan verifikasi. Karyawan yang takut disalahkan karena menghambat prosedur pemerintah akan melewatkan telepon konfirmasi, dan itu adalah efek yang dirancang dari pendekatan ini, bukan efek sampingan.

Apa yang diwajibkan hukum Arab Saudi kepada Anda

Undang-Undang Perlindungan Data Pribadi (PDPL) tidak membiarkan hal ini terbuka. Undang-undang ini menetapkan kewajiban ganda bagi bisnis Anda: hanya mengungkapkan data jika diizinkan, dan melapor ketika Anda keliru.

  • Pasal 15 menetapkan kasus-kasus ketika data pribadi boleh diungkapkan, termasuk ketika pihak yang meminta adalah badan publik dan permintaan itu untuk tujuan keamanan, pelaksanaan undang-undang lain, atau pemenuhan persyaratan peradilan, sebagaimana diatur dalam peraturan pelaksana.
  • Pasal 16 mengatur kasus-kasus ketika pengungkapan harus ditahan, termasuk ketika pengungkapan akan memengaruhi keamanan nasional, membahayakan keselamatan individu, atau mengganggu penyelidikan yang sedang berlangsung.
  • Pasal 20 mewajibkan pengendali untuk memberi tahu otoritas yang berwenang dan subjek data tentang pelanggaran atau pengungkapan yang melanggar hukum. Peraturan pelaksana menetapkan batas waktu 72 jam untuk memberi tahu otoritas yang berwenang melalui Platform Tata Kelola Data Nasional.

Bacalah ketiganya bersama-sama dan poin yang menentukan akan muncul: hukum memberikan hak kepada badan publik, bukan kepada email. Permintaan yang datang dari domain badan publik tidak otomatis menjadi permintaan badan itu. Kewajiban hukum untuk memverifikasi tetap ada pada Anda sebagai pengendali data, dan kewajiban itu tidak berpindah kepada pengirim hanya karena ia tampak resmi.

Pandangan Origami

Origami adalah perusahaan teknologi yang membangun sistem untuk bisnis di Arab Saudi, dan pola yang berulang kali kami lihat adalah bahwa hampir seluruh investasi keamanan dicurahkan untuk mencegah akses tanpa izin: kata sandi, autentikasi dua faktor, firewall. Semua itu perlu, tetapi hanya menjaga satu pintu. Insiden yang kita bahas tidak pernah masuk lewat pintu. Ia mengetuk, meminta data, dan data itu diserahkan. Tidak ada pengaturan teknis yang dapat mencegah karyawan berwenang mengirim berkas kepada seseorang yang memintanya dengan cara yang tampak benar.

Karena itu kami memperlakukan keluarnya data dari bisnis sebagai prosedur yang dibangun di dalam sistem, bukan pedoman yang ditulis dalam manual: siapa yang memegang izin untuk mengekspor data pelanggan, apakah setiap ekspor dicatat beserta siapa yang melakukannya, kapan, dan mengapa, dan apakah permintaan pihak ketiga melalui jalur persetujuan. Perusahaan yang dapat menjawab dalam satu menit data apa yang keluar dari sini bulan lalu dan mengapa memiliki sesuatu untuk membela diri. Perusahaan yang tidak bisa akan menemukan celah itu pada hari ia membutuhkan jawabannya.

Prosedur satu halaman untuk diterapkan minggu ini

Ini tidak memerlukan proyek dan tidak memerlukan anggaran. Yang dibutuhkan adalah aturan tertulis yang diumumkan, yang melindungi karyawan Anda agar tidak harus memutuskan sendirian di bawah tekanan:

  • Tidak ada data pelanggan atau karyawan yang keluar hanya berdasarkan pesan masuk. Pesan membuka permintaan; pesan tidak menjalankannya, seresmi apa pun pengirimnya tampak dan semendesak apa pun nadanya.
  • Verifikasi melalui saluran independen. Jangan membalas pesan itu dan jangan menelepon nomor yang tertulis di dalamnya. Teleponlah nomor yang tercantum di situs web resmi badan tersebut. Satu langkah itu saja sudah cukup untuk menghentikan seluruh operasi ini.
  • Satu pemberi persetujuan yang ditunjuk namanya. Satu orang yang berwenang menyerahkan data kepada pihak luar, dengan wakil yang ditunjuk namanya saat ia berhalangan. Menyebarkan izin kepada semua orang berarti tidak ada yang bertanggung jawab.
  • Catatan tertulis untuk setiap permintaan. Siapa yang meminta, dalam kapasitas apa, data apa, siapa yang menyetujui, bagaimana verifikasinya, dan tanggalnya. Satu baris di spreadsheet sudah cukup, dan nilainya terlihat setahun kemudian, bukan hari ini.
  • Kirim seminimal mungkin. Jika permintaannya sah, kirim tepat apa yang diminta, bukan seluruh berkas atau seluruh tabel. Volume yang Anda kirim adalah besarnya kerugian jika permintaan itu ternyata palsu.
  • Ketahui jalur pelaporan sebelum Anda membutuhkannya. Siapa yang memberi tahu Otoritas Data dan Kecerdasan Buatan Saudi (SDAIA) dalam 72 jam, melalui platform mana, dengan rincian apa. Waktu yang terbuang untuk mencari prosedur langsung memotong batas waktu.

Prinsip yang mendasari semua ini adalah bahwa verifikasi bukan penghambatan. Badan resmi yang asli tidak akan keberatan dengan telepon konfirmasi ke nomornya sendiri yang dipublikasikan, dan siapa pun yang keberatan diverifikasi justru orang yang harus diverifikasi. Tuliskan hal ini untuk tim Anda agar menolak sebuah permintaan tidak pernah menjadi risiko pribadi yang harus ditanggung sendirian oleh satu karyawan.

Sumber