JAKARTA (global-news.co.id)-Bank Indonesia (BI) mengancam memberi sanksi berat kepada pedagang atau merchant yang masih menggesekkan kartu debit maupun kredit dalam transaksi pembayaran selain ke mesin Electronic Data Capturing (EDC). Pasalnya, aturan yang melarang gesek ganda kartu debit maupun kredit itu telah diterbitkan pada 2016.
Peraturan BI Nomor 18/40/PBI/2016 tentang Penyelenggaraan Pemrosesan Transaksi Pembayaran secara tegas melarang dilakukannya penggesekan ganda (double swipe) dalam transaksi nontunai. Larangan tersebut bertujuan untuk melindungi masyarakat dari pencurian data dan informasi kartu.
Gubernur BI, Agus Martowardojo, pun mengimbau seluruh perbankan nasional untuk menindak hal tersebut. Jika tidak, maka BI sendiri yang akan menindak secara tegas.
Agus Martowardojo menjelaskan, aturan BI menyatakan bahwa pemegang kartu debet dan kredit cukup melakukan pembayaran dengan menggesekkan atau memasukkan PIN-nya hanya di mesin EDC. Merchant tidak diperkenankan dengan alasan apa pun untuk menggesekkan lagi di kasir, mesin kasir, atau sistem yang lain karena berakibat terekamnya data nasabah secara lengkap yang dikhawatirkan bisa disalahgunakan.
BI tidak mempermasalahkan jika penggesekan kartu kredit dan debit di mesin kasir dilakukan dengan persetujuan pemilik kartu. Namun, apabila terdapat unsur pemaksaan atau dengan sengaja menggesekkan kartu tersebut dua kali, Agus meminta masyarakat melaporkannya ke perbankan yang bekerja sama dengan merchant tersebut. Jika perlu, bisa melaporkannya langsung ke BI.
Agus memastikan, akan ada sanksi yang dikenakan kepada merchant yang masih melakukan hal tersebut. “Tentu sanksinya adalah bisa di- blacklist atau dicabut dari kewenangan untuk menjalankan pembayaran melalui EDC,” ujar Agus saat ditemui di JCC Senayan, Jakarta, Rabu (6/9/2017).
Dihubungi terpisah, Direktur Utama Bank Mandiri Kartika Wirjoatmodjo mengatakan, pihaknya akan lebih menggencarkan sosialisasi kepada masyarakat akan bahaya penggesekan kartu debit atau kredit selain di mesin EDC. Namun, dia mengakui memang kebocoran data nasabah tidak hanya bisa dilakukan lewat merchant yang melakukan hal tersebut, tetapi juga bisa dengan cara lainnya.
“Ada yang di transaksi online. Jadi, kami lebih kepada melakukan sosialisasi agar nasabah tidak terlalu mudah memberikan data ke transaksi-transaksi di tempat umum,” ujarnya.
Corporate Secretary Bank Mandiri Rohan Hafas juga mengatakan hal senada. Saat ini pihaknya akan lebih menggencarkan sosialisasi kepada nasabah. Pihak perbankan tidak mungkin memonitoring secara langsung setiap transaksi nasabah di merchant-merchant yang ada setiap harinya. Menurutnya, Bank Mandiri bisa saja memberikan sanksi kepada merchant yang melakukan pelanggaran. Namun, syaratnya harus ada aduan dari nasabah, fraud, atau ada bukti bahwa data nasabah dipergunakan untuk kegiatan marketing lain.
“Sanksinya ada teguran sampai putus hubungan. Tetapi (penetapan sanksi) hanya bisa kalau adanya aduan atau terjadinya fraud,” ujar Rohan.
Sementara itu, Direktur Utama Bank BRI Suprajarto menjelaskan, penggesekan kartu debit dan kredit dua kali selain di mesin EDC itu bisa berisiko terhadap keamanan data si pemegang kartu. Untuk itu, dirinya mendukung langkah tegas BI yang melarang terjadinya transaksi tersebut.
“Seharusnya memang dilarang, karena EDC seharusnya sudah terkoneksi dengan mesin teller. Kalau digesek lagi kan kami tidak tahu tercapture (terekam) tidak data-datanya,” ujarnya. Karena koneksi EDC dengan mesin kasir hanya sebatas pencatatan nomor kartu nasabah.
Perilaku Pelanggan
Lantas, kenapa pengelola ritel kerap memberlakukan gesek ganda pada kartu debit atau kredit dalam pembayarannya? Menurut Himpunan Penyewa Pusat Perbelanjaan Indonesia (HIPPINDO), Budihardjo Iduansjah, penggesekan kartu debit atau kredit pada mesin kasir dilakukan untuk mengetahui informasi perilaku belanja pelanggannya, seperti terkait produk yang dibelinya.
“Gesek kartu di kasir itu memang ada sistem untuk mengetahui data-data yang biasanya memang kita perlukan, terutama kartu kredit, seperti nama pelanggan, bank-nya apa, dan behaviour belanja produk apa saja, tren dia suka beli apa, itu kita bisa tahu untuk ritel kita. Jadi kita bisa tahu kira-kira kita bisa tawarkan penawaran apa,” jelas Budihardjo Rabu (6/9/2017).
Diungkapkannya, data yang masuk di mesin kasir tersebut bukan data yang sifatnya terbatas dan kecil kemungkinan disalahgunakan. Selain itu, data tersebut juga langsung terhubung ke kantor pusat, dan tak sembarangan orang bisa mengaksesnya.
“Data itu langsung ke kantor pusat, bukan kasir gesek terus dia tahu. Kasirnya sendiri enggak bakal tahu. Selain itu juga, data yang kita tahu juga sangat sedikit, seperti nomor kartu dan jenis produk belanjanya apa. Data yang masuk di ritel sangat sedikit,” terang Budihardjo.
“Kalau kemudian ada berita data yang bocor itu kan kemungkinan ada di perbankan, datanya lengkap. Kalau di kita datanya enggak lengkap, cuma bisa dipakai di ritel saja karena informasinya sangat terbatas. Ada gesek kartu kredit ke mesin kasir, kita sendiri enggak tahu (handphone) nomornya siapa,” tambahnya.
Lanjut dia, data yang masuk di sistem kasir tersebut langsung dikirim ke kantor pusat. Pihaknya tak memungkiri jika ada karyawan di ritel yang bisa membocorkan data pelanggan tersebut.
“Yang bisa keluarkan itu hanya di pegawai level operasi yang bertanggung jawab. Kalau memang ada kebocoran kita enggak bisa pungkiri, sama seperti ada karyawan kita yang bawa pulang pulpen dari kantor kita juga enggak tahu. Tapi data di ritel terbatas, kalau ada data-data yang kemudian disalahgunakan itu bukan dari ritel, data yang lengkap itu kan dari bank,” ujar Budiardjo.
Namun menurut Corporate Secretary PT Bank Mandiri Tbk, Rohan Hafas, merchant atau toko sebenarnya tidak perlu lagi menggesek ke mesin pembayaran. “Seluruh data nasabah dan data kartu berpotensi dikloning oleh oknum tidak bertanggung jawab. Karena itu kami sarankan nasabah untuk menolak jika kartu akan di-swipe untuk kedua kalinya,” kata Rohan.
Direktur PT Bank Central Asia Tbk (BCA), Santoso Liem, menambahkan sebenarnya mesin cash register atau mesin kasir itu terkoneksi dengan internet sehingga potensi disusupi virus sangat besar. “Kadang mesin terkoneksi internet dan kasir tidak sadar kalau ada virus yang menyusup dan menyalin data kartu debit atau kredit yang digesek,” kata Santoso.
Dia mengatakan, data-data nasabah dan data kartu juga berpotensi disalin oleh pihak yang tidak bertanggung jawab. Ini dikhawatirkan bisa merugikan nasabah di kemudian hari.
Santoso menjelaskan, sebenarnya merchant bisa melakukan dengan cara yang lebih aman. Yakni dengan mengisi sejumlah angka yang tertera pada kartu. “Ya, tapi biasanya antrean kan panjang ya, jadi kasir supaya cepat mereka langsung gesek lagi saja,” ujarnya.
Dia menjelaskan di BCA, kartu debitnya sudah dilengkapi dengan pengaman ganda. Jadi meskipun digesek tapi tidak diinput personal identity number (PIN) maka data tersebut tidak akan tersalin.
Dianggap Lumrah
Pengamatan di salah satu pusat perbelanjaan, aktivitas gesek kartu debit/kredit di mesin Electronic Data Capture (EDC) dan mesin kasir sudah menjadi pemandangan yang biasa. Namun, tren transaksi nontunai yang meningkat ternyata belum sepenuhnya diimbangi dengan peningkatan kewaspadaan oleh masyarakat.
Apakah nasabah tahu bahwa membiarkan merchant menggesek kartu debit/kredit di mesin kasir berpotensi menimbulkan aksi pencurian data nasabah? Selama ini, banyak merchant menggesekkan kartu nasabah di dua mesin berbeda yakni, mesin EDC milik bank dan mesin kasir miliki merchant. Padahal penggesekan kartu kredit selain di mesin EDC tak dianjurkan oleh pihak perbankan.
Sayangnya, hal itu tak diketahui mayoritas nasabah perbankan. Andini Maharani (26), misalnya, mengaku selama ini tak begitu peduli dengan aktivitas kasir ketika bertransaksi. Karyawan perusahaan otomotif itu baru mengetahui adanya larangan dari pihak bank untuk menggesek kartu debit/kredit di mesin kasir dari berita media massa.
“Saya malah baru tahu, kirain itu proses legal, karena sudah kebiasaan begitu kasirnya main gesek,” ujar Andini. Hal yang sama diakui Juniarto Hendrisman (33). Dia mengaku hanya mengetahui adanya larangan untuk membocorkan personal identification number (PIN) kartu kredit kepada pihak lain, termasuk kasir.
Sang kasir akhirnya memasukkan nomor kartu kredit dengan cara manual, yakni diketik di mesin kasir. Penggesekan kartu dilakukan untuk mempersingkat waktu dalam memasukkan nomor kartu kredit ke komputer merchant.
Direktur PT Bank Central Asia Tbk (BCA) Santoso mengungkapkan, double swipe (gesek dua kali) di mesin kasir memungkinkan merchant mendapatkan data dari kartu magnetik nasabah.
Selama ini, lanjut Santoso, merchant melakukan double swipe untuk memudahkan rekonsiliasi transaksi pembayaran nasabah dengan bank. Nantinya, informasi transaksi tidak hanya dicatat oleh bank, tetapi juga dimiliki sistem merchant. “Namun ada cara-cara lain yang lebih aman seperti melakukan input kode otorisasi dan lain-lain,” ujar Santoso.
Kasus pencurian data kartu kredit sebelumnya pernah membuat heboh dunia perbankan. Pada 2013, Asosiasi Kartu Kredit Indonesia (AKKI) pernah membuat laporan ke polisi terkait dugaan penggandaan kartu kredit pelanggan di gerai toko produk kecantikan Body Shop. Asosiasi menduga data nasabah telah dicuri melalui sistem double swipe di gerai tersebut.
Dari hasil penelitian yang dilakukan Bank Indonesia, aksi pencurian data nasabah terjadi di dua mall di ibukota, dan di satu kantor cabang Body Shop di Padang Sumatera Barat. Para pelaku pencurian data pertama kali terdeteksi lewat transaksi mencurigakan di Amerika Serikat dan Meksiko. Namun, aksi terus berlanjut sehingga BI menemukan kejanggalan serupa di beberapa negara seperti Filipina, Turki, Malaysia, Thailand, bahkan hingga ke India. * jef/kdt/det