mPIN: apakah cocok dengan era baru mobile banking?

News & Publications

Posted on 23.05.2023 at 16:37

Pasar keuangan digital itu unik. Di satu wilayah makro yang sama, Anda akan menemukan banyak kekhasan yang terkait dengan berbagai negara. Inilah yang saya lihat dengan jelas di wilayah APAC. Beberapa tahun terakhir saya menghabiskan setidaknya 1/3 tahun di Indonesia, jadi saya menemukan beberapa fitur yang sangat khas di sini.

Berada di sini sebenarnya saya merasa sangat aman apalagi dalam menjalani kehidupan sehari-hari: orang-orangnya yang sangat ramah dan bersahabat – bukan karena norma moral, aturan atau apa pun tetapi hanya karena sifatnya. Namun, selain saya merasa sangat aman dalam sehari-hari, saya juga merasa sangat tidak aman saat berbicara dengan tim digital dan keamanan lokal.

Jelas, saluran mobile banking adalah yang paling populer di sini meskipun masih dikombinasikan dengan alat web-banking. Salah satu cara paling populer untuk melindungi mobile banking yang saya ketahui adalah mPIN, kode pin-mobile. Dan sejujurnya, ini tidak nyaman, juga tidak aman.

Dari sudut pandang hukum, OJK – regulator lokal di sektor perbankan di Indonesia – mewajibkan autentikasi dua faktor untuk masuk ke aplikasi perbankan atau menjalankan operasi perbankan seluler. Pastinya, mengikuti pendekatan umum untuk otentikasi, OJK memungkinkan untuk menggabungkan semua jenis faktor: sesuatu yang Anda ketahui, sesuatu yang Anda miliki, dan sesuatu tentang Anda. Dalam hal pengalaman bank internet, mudah untuk menawarkan soft-token sebagai alat konfirmasi tetapi ini hampir tidak berlaku untuk pendekatan mobile-centric. Jadi, kebanyakan bank menggunakan kombinasi mPIN (“sesuatu yang Anda tahu”) dan touch ID/Face ID (“sesuatu tentang Anda”). Secara hukum, alat otentikasi ini memenuhi persyaratan peraturan setempat. Tapi mari kita jelajahi sisi teknis dari pendekatan ini.

Apa itu mPin?

Faktanya, mPin hanya kata sandi statis. Dari pandangan pertama, pendekatan seperti itu tampaknya paling sederhana dan paling murah dari banyak perspektif. Namun kenyataannya, begitu bank mulai menawarkan mPIN, tim keamanan bank harus memperhatikan cara untuk melindungi kata sandi ini: dari penipuan internal, serangan langsung ke server bank, dari segala jenis spyware yang dapat dipasang di sisi nasabah, tautan phishing dikirimkan melalui SMS atau messenger. Tim keamanan akan secara wajar meminta anggaran untuk HSM (modul keamanan hardware) untuk mengautentikasi mPIN tersebut dengan cara yang tahan terhadap kerusakan. Dengan kata lain, mPIN adalah opsi termurah jika Anda tidak ingin tahu apa pun tentang biaya tersembunyi.

Pada saat yang sama, jika ada operasi penting seperti perubahan kata sandi – yang seharusnya menjadi bagian dari keamanan – dikonfirmasi dengan SMS OTP, maka bank harus tetap jujur: nasabah menghadapi risiko. Karena dalam hal ini cukup mudah untuk membajak OTP tersebut dan mengambil alih akun menggunakan kredensial curian.

“Jimat” Keamanan

Banyak bank lebih memilih posisi tanpa perubahan dalam kombinasi dengan “jimat keamanan” – papan reklame besar dengan spanduk bertuliskan “jangan bagikan kredensial atau kode OTP Anda dengan siapa pun”. Tetapi pada tahun 2023, berdasarkan laporan Gartner ada lebih dari 200 pengembang solusi otentikasi secara global, posisi seperti itu lebih terlihat seperti pengalihan tanggung jawab – seolah-olah nasabah bank harus peduli dengan keamanan mereka sendiri. “Jimat” tidak lagi berfungsi untuk itu.

“Jimat” tidak berfungsi dengan baik jika terjadi penyusupan ke saluran komunikasi antara bank dan aplikasi perbankan, mereka tidak berfungsi jika terjadi penggantian detail transaksi- serta mPIN tidak dapat menjamin integritas dan non-penolakan transaksi bank .

mPIN UX

Terlepas dari risiko keamanan, salah satu hal yang saya pribadi tidak suka – mPIN. Ini adalah kebutuhan yang mengganggu, memasukkan kata sandi ini setiap kali nasabah menjalankan aplikasi. Pada dasarnya, dibutuhkan sekitar 10-15 detik untuk masuk ke aplikasi jika Anda menggunakan kata sandi statis dan Touch ID.

Di Indonesia dengan banyaknya alternatif solusi pembayaran, bank harus kuat memenangkan persaingan pembayaran harian.

Ok, lalu apa solusinya?

Anda dapat mengajukan pertanyaan ini dan saya akan mencoba menjawab tanpa menambahkan di dalamnya. Solusinya terletak pada pertimbangan ulang keamanan aplikasi atau setidaknya pertimbangan serius dari pendekatan autentikasi tanpa kata sandi baru: berdasarkan algoritme kriptografi, dengan hubungan yang kuat dengan perangkat dan detail transaksi. Keamanan harus kuat tetapi tidak terlihat oleh nasabah.

Bayangkan bahwa nasabah dapat diautentikasi menggunakan kunci keamanan yang bahkan tidak perlu mereka ingat, tetapi dapat diaktifkan dengan sidik jari dari perangkat yang tepat? Bagaimana jika tim keamanan dapat membantu untuk mengurangi waktu konfirmasi dari 10-15 detik menjadi 2 detik? Semua ini nyata dan sudah berfungsi.