.png)
€100 Juta. Satu Akses Pihak Ketiga. Seberapa Jauh Sistem Bisa Ditembus?
Dua insiden siber di sektor keuangan, di dua negara berbeda, memperlihatkan persoalan yang sama: akses resmi dari pihak ketiga dapat menjadi jalur masuk menuju sistem yang mengelola transaksi bernilai besar.
ITSEC Asia
Pada 5 November 2026, Reuters melaporkan bahwa Crédit Mutuel Arkéa, kelompok perbankan asal Prancis, kehilangan sekitar €100 juta akibat transaksi penipuan yang dilakukan menggunakan rekening milik bank tersebut. Nilai ini setara dengan sekitar US$112,61 juta. [1]
Bank tersebut pertama kali mengumumkan serangan pada 4 November. Dalam penjelasan berikutnya, Arkéa mengungkap bahwa pelaku masuk melalui platform salah satu penyedia layanan pihak ketiga yang memiliki hubungan dengan sistem bank. Perusahaan secara tegas membantah bahwa Fortuneo, anak usaha perbankan digitalnya, menjadi pintu masuk serangan.
Rekening nasabah tidak digunakan dan dana nasabah tidak terdampak. Bank sempat menangguhkan sebagian transaksi untuk mengamankan operasional. Nilai kerugian akhir masih dalam proses penghitungan dan upaya pemulihan dana terus berlangsung. [2][3]
Kasus ini memunculkan pertanyaan bagi setiap institusi keuangan: seberapa besar kewenangan yang dimiliki penyedia layanan eksternal ketika terhubung ke sistem internal perusahaan?
Peringatan lain datang dari India.
Pada 4 November, Indian Computer Emergency Response Team (CERT-In) menerbitkan pembaruan peringatan mengenai kampanye serangan yang disebut Crafty Falcon. Targetnya mencakup bank, perusahaan pembiayaan non-bank, fintech, agregator pembayaran dan bursa aset kripto. CERT-In menyebut penggunaan perangkat berbasis AI untuk memetakan target dan memanggil API pembayaran serta pencairan dana milik organisasi yang diserang. Sejumlah organisasi juga dilaporkan kembali menjadi target setelah proses perbaikan keamanan sebelumnya tidak tuntas. [4][5]
Kedua insiden tersebut merupakan serangan terpisah. Belum ada bukti publik yang menghubungkan pelaku maupun metode operasinya. Namun, keduanya memperlihatkan mengapa akses pihak ketiga, identitas layanan dan antarmuka aplikasi perlu diperiksa secara serius.
Risiko di Balik Integrasi yang Dipercaya
Hubungan dengan penyedia layanan eksternal merupakan bagian normal dari operasional perusahaan keuangan. Pemrosesan pembayaran, rekonsiliasi, pengelolaan cloud dan administrasi transaksi sering membutuhkan platform pihak ketiga yang memiliki akses ke sistem internal.
Risiko muncul ketika kewenangan yang diberikan terlalu luas atau tidak diawasi secara memadai.
Dalam kasus Arkéa, bank mengonfirmasi bahwa platform penyedia layanan digunakan untuk mencapai sistemnya. Namun, detail kerentanan teknis dan mekanisme akses yang digunakan belum dipublikasikan. Karena itu, belum tepat menyimpulkan bahwa serangan tersebut terjadi akibat kelemahan API atau pencurian kredensial tertentu.
Peringatan CERT-In di India memberikan contoh risiko lain pada API pembayaran. Sebuah permintaan API dapat terlihat valid secara teknis, tetapi tetap merupakan transaksi tanpa izin apabila sistem gagal memeriksa hak akses pemanggil, batas nominal, penerima dana atau persetujuan transaksi.
OWASP API Security Top 10 mengidentifikasi kelemahan autentikasi, otorisasi fungsi dan akses berlebihan terhadap proses bisnis sensitif sebagai sejumlah risiko utama keamanan API. [6]
Apa yang Harus Diuji oleh Institusi Keuangan?
Tim keamanan perlu memeriksa hubungan antara akses eksternal dan proses bisnis yang kritis.
-
Evaluasi hak akses vendor. Identifikasi seluruh penyedia layanan yang memiliki akses ke aplikasi, cloud, layanan pembayaran dan data sensitif. Cabut izin yang sudah tidak diperlukan.
-
Pisahkan identitas dan lingkungan sistem. Akun vendor, kredensial testing dan identitas layanan produksi harus memiliki kewenangan serta secret yang berbeda.
-
Validasi otorisasi transaksi. Uji apakah endpoint pembayaran memeriksa kepemilikan akun, penerima, batas transaksi dan persetujuan yang diwajibkan.
-
Uji jalur akses secara menyeluruh. Periksa apakah akun penyedia layanan atau identitas aplikasi yang dikompromikan dapat menjangkau sistem lain.
-
Pastikan remediasi benar-benar efektif. Lakukan pengujian ulang setelah perbaikan, termasuk pada jalur akses yang berdekatan. Menutup satu pintu masuk belum tentu mengamankan seluruh lingkungan.
Menemukan Celah Sebelum Dimanfaatkan Penyerang
Pemindaian kerentanan dapat membantu menemukan layanan terekspos dan kelemahan yang telah diketahui. Penetration testing terotorisasi melangkah lebih jauh dengan memvalidasi apakah kelemahan tersebut dapat digunakan untuk menjangkau sistem digital yang sensitif.
Bronyx AI, platform AI-assisted autonomous penetration testing dari PT ITSEC Asia Tbk (IDX: CYBR), mendukung pengujian terotorisasi terhadap aplikasi web, API dan lingkungan jaringan yang telah ditentukan. Platform ini membantu tim keamanan menilai aset digital yang terekspos, mengidentifikasi kerentanan dan memeriksa potensi jalur akses sesuai ruang lingkup yang disetujui.
Pengujian tersebut tidak menggantikan tata kelola vendor, mekanisme persetujuan transaksi atau pemantauan fraud. Semua kontrol tersebut tetap diperlukan. Peran penetration testing adalah membantu organisasi memahami letak kelemahan teknis dan menentukan prioritas perbaikannya.
Insiden Arkéa memberikan satu pertanyaan yang layak diajukan oleh setiap organisasi: jika akun penyedia layanan yang dipercaya berhasil diambil alih besok, sistem apa saja yang dapat dijangkau penyerang dan tindakan apa yang bisa mereka lakukan?
Pelajari Bronyx AI di https://bronyx.ai/.
Referensi
-
Reuters, French bank Credit Mutuel Arkea says €100 million missing after cyberattack, 5 November 2026. https://www.reuters.com/legal/government/french-bank-credit-mutuel-arkea-says-100-million-missing-after-cyberattack-2026-11-05/
-
Crédit Mutuel Arkéa, Additional Information Following the Cyberattack on Crédit Mutuel Arkéa, 4 November 2026. https://www.cm-arkea.com/arkea/banque/assurances/pa_38386/fr/informations-complementaires-suite-a-l-attaque-dont-le-credit-mutuel-arkea-a-ete-victime
-
Crédit Mutuel Arkéa, Crédit Mutuel Arkéa announces it has been the target of a cyberattack, 4 November 2026. https://www.cm-arkea.com/arkea/banque/assurances/pa_38367/fr/credit-mutuel-arkea-annonce-avoir-ete-victime-d-une-attaque
-
Indian Computer Emergency Response Team (CERT-In), Escalation of AI-Driven Attacks on BFSI Entities by Threat Actor "CRAFTY FALCON", 4 November 2026. https://www.cert-in.org.in/s2cMainServlet?CACODE=CICA-2026-3651&pageid=PUBADV01
-
Reuters, India flags Chinese-linked AI tools in hacking campaign against financial firms, 5 November 2026. https://www.reuters.com/legal/government/india-flags-chinese-linked-ai-tools-hacking-campaign-against-financial-firms-2026-11-05/
-
OWASP Foundation, OWASP API Security Top 10 – 2023, 2023. https://owasp.org/www-project-api-security/
.png)
