HEADLINE: Gesek Kartu Kredit di Mesin Kasir Berbahaya?

Sebenarnya, BI telah melarang penggesekan ganda dalam transaksi nontunai sejak tahun lalu melalui Peraturan Bank Indonesia Nomor 18/40/PBI/2016 tentang Penyelenggaraan Pemrosesan Transaksi Pembayaran.

Pada Pasal 34 huruf b, Bank Indonesia (BI) melarang penyelenggara jasa sistem pembayaran menyalahgunakan data dan informasi nasabah maupun data dan informasi transaksi pembayaran selain untuk tujuan transaksi pemrosesan pembayaran. Tercakup di dalamnya adalah larangan pengambilan data melalui mesin kasir di pedagang.

"Kami tegaskan bahwa yang melakukan transaksi di EDC tidak diperkenankan di-swipe (gesek) di mesin kasir," tegas Gubernur BI, Agus Martowardojo, pada Selasa kemarin.

Konsumen berhak menolak jika kartu kredit atau kartu debitnya digesek dua kali baik di mesin EDC maupun mesin kasir. Sebab, kartu hanya boleh digesek sekali di mesin EDC, dan tidak boleh dilakukan penggesekan lainnya, termasuk di mesin kasir.

"Si pemegang kartu harus meyakini bahwa kalau sudah digesek di EDC, tidak boleh digesek lagi di mesin kasir. Sebab, bisa terjadi profile dan data pemegang kartu di-copy dalam mesin kasir," kata dia.

Menurut dia, salah satu penyebab kebocoran data nasabah karena terjadinya penggesekan dua kali. "Kalau sampai hal itu (penggesekan ganda) masih terjadi, mitra merchant harus ambil tindakan. Itu perhatian BI untuk melindungi konsumen," tegas Agus.

Konsumen berhak menolak jika kartu kredit atau kartu debitnya digesek dua kali, baik di mesin EDC maupun mesin kasir. Sebab, kartu hanya boleh digesek sekali di mesin EDC, dan tidak boleh dilakukan penggesekan lainnya, termasuk di mesin kasir.

"Oh iya, harus menolak. Si pemegang kartu harus meyakini bahwa kalau sudah digesek di EDC, tidak boleh digesek lagi di mesin kasir karena itu bisa terjadi profile dan data pemegang kartu di-copy dalam mesin kasir," tegasnya.

Pengusaha tergabung dalam Asosiasi Pengusaha Ritel Indonesia (Aprindo) kembali mengingatkan anggotanya agar tak melakukan penggesekan ulang di mesin kasir dan EDC. Aprindo akan segera mengirim surat edaran resmi ke para anggota.

Sekretaris Jenderal Aprindo Solihin mengatakan, ketentuan terkait larangan tersebut telah ada sejak tahun 2016. Pengusaha, ujar dia, berusaha mengikuti ketentuan tersebut. "Ini kan instruksi Bank Indonesia (BI) tertuang dalam Peraturan Bank Indonesia Nomor 18/40/2016. Di situ disebutkan Pasal 34 huruf b tidak boleh melakukan penggesekan ulang atau dua kali," kata dia kepada Liputan6.com.

Solihin akan menyurati para anggotanya, sehingga tidak melakukan penggesekan dua kali pada kartu kredit maupun debit. "Jadi intinya Aprindo, saya buatkan surat untuk diedarkan ke seluruh anggota untuk tidak melakukan double swipe dan itu tertuang dalam Peraturan Bank Indonesia Nomor 18 Tahun 2016, jelas Pasal 34 huruf b. Itu yang akan Aprindo lakukan," ujar dia.

Dia mengatakan, surat edaran ini tengah diproses. Dia bilang, para anggota akan menerima surat edaran itu pada pekan ini. "Masih proses, tapi diharapkan dalam minggu ini semua terima," tukas dia.

Corporate Communication General Manager PT Sumber Alfaria Trijaya Tbk (AMRT), Nur Rachman, menuturkan pihaknya hanya menggesek kartu kredit dan debit di mesin EDC saja untuk layanan nontunai di seluruh toko Alfamart.

"Kami tidak memiliki tools untuk dilakukan swipe di mesin kasir. Sehingga kebijakan pelarangan double swipe nanti tidak akan berpengaruh terhadap proses bisnis Alfamart," ujar Nur Rachman, saat dihubungi Liputan6.com.

Ia menegaskan, pihak bank dan konsumen tidak perlu khawatir terkait keamanan dan kerahasiaan datanya ketika berbelanja di toko Alfamart. Selain itu, menurut Nur, transaksi nontunai, terutama memakai kartu kredit, di Alfamart masih belum besar.

Direktur Pemasaran PT Indomarco Prismatama, pengelola Indomaret Wiwiek Yusuf menuturkan, pihaknya sudah mengikuti aturan BI tersebut. Jadi transaksi pembayaran nontunai hanya satu kali gesek lewat EDC. "Kami sudah sesuai aturan itu. Mesin kasir tidak bisa baca kartu kredit, jadi tidak punya sarana untuk itu," ujar Wiwiek saat dihubungi Liputan6.com.

Demikian juga dikatakan Sekretaris Perusahaan PT Ace Hardware Tbk (ACES) Helena Tanzil. "Kami sudah implementasikan sesuai peraturan Bank Indonesia yang berlaku, yaitu hanya satu kali di mesin EDC saja. Kami sudah tidak melakukan penggesekan ganda lagi sejak peraturan dikeluarkan," ujar Helena lewat pesan singkat.

Sementara itu, Direktur PT Ramayana Lestari Sentosa Tbk (RALS) Suryanto mengatakan, larangan BI soal penggesekan berganda tidak ada masalah bagi perseroan selaku merchant bank. Sementara kasir di gerai Ramayana hanya input nomor kartu secara manual. "Selanjutnya kami akan bekerja sama dengan bank supaya EDC bisa terkoneksi nomor kartu ke mesin kasir. Sambil menunggu surat dari bank masing-masing dan upgrade program EDC mereka," ujar Suryanto.

Suryanto juga ingin aturan larangan penggesekan ganda dalam transaksi nontunai ini perlu disosialisasikan kepada seluruh asosiasi yang berhubungan dengan penerimaan pembayaran nontunai. Kemudian asosiasi masing-masing sosialisasikan kepada anggotanya. Suryanto mengaku, kalau pihaknya belum dapat sosialisasi soal aturan larangan penggesekan ganda dalam transaksi nontunai baik kartu kredit dan kartu debit.

"Belum (sosialisasi), meski pun peraturan di pasal 34 sudah diatur, tapi belum ada sosialisasinya. Pelaksanaan teknisnya belum disosialisasi," ujar Suryanto.

Menurut Pratama Persadha, jual beli data nasabah dilakukan oleh sindikat. Saat ini banyak muncul kelompok underground yang menawarkan data-data korban dari kartu kosong tersebut.

"Banyak toko-toko dan merchant yang enggak peduli bentuk kartunya, yang penting mereka maunya dibayar dengan transaksi apa pun termasuk nontunai. Nah, mereka tidak tahu risiko dari penggesekan ganda. Data-data itu bisa dicuri oleh mereka (sindikat)," ujar Pratama.

Parahnya, ujar Pratama, data pengguna di kartu kredit yang dibobol bisa digunakan sindikat untuk belanja online. Ia mengambil contoh pada kasus besar kartu kredit palsu seperti Master Card dan Visa yang diretas beberapa waktu lalu.

"Waktu itu hacker kesal karena Visa dan Master Card menolak untuk digunakan untuk sebagai sarana pembayaran donasi ke WikiLeaks, kemudian datanya dibagikan ke Deep Web," ujarnya menerangkan.

Tak hanya di Indonesia, kasus jual beli data nasabah kartu kredit juga menjadi permasalahan pelik di luar negeri. Dikutip dari thesun.co.uk, terdapat jual beli data nasabah pengguna kartu kredit di Dark Web.

Harganya fantastis. Untuk mendapat data pengguna kartu Visa Classic dan Mastercard penduduk Inggris, seorang hacker bisa membeli dengan harga 28 pound sterling atau Rp 486 ribu per data (kurs 1 pound sterling = Rp 17.367).

Untuk data pengguna kartu kredit di Amerika Serikat, mereka yang berminat bisa membelinya dengan harga 11 pound sterling atau Rp 191 ribu per data. Sementara untuk pengguna kartu Visa Premium, datanya bisa didapat dengan membayar 35-42 pound sterling atau sekitar Rp 607 ribu-Rp 729 ribu per data.

Hacker bukanlah satu-satunya pihak yang bertanggung jawab atas kejadian ini. Pihak penyedia layanan kartu kredit ternyata turut memiliki andil dalam kasus jual beli data penggunanya.

Laporan investigasi jurnalis Amerika Serikat Kate Kaye pada 2013 bercerita tentang penyedia kartu kredit Mastercard dan American Express yang juga memperjualbelikan data penggunanya pada pihak luar dalam bentuk kode pos. Biasanya, pembeli favorit data kartu kredit ini adalah agensi periklanan. Mereka menggunakan data tersebut demi menggaet pembeli produk yang ditawarkan.