Perusahaan fintech global asal Inggris, Revolut, resmi mengonfirmasi terjadinya kebocoran data nasabah yang dipicu oleh skema penipuan canggih. Pihak perusahaan mengakui telah memberikan akses informasi sensitif kepada pihak ketiga yang tidak berwenang setelah menerima permintaan palsu yang dikirimkan menggunakan domain email resmi milik sebuah instansi pemerintah.
Data yang terekspos dalam insiden ini mencakup informasi identitas pribadi dan detail kontak nasabah, termasuk tanggal lahir, alamat surat menyurat, alamat email, hingga nomor telepon. Selain itu, dokumen pendukung seperti salinan paspor, surat izin mengemudi, riwayat transaksi, hingga verifikasi swafoto (selfie) turut berisiko disalahgunakan oleh pelaku kejahatan siber tersebut.
Juru bicara Revolut menyatakan bahwa jumlah nasabah yang terdampak tergolong terbatas. Meski demikian, pihak perusahaan menolak membeberkan angka pasti mengenai jumlah individu yang datanya bocor, pasar spesifik yang menjadi target, maupun nama lembaga pemerintah yang domain emailnya dicatut oleh pelaku.
Insiden ini menunjukkan celah keamanan baru dalam proses verifikasi pihak ketiga. Penyerang memanfaatkan otoritas yang melekat pada domain email pemerintah untuk mengelabui sistem keamanan internal Revolut. Teknik impersonasi ini tergolong sangat rapi karena pelaku berhasil menyamar sebagai otoritas resmi yang biasanya memiliki akses sah untuk meminta data nasabah.
Sejauh ini, Revolut menegaskan bahwa sistem perbankan inti dan dana milik nasabah tidak terpengaruh oleh insiden tersebut. Perusahaan telah melakukan pemblokiran terhadap alamat email yang digunakan pelaku dan berkoordinasi dengan otoritas penegak hukum serta regulator terkait untuk melakukan investigasi lebih mendalam.
Kasus ini menjadi peringatan keras bagi industri fintech global yang sedang gencar melakukan ekspansi. Revolut, yang kini memiliki lebih dari 80 juta pengguna, sedang berada dalam fase krusial dengan rencana penawaran saham perdana (IPO) yang diprediksi bernilai hingga 200 miliar dolar AS. Kepercayaan pelanggan menjadi aset paling berharga yang kini terancam oleh insiden keamanan ini.
Di Indonesia, fenomena kebocoran data akibat serangan phishing atau impersonasi bukanlah hal baru. Namun, penggunaan domain email instansi pemerintah sebagai pintu masuk serangan merupakan eskalasi ancaman yang perlu diwaspadai oleh sektor perbankan digital lokal. Transformasi digital yang cepat di Indonesia sering kali menyisakan celah pada protokol verifikasi dokumen yang bersifat administratif.
Bagi pengguna di Indonesia, insiden ini memberikan pelajaran berharga mengenai pentingnya menjaga kerahasiaan dokumen identitas digital. Meskipun Revolut belum beroperasi secara penuh sebagai bank di Indonesia, banyak pengguna tanah air yang menggunakan layanan fintech global serupa. Pengguna harus lebih waspada terhadap setiap permintaan data, bahkan jika permintaan tersebut tampak datang dari kanal resmi.
Peneliti keamanan kripto ternama, ZachXBT, mengungkap bahwa serangan ini tampaknya menyasar nasabah dengan kekayaan bersih tinggi. Hal ini mengindikasikan bahwa pelaku melakukan riset mendalam sebelum melancarkan aksi, sebuah karakteristik serangan yang ditargetkan secara presisi atau sering disebut sebagai spear-phishing.
Strategi mitigasi yang dilakukan Revolut saat ini adalah dengan menghubungi langsung setiap nasabah yang terdampak. Langkah ini merupakan standar penanganan krisis, namun bagi nasabah, kerugian akibat bocornya data identitas seperti paspor bersifat permanen dan berisiko memicu pencurian identitas di masa depan.
Ke depan, industri fintech dituntut untuk memperketat protokol verifikasi di luar sekadar validitas domain email. Penggunaan teknologi otentikasi multi-faktor yang lebih tangguh dan sistem deteksi anomali perilaku berbasis kecerdasan buatan menjadi keharusan agar tidak lagi terjebak dalam skema penipuan yang mengatasnamakan otoritas resmi.
Revolut sendiri tetap optimistis dengan rencana ekspansi mereka ke pasar baru, termasuk peluncuran bank nasional di Amerika Serikat yang ditargetkan pada paruh pertama 2027. Namun, insiden ini dipastikan akan menjadi catatan penting bagi regulator di setiap negara tempat mereka beroperasi dalam meninjau keamanan data nasabah mereka.