Mengapa Kasus Ini Penting untuk Dipelajari?

Dalam dunia keamanan siber, tidak ada laboratorium yang lebih nyata dari kasus-kasus yang benar-benar terjadi. Bank DKI — bank milik pemerintah daerah DKI Jakarta yang melayani jutaan nasabah — mengalami dua insiden siber besar dalam kurun waktu kurang dari dua tahun: kebocoran data nasabah pada 2023, dan kebocoran dana senilai hampir Rp 100 miliar pada 2025. Kasus ini bukan sekadar drama korporasi. Ini adalah pelajaran konkret tentang bagaimana lemahnya tata kelola keamanan siber dapat menghancurkan kepercayaan publik, merugikan institusi, dan membuka celah bagi kejahatan digital yang terorganisir.

Artikel ini disusun untuk pembaca KelasСyber.com sebagai bahan edukasi mendalam. Kami akan membedah kronologi kejadian, menganalisis vektor serangan, mengungkap kejanggalan dalam komunikasi resmi, dan merumuskan pelajaran yang bisa diterapkan oleh siapa pun yang peduli terhadap keamanan sistem digital — khususnya di sektor keuangan.

Bagian 1: Profil Singkat Bank DKI

Bank DKI adalah Bank Pembangunan Daerah (BPD) milik Pemerintah Provinsi DKI Jakarta. Bank ini melayani layanan perbankan konvensional dan syariah, termasuk tabungan, kredit, hingga layanan digital melalui aplikasi JakOne Mobile. Sebagai bank BUMD, Bank DKI memiliki peran strategis dalam pengelolaan keuangan daerah, penyaluran bantuan sosial (seperti KJP — Kartu Jakarta Pintar), dan digitalisasi layanan pemerintah kota Jakarta.

Skala dan fungsi sosial-politisnya inilah yang membuat insiden keamanan siber di Bank DKI memiliki dampak jauh lebih luas dibanding bank swasta biasa. Ketika sistemnya lumpuh, bukan hanya nasabah komersial yang terdampak — tetapi juga warga penerima bantuan pemerintah yang bergantung pada layanan digitalnya.

Bagian 2: Kronologi Insiden — Dua Serangan dalam Dua Tahun

2.1 Insiden Pertama: Kebocoran Data Nasabah (Juli 2023)

Pada September 2023, forum dark web bernama BreachForums diramaikan oleh sebuah postingan dari threat actor dengan nama alias “cookiemonster”. Dalam thread tersebut, ia mengklaim memiliki data dari sebuah bank Indonesia dan menawarkan dua hal sekaligus: data nasabah, dan akses ke admin panel bank tersebut.

Harga yang ditawarkan untuk akses admin panel: hanya $80 — angka yang mengejutkan mengingat nilai aset yang bisa diakses melaluinya.

Data yang diklaim bocor mencakup informasi sensitif dari sekitar 13.872 pengguna, meliputi:

• Nama lengkap dan nama panggilan
• Nomor KTP (NIK)
• Tanggal dan tempat lahir
• Agama dan jenis kelamin
• Nomor telepon dan alamat email
• Status perkawinan
• Nama ibu kandung
• Nama kontak darurat
• Status keluarga dengan nasabah
• Kode referensi dan status kartu

Dari perspektif keamanan siber, kombinasi data ini sangat berbahaya. Nama lengkap + NIK + tanggal lahir + nama ibu kandung adalah data emas yang digunakan oleh hampir semua lembaga keuangan untuk verifikasi identitas. Kombinasi ini cukup untuk mengajukan pinjaman online, melakukan account takeover di platform fintech, bahkan membuat dokumen identitas palsu.

Modus serangan pada insiden 2023 belum sepenuhnya terungkap secara resmi. Namun berdasarkan analisis, kemungkinan besar melibatkan salah satu dari beberapa metode: eksploitasi kerentanan pada sistem atau API yang tidak terlindungi, penggunaan malware stealer di komputer internal, atau akses oleh orang dalam (insider threat). Yang paling mengkhawatirkan: serangan ini tidak terdeteksi oleh sistem monitoring Bank DKI hingga datanya sudah beredar di forum dark web.

2.2 Insiden Kedua: Kebocoran Dana & Lumpuhnya Sistem (Maret–April 2025)

Insiden kedua terjadi tepat di momen paling krusial: malam menjelang Lebaran Idul Fitri 1446 H. Berikut kronologinya:

29 Maret 2025 (Sabtu siang) Pengguna mulai melaporkan di media sosial bahwa fitur transfer eksternal di aplikasi JakOne Mobile menghilang. Satu akun di platform X menulis: “Halo Bank DKI, kenapa tidak ada fitur transfer eksternal di Aplikasi JakOne sejak siang?” — yang kemudian menjadi salah satu laporan pertama yang viral.

30 Maret 2025 (malam takbiran) Ratusan nasabah mengeluh tidak bisa melakukan transaksi apa pun — transfer antarbank, pembayaran QRIS, maupun penarikan tunai di ATM Bersama. Lebih parahnya, beberapa nasabah melaporkan saldo terpotong namun transaksi tidak tercatat di riwayat. Keluhan membanjiri media sosial. Bagi sebagian nasabah, ini bukan hanya soal transaksi — ini soal ketersediaan dana THR yang tidak bisa diakses.

31 Maret – 6 April 2025 Gangguan berlanjut selama lebih dari satu minggu. ATM Bank DKI tidak dapat digunakan untuk transaksi antarbank. JakOne Mobile sebagian besar tidak berfungsi. Penyaluran dana KJP (Kartu Jakarta Pintar) ikut terhambat, berdampak langsung pada warga prasejahtera penerima bantuan.

1 April 2025 Bank DKI secara resmi melaporkan insiden ini ke Bareskrim Polri. Laporan diterima oleh Direktorat Tindak Pidana Siber.

7–8 April 2025 Layanan ATM mulai pulih. Gubernur DKI Jakarta Pramono Anung mengumumkan pencopotan Direktur IT Bank DKI, Amirul Wicaksono, dari jabatannya. Ia menegaskan bahwa insiden serupa telah terjadi tiga kali dengan pola yang hampir sama, menunjukkan kegagalan sistemik yang berulang.

9 April 2025 Komisi B DPRD DKI Jakarta menggelar rapat kerja dengan jajaran direksi Bank DKI. DPRD merekomendasikan audit internal dan eksternal menyeluruh, serta meminta Bank DKI memiliki alert system real-time untuk deteksi ancaman.

16–17 April 2025 Direktur Utama Bank DKI Agus Haryoto Widodo mengadakan media gathering dan mengungkap fakta mengejutkan: ada pihak ketiga yang menyalahgunakan akses level tinggi ke sistem bank. Investigasi forensik dilakukan bersama IBM, dan hasilnya mengungkap kelemahan di sisi internal bank maupun pihak ketiga. Yang paling signifikan: IP address yang digunakan untuk akses ilegal adalah IP internal bank, bukan dari luar. Kerugian dana diperkirakan tidak lebih dari Rp 100 miliar, dan diklaim bukan dari rekening nasabah, melainkan dari rekening operasional Bank DKI di Bank BNI.

21–22 April 2025 Bareskrim Polri melalui Direktorat Tindak Pidana Siber menegaskan masih melakukan pendalaman kasus. Pihak kepolisian berjanji transparan dan profesional dalam penanganan.

Bagian 3: Analisis Teknis — Apa yang Sebenarnya Terjadi?

3.1 Vektor Serangan yang Mungkin Digunakan

Berdasarkan fakta-fakta yang terungkap, terdapat beberapa kemungkinan vektor serangan:

A. Insider Threat (Ancaman dari Dalam) Fakta bahwa IP yang digunakan untuk akses ilegal adalah IP internal sangat kuat mengarah ke skenario ini. Insider threat bisa berupa karyawan aktif, mantan karyawan yang akses-nya belum dicabut, atau vendor IT yang memiliki hak akses ke jaringan internal. Ini bukan sekadar spekulasi — Gubernur Pramono sendiri menyebut indikasi keterlibatan pihak internal.

B. Penyalahgunaan Akses Vendor (Third-Party Risk) Bank DKI memiliki External Partner Agreement (EPA) dengan pihak ketiga yang — menurut pengakuan Dirut — “tidak berjalan semestinya.” Ini mengindikasikan vendor IT memiliki akses privileged ke sistem bank, namun aktivitasnya tidak dipantau secara ketat. Dalam terminologi keamanan siber, ini disebut supply chain attack atau third-party privilege abuse.

C. Tidak Ada Multi-Factor Authentication (MFA) pada Akses Kritis Fakta bahwa akses admin panel Bank DKI bisa diperjualbelikan seharga $80 di dark web (kasus 2023) menunjukkan bahwa sistem autentikasi untuk akses admin sangat lemah — kemungkinan hanya mengandalkan username dan password tanpa lapisan keamanan tambahan.

D. Lemahnya Privileged Access Management (PAM) Tidak ada bukti bahwa Bank DKI menerapkan PAM — sistem yang membatasi, memantau, dan mencatat setiap aktivitas akun dengan hak akses tinggi. Tanpa PAM, satu akun admin yang berhasil dikompromikan bisa menjadi “kunci master” seluruh sistem.

E. Absennya Zero Trust Architecture Pendekatan keamanan tradisional (“percayai semua yang ada di dalam jaringan internal”) terbukti berbahaya. IP internal yang digunakan pelaku tidak otomatis berarti pelakunya berhak melakukan aksi tersebut. Zero Trust mensyaratkan verifikasi identitas dan konteks di setiap permintaan akses — termasuk dari dalam jaringan sendiri.

3.2 Mengapa Serangan Ini Tidak Terdeteksi?

Setidaknya ada empat kegagalan deteksi yang bisa diidentifikasi:

Tidak ada pemantauan real-time (Security Monitoring): Serangan di 2023 baru diketahui setelah data sudah beredar di dark web. Ini menunjukkan tidak adanya sistem Intrusion Detection System (IDS) atau Security Information and Event Management(SIEM) yang efektif.

Tidak ada audit log yang ketat: Log aktivitas akses — terutama akses privileged — seharusnya dipantau dan dianalisis secara rutin. Jika ada akses tidak wajar di luar jam kerja atau dari lokasi tidak biasa, sistem seharusnya memicu peringatan.

Tidak ada Dark Web Monitoring: Pada 2023, data Bank DKI sudah dijual di BreachForums sebelum pihak bank sendiri menyadari adanya kebocoran. Ini menunjukkan tidak adanya program Cyber Threat Intelligence yang memantau forum-forum underground.

Lemahnya segregation of duties: Satu orang atau satu akun tampaknya memiliki terlalu banyak hak akses tanpa ada mekanisme checks and balances yang memadai.

Bagian 4: Analisis Kejanggalan Komunikasi Resmi

Salah satu aspek paling menarik dari kasus ini — dan yang paling relevan untuk edukasi keamanan siber — adalah bagaimana institusi mengelola komunikasi krisis. Ada beberapa inkonsistensi signifikan yang perlu dicatat.

4.1 “Data dan Dana Nasabah Aman” vs Fakta di Lapangan

Pernyataan resmi Bank DKI di situs web mereka menyatakan bahwa data dan dana nasabah tetap aman dan tidak mengalami gangguan. Namun fakta menunjukkan:

• Investigasi forensik IBM menemukan akses ilegal menggunakan IP internal — artinya ada penyusupan nyata ke sistem
• Dana senilai hingga Rp 100 miliar diakui hilang dari rekening operasional bank
• Layanan ATM lumpuh selama 9 hari dan mobile banking lebih lama lagi
• Beberapa nasabah melaporkan saldo terpotong tanpa transaksi tercatat

Klaim “tidak ada gangguan” tampak bertentangan dengan realita yang dialami nasabah selama lebih dari satu minggu.

4.2 Kontradiksi: “Kelemahan Pihak Ketiga” vs “IP Internal”

Dirut Agus menyebut ada kelemahan di pihak ketiga — tetapi sekaligus mengungkap bahwa IP yang digunakan pelaku adalah IP internal. Ini melahirkan pertanyaan logis: jika pelakunya menggunakan IP internal, apakah mereka benar-benar “pihak ketiga,” ataukah orang dalam yang bekerja sama dengan pihak luar? Atau apakah vendor eksternal diberi akses ke jaringan internal tanpa pengawasan?

4.3 EPA yang Gagal Tanpa Penjelasan Mekanisme

External Partner Agreement (EPA) disebutkan tidak berjalan semestinya — tetapi Bank DKI tidak pernah menjelaskan secara spesifik: pelanggaran apa yang terjadi, siapa vendornya, dan apa konsekuensinya. Ini penting bagi publik dan nasabah untuk memahami sejauh mana tanggung jawab telah diambil.

4.4 Pola “Damage Control” Komunikasi

Terlihat ada dua narasi berbeda yang dimainkan secara paralel: ketika berbicara kepada media, manajemen mengakui adanya masalah serius; namun di situs resmi, hanya ditonjolkan pesan positif tentang keamanan dan layanan. Pola ini mencerminkan manajemen krisis yang tidak kohesif — dan justru merusak kepercayaan publik yang sedang dipertahankan.

Bagian 5: Dampak yang Ditimbulkan

5.1 Dampak terhadap Nasabah

• Ketidakmampuan mengakses dana selama lebih dari satu minggu, termasuk di momen kritis Lebaran
• Kekhawatiran keamanan data pribadi — terutama bagi nasabah yang datanya bocor di 2023
• Kecemasan soal potensi penyalahgunaan data untuk penipuan identitas, pinjaman online ilegal, dan social engineering
• Terhambatnya penyaluran KJP bagi warga penerima bantuan sosial

5.2 Dampak terhadap Institusi

• Pencopotan Direktur IT, Amirul Wicaksono, sebagai bentuk tanggung jawab manajerial
• Nonaktifasi beberapa karyawan IT untuk kepentingan penyelidikan
• Biaya besar untuk investigasi forensik bersama IBM, pemulihan sistem, dan proses hukum
• Kerusakan reputasi yang sulit diukur namun nyata

5.3 Dampak terhadap Industri Perbankan Indonesia

Kasus ini mempertegas sebuah fakta yang sudah diketahui namun sering diabaikan: sepanjang 2024 saja, serangan siber terhadap sistem perbankan di Indonesia mencapai 4 miliar serangan. BCA sendiri mengakui menghadapi 3–4 miliar upaya serangan per tahun. Bank Syariah Indonesia (BSI) pada 2023 lumpuh hampir satu minggu akibat ransomware LockBit 3.0. Bank DKI menambah daftar panjang institusi keuangan Indonesia yang menjadi korban — dan itu menjadi sinyal keras bagi seluruh industri.

5.4 Dampak Hukum dan Regulasi

Jika kebocoran data nasabah pada 2023 terbukti, Bank DKI berpotensi melanggar UU Perlindungan Data Pribadi No. 27 Tahun 2022 (UU PDP) yang mewajibkan notifikasi kepada subjek data dalam 3×24 jam dan kepada Lembaga PDP. Selain itu, bank juga wajib memenuhi standar keamanan TI berdasarkan POJK No. 38/POJK.03/2016 tentang Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum.

Bagian 6: Pelajaran yang Bisa Dipetik

6.1 Untuk Profesional Keamanan Siber dan Tim IT Perbankan

Terapkan Zero Trust Architecture secara konsisten. Jangan pernah mempercayai akses hanya karena berasal dari IP internal. Setiap permintaan akses — terutama ke sistem kritis — harus divalidasi, diotentikasi, dan dicatat.

ee MFA untuk semua akses privileged. Akun admin tanpa MFA adalah pintu yang hanya dikunci dengan kunci kertas. Bahkan jika password berhasil dicuri, MFA menjadi lapisan perlindungan berikutnya.

Implementasikan Privileged Access Management (PAM). Batasi siapa yang bisa mengakses apa, catat setiap sesi akses admin, dan pantau aktivitas anomali secara real-time.

Audit vendor dan pihak ketiga secara ketat. EPA bukan sekadar dokumen — ia harus diimplementasikan dengan pemantauan nyata. Setiap akses vendor ke sistem internal harus tercatat, dibatasi waktunya, dan diaudit secara berkala.

Bangun kapabilitas Dark Web Monitoring. Jangan tunggu data sudah dijual baru bereaksi. Program Cyber Threat Intelligence yang aktif memantau forum underground bisa memberikan peringatan dini sebelum kerusakan meluas.

Bentuk CSIRT (Computer Security Incident Response Team) yang siap. Ketika insiden terjadi, kecepatan respons menentukan seberapa besar kerusakan yang bisa dibatasi. CSIRT yang terlatih dan berpengalaman adalah aset tak ternilai.

6.2 Untuk Nasabah dan Masyarakat Umum

Pantau aktivitas akun secara rutin. Jika data Anda sudah pernah bocor, akun keuangan Anda bisa menjadi target. Cek riwayat transaksi secara berkala dan aktifkan notifikasi real-time.

Waspadai social engineering pasca-kebocoran data. Data yang bocor sering digunakan untuk menyusun serangan phishing yang sangat meyakinkan — karena penipu sudah tahu nama, nomor HP, bahkan nama ibu kandung Anda.

Ganti password secara berkala dan gunakan password yang unik per platform. Jika satu platform bocor, password yang sama jangan sampai digunakan di platform lain.

Aktifkan 2FA di semua layanan keuangan. Ini adalah langkah termudah namun paling efektif yang bisa dilakukan pengguna awam untuk melindungi akun mereka.

Laporkan jika menemukan tanda-tanda penyalahgunaan data. Masyarakat Indonesia memiliki hak untuk mendapat perlindungan data berdasarkan UU PDP. Jika Anda curiga data Anda disalahgunakan, Anda bisa melapor ke OJK, Kominfo, atau melalui jalur hukum.

6.3 Untuk Manajemen dan Dewan Direksi Bank

Keamanan siber adalah risiko bisnis, bukan hanya masalah teknis. Insiden Bank DKI menunjukkan bahwa lemahnya keamanan siber bisa berujung pada pencopotan pejabat, proses hukum, kerugian finansial ratusan miliar, dan kerusakan reputasi jangka panjang.

Transparansi dalam krisis adalah strategi terbaik. Upaya meminimalisir dampak dengan narasi yang tidak konsisten justru memperburuk kepercayaan publik. Komunikasi yang jujur, tepat waktu, dan detail — meski menyakitkan — lebih dihargai daripada pernyataan yang terkesan menutupi masalah.

Investasi di keamanan siber bukan biaya — ini asuransi. Biaya implementasi MFA, Zero Trust, PAM, dan CSIRT jauh lebih kecil dibanding biaya pemulihan, forensik, proses hukum, dan kerusakan reputasi akibat satu insiden besar.

Bagian 7: Status Terkini (Per Mei 2026)

Berdasarkan informasi yang tersedia hingga pertengahan 2025, penyelidikan Bareskrim Polri melalui Direktorat Tindak Pidana Siber masih dalam proses pendalaman. Hasil forensik bersama IBM telah diserahkan kepada Bareskrim dan Gubernur DKI Jakarta. Layanan ATM Bank DKI dilaporkan pulih pada 7–8 April 2025, dan layanan mobile banking JakOne Mobile secara bertahap dipulihkan setelah validasi oleh regulator dan tim teknis.

Hingga saat ini, belum ada pengumuman resmi mengenai identitas tersangka, rincian mekanisme pencurian dana, maupun hasil akhir penyelidikan hukum. Publik masih menunggu transparansi penuh dari pihak Bank DKI, OJK, dan aparat penegak hukum.

Kesimpulan

Kasus Bank DKI adalah cermin dari tantangan keamanan siber yang dihadapi seluruh industri perbankan Indonesia — bahkan perbankan global. Dua insiden dalam kurang dari dua tahun, dengan pola yang berulang, menunjukkan bahwa persoalannya bukan sekadar satu celah teknis, melainkan kegagalan sistemik dalam tata kelola keamanan informasi: lemahnya autentikasi, absennya pemantauan real-time, kurangnya kontrol terhadap vendor, dan budaya keamanan siber yang belum matang.

Bagi komunitas KelasСyber.com, ini bukan hanya berita. Ini adalah studi kasus hidup yang menunjukkan betapa mahalnya harga kelalaian dalam keamanan siber — dan betapa pentingnya setiap lapisan pertahanan yang sering dianggap “terlalu ribet” untuk diterapkan. Zero Trust bukan paranoia. MFA bukan hambatan. Audit log bukan birokrasi. Mereka adalah fondasi kepercayaan di era digital.

Referensi dan Sumber

1. Kumparan.com (9 April 2025) — Pramono Laporkan Kebocoran Dana Bank DKI ke Bareskrim: Sudah 3 Kali Terjadihttps://kumparan.com/kumparannews/pramono-laporkan-kebocoran-dana-bank-dki-ke-bareskrim-sudah-3-kali-terjadi
2. BeritaSatu.com (10 April 2025) — Bareskrim Terima Laporan Kebocoran Data Bank DKI, Kasus Bakal Didalamihttps://www.beritasatu.com/nasional/2882278/bareskrim-terima-laporan-kebocoran-data-bank-dki-kasus-bakal-didalami
3. Sinpo.id (21 April 2025) — Bareskrim Dalami Laporan Gangguan Sistem Layanan Bank DKI Selama Libur Idulfitri 2025https://sinpo.id/detail/94997/bareskrim-dalami-laporan-gangguan-sistem-layanan-bank-dki-selama-libur-idulfitri-2025
4. BloombergTechnoz.com (22 April 2025) — Respons Baru Bank DKI Atas Dugaan Sistem Bobol & Kebocoran Danahttps://www.bloombergtechnoz.com/detail-news/69052/respons-baru-bank-dki-atas-dugaan-sistem-bobol-kebocoran-dana
5. Infobanknews.com (16 April 2025) — Alhamdulillah! Meski Kena Retas, Dana Nasabah Bank DKI Amanhttps://infobanknews.com/alhamdulillah-meski-kena-retas-dana-nasabah-bank-dki-aman/
6. Katadata.co.id (10 April 2025) — Kronologi Sistem Bank DKI Eror, Data dan Dana Nasabah Aman?https://katadata.co.id/digital/teknologi/67f74c66822b5/kronologi-sistem-bank-dki-eror-data-dan-dana-nasabah-aman
7. Prolegal.id (16 April 2025) — Diduga Alami Kebocoran Data, Ini Tanggung Jawab Bank DKI Jika Terbuktihttps://prolegal.id/diduga-alami-kebocoran-data-ini-tanggung-jawab-bank-dki-jika-terbukti/
8. Kompas.com (16 April 2025) — Bank DKI Alami Kebocoran Dana, Dirut Sebut Ada Peretasan Internalhttps://money.kompas.com/read/2025/04/16/144241826/bank-dki-alami-kebocoran-dana-dirut-sebut-ada-peretasan-internal
9. Bisnis Jakarta (17 April 2025) — Terungkap! Ini Hasil Audit Forensik Kasus Bank DKIhttps://jakarta.bisnis.com/read/20250417/77/1869792/terungkap-ini-hasil-audit-forensik-kasus-bank-dki
10. Tempo.co — Mabes Polri Dalami Laporan Gangguan Sistem Bank DKI https://www.tempo.co/hukum/mabes-polri-dalami-laporan-gangguan-sistem-bank-dki-1234262
11. Virtuenet.id (3 Juli 2025) — Terungkap! Ini Akar Masalah Kebocoran Dana Bank DKI https://www.virtuenet.id/post/dana-rp32-m-bocor-ini-masalah-besar-sistem-it-bank-dki
12. ITPro.co.id (2 Desember 2025) — Life-Changing Cyber Heist: Understanding Indonesia’s Banking Threathttps://www.itpro.co.id/cyber-heist-fenomena-serangan-siber-yang-mengancam-keamanan-perbankan-indonesia/
13. OJK — Peraturan OJK No. 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum
14. Undang-Undang No. 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP)
15. NIST Cybersecurity Framework (2020) — National Institute of Standards and Technology
16. Assessment Keamanan Siber pada Bank DKI dan Mitigasi Kebocoran Data (10 April 2025) — Dokumen internal yang digunakan sebagai referensi utama kajian ini

Artikel ini disusun untuk tujuan edukasi keamanan siber. Seluruh informasi bersumber dari laporan media yang dapat diverifikasi, pernyataan resmi pihak terkait, dan dokumen assessment yang tersedia. KelasСyber.com berkomitmen untuk menyajikan konten keamanan siber yang akurat, mendalam, dan bermanfaat bagi komunitas.

Tags: #CyberSecurity #BankDKI #DataBreach #InsiderThreat #ZeroTrust #KeamananPerbankan #StudiKasus #KelasСyber