Singapura Peringkat Kedua Dunia untuk Kartu Pembayaran Curian di Tengah Maraknya Perdagangan di Dark Web

Adopsi digital yang tinggi di Singapura meningkatkan paparan risiko, bukan menandakan kelemahan

Singapura menempati peringkat kedua dunia berdasarkan porsi kartu pembayaran curian yang diperdagangkan di pasar dark web, di bawah Amerika Serikat dan di atas Spanyol. Temuan ini berasal dari analisis sekitar 50.700 catatan kartu yang dikumpulkan pada Mei 2025 oleh sebuah platform pemantau paparan ancaman. Lebih dari 60 persen kartu curian dalam sampel tersebut milik pengguna di Amerika Serikat, sekitar 11 persen milik pengguna di Singapura, dan sekitar 10 persen milik pengguna di Spanyol.

Pakar keamanan mengingatkan bahwa peringkat ini mencerminkan skala dan digitalisasi, bukan sistem perbankan yang secara khusus tidak aman. Singapura memiliki salah satu tingkat penggunaan pembayaran daring, dompet seluler, dan perdagangan elektronik lintas negara tertinggi di Asia. Jejak digital yang lebih besar membuka lebih banyak peluang bagi pelaku kejahatan untuk mencuri data kartu, meskipun bank dan pedagang menerapkan pengamanan yang kuat.

Harga di pasar-pasar ini naik selama dua tahun terakhir. Selandia Baru mencatat kenaikan tertinggi, lebih dari 444 persen, disusul lonjakan besar di Argentina dan Polandia. Meski harga meningkat, data kartu curian tetap murah bagi pelaku kejahatan kelas bawah. Harga satu kartu sering kali setara dengan harga tiket bioskop. Rata-rata global berada di sekitar US$9, dengan variasi besar antarnegara. Di Asia, kartu Jepang memiliki harga rata-rata tertinggi, sekitar US$22,80, diikuti Kazakhstan sebesar US$16,87 dan Thailand sebesar US$15,08. Kartu terbitan Singapura dijual dengan harga rata-rata sekitar US$13,19, naik sekitar 29 persen dibandingkan 2023. Di Eropa, harga di Spanyol, Prancis, dan Swiss berkisar antara US$11 hingga US$12.

Cara kerja pasar kartu curian

Dark web adalah sekumpulan layanan tersembunyi yang menggunakan perangkat lunak anonimitas untuk menyamarkan identitas dan lokasi. Di dalamnya terdapat pasar tempat penjual menawarkan nomor kartu curian, tanggal kedaluwarsa, dan terkadang data lengkap yang mencakup CVV, alamat penagihan, serta sidik perangkat. Data diperoleh dari malware di perangkat konsumen, laman phishing yang meniru situs bank dan pedagang, pembobolan sistem pedagang, serta penyedia layanan pihak ketiga yang disusupi.

Di pasar-pasar ini, kartu dijual dalam jumlah besar atau satu per satu. Penjual kerap memberi label pada daftar berdasarkan bank penerbit, negara, dan apakah kartu mendukung autentikasi 3D Secure. Pembeli menguji kartu dengan transaksi kecil, lalu mencoba pembelian yang lebih besar seperti kartu hadiah, tiket pesawat, atau barang yang dapat dijual kembali. Riset industri menunjukkan sebagian besar data kartu yang ditawarkan masih dapat digunakan selama berbulan-bulan, sehingga pelaku kejahatan memiliki banyak waktu untuk mencairkan hasilnya jika transaksi uji awal tidak memicu sistem deteksi penipuan.

Pasokan, permintaan, dan harga

Harga mengikuti prinsip sederhana, yakni pasokan dan permintaan. Di tempat pasokan tinggi atau bank menerapkan pengendalian penipuan yang agresif, harga kartu lebih murah. Di tempat pasokan terbatas dan pemeriksaan anti-penipuan ketat, kartu lebih mahal karena penipuan yang berhasil membutuhkan persiapan dan kesabaran lebih besar. Dinamika ini menjelaskan mengapa kartu Jepang termasuk yang termahal dan mengapa negara dengan banyak kartu yang ditawarkan, seperti Singapura, bisa memiliki harga rata-rata sedang meskipun porsinya besar dalam keseluruhan sampel.

Mengapa porsi kartu curian dari Singapura besar

Singapura merupakan pusat keuangan dan logistik dengan kepemilikan kartu yang tinggi dan penerimaan pembayaran nirsentuh yang nyaris universal. Konsumen berbelanja daring melalui pedagang lokal dan internasional, membayar transportasi dan makanan dengan dompet seluler, serta sering bepergian. Hal ini menghasilkan volume transaksi sah yang sangat besar dan profil kartu tersimpan di berbagai layanan. Pelaku kejahatan mencuri data dalam skala besar melalui perangkat phishing yang menargetkan bank-bank regional serta malware yang menyapu kredensial tersimpan dan data pengisian otomatis dari peramban.

Meluasnya penggunaan pembayaran seluler bertoken juga mengubah pola penipuan. Ketika bank dan pedagang memblokir penipuan kartu tanpa kehadiran fisik, pelaku kejahatan beralih ke cara lain, termasuk memasukkan kartu curian ke dompet ponsel atau mengelabui pengecer dalam transaksi tatap muka. Porsi kartu terbitan Singapura di toko-toko gelap mencerminkan luasnya permukaan serangan ini, bukan kurangnya perlindungan.

Sistem anti-penipuan membatasi pencairan hasil

Bank-bank di Singapura menerapkan pertahanan berlapis. Pemantauan transaksi mencari kategori pedagang atau lokasi yang tidak biasa. 3D Secure mengharuskan banyak pembelian daring melalui autentikasi tambahan. Peringatan dikirim dalam hitungan detik sehingga pemegang kartu dan bank dapat segera membekukan kartu. Pengendalian ini, bersama hak pengajuan sanggahan transaksi yang kuat, meningkatkan biaya dan risiko bagi pelaku kejahatan. Inilah salah satu alasan kartu terbitan Singapura, meski banyak ditemukan di dark web, tidak berada di jajaran harga tertinggi.

Dari phishing hingga ghost tapping, cara penipu mencairkan hasil

Phishing masih menjadi pintu masuk bagi banyak kasus. Penyerang mengirim pemberitahuan pengiriman palsu atau pesan keamanan bank, lalu memancing korban ke laman login yang mencuri kredensial kartu dan akun. Malware pencuri informasi seperti Racoon, Azorult, dan lainnya secara diam-diam mengambil data login tersimpan dan data formulir dari peramban. Identitas curian, termasuk nomor identitas nasional dan swafoto yang dikumpulkan untuk pemeriksaan kenali nasabah, beredar di forum bawah tanah. Data ini memungkinkan pelaku kejahatan membuka rekening penampung, mencuci uang, dan mencoba mengambil alih akun.

Penyalahgunaan dompet seluler dan penipuan di toko

Salah satu modus yang kian marak adalah menghubungkan data kartu curian ke Apple Pay atau Google Pay di ponsel sekali pakai untuk berbelanja di toko. Analis menyebut sebagian ekosistem ini sebagai ghost tapping karena pelaku kejahatan dapat meneruskan sinyal nirsentuh atau lebih dahulu memasukkan kartu curian ke dompet, lalu menyerahkan ponsel kepada pembeli yang direkrut. Sindikat mengoordinasikan logistik, mulai dari merekrut perantara dan menyusun skenario belanja hingga menjual barang curian melalui Telegram atau platform perdagangan elektronik. Sejumlah laporan mengungkap kerugian ritel besar di Singapura, dengan perantara yang berpura-pura sebagai turis dan berpindah cepat dari satu toko ke toko lain. Pada akhir 2024, polisi mencatat sedikitnya 656 kasus dan kerugian sebesar S$1,2 juta akibat phishing kartu kredit dan penipuan dompet seluler dalam kurun tiga bulan.

Kasus-kasus terbaru di Singapura menunjukkan pola operasinya

Pengadilan telah menyidangkan sejumlah kasus dengan modus serupa. Dalam salah satu kasus, seorang warga negara China berusia 29 tahun dipenjara selama 30 bulan karena menggunakan data kartu curian untuk membeli 20 unit iPhone 16 senilai lebih dari S$40.000 dalam tiga hari. Ia diberi sebuah ponsel dengan aplikasi yang dapat memuat data kartu curian dari jarak jauh, yang diperoleh melalui phishing. Pembelian dilakukan di toko elektronik besar, ponsel dijual kembali secara tunai, dan hasilnya dikumpulkan oleh para pengendali.

Dalam kasus terpisah, seorang perempuan Malaysia berusia 25 tahun dijatuhi hukuman karena membantu menjual iPhone yang dibeli menggunakan data kartu yang dimasukkan ke dompet seluler. Pasangannya melakukan beberapa pembelian di toko Apple dengan kartu virtual yang terhubung ke kartu milik korban. Peringatan dari bank memberi tahu para korban dan polisi bertindak sebelum keduanya dapat meninggalkan negara itu dengan sisa hasil kejahatan. Penuntutan ini menyoroti cara sindikat lintas negara mengirim pelaksana untuk melakukan aksi belanja singkat dengan nilai transaksi tinggi.

Risiko orang dalam dan penanganan data yang buruk

Risiko juga muncul dari dalam organisasi. Seorang mantan pegawai bank di Singapura dinyatakan bersalah karena membocorkan informasi lebih dari 1.000 nasabah setelah ditipu oleh penelepon yang mengaku sebagai polisi asing. Meski nomor kartu kredit dan debit tidak terlibat dalam insiden terpisah di sebuah distributor otomotif besar, kebocoran yang mengekspos 147.000 catatan pelanggan menunjukkan bagaimana informasi pribadi beredar setelah penyerang berhasil menembus sistem. Dokumen dan data identitas membantu penipuan dengan memungkinkan pelaku kejahatan lolos dari pemeriksaan verifikasi atau tantangan rekayasa sosial.

Langkah bank, pengecer, dan regulator

Bank terus memperketat pengendalian untuk pendaftaran dompet seluler. Analisis risiko perangkat memeriksa apakah ponsel yang meminta token pernah terlihat sebelumnya, apakah perangkat itu di-jailbreak, dan apakah permintaannya sesuai dengan profil nasabah. Sejumlah penerbit kartu meminta nasabah mengonfirmasi penautan dompet baru melalui aplikasi bank, bukan SMS, untuk mengurangi rekayasa sosial. Analitik waktu nyata dan model pembelajaran mesin membantu memblokir pembelian mencurigakan pada tahap otorisasi.

Pengecer memperkuat pemeriksaan di titik penjualan. Pelatihan staf menyoroti tanda bahaya seperti percobaan berulang yang gagal, pelanggan yang berganti-ganti beberapa ponsel atau kartu, serta upaya memecah pembelian bernilai tinggi menjadi banyak transaksi kecil. Toko dapat meminta pemeriksaan identitas untuk barang elektronik mahal, berkoordinasi erat dengan bank pengakuisisi, dan menyiapkan rekaman CCTV untuk penyelidikan cepat. Penyedia pembayaran menyesuaikan aturan untuk menandai kombinasi pedagang dan perangkat berisiko yang mengindikasikan aksi belanja terorganisasi.

Penegak hukum dan kerja sama lintas negara

Operasi terkoordinasi yang melibatkan bank, jaringan kartu, maskapai penerbangan, dan polisi terbukti efektif dalam memberantas jenis penipuan tertentu. Dalam operasi Airport Action Days sebelumnya, petugas menahan puluhan pelancong yang mencoba menggunakan data kartu curian untuk membeli tiket pesawat. INTERPOL mengoordinasikan kegiatan di Asia dari pusat inovasinya di Singapura. Upaya bersama serupa dengan kepolisian nasional kini digunakan untuk membongkar perangkat phishing, saluran perekrutan perantara, dan pasar bawah tanah tempat kartu curian diperdagangkan.

Langkah yang dapat dilakukan konsumen sekarang

Sebagian besar penerbit kartu mengganti kerugian atas pembelian kartu tanpa izin, tetapi kecepatan tetap penting. Deteksi dini membatasi kerugian dan memperpendek waktu yang dimiliki pelaku kejahatan untuk menguji dan menggunakan kembali data Anda. Langkah-langkah berikut mengurangi kemungkinan data disusupi dan membantu Anda segera mendeteksi penipuan.

• Aktifkan notifikasi transaksi waktu nyata di aplikasi bank untuk setiap kartu, termasuk transaksi dompet seluler dan pembelian daring.
• Periksa laporan transaksi setiap minggu dan segera sanggah tagihan yang tidak Anda kenali.
• Gunakan kata sandi yang kuat dan unik untuk akun bank dan kartu, lalu simpan di pengelola kata sandi tepercaya.
• Jangan simpan nomor kartu atau kata sandi di peramban web. Malware pencuri informasi menargetkan penyimpanan pengisian otomatis di peramban.
• Aktifkan autentikasi dua faktor untuk akun perbankan, email, dan belanja. Utamakan autentikasi melalui aplikasi bank daripada SMS.
• Gunakan nomor kartu virtual atau token untuk setiap pembelian jika bank Anda menyediakannya, terutama untuk pedagang yang jarang Anda gunakan.
• Kunci atau bekukan kartu, atau tetapkan batas transaksi melalui aplikasi bank saat Anda tidak berbelanja. Nonaktifkan transaksi luar negeri atau transaksi tanpa kehadiran kartu kecuali diperlukan.
• Perbarui ponsel dan komputer, segera pasang tambalan keamanan, dan hindari toko aplikasi atau unduhan tidak resmi.
• Lindungi akun identitas digital nasional Anda, seperti SingPass. Ganti kata sandi jika menduga telah menjadi sasaran phishing dan segera laporkan jika akun disusupi.
• Waspadai pesan tentang pengiriman, pengembalian dana, atau peringatan keamanan. Akses bank dengan mengetik alamat situs resminya atau menggunakan aplikasi, bukan dengan mengeklik tautan dalam pesan.

Poin-Poin Utama

• Singapura mencakup sekitar 11 persen kartu pembayaran curian yang diperdagangkan dalam kumpulan data Mei 2025, di bawah Amerika Serikat dan di atas Spanyol.
• Harga rata-rata kartu terbitan Singapura yang dicuri sekitar US$13,19, naik sekitar 29 persen dibandingkan 2023, sedangkan kartu Jepang dijual sekitar US$22,80.
• Para ahli mengaitkan peringkat Singapura dengan tingginya adopsi digital dan volume transaksi, bukan lemahnya pengendalian bank.
• Teknik penipuan mencakup phishing, malware pencuri informasi, dan penyalahgunaan dompet seluler yang memungkinkan pembelian di toko oleh perantara yang direkrut.
• Penuntutan di Singapura menunjukkan sindikat lintas negara membeli iPhone dan barang lain dengan data kartu curian, lalu menjualnya kembali demi uang tunai.
• Bank dan pedagang memperketat autentikasi untuk pendaftaran dompet serta meningkatkan pemeriksaan di titik penjualan, sementara penegak hukum mengoordinasikan operasi lintas negara.
• Konsumen dapat mengurangi risiko dengan mengaktifkan notifikasi, menerapkan kebiasaan penggunaan kata sandi yang cermat, memakai autentikasi dua faktor, dan tidak menyimpan data kartu di peramban.