MAJALAH ICT – Jakarta. Pertumbuhan ekosistem digital Indonesia yang semakin mobile-first membawa peluang besar bagi sektor perbankan, fintech, e-commerce, transportasi, hingga layanan publik. Namun, di balik akselerasi tersebut, risiko keamanan siber juga meningkat tajam. Smartphone kini tidak hanya menjadi alat transaksi utama, tetapi juga sasaran empuk bagi pelaku kejahatan siber yang mengeksploitasi celah di perangkat, aplikasi, dan interaksi pengguna—wilayah yang kerap luput dari pengawasan sistem identitas konvensional.
Data terbaru Badan Siber dan Sandi Negara (BSSN) mencerminkan eskalasi ancaman tersebut. Sepanjang 2024 hingga 2025, tercatat lebih dari 5,8 juta anomali ransomware, lebih dari 9,3 juta aktivitas advanced persistent threat (APT), serta maraknya serangan phishing. Sejumlah insiden besar, termasuk penipuan berbasis deepfake yang menargetkan pejabat publik dan serangan ransomware terhadap Pusat Data Nasional pada 2024, menunjukkan bahwa kejahatan siber kini semakin memanfaatkan kecerdasan buatan (AI) untuk melampaui kemampuan sistem Customer Identity and Access Management (CIAM) dan Identity and Access Management (IAM) tradisional.
Menurut Jan Sysmans, Mobile App Security Evangelist, Appdome, kondisi ini menandai pergeseran besar dalam lanskap perlindungan identitas digital. Ia menegaskan bahwa ancaman tidak lagi berhenti pada tahap login. “Dalam ekosistem mobile, identitas dapat dipengaruhi di sepanjang sesi penggunaan aplikasi. Jika organisasi hanya mengandalkan verifikasi satu kali, maka banyak risiko yang tidak akan terdeteksi,” ujarnya.
Celah Identitas di Ekosistem Mobile
Sebagian besar sistem CIAM dan IAM saat ini masih berfokus pada validasi identitas saat login. Setelah proses tersebut selesai, sistem mengasumsikan bahwa lingkungan pengguna tetap aman. Namun, asumsi ini tidak lagi relevan di tengah kompleksitas ekosistem mobile modern.
Beragam ancaman kini beroperasi di luar visibilitas server-side, menargetkan sesi mobile secara langsung. Kompromi perangkat, penipuan di dalam perangkat, pemalsuan lokasi, identitas sintetis, penggunaan alat otomatis, hingga teknik rekayasa sosial menjadi metode umum yang mengeksploitasi celah tersebut.
Identitas dapat disusupi ketika penyerang menguasai mekanisme yang digunakan untuk membuat, mengklaim, atau memvalidasi identitas. Pengaruh ini bisa berasal dari perangkat keras, memori, saluran komunikasi, fungsi aplikasi, hingga interaksi pengguna seperti gestur atau penekanan tombol. Dalam praktiknya, penyerang dapat mengintervensi perangkat, aplikasi, dan lingkungan sesi—area yang tidak dipantau oleh sistem identitas tradisional.
Minimnya kesadaran kontekstual inilah yang menjelaskan mengapa banyak serangan berhasil. Tanpa visibilitas real-time terhadap kondisi perangkat dan sesi, organisasi tidak dapat memastikan apakah klaim identitas maupun respons backend benar-benar dapat dipercaya. Akibatnya, sistem identitas berpotensi menyetujui aktivitas yang telah dipengaruhi oleh input berbahaya, otomatisasi berbasis emulator, pengalihan sesi, atau manipulasi runtime.
Tantangan Nyata bagi Organisasi
Dampak dari celah identitas ini dirasakan oleh berbagai fungsi dalam organisasi. Chief Information Security Officer (CISO) menghadapi melemahnya model validasi berkelanjutan akibat blind spot pada sesi mobile. Developer dihadapkan pada ancaman seperti remote access trojans (RATs), remote code execution (RCE), dan automatic transfer system (ATS) malware yang mampu melewati autentikasi sepenuhnya. Sementara itu, tim produk dan keamanan semakin kesulitan membedakan perilaku pengguna yang sah dengan aktivitas otomatis atau yang dipaksakan.
Tanpa visibilitas menyeluruh terhadap seluruh perjalanan identitas, organisasi beroperasi dengan alur identitas yang terfragmentasi—kondisi yang dapat dimanfaatkan penyerang di berbagai tahap.
Threat Signals dan Perlindungan Identitas Berkelanjutan
Dalam konteks tersebut, pendekatan Customer Identity Protection (CIP) menuntut perlindungan yang lebih dari sekadar verifikasi saat login. Identitas dapat dipengaruhi bahkan sebelum permintaan autentikasi diajukan, sehingga aplikasi mobile perlu memahami kondisi di sekitar setiap peristiwa identitas.
Real-time threat signals hadir untuk menjawab tantangan ini. Sinyal ancaman berbasis perangkat memungkinkan penilaian risiko secara berkelanjutan—risiko yang tidak dapat dideteksi oleh sistem tradisional. Pendekatan ini sangat penting bagi sektor bernilai tinggi seperti perbankan, fintech, layanan kesehatan, dan layanan pemerintah, yang terus menghadapi ancaman pengambilalihan akun, penipuan, dan penyamaran identitas.
Penyerang kini semakin mengandalkan perangkat yang telah dimodifikasi, alat otomatis, dan input sintetis untuk melewati CIAM, proses verifikasi identitas (IDV), hingga pemeriksaan biometrik. Kesadaran risiko mobile secara berkelanjutan membantu menutup celah-celah tersebut.
Melalui on-device threat signals, aplikasi dapat mengevaluasi risiko perilaku dan lingkungan sebelum, selama, dan setelah klaim identitas dilakukan. Pendekatan ini memberikan visibilitas real-time terhadap kondisi yang mencurigakan, sekaligus memungkinkan penyesuaian alur identitas tanpa perlu merombak struktur CIAM atau IDV yang sudah ada.
Sinyal ini mampu mendeteksi indikator awal penipuan, seperti perangkat yang terkompromi, otomatisasi berbasis emulator, input yang disuntikkan, sesi yang dibajak atau diputar ulang, pemalsuan identitas berbasis AI, serta manipulasi runtime. Dikombinasikan dengan rantai kepercayaan dalam CIP, perlindungan ini mencakup seluruh perjalanan pengguna, bukan hanya titik login.
Menopang Kepercayaan di Ekonomi Digital Indonesia
Keberhasilan transformasi digital Indonesia sangat bergantung pada kepercayaan terhadap sistem identitas digital. Ketika layanan keuangan, platform pemerintah, dan transaksi sehari-hari semakin bergeser ke kanal mobile, ketahanan identitas menjadi faktor penentu dalam melindungi pengguna sekaligus mendorong inklusi digital.
Lonjakan kasus phishing, rekayasa sosial, penipuan berbasis AI, dan eksploitasi di level mobile menunjukkan bahwa penyerang menargetkan proses identitas di sepanjang perjalanan mobile. Pemeriksaan CIAM dan IDV tradisional saja tidak lagi cukup untuk mengidentifikasi risiko-risiko tersebut.
Pendekatan pertahanan identitas yang berkelanjutan memberikan konteks yang dibutuhkan aplikasi mobile untuk mengenali persiapan eksploitasi, perilaku abnormal, dan upaya manipulasi yang tidak terlihat oleh sistem backend. Memperkuat perlindungan identitas nasabah menjadi langkah krusial untuk melindungi masyarakat, mendukung prioritas keamanan siber nasional, dan memastikan Indonesia dapat terus melaju sebagai ekonomi digital yang aman dan berorientasi mobile-first.
