Tech Pulse ID — Revolut menyerahkan data pribadi sejumlah pelanggan setelah percaya pada permintaan palsu yang mengaku berasal dari lembaga pemerintah. Email palsu itu lolos dari pemeriksaan keamanan internal bank digital tersebut, sehingga alamat rumah, dokumen identitas, hingga riwayat transaksi bitcoin pelanggan ikut terekspos. Kabar baiknya, Revolut memastikan dana pelanggan tidak hilang.
Peristiwa ini terjadi pekan ini dan dibeberkan lewat notifikasi yang dikirim ke pengguna terdampak. Menurut laporan CoinDesk, permintaan itu tampak datang dari instansi pemerintah yang sah dan membawa kredensial yang berhasil melewati pengecekan Revolut. Perusahaan baru menyadari ada yang tidak beres setelah menghubungi agensi tersebut secara terpisah dan mendapati bahwa permintaan itu fiktif.
Pretexting: ketika surat “resmi” jadi senjata
Pola serangan seperti ini dikenal sebagai pretexting — penyerang menyusun cerita dan identitas palsu yang terlihat kredibel supaya korban merasa berhadapan dengan pihak berwenang. Dalam kasus Revolut, yang jadi celah bukan sistem enkripsi atau firewall, melainkan proses otorisasi. Begitu permintaan dianggap sah oleh pengecekan internal, seseorang yang menyamar sebagai pejabat pemerintah langsung mendapat akses ke data yang justru dikumpulkan bank untuk keperluan identifikasi dan kepatuhan.
Yang membuat kasus ini makin relevan: internet yang penuh AI membuat email, dokumen, dan identitas palsu semakin murah diproduksi dalam skala besar. Dulu motif penipuan semacam ini butuh keterampilan dan waktu. Sekarang cukup prompt dan sedikit riset. Sementara itu, lembaga keuangan tetap menyimpan catatan yang makin detail soal siapa pelanggannya, di mana mereka tinggal, dan bagaimana uang mereka bergerak.
Data apa saja yang bocor
Berdasarkan laporan yang sama, berkas yang diserahkan mencakup paspor atau surat izin mengemudi, selfie verifikasi, nama, tanggal lahir, pekerjaan, alamat rumah, email, nomor telepon, IBAN, laporan rekening, catatan penarikan, dan riwayat transaksi lengkap — termasuk seluruh aktivitas bitcoin pelanggan.
Kombinasi ini berbahaya karena beberapa alasan. Pertama, dokumen identitas dan selfie verifikasi adalah bahan mentah untuk pencurian identitas dan pembukaan akun di tempat lain. Kedua, riwayat transaksi keuangan bisa dipakai untuk memetakan profil ekonomi seseorang. Ketiga, dalam konteks kripto, tautan antara identitas nyata dan aktivitas onchain membuat pemilik bitcoin bernilai besar jadi sasaran yang terlihat jelas.
Revolut belum mengungkap berapa banyak pelanggan yang terdampak dan tidak langsung menanggapi permintaan komentar dari CoinDesk. Dalam emailnya, perusahaan menyatakan dana pelanggan tetap aman, telah memberi tahu pengguna terdampak dan regulator, serta memblokir sumber permintaan tersebut.
Poin pentingnya: uang pelanggan tidak hilang. Yang bocor adalah identitas dan jejak transaksi — dan data seperti itu jauh lebih sulit “diganti” daripada saldo.
Kenapa ini pelajaran buat semua layanan keuangan digital
Di industri kripto, insiden semacam ini bukan hal asing. Exchange, kustodian, dan aplikasi dompet menyimpan data KYC dalam jumlah besar karena tuntutan regulasi. Artinya, mereka menghadapi risiko yang sama persis: satu permintaan otoritas yang terlihat sah bisa membuka pintu ke basis data paling sensitif yang mereka punya.
Pelajaran praktisnya bukan “jangan patuh pada otoritas”, melainkan bangun lapisan verifikasi yang berlapis. Jangan berhenti di surat, tanda tangan, atau domain email yang tampak resmi. Perlu ada saluran konfirmasi independen — nomor telepon yang sudah terverifikasi, eskalasi internal berjenjang, dan prinsip data minimization: kalau data tidak benar-benar perlu disimpan, jangan disimpan.
Onchain investigator ZachXBT, yang pertama menarik perhatian pada insiden ini, menyebut lewat siaran Telegram bahwa kebocoran tampaknya berskala terbatas dan mungkin menyasar pengguna bernilai tinggi. Itu justru menegaskan pola lama: penyerang tidak menembak acak, mereka mencari konsentrasi aset dan identitas.
Zero-knowledge dan arah baru perlindungan data
Insiden ini juga memberi momentum pada teknologi privasi seperti zero-knowledge proof. Sistem ZK memungkinkan seseorang membuktikan bahwa proses verifikasi identitas sudah selesai, atau bahwa seorang pelanggan memenuhi syarat tertentu, tanpa mengungkap isi paspor, alamat, atau data mentah lainnya. Dengan kata lain, kepatuhan tetap jalan tapi jumlah data sensitif yang harus disimpan dan diserahkan bisa jauh lebih kecil.
Bitcoin sendiri memperjelas kontrasnya. Blockchain mencatat transaksi secara publik, tapi detail pribadi seperti paspor, alamat rumah, atau pekerjaan berada di luar jaringan. Perantara keuangan adalah pihak yang menyambungkan dua kumpulan informasi itu — dan begitu database pelanggan bocor, ia berubah menjadi peta yang menghubungkan orang nyata dengan aktivitas onchain-nya.
Catatan Tech Pulse ID
Selama ini diskusi keamanan data selalu berputar di sekitar “apakah sistem kita cukup kuat”. Kasus Revolut menunjukkan pertanyaannya sudah bergeser: seberapa baik proses manusia dan prosedur otorisasi kita bertahan terhadap cerita yang meyakinkan. Firewall tidak menolong kalau pintunya dibuka dari dalam oleh staf yang percaya bahwa permintaan itu datang dari pemerintah.
Untuk layanan keuangan digital dan exchange di Indonesia, implikasinya langsung. Setiap permintaan data dari otoritas harus punya jalur verifikasi kedua yang tidak bergantung pada isi surat itu sendiri. Dan untuk pengguna, ini pengingat bahwa data KYC yang kamu serahkan ke satu platform adalah risiko yang melekat pada platform tersebut — bukan sesuatu yang bisa kamu tarik kembali setelah bocor.
Sumber
CoinDesk — Bitcoin activity, passports exposed after Revolut falls for fake government request
