Korban Phishing TikTok Rugi Jutaan, Pengadilan Nyatakan Nasabah Lalai Berat

Seorang pria di Singapura harus menanggung kerugian lebih dari S$3.800 (sekitar Rp43 juta) setelah menjadi korban phishing saat berselancar di TikTok. Pengadilan memutuskan bahwa ia, bukan bank penerbit kartu, yang bertanggung jawab penuh atas kerugian tersebut karena dianggap lalai berat.

Dalam putusan Small Claims Tribunal (SCT) yang dirilis 12 Juni lalu, Magistrate Joel Tan menyatakan bahwa korban gagal mengindahkan tiga notifikasi dari bank, termasuk peringatan bahwa kartunya telah ditokenisasi ke Apple Pay. Alih-alih segera bertindak, pria itu mengabaikan pesan-pesan tersebut karena menganggapnya tidak relevan—ia bukan pengguna Apple Pay.

Modus yang digunakan tergolong canggih: penipu memperoleh detail kartu kredit korban melalui iklan palsu di TikTok, lalu melakukan tokenisasi—proses mengganti data kartu asli dengan nomor perangkat unik—ke dompet digital miliknya. Setelah tokenisasi berhasil, penipu bisa bertransaksi seolah-olah pemilik kartu sah. Antara 17-23 Juni 2024, sebanyak 22 transaksi senilai total 430.000 yen (S$3.811) dibebankan ke kartu korban melalui Apple Pay, semuanya untuk mengisi ulang dompet elektronik di Jepang.

Korban baru sadar setelah bank memblokir kartu pada 23 Juni dan menghubunginya. Ia hanya berhasil memulihkan S$355 dari dua transaksi. Sisanya S$3.456 harus ditanggung sendiri setelah bank menolak klaimnya. Upaya mediasi melalui Financial Industry Disputes Resolution Centre (FIDReC) pada Juli 2025 juga gagal.

Dalam pembelaannya, pria tersebut mengaku tidak ingat memberikan OTP kepada siapa pun. Namun, hakim menilai lebih mungkin ia telah memberikan kode tersebut saat mengisi data di iklan TikTok. Yang memberatkan, ia mengabaikan notifikasi bank selama berhari-hari, bahkan setelah menerima peringatan bahwa kartunya telah ditokenisasi. "Ketidakaktifan yang berkepanjangan ini bukan sekadar kelalaian sesaat, melainkan rangkaian kelalaian yang terus-menerus dan jauh di bawah standar kewajaran," tegas Magistrate Tan.

Kasus ini menyoroti celah keamanan dalam sistem tokenisasi. Meskipun tokenisasi dirancang untuk melindungi data kartu, proses autentikasi via OTP justru menjadi titik lemah yang dieksploitasi penipu. Di Indonesia, modus serupa juga mulai marak, terutama menyasar pengguna dompet digital dan layanan perbankan mobile. Otoritas Jasa Keuangan (OJK) sendiri telah mengeluarkan aturan yang membebankan tanggung jawab pada nasabah jika terbukti lalai, mirip dengan ketentuan di Singapura.

Pengamat keamanan siber menilai putusan ini wajar, namun mengingatkan bahwa bank juga perlu meningkatkan sistem deteksi dini. "Korban memang lalai, tetapi bank seharusnya bisa memblokir transaksi mencurigakan lebih awal, apalagi pola transaksi di luar kebiasaan—dalam yen, di Jepang, via Apple Pay—seharusnya langsung terdeteksi," ujar seorang analis yang enggan disebut namanya.

Ke depan, kasus ini menjadi preseden penting: nasabah tidak bisa lagi mengandalkan perlindungan penuh bank jika mereka mengabaikan peringatan. Pertanyaan yang tersisa, apakah edukasi dan sistem peringatan dari perbankan sudah cukup efektif untuk mencegah korban berikutnya—atau justru semakin canggihnya modus phishing akan terus mengecoh pengguna awam?