TL;DR: Verifikasi identitas hanya di awal registrasi sudah tidak cukup untuk mencegah fraud modern. Continuous authentication adalah autentikasi yang terjadi terus-menerus sepanjang transaksi. Dengan menggabungkan device binding, behavioral analytics, dan risk-based authentication, sistem dapat mendeteksi account takeover dan session hijacking sebelum fraud terjadi.
Ada satu asumsi tentang keamanan transaksi yang masih populer di industri keuangan digital: Perkuat saja verifikasi identitas pada saat registrasi pengguna baru, maka akun akan aman dari fraud.
Memperkuat sistem keamanan pada verifikasi memang penting. Sayangnya, celah fraud tidak hanya berasal dari identitas palsu saja. Saat ini, fraud bisa masuk dari berbagai titik: saat login, saat akses data, saat transaksi, bahkan saat recovery credential.
Asumsi bahwa verifikasi identitas saja sudah cukup untuk melindungi akun tidak sepenuhnya salah. Namun, perlu diketahui juga bahwa aktivitas yang terjadi sepanjang transaksi tidak boleh luput dari perlindungan. Inilah mengapa autentikasi berkelanjutan atau continuous authentication harus menjadi perhatian.
Masalah dengan One-Time Verification
Banyak institusi keuangan yang masih mengandalkan verifikasi identitas atau KYC yang ketat saat onboarding, lalu setelah transaksi terjadi, asumsinya adalah transaksi dilakukan oleh orang yang seharusnya. Tidak ada checkpoint lagi yang memastikan bahwa orang yang mengakses akun benar-benar pemilik sah.
Akibatnya, jika password atau OTP pengguna dicuri, jika perangkat diretas, jika session di-hijack, sistem sulit mendeteksinya. Fraud hanya terdeteksi setelah ada laporan dari korban, setelah dana sudah hilang, setelah trust sudah rusak.
Apa Itu Continuous Authentication?
Continuous authentication adalah proses verifikasi yang tidak hanya terjadi saat awal registrasi, melainkan berlangsung terus-menerus sepanjang user melakukan aktivitas transaksi di platform.
Setiap login, setiap akses data sensitif, setiap transaksi, sistem terus melakukan verifikasi: "Apakah ini benar-benar user yang sah?" Bukan pertanyaan yang dijawab sekali, tapi pertanyaan yang dijawab berulang kali.
Niki menjelaskan pendekatan ini dalam keynote AIBP Malaysia 2026. "Autentikasi seharusnya tidak dianggap sebagai peristiwa satu kali. Anda bisa melakukannya setiap 5 menit setelah session authentication, untuk mencegah serangan canggih seperti session hijacking di browser."
Teknisnya, continuous authentication bekerja dengan membandingkan pola aktivitas user dengan baseline yang telah ditetapkan. Jika ada anomali seperti device yang berbeda, lokasi yang tidak biasa, atau pola interaksi yang tidak sesuai, sistem akan meningkatkan level verifikasi atau bahkan memblokir akses.
Autentikasi Berdasarkan Tingkat Risiko (Risk-Based Approach)
Masalah dari continuous authentication adalah user experience. Jika setiap aktivitas memerlukan verifikasi ulang yang sama ribet dengan yang pertama kali, user akan frustrasi.
Solusinya adalah risk-based authentication, ukan semua aktivitas memerlukan autentikasi yang sama ketat.
"Low risk? Cukup tap saja. Sudah cukup, gunakan PIN di perangkat Anda. Namun untuk operasi berisiko tinggi, seperti mendaftarkan device baru atau credential recovery, di sinilah kami naikan level dengan biometrik dan pastikan akun tetap aman,” jelas Niki, masih dari keynote AIBP Malaysia 2026.
Dengan pendekatan ini, sistem dapat membagi proses autentikasi berdasarkan tingkat risiko:
- Low-risk activities (melihat saldo, cek transaksi): verifikasi ringan, cepat
- Medium-risk activities (transfer ke rekening terdaftar): verifikasi menengah dengan device check
- High-risk activities (mendaftar device baru, recovery credential): verifikasi berlapis dengan biometrik
Hasilnya, keamanan meningkat tanpa mengorbankan user experience.
Semua proses ini terjadi di dalam sistem tanpa muncul sebagai friksi dari sisi user. Artinya, user tetap dapat bertransaksi dengan lancar meski autentikasi terus-menerus sedang terjadi.
Saat fraud berkembang menjadi industri terstruktur, institusi keuangan tidak bisa lagi hanya bergantung pada one-time verification. Mereka memerlukan sistem yang terus waspada dan beradaptasi.
