TL;DR: Deepfake fraud naik 1.550% di Indonesia dalam setahun. Studi VIDA menunjukkan: 100% bisnis khawatir, tapi 46% tidak paham cara kerjanya. Ancaman sesungguhnya bukan pada konten deepfake-nya, tapi bagaimana deepfake menjadi senjata penipuan.
Deepfake, teknologi canggih yang membuka peluang baru untuk kreativitas, sekaligus menghadirkan ancaman baru bagi keamanan identitas.
Deepfake fraud di Indonesia naik 1.550% hanya dalam satu tahun, dari 2022 ke 2023. Tren yang sama terjadi di seluruh Asia Pasifik, dengan kenaikan 1.540% pada periode yang sama.
Dimuat dalam studi VIDA, sebanyak 100% pelaku bisnis Indonesia dari sektor perbankan hingga e-commerce mengaku khawatir dengan meningkatnya fraud berbasis AI. Namun, sebanyak 46% dari mereka mengaku belum paham bagaimana deepfake bekerja. Lebih mengkhawatirkan lagi, sebanyak 61% perusahaan yang disurvey mengaku sudah yakin sistem mereka bisa menangkal serangan deepfake, meski belum ada yang jenis serangan yang bisa memastikan sistem keamanan mereka.
Deepfake adalah konten palsu, bisa berupa video, foto, atau suara, yang dibuat menggunakan AI untuk meniru identitas seseorang. Deepfake dibuat cukup meyakinkan, sehingga bukan hanya mengelabui mata manusia, tetapi juga mengelabui sistem verifikasi identitas.
Bayangkan ketika deepfake digunakan dalam proses onboarding atau verifikasi identitas digital. Sistem yang hanya melihat apakah wajah terlihat sesuai dengan identitas yang diklaim dapat tertipu jika yang masuk ke sistem adalah representasi digital yang sangat meyakinkan. Akibatnya, pelaku dapat mencoba melewati proses verifikasi menggunakan identitas orang lain tanpa pernah memiliki akses ke identitas tersebut secara sah.
Bagi bisnis yang mengandalkan verifikasi identitas untuk membuka rekening, memberikan akses layanan, atau menyetujui transaksi, perkembangan ancaman deepfake menunjukakn satu hal penting: memastikan wajah terlihat asli saja tidak lagi cukup. Sistem juga perlu memastikan bahwa orang di balik proses verifikasi benar-benar manusia yang sah dan bahwa input yang diterima memang berasal dari sumber yang terpercaya.
Publik seringkali hanya fokus ke "seberapa realistis video deepfake tersebut.” Padahal, yang lebih berbahaya adalah cara deepfake masuk ke sistem keamanan dengan cara injection attack.
"Deepfake yang sering mendapatkan highlight, tapi kenyataannya, dalam keamanan digital, pintu masuknya adalah injection attack," kata Niki Luhur, CEO dan Group Founder VIDA.
Injection attack terjadi ketika pelaku fraud memasukkan konten deepfake secara langsung ke dalam jalur data sistem verifikasi, melewati kamera fisik pada perangkat milik pengguna.
Selama ini, kita berpikir bahwa penipuan deepfake terjadi ketika pelaku menyodorkan konten deepfake di depan kamera saat proses verifiksi. Kenyataannya ada cara yang jauh lebih berbahaya, yakni pelaku “menyuntikkan” video deepfake langsung ke jalur data pada saat verifikasi. Proses ini tidak diketahui oleh pengguna maupun pihak aplikasi. Semuanya terlihat normal, seolah-olah verifikasi memang dilakukan oleh pengguna yang sah.
Pelaku menggunakan teknik ini karena sistem verifikasi yang canggih sudah bisa mendeteksi "video yang ditunjukkan ke kamera." Tapi banyak sistem yang belum bisa mendeteksi "video yang disuntikkan ke jalur data."
Karena itu, pertahanan terhadap injection attack perlu memastikan integritas seluruh jalur input, mulai dari kamera hingga sistem verifikasi. Dengan cara ini, sistem tidak hanya mencoba mengenali deepfake setelah masuk, tetapi juga mencegah media yang telah dimanipulasi menyusup ke dalam proses verifikasi sejak awal.
Pertahanan yang efektif tidak bisa mengandalkan satu solusi saja. Butuh beberapa lapisan verifikasi yang bekerja bersamaan.
Pertama, verifikasi bahwa orang yang melakukan proses verifikasi benar-benar manusia, bukan foto, video, atau deepfake. Teknologi liveness detection dapat memastikan bahwa input biometrik berasal dari wajah yang hidup, sementara perlindungan terhadap injection attack membantu memastikan video atau gambar palsu tidak dapat disuntikkan langsung ke dalam sistem.
Kedua, pastikan bahwa orang yang mengakses akun adalah pemilik identitas yang sah. Identitas dapat diikat dengan perangkat tertentu menggunakan teknologi kriptografi, sehingga pencurian password atau OTP saja tidak cukup bagi pelaku untuk mengambil alih akun dari perangkat yang tidak dikenal.
Ketiga, jangan berhenti melakukan verifikasi setelah pengguna berhasil login. Aktivitas di dalam akun perlu dipantau secara berkelanjutan untuk mengenali pola yang tidak biasa, termasuk transaksi atau perilaku yang mengindikasikan fraud.
Pendekatan berlapis seperti ini penting karena setiap lapisan menghadapi jenis ancaman yang berbeda. Tidak ada satu teknologi yang dapat menghentikan seluruh bentuk fraud, sehingga perlindungan yang efektif perlu memastikan bahwa identitas, perangkat, dan aktivitas pengguna tetap dapat dipercaya sepanjang perjalanan digital.
Pertahanan yang efektif tidak bisa mengandalkan satu solusi saja. Butuh beberapa lapisan verifikasi yang bekerja bersamaan.
Pertama, verifikasi bahwa orang yang melakukan proses verifikasi benar-benar manusia, bukan foto, video, atau deepfake. Teknologi liveness detection dapat memastikan bahwa input biometrik berasal dari wajah yang hidup, sementara perlindungan terhadap injection attack membantu memastikan video atau gambar palsu tidak dapat disuntikkan langsung ke dalam sistem.
Kedua, pastikan bahwa orang yang mengakses akun adalah pemilik identitas yang sah. Identitas pengguna dapat diikat dengan perangkat tertentu (device-binding) sehingga hanya bisa diakses dari perangkat yang terdaftar pertama kali. Selain itu, verifikasi biometrik juga dilakukan untuk memastikan keaslian wajah pengguna.
Ketiga, sistem seharusnya tidak berhenti melakukan verifikasi setelah pengguna berhasil login. Aktivitas di dalam akun perlu dipantau secara berkelanjutan untuk mengenali pola yang tidak biasa, termasuk transaksi atau perilaku yang mengindikasikan fraud.
Pendekatan berlapis seperti ini penting karena setiap lapisan menghadapi jenis ancaman yang berbeda. Tidak ada satu teknologi yang dapat menghentikan seluruh bentuk fraud, sehingga perlindungan yang efektif perlu memastikan bahwa identitas, perangkat, dan aktivitas pengguna tetap dapat dipercaya sepanjang perjalanan digital.
Ketiganya bekerja bersamaan, sehingga fraudster tidak bisa masuk dari satu titik saja.
Kenaikan 1.550% dalam dua tahun bukan angka yang bakal melambat sendiri. Buat institusi keuangan, kesehatan, atau pemerintahan yang mengandalkan verifikasi identitas digital, pertanyaannya bukan lagi apakah akan menghadapi serangan deepfake, tapi seberapa akurat pemahaman dan seberapa siap sistem yang ada sekarang menghadapinya.