Sebagian besar bisnis digital percaya bahwa proses eKYC di tahap onboarding sudah cukup untuk melindungi mereka dari fraud. Logikanya sederhana: jika identitas sudah diverifikasi saat pendaftaran, maka setiap transaksi setelahnya bisa dipercaya.
Kenyataannya, fraud modern tidak berhenti di pintu depan. Serangan datang dari berbagai arah, deepfake menembus verifikasi wajah, device spoofing memanipulasi perangkat, dan social engineering mengeksploitasi kelemahan manusia. Satu lapisan pertahanan, sekuat apa pun, tidak bisa menangani semua vektor ini sekaligus.
Artikel ini menjelaskan mengapa keamanan berlapis (multilayer security) bukan lagi pilihan, melainkan keharusan dan bagaimana bisnis bisa membangunnya secara bertahap.
Social engineering adalah teknik manipulasi psikologis yang digunakan pelaku fraud untuk mendapatkan akses, informasi, atau tindakan dari korban. Tidak seperti serangan teknis yang mengeksploitasi kelemahan sistem, social engineering mengeksploitasi kelemahan manusia kepercayaan, urgensi, dan ketidaktahuan.
Contoh social engineering dalam konteks bisnis digital:
Yang membuat social engineering berbahaya: serangan ini sering terjadi setelah onboarding berhasil. Akun yang sudah terverifikasi menjadi senjata di tangan pelaku.
Deepfake, AI-generated selfie, dan dokumen palsu digunakan untuk melewati proses eKYC. Jika onboarding hanya mengandalkan face matching tanpa liveness detection, serangan ini bisa lolos.
Pelaku menggunakan emulator, virtual machine, VPN, fake GPS, dan rooted device untuk menyamarkan identitas perangkat. Satu device farm bisa menjalankan ribuan verifikasi palsu secara bersamaan.
Setelah akun dibuat (baik dengan identitas asli maupun palsu), pelaku menggunakan social engineering, credential stuffing, atau session hijacking untuk mengambil alih akun dan melakukan transaksi ilegal.
Ketiga vektor ini saling melengkapi. Pelaku canggih mengkombinasikan semuanya identitas sintetis untuk membuat akun, device farm untuk skala, dan social engineering untuk high-value target.
Layer pertama melindungi titik masuk, memastikan bahwa orang yang mendaftar benar-benar hadir secara fisik dan identitasnya sesuai dengan dokumen yang diserahkan.
Layer ini menangani vektor 1 (identitas palsu), tapi tidak bisa mendeteksi device spoofing atau serangan pasca-onboarding.
Layer kedua memeriksa bukan siapa penggunanya, tapi dari mana dan bagaimana mereka mengakses sistem.
Layer ini menangani vektor 2 (device spoofing) dan memberikan sinyal tambahan untuk mendeteksi vektor 3 (manipulasi pasca-onboarding).
Layer ketiga beroperasi secara kontinu setelah onboarding, menghubungkan titik-titik data untuk mendeteksi pola fraud yang tidak terlihat di level individu.
Layer ini menangani vektor 3 (manipulasi pasca-onboarding) dan memberikan feedback loop ke layer 1 dan 2 — misalnya, memblokir perangkat yang terdeteksi sebagai bagian dari fraud ring.
Tiga layer yang beroperasi secara terpisah tetap meninggalkan celah. Kekuatan keamanan multilayer ada pada koneksi antar-layer:
Pesan utamanya: keamanan digital bukan satu pemeriksaan di satu titik waktu, tapi rangkaian pemeriksaan yang saling terhubung sepanjang siklus hidup pengguna.
Membangun keamanan multilayer tidak harus dilakukan sekaligus. Berikut pendekatan bertahap:
Fraud modern adalah masalah multilayer dan solusinya harus multilayer juga. Satu lapisan verifikasi di pintu depan tidak melindungi dari serangan yang datang dari sisi perangkat atau yang terjadi setelah onboarding. Bisnis yang serius soal keamanan digital perlu membangun pertahanan yang mencakup identitas (liveness detection), infrastruktur (device intelligence), dan perilaku (graph analysis) dan menghubungkan ketiganya dalam satu sistem yang saling memperkuat.