Catatan dari Customer Gathering BPR Artha Mertoyudan: Keamanan Siber Dibawa ke Ruang yang Tepat

Undangan menjadi pembicara biasanya datang dari forum teknologi: rapat IT, seminar vendor, atau pelatihan staf. Yang satu ini berbeda. Ruangannya berisi nasabah, dan acaranya bukan tentang teknologi sama sekali.

Pada Rabu, 8 April 2026, PT BPR Artha Mertoyudan menggelar Customer Gathering di Restaurant Pacific Yogyakarta. Temanya “Sukses Berkembang Bersama BPR AM”. Agenda utamanya adalah pemberitahuan resmi bahwa PT BPR Artha Mlatiindah bergabung ke dalam PT BPR Artha Mertoyudan, sekaligus bentuk apresiasi kepada nasabah yang selama ini bertahan.

Di acara itu ada dua pembicara. Aditya Kurniawan, Direktur Bisnis PT BPR Artha Mertoyudan, menyampaikan bagian merger dan arah bisnisnya. Setelahnya, Direktur kami — Sony Rimawan Adhy Saputra dari PT Mitra Indojaya Teknologi (Wallblock Technology) — membawakan seminar berjudul “Penguatan Cyber Security dalam Menghadapi Hacker di Era Transformasi Digital yang Berkembang Pesat”.

Materi keamanan yang diberikan kepada nasabah, bukan kepada tim IT

Menempatkan seminar keamanan siber di tengah acara merger terdengar seperti selingan. Menurut kami justru sebaliknya, dan alasannya sederhana.

Merger mengubah banyak hal yang terlihat nasabah: nama yang tertera di aplikasi, nomor yang menghubungi, formulir yang harus ditandatangani ulang, kadang juga alamat kantor. Selama beberapa bulan sesudahnya, hal-hal yang biasanya mencurigakan menjadi wajar. “Bapak perlu memperbarui data karena bank kami baru bergabung” adalah kalimat yang, di periode itu, memang benar — dan justru karena itu sangat mudah dipakai orang yang tidak berhak.

Karena itu, ruangan berisi nasabah adalah tempat yang tepat untuk materi ini — bukan ruangan berisi teknisi. Yang dijaga tim IT adalah sistemnya. Yang dijaga nasabah adalah dirinya sendiri, dan bagian itu tidak bisa didelegasikan kepada siapa pun.

Yang membuat lembaga keuangan berskala daerah menarik bagi penyerang

Ada anggapan bahwa penyerang hanya mengincar bank besar karena uangnya banyak. Pengalaman kami mendampingi lembaga keuangan menunjukkan pertimbangannya tidak sesederhana itu. Yang dihitung penyerang bukan hanya besar hasilnya, tapi juga seberapa mahal usahanya.

Baris terakhir itu yang sering terlewat. Kedekatan adalah kekuatan utama BPR — nasabah dilayani orang yang mengenalnya, bukan nomor antrean. Tapi kedekatan yang sama membuat permintaan lewat telepon terasa wajar, dan membuat penolakan terasa tidak enak. Penyerang yang paham budaya ini tidak menyerang sistemnya. Ia menelepon.

Tiga hal yang bisa dilakukan nasabah sendiri

Bagian ini yang paling banyak kami tekankan, karena tidak menuntut perangkat apa pun dan bisa dipakai hari itu juga.

1. 01

   Tutup telepon, lalu hubungi kembali lewat nomor resmi

   Bukan nomor yang menelepon, bukan nomor yang dikirim lewat pesan. Nomor yang tertera di buku tabungan, kartu, atau kantor cabang. Petugas bank yang sungguhan tidak akan keberatan Anda melakukan ini — dan yang keberatan justru sedang menunjukkan siapa dirinya.

2. 02

   Perlakukan kode OTP seperti uang tunai di tangan

   Tidak ada petugas bank, polisi, atau pegawai koperasi yang perlu tahu kode itu. Tidak ada satu pun keadaan darurat yang membenarkannya. Kalimat “sebutkan kodenya untuk verifikasi” adalah penipuan, tanpa pengecualian.

3. 03

   Curigai hal yang mendesak Anda

   Rekening akan diblokir hari ini, hadiah hangus sore ini, data harus diperbarui sebelum tutup jam kerja. Tekanan waktu adalah alat kerja, bukan kebetulan. Bank sungguhan memberi Anda waktu untuk datang ke kantor.

Sisi bank: yang tidak selesai dengan sosialisasi

Mengedukasi nasabah perlu, tapi tidak cukup. Selalu ada nasabah yang tidak hadir, tidak membaca, atau kebetulan sedang panik saat telepon itu masuk. Karena itu pertanyaan berikutnya selalu jatuh ke sisi banknya: kalau satu nasabah telanjur tertipu, seberapa cepat hal itu diketahui, dan siapa yang berwenang menghentikannya?

• Siapa yang memeriksa transaksi janggal di luar jam kerja, dan lewat jalur apa ia dihubungi?
• Berapa lama jarak antara nasabah melapor dan rekeningnya benar-benar diblokir?
• Siapa yang berwenang memutuskan pemblokiran itu tanpa menunggu rapat?
• Kalau sistem inti tidak bisa diakses pagi ini, layanan mana yang tetap harus jalan, dan bagaimana caranya?

Pertanyaan-pertanyaan itu terdengar administratif, dan memang begitu. Tapi jawabannya yang menentukan apakah sebuah insiden berhenti di satu nasabah atau menyebar jadi persoalan reputasi. Menyusunnya tidak menuntut perangkat baru — yang dibutuhkan kejelasan siapa memutuskan apa, dan itu bagian dari tata kelola IT, bukan bagian dari anggaran belanja.

Kenapa kami mau hadir di acara seperti ini

Terus terang, forum semacam ini tidak menghasilkan penjualan. Tidak ada yang menandatangani kontrak di sela ramah tamah, dan memang bukan itu tujuannya.

Yang membuatnya berharga adalah kesempatan bicara langsung kepada orang yang paling sering jadi sasaran, dan paling jarang diajak bicara. Sebagian besar materi keamanan siber ditulis untuk orang yang sudah paham istilahnya. Ruangan di Yogyakarta hari itu bukan ruangan seperti itu — dan justru karena itu, pertanyaan yang muncul jauh lebih jujur daripada pertanyaan di forum teknis.

Terima kasih kepada PT BPR Artha Mertoyudan atas undangannya, dan selamat atas bergabungnya PT BPR Artha Mlatiindah.