Pada kuartal kedua tahun 2026, melalui Sistem Pembayaran Cepat (SBP), sebanyak 2,74 miliar rubel dicuri dari nasabah bank — jumlah rekor sepanjang masa pengamatan. Bank hanya berhasil mengembalikan 2,1% dari uang tersebut, sementara lebih dari 129.000 kasus pencurian tercatat — hampir tiga kali lipat lebih banyak dibandingkan tahun sebelumnya. Dibandingkan dengan kuartal pertama, kerugian meningkat 4%, dan secara tahunan — 25%.
Sementara itu, saluran pencurian lainnya menunjukkan dinamika yang berlawanan. Kerugian dari kartu bank mencapai sekitar 1,3 miliar rubel — 17% lebih rendah dibandingkan tahun sebelumnya, dan bagian pengembalian dana kepada nasabah di sini mencapai 13,3%. Melalui layanan perbankan jarak jauh, 2,17 miliar rubel dicuri, turun 7% dari angka tahun lalu. Akhirnya, total volume transaksi tanpa persetujuan sukarela nasabah tidak melebihi 7,4 miliar rubel dengan 458.700 kasus yang tercatat, sementara bank pada periode yang sama berhasil menangkis 17,5 juta upaya pencurian senilai sekitar 1,9 triliun rubel. Bagian kompensasi bagi korban di semua segmen meningkat menjadi 7%.
Mengapa Kartu Lebih Terlindungi Dibanding Transfer
Penurunan pencurian dari kartu dan rekening sebagian besar terkait dengan mekanisme "periode pendinginan": bank berhak menangguhkan transfer yang mencurigakan hingga dua hari berdasarkan tanda-tanda yang disetujui Bank Sentral Rusia, dan memperingatkan nasabah. Setelah konfirmasi ulang, transaksi dilaksanakan — tetapi hanya jika data penerima tidak ada dalam basis data rekening penipuan. Dalam pembayaran kartu, juga berlaku mekanisme chargeback, yang memungkinkan untuk membatalkan transaksi secara surut: infrastruktur kartu telah disempurnakan selama bertahun-tahun, dan penurunan pencurian melalui saluran ini tampaknya menjadi hasil alami dari pekerjaan tersebut. Peran tambahan dimainkan oleh fakta bahwa dalam transfer, dana pertama kali diblokir di kartu pengirim, bukan langsung didebit — ini memberi bank waktu untuk mencegah penipuan dan mengembalikan uang.
SBP disusun berbeda. Transfer masuk langsung ke rekening individu atau perantara, setelah itu dana sering dipecah menjadi jumlah yang lebih kecil dan dialirkan lebih jauh melalui rantai. Transfer seperti itu bersifat instan, dan tidak ada analog chargeback untuk mereka — uang hanya dapat dikembalikan dengan persetujuan penerima atau melalui pengadilan. Layanan awalnya dibuat secepat dan semudah mungkin, sehingga perlindungan dari penipuan menjadi tugas sekunder: nasabah sendiri yang memulai transfer, dan bank hanya melaksanakan operasi secara instan tanpa kemungkinan pembatalan, yang dimanfaatkan oleh penjahat dengan rekayasa sosial.
Rekayasa Sosial Semakin Menguat
Kerentanan SBP terkait langsung dengan peningkatan serangan menggunakan metode rekayasa sosial: pada kuartal kedua, jumlahnya mencapai 28.700 — tertinggi dalam dua tahun. Ini hampir satu setengah kali lipat lebih banyak dari kuartal sebelumnya, dan lebih dari dua kali lipat angka setahun lalu. Karena transfer melalui SBP dimulai oleh nasabah sendiri, penjahat bertaruh pada membujuk korban, bukan meretas perlindungan teknis.
Regulator Mengubah Aturan Permainan
Sebagian efek pada kartu dan rekening terkait dengan persyaratan baru bagi bank. Sejak awal tahun, daftar tanda-tanda operasi penipuan diperluas dari 6 menjadi 12 poin, termasuk transfer mencurigakan kepada diri sendiri melalui SBP sebelum mengirim dana kepada pihak ketiga.
Pada akhir Juni, Presiden Rusia Vladimir Putin menandatangani paket kedua langkah anti-penipuan — sistem "Anti-Fraud 2.0", yang mengubah aturan kerja bank dan operator telekomunikasi. Inovasi utama — perluasan kewenangan bank: jika sistem mendeteksi tanda-tanda perangkat nasabah terinfeksi malware, lembaga kredit berhak menangguhkan transfer atau sepenuhnya menolak pelaksanaannya. Undang-undang juga memperkenalkan mekanisme kompensasi bagi korban penipu, jika bank atau operator telekomunikasi melanggar persyaratan yang ditetapkan untuk pencegahan pencurian — dengan syarat nasabah tidak mentransfer uang kepada penjahat atas kehendaknya sendiri. Norma-norma mulai berlaku secara bertahap, blok utama — mulai tahun 2027.
Pendapat AI
Dari sudut pandang analisis data mesin, kasus Rusia tidak unik: kerentanan serupa pada pembayaran instan juga muncul di Inggris, di mana Faster Payments selama bertahun-tahun tetap menjadi saluran utama bagi penjahat melalui rekayasa sosial. Setelah diperkenalkannya kompensasi wajib bagi korban mulai Oktober 2024, regulator mencatat penurunan kerugian melalui saluran ini sekitar 21%, dan bagian kasus yang dikompensasi meningkat dari 54% menjadi 65%. Ini menunjukkan bahwa pengalihan tanggung jawab finansial ke bank dapat mengubah perilaku sistem lebih cepat daripada sekadar pembatasan teknis.
Pengalaman Inggris juga menunjukkan sisi sebaliknya: bahkan setelah reformasi, skema tersebut hanya mencakup sekitar sepersepuluh dari semua operasi pembayaran di negara itu, meninggalkan kartu dan saluran lain tanpa perlindungan. "Anti-Fraud 2.0" Rusia mulai berlaku secara bertahap dan mencakup lingkup operasi yang lebih luas — pertanyaannya adalah apakah tanggung jawab bank yang diperluas akan menyebabkan kesenjangan yang sama antara saluran pembayaran yang terlindungi dan tidak terlindungi.
