Badan Pemeriksa Keuangan sudah bicara. Melalui Ikhtisar Hasil Pemeriksaan Semester I Tahun 2026 yang dirilis 13 Oktober lalu, BPK menyoroti desain dan implementasi Fraud Detection System (FDS) BI-FAST yang dinilai belum efektif mendeteksi, apalagi mencegah, anomali transaksi. Akibatnya, ada insiden kecurangan dengan pola yang lolos dari radar, dan risiko kejadian serupa terus mengintai.
Ini bukan kekhawatiran di atas kertas. Pada penghujung 2025, sejumlah Bank Pembangunan Daerah dilanda transfer dana ilegal yang nilainya ditaksir sekitar Rp200 miliar, diduga berkaitan dengan kejahatan terorganisasi lintas negara. Apakah dua peristiwa itu saling terhubung secara kausal? Belum terbukti. Tapi keduanya memperlihatkan lubang yang sama: sistem pembayaran yang bergerak dalam hitungan detik, sementara kemampuan mencegah penyalahgunaannya jauh tertinggal.
Paras masalahnya, menurut pakar keamanan siber Alfons Tanujaya, ada pada konsep weakest link. BI-FAST adalah jaringan yang saling terhubung dan tidak bergantung pada satu sistem utama, sehingga tingkat keamanannya sangat ditentukan oleh bank peserta yang paling lemah pertahanannya. "Karena institusi keuangan yang terkoneksi sangat banyak, maka ancaman terhadap eksploitasi sangat tinggi," kata Alfons saat dihubungi, Sabtu (17/10/2026). Logikanya sederhana dan mengerikan: satu titik lemah di antara ratusan peserta bisa jadi pintu masuk bagi penyerang untuk menembus ekosistem yang lebih luas.
BI-FAST, dalam sisi lainnya, tetap prestasi. Sistem ini memperluas akses transfer dana secara real-time dengan biaya yang jauh lebih terjangkau, memberi manfaat nyata bagi pelaku usaha mikro, pedagang, pekerja lepas, hingga rumah tangga. Bagi banyak orang, satu transfer gagal atau dana raib bisa berarti modal kerja yang amblas.
Tapi efisiensi punya paradoks yang agaknya luput dari kalkulasi awal. Semakin cepat uang berpindah, semakin sempit pula ruang intervensi ketika sesuatu salah. Pelaku kejahatan memanfaatkan kecepatan yang sama untuk menyebarkan hasil penipuan ke banyak rekening sebelum sistem sempat bereaksi. Kilat.
Pertanyaan yang kini menggantung: siapa bertanggung jawab ketika pengendalian gagal bekerja? Nasabah yang dananya raib kerap terjebak di antara bank pengirim dan bank penerima yang saling lempar kewenangan. Belum ada mekanisme pengaduan lintas lembaga yang cukup mulus untuk menyelesaikan sengketa semacam ini tanpa membebani korban.
Indonesia sebenarnya sudah bergerak di sisi regulasi. Ketentuan pengelolaan risiko kecurangan BI-FAST diterbitkan pada 2025, dan Peraturan Bank Indonesia Nomor 6 Tahun 2026 memperbarui kerangka perlindungan konsumen, termasuk soal pengaduan dan akuntabilitas penyelenggara. Tantangannya kini bukan menambah aturan. Yang dibutuhkan adalah memastikan semua perangkat itu bekerja sebagai satu kesatuan, bukan tumpukan regulasi di laci.
Ada empat hal yang perlu dibenahi serentak: sistem deteksi yang lebih adaptif berbasis analisis pola transaksi, pembagian tanggung jawab yang tegas antara penyelenggara dan bank peserta, mekanisme penyelesaian sengketa digital yang bisa diakses tanpa harus mendatangi banyak kantor, serta pergeseran indikator keberhasilan dari sekadar volume dan kecepatan transaksi menuju efektivitas perlindungan penggunanya.
Temuan BPK ini, entah kebetulan atau tidak, datang di saat kepercayaan publik pada ekosistem keuangan digital tengah diuji. Kalau kepercayaan itu terkikis, inklusi keuangan yang susah payah dibangun bisa berhenti di pembukaan rekening, bukan pada keberlanjutan penggunaannya. Kecepatan menciptakan efisiensi, tapi keamanan yang andal yang menjaganya tetap relevan.