Ketika Kejahatan Tak Lagi Mengetuk Pintu

Ilustrasi kejahatan siber. Foto: Shutter Stock

Dahulu, pencuri harus mendobrak pintu atau memanjat jendela. Ia meninggalkan jejak kaki, sidik jari, dan saksi mata. Kini, kejahatan datang melalui sebuah pesan singkat: "Resi pengiriman paket Anda, silakan dibuka." Tidak ada pintu yang didobrak. Korban sendiri yang membukakan pintu itu dengan satu sentuhan jari.

Modus berkas aplikasi berbahaya berformat Androit Package Kit (APK), yang dikirim berkedok undangan pernikahan, resi kurir, atau tagihan, sudah menguras rekening banyak warga. Aplikasi itu meminta izin membaca pesan singkat. Pelaku lalu mencuri kode sekali pakai dari bank dan memindahkan saldo korban. Kerugian per korban sering relatif kecil, tetapi jumlah korbannya sangat besar (Saidin, 2026: 341–342). Modus ini menekan kepolisian bukan dari sisi kerumitan teknis, melainkan dari sisi volume dan kecepatan.

Anatomi Sebuah Kejahatan

Dalam buku penulis, Bhayangkara Rakyat, yang kini dalam penyuntingan akhir di Penerbit Kencana, penulis menyusun ilustrasi alur penanganan satu kasus penipuan daring yang khas, dari jam pertama sampai bulan ketiga (Saidin, 2026: 376–378). Ilustrasi itu tidak merujuk pada satu perkara tertentu, tetapi disusun dari modus yang terdokumentasi.

Jam pertama. Korban membuka berkas "resi pengiriman" dan memberi izin yang aplikasi minta. Dalam beberapa menit, pelaku masuk ke aplikasi perbankan korban dan mentransfer saldo ke rekening penampung. Dua penjaga gagal sekaligus: pengguna yang tidak mengenali tanda bahaya, dan sistem deteksi bank yang tidak menangkap perubahan perangkat atau pola transaksi yang janggal.

Jam kedua sampai keenam. Korban menghubungi bank, lalu datang ke Polsek atau Polres terdekat. Petugas mencatat kronologi, tetapi tidak memiliki prosedur untuk meminta penundaan transaksi pada rekening penerima. Sementara itu, pelaku memecah dana ke belasan rekening lain, mengubahnya menjadi aset kripto, atau menariknya tunai melalui jaringan penarik dana.

Pekan pertama. Penyidik mengirim surat permintaan data kepada bank dan operator seluler. Surat itu berjalan melalui jalur administrasi. Jawaban datang beberapa hari kemudian. Nomor pengirim ternyata terdaftar atas identitas orang lain yang datanya dipakai tanpa izin.

Bulan ketiga. Rekening penampung ternyata dibuka atas nama warga yang menjual rekeningnya seharga beberapa ratus ribu rupiah. Server pelaku berada di luar negeri. Laporan serupa dari korban lain tersebar di berbagai Polres, tetapi tidak terhubung dalam satu basis data. Hasil akhirnya mudah ditebak. Pemilik rekening penampung mungkin terjerat. Pelaku utama tetap bebas. Dana korban sebagian besar tidak kembali. Korban kehilangan kepercayaan dan tidak akan melapor lagi.

Defisit Kecepatan

Ilustrasi itu menunjukkan bahwa kegagalan tidak terjadi pada satu titik. Kegagalan terjadi karena jeda di antara banyak titik. Pelaku memindahkan dana dalam hitungan menit. Permintaan data dan pemblokiran berjalan dalam hitungan hari. Jalur bantuan timbal balik dengan negara lain berjalan dalam hitungan bulan. Penulis menyebut ketimpangan ini defisit kecepatan, yaitu selisih antara kecepatan gerak pelaku dan aset kejahatan dengan kecepatan respons hukum (Saidin, 2026: 385).

Konsep ini menjelaskan mengapa ancaman pidana yang berat tidak menghasilkan efek jera. Pembentuk undang-undang cenderung menjawab kejahatan siber dengan menaikkan ancaman pidana. Namun ancaman berat tidak menangkal pelaku yang yakin tidak akan tertangkap. Daniel S. Nagin (2013) menyimpulkan bahwa kepastian tertangkap lebih menentukan daripada beratnya ancaman hukuman. Selama peluang tertangkap kecil, perhitungan pelaku tidak berubah (Saidin, 2026: 337, 385).

Hukum pidana Indonesia sebenarnya sudah menyediakan delik yang cukup. UU ITE, KUHP Nasional yang berlaku sejak 2 Januari 2026, UU Pelindungan Data Pribadi, UU Tindak Pidana Kekerasan Seksual, UU Pencucian Uang, dan UU Perdagangan Orang menjangkau hampir semua pola kejahatan siber. Kasus-kasus yang penulis telaah jarang gagal karena ketiadaan pasal. Kasus-kasus itu gagal karena bukti hilang, dana berpindah, dan pelaku tidak teridentifikasi sebelum aparat bergerak (Saidin, 2026: 385). Masalah utamanya terletak pada prosedur dan waktu, bukan pada rumusan delik.

Belajar dari Tetangga

Negara tetangga sudah memangkas defisit kecepatan itu. Singapura membentuk Anti-Scam Centre di dalam kepolisiannya pada 2019. Pusat ini menempatkan polisi dan perwakilan bank dalam satu ruang kerja. Ketika korban melapor, petugas langsung meminta bank membekukan rekening penerima. Singapura memperluasnya menjadi Anti-Scam Command pada 2022 (Singapore Police Force, 2022). Pada 2025, Singapura mengesahkan Protection from Scams Act yang memberi polisi kewenangan membatasi sementara transaksi perbankan orang yang diyakini sedang menjadi korban penipuan, meskipun korban belum menyadarinya.

Malaysia membentuk National Scam Response Centre pada Oktober 2022 dengan nomor darurat 997. Pusat ini melibatkan kepolisian, bank sentral, regulator komunikasi, dan industri perbankan. Ketiga model itu berbagi satu prinsip: polisi, bank, operator seluler, dan platform bekerja dalam satu sistem dengan tenggat waktu yang jelas (Saidin, 2026: 372–373).

Pelacakan aset juga dapat berhasil jika penyidik bergerak cepat. Pada Mei 2021, serangan ransomware menghentikan operasi Colonial Pipeline di Amerika Serikat. Perusahaan membayar tebusan 75 bitcoin. Sebulan kemudian, Departemen Kehakiman Amerika Serikat menyita kembali sekitar 63,7 bitcoin dari tebusan tersebut setelah penyidik melacak aliran dana di rantai blok (U.S. Department of Justice, 2021).

Indonesia sudah bergerak ke arah yang sama. Otoritas Jasa Keuangan meluncurkan Indonesia Anti-Scam Centre pada November 2024 untuk mempercepat pemblokiran dana korban (OJK, 2024). Langkah ini patut diapresiasi. Namun pusat itu berada di bawah otoritas keuangan, bukan lembaga penegak hukum. Tanpa integrasi dengan sistem laporan dan kewenangan penyidikan Polri, pemblokiran dana belum tentu berlanjut menjadi penangkapan pelaku (Saidin, 2026: 358, 373).

Memangkas Waktu Tanpa Menunggu Undang-Undang

Kabar baiknya, sebagian besar langkah untuk memangkas defisit kecepatan tidak memerlukan undang-undang baru. Penulis mengusulkan lima langkah.

Pertama, penyidik Polri ditempatkan secara permanen di Indonesia Anti-Scam Centre. Dengan begitu, pemblokiran dana langsung berlanjut ke penyidikan. Langkah ini cukup dengan nota kesepahaman dan penugasan personel (Saidin, 2026: 384).

Kedua, setidaknya satu penyidik bersertifikat siber di setiap Polres. Respons awal menentukan apakah bukti elektronik dan dana korban masih dapat diselamatkan. Korban melapor ke kantor polisi terdekat, bukan ke Bareskrim.

Ketiga, basis data laporan terpadu lintas lembaga. Laporan yang memiliki jejak rekening, nomor telepon, atau alamat dompet kripto yang sama dapat dikelompokkan sebagai satu perkara jaringan. Ratusan laporan kecil berubah menjadi satu perkara besar yang layak disidik (Saidin, 2026: 361).

Keempat, formulir standar dan tenggat tegas untuk permintaan data dan pemblokiran rekening, disertai jejak audit atas setiap permintaan itu.

Kelima, jalur karier spesialis siber. Penyidik yang sudah terlatih tidak semestinya dimutasi ke fungsi yang tidak berkaitan, sehingga investasi pelatihan tidak hilang (Saidin, 2026: 381).

Menutup Keran di Hulu

Penindakan di hilir tidak akan cukup selama keran di hulu tetap terbuka. Ilustrasi tadi memperlihatkan bahwa nomor penipu terdaftar dengan identitas curian. Data yang bocor dari berbagai lembaga, seperti kasus Tokopedia, BPJS Kesehatan, dan KPU, menjadi bahan baku registrasi kartu SIM palsu, pembukaan rekening penampung, dan penipuan bertarget (Saidin, 2026: 386).

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi sudah tersedia. Namun efektivitasnya bergantung pada lembaga penyelenggara pelindungan data pribadi yang pembentukannya berjalan lambat (Saidin, 2026: 348). Australia memberi pembanding. Setelah kebocoran data Optus pada 2022, parlemen Australia dalam hitungan minggu menaikkan denda maksimum pelanggaran privasi serius secara drastis. Tanpa sanksi yang nyata, pengendali data tidak memiliki dorongan kuat untuk berinvestasi pada keamanan. Pencegahan kebocoran di hulu jauh lebih murah daripada pengejaran pelaku di hilir.

Penutup

Kejahatan memang tidak lagi mengetuk pintu. Kejahatan menyelinap melalui layar telepon, bergerak dalam hitungan menit, dan menghilang di balik server di negeri lain. Polri tidak dapat menjawabnya dengan cara kerja yang dirancang untuk pencuri yang mendobrak pintu.

Jawaban yang kita butuhkan bukan pasal yang lebih banyak atau ancaman yang lebih berat. Jawabannya adalah polisi yang bergerak lebih cepat, bekerja dalam satu sistem dengan bank, operator, dan platform, serta hadir sampai ke Polres terdekat dengan rumah korban. Dalam kejahatan siber, keadilan yang terlambat bukan hanya keadilan yang tertunda. Keadilan itu bisa berarti tabungan warga yang hilang untuk selamanya.