- Monzo memperkenalkan fitur di aplikasinya untuk mengurangi korban penipu yang berpura-pura sebagai pegawai bank dan membujuk pengguna mentransfer uang, dengan memungkinkan pengguna memeriksa apakah mereka sedang berbicara dengan staf Monzo sungguhan
- Jika aplikasi dibuka saat sedang menelepon, banner di bagian atas tab Home akan menampilkan Monzo call status; jika tertulis bahwa tidak ada anggota tim yang sedang menelepon, pengguna harus segera menutup telepon dan melaporkannya
- Jangan percaya meski lawan bicara mengatakan bahwa status tidak muncul karena masalah teknis atau karena mereka dari tim khusus; jika koneksi internet terputus, jangan lanjutkan panggilan tanpa memeriksa status setelah koneksi pulih
- Monzo tidak akan menelepon tanpa koordinasi lewat chat dalam aplikasi terlebih dahulu, dan tidak akan meminta pengguna mentransfer uang ke rekening penyimpanan, menarik dana dari Pot, menyetujui pembayaran, memberikan PIN, mengambil pinjaman, atau menggunakan Monzo Flex
- Di Inggris, sekitar £170 juta hilang akibat penipuan penyamaran pada 2022, dan Monzo menyatakan bahwa sekitar 700 laporan penipuan diterima setiap bulan melalui Call Status
Monzo call status yang bisa diperiksa di aplikasi
- Postingan ini berlaku berdasarkan waktu publikasi, dan informasi terbaru harus diperiksa di monzo.com atau aplikasi Monzo
- Fitur baru ini memungkinkan pengguna memeriksa langsung di aplikasi apakah penelepon benar-benar staf Monzo
- Jika membuka aplikasi Monzo saat sedang menelepon, banner di bagian atas tab Home akan menampilkan Monzo call status
- Jika tertulis bahwa tidak ada anggota tim Monzo yang sedang menelepon, segera tutup telepon dan laporkan
- Pelaporan dapat dimulai dengan mengetuk call status
- Jika tertulis bahwa anggota tim Monzo sedang menelepon, pengguna dapat melanjutkan panggilan
- Jangan percaya jika lawan bicara mengatakan bahwa mereka tidak muncul di status karena masalah teknis atau karena berasal dari tim spesialis
- Jika tidak terhubung ke internet, call status akan mencerminkan kondisi tersebut, dan pengguna disarankan untuk tidak berbicara dengan orang yang mengaku sebagai Monzo sampai terhubung kembali dan memeriksa status
Tindakan yang tidak akan diminta Monzo
- Monzo tidak akan menelepon tanpa koordinasi sebelumnya lewat chat dalam aplikasi, dan jika menelepon, Monzo akan mengajukan pertanyaan keamanan sebelum membahas hal terkait rekening
- Monzo tidak akan meminta pengguna melakukan hal-hal berikut
- Mentransfer uang ke rekening penyimpanan, rekening aman, atau rekening lain
- Menarik uang dari Pot
- Melakukan pembayaran atau transfer uang dengan alasan apa pun
- Menyetujui notifikasi di ponsel
- Mengabaikan peringatan penipuan atau pembayaran
- Memberikan PIN atau informasi pribadi
- Mengambil pinjaman atau menggunakan Monzo Flex
Kerugian akibat penipuan penyamaran dan alur pelaporan
- Penipuan penyamaran adalah cara ketika pelaku kriminal berpura-pura menjadi orang lain untuk membujuk pengguna mengirim uang, dan juga disebut penipuan transfer bank atau authorised push payment fraud
- Di Inggris, sekitar £170 juta hilang akibat penipuan penyamaran pada 2022
- Monzo menyatakan bahwa dengan penambahan call status, pengguna kini dapat memeriksa apakah lawan bicara benar-benar staf Monzo, dan sejak fitur ini diluncurkan, sekitar 700 laporan penipuan diterima setiap bulan melalui Call Status
- Sebagai langkah berikutnya, selain lokasi saat ini di Privacy & settings, Monzo sedang mempertimbangkan untuk menampilkan fitur ini di tempat yang lebih menonjol agar lebih cepat ditemukan saat panggilan berlangsung
1 komentar
Opini Hacker News
Baru-baru ini saya menjadi target penipuan phishing terhadap bank online di Inggris; bukan Monzo, dan modusnya sangat canggih
Mereka mengetahui riwayat transaksi terbaru saya, bahkan nomor transaksi bank yang tidak muncul di ekspor qif biasa, dan berkat informasi itu alasan mereka menelepon terdengar masuk akal
Mereka juga menelusuri informasi tentang nama saya dan keluarga saya yang tersedia online, memalsukan caller ID, dan skrip percakapannya sangat canggih sehingga saya tidak yakin perlindungan tambahan seperti ini akan banyak membantu
Untungnya saya tidak melanjutkan prosesnya sampai selesai, jadi saya tidak kehilangan uang
Tampaknya jelas ada kebocoran informasi serius di pihak bank, dan ada laporan lain secara online. Menurut saya, undang-undang harus mewajibkan bank melaporkan insiden pelanggaran ke ICO dan menjadikan sifat serta skala pelanggaran itu sebagai catatan publik
Dalam proses ini saya mengetahui bahwa di Inggris kita bisa menelepon 159 untuk terhubung langsung ke departemen penanganan penipuan di sebagian besar bank: https://stopscamsuk.org.uk/159
Saya juga mengetahui hotline kepolisian Action Fraud untuk pelaporan kejahatan siber: https://www.actionfraud.police.uk/what-is-action-fraud
Pelaku phishing itu gigih; 15 menit kemudian ia menelepon lagi, mengaku dari departemen penanganan penipuan bank dan mengatakan “membalas panggilan saya”, lalu 2 minggu kemudian menelepon lagi dengan mengaku sebagai Action Fraud
Sebesar apa pun Anda merasa siap menghadapi serangan seperti ini, saya ingin menyarankan agar Anda sangat berhati-hati terhadap semua panggilan telepon, siapa pun yang menelepon dan apa pun identitas yang mereka klaim
Saya juga punya akun Monzo, tetapi meskipun mereka menelepon, saya tidak akan menggunakan fitur ini. Tutup telepon, lalu telepon sendiri. Jangan biarkan pihak lain menelepon Anda
https://security.stackexchange.com/questions/100268/does-han...
Jadi sebaiknya menelepon bank lewat ponsel
Semua yang menyimpang dari ini adalah penipuan yang menyamar sebagai departemen penanganan penipuan. Jika mereka meminta informasi apa pun selain “apakah Anda melakukan pembayaran ini?”, itu penipuan
Mereka sudah tahu siapa Anda. Kalau tidak tahu, mereka tidak akan menelepon sejak awal
Jika ini akun sekali pakai, mungkin lebih baik meninggalkannya di utas ini saja agar orang lain punya kesempatan untuk mengetahuinya
Yang benar-benar dibutuhkan adalah autentikasi dua faktor terbalik. Jika sedang menelepon seseorang yang meminta informasi sensitif, saya harus bisa membuat angka 6 digit di aplikasi atau situs web mereka, lalu meminta pihak lawan memverifikasinya. Jika tidak bisa memverifikasi, berarti dia bukan pegawai bank
Saya pernah ditelepon Chase untuk mengonfirmasi transaksi yang tampak seperti transaksi tidak sah, dan pegawai yang mengaku dari departemen penanganan penipuan itu pertama-tama mengirim kode autentikasi dua faktor lewat SMS yang secara jelas bertuliskan “jangan bagikan kepada siapa pun”
Ketika saya menyebutkan kalimat itu, dia berkata, “benar, tetapi ini diperlukan untuk memastikan Anda adalah orang yang saya coba hubungi, dan jika Anda tidak memberikannya, saya akan mengunci akun Anda”
Akhirnya akun saya terkunci, dan saya baru bisa mengakses kartu serta akun baru setelah pergi ke cabang, menunjukkan 2 kartu identitas berfoto, lalu membuat ID pengguna dan kata sandi baru
Saya memprotes keras kepada manajer cabang dan siapa pun yang bisa mendengar betapa buruknya praktik instruksi keamanan yang saling bertentangan seperti ini
Manajer cabang kemungkinan hampir tidak punya kendali atas kebijakan semacam ini, atau cara untuk meneruskan keluhan ke pihak yang punya wewenang untuk bertindak
Namun, mereka mungkin sudah memperbaikinya setelah itu. Per 2023, divisi kartu kredit Sapphire Chase bisa memastikan apakah suatu transaksi sah atau penipuan, serta menyelesaikan verifikasi identitas langsung dengan staf layanan pelanggan, tanpa mengulang pengalaman seperti ini
Anda bisa memverifikasi transaksi dengan membalas email atau notifikasi SMS yang menyebutkan transaksi tertentu, dan mereka juga menggunakan aplikasi seluler untuk upaya verifikasi identitas secara langsung
Idealnya, harus ada juga metadata yang dapat dibaca manusia yang menjelaskan tujuan autentikasi
Dengan begitu, bank tidak meminta pelanggan membacakan SMS, pelanggan juga tidak perlu menebak apakah itu asli, dan kedua pihak dapat mengetahui dengan jelas tujuan autentikasi dalam bahasa alami
Jika ada koneksi internet, semua komunikasi harus ditangani lewat internet, dan kedua pihak hanya diberi antarmuka sederhana seperti “konfirmasi” atau “tolak”
Saat tidak ada internet pun, protokol yang sama harus bisa dijalankan dengan cara membaca beberapa kalimat dan memasukkan apa yang didengar
Biasanya saya menutup telepon dengan sopan dan mengatakan akan menghubungi departemen penanganan penipuan lewat nomor telepon yang ada di situs web. Akun saya belum pernah terkunci
Sebaliknya, Ally Bank tampaknya mengalihdayakan kartu debitnya ke vendor terburuk
Mereka menelepon dan meminta nomor Jaminan Sosial saya. Saat saya bertanya, “Apakah ini pelatihan keamanan? Apakah kalian sedang menguji saya?”, mereka bilang bukan, lalu mengatakan kartu saya baru saja digunakan. Sebenarnya itu saya yang sedang mencoba menarik 400 dolar
Saya bilang bahwa dalam panggilan masuk saya tidak akan mengonfirmasi atau menyangkal apa pun
Orang yang tidak sopan ini mengatakan kartu debit saya akan tetap terkunci sampai saya menjawab pertanyaannya, dan saya bilang baiklah, saya akan menelepon bank langsung
Kartu saya masih terkunci sampai sekarang
Jika ingin melakukannya dengan sopan, tulis surat ke bank yang menjelaskan apa yang terjadi dan tembuskan regulator-regulator tersebut. Dengan begitu kemungkinan akan naik ke bagian hukum, dan bisa berujung pada perubahan kebijakan atau kompensasi
[1] https://www.consumerfinance.gov/ask-cfpb/how-do-i-find-my-st...
[2] https://www.consumerfinance.gov/complaint/
[3] https://www.fdic.gov/contact/
[4] https://reportfraud.ftc.gov/#/
Saya memutuskan membeli M2 MacBook Pro ketika Apple Store terdekat tinggal kurang dari 30 menit sebelum tutup, jadi saya bergegas ke sana, tapi dompet saya tertinggal
Saya pikir tidak masalah karena semua kartu saya ada di Apple Pay, tetapi kartu apa pun yang saya pakai untuk membayar terkena pemblokiran penipuan
Staf Apple bilang Amex yang paling rewel, jadi saya menelepon Citi, lalu petugasnya berkata bahwa ia “sudah mengirim kode ke ponsel saya”
SMS itu berbunyi “Citi ID Code: 671865. We'll NEVER call or text for this code”, dan ketika saya berkata, “Pesan ini bilang mereka tidak akan pernah meminta kode ini lewat telepon, tapi Anda sekarang memintanya lewat telepon,” ia tertawa dan berkata, “Ya, saya tahu tertulis begitu, tapi Anda harus membacakannya”
Dengan enggan saya membacakannya, dan pemblokiran kartu dibuka, tetapi saat mencoba membayar lagi, kartu itu diblokir lagi. Akhirnya saya berlari pulang mengambil dompet lalu berlari kembali, dan staf Apple membiarkan saya masuk kira-kira 1 menit sebelum toko tutup
Itu terjadi sekitar 6 bulan lalu, tetapi aplikasi Citi sampai sekarang masih menampilkan kartu saya diblokir dan “perlu segera berbicara”. Namun pembayaran tetap berjalan seolah-olah tidak diblokir
Saya membiarkan status limbo ini untuk mencoba men-debug apa yang sebenarnya terjadi, dan sejak itu saya tidak memakai kartu ini lagi kecuali saat terminal benar-benar tidak menerima Amex
Di tempat kerja lama, kami harus mendaftarkan perusahaan kami ke sistem utang usaha milik pelanggan, dan sistem itu dioperasikan oleh US Bank
Mereka bilang instruksi pendaftaran akan dikirim lewat pos, dan seminggu kemudian suratnya datang dengan instruksi “untuk mulai menyiapkan, buka https://bit.ly/...”. Tentu saja saya mengira itu phishing
Namun ketika memikirkan siapa yang bisa mengirim paket pendaftaran di tempat dan waktu yang tepat, saya menyimpulkan itu pasti orang dalam
Saya menelepon US Bank dan mereka mengonfirmasi bahwa paket itu memang sah, dan bahwa penggunaan tautan bitly memang benar. Benar-benar tidak masuk akal
Setelah transaksi gagal, tiba-tiba mereka menelepon, dan ketika saya tidak memberikan informasi yang mereka minta, mereka mengunci akun saya. Untuk membuka kuncinya, saya harus mengirim materi fisik yang memerlukan biaya
Mendaftar ke bank lain ternyata mudah, dan mereka kehilangan nasabah 15 tahun. Bagus sekali, Sainsbury’s Bank
Ini fitur yang bagus, tetapi masalah mendasarnya adalah orang terlalu percaya pada sistem telepon yang sama sekali tidak aman
Semua orang harus melakukan “percakapan itu” dengan orang tua mereka yang sudah lanjut usia. Yakinkan mereka untuk tidak pernah melakukan transaksi lewat telepon atau email kecuali percakapan itu dimulai oleh mereka sendiri
Perusahaan yang sah tidak akan menelepon untuk meminta Anda membayar uang, memberi akses ke komputer, atau meminta kode keamanan
Selalu tutup telepon, lalu hubungi kembali nomor resmi, bahkan jika terasa seperti urusan hidup-mati. Petunjuknya: itu bukan urusan seperti itu
Orang tua saya pernah tertipu sebelumnya, jadi mereka waspada, tetapi saya masih merasa mereka belum cukup berhati-hati
Karena usia, mereka juga banyak diserang. Saat kunjungan terakhir, telepon berdering setiap satu atau dua jam dan semuanya penipuan atau spam. Serangan yang lebih cerdik mungkin berhasil lain kali
Penipuan penelepon eksternal seperti ini sepertinya akan terus ada sampai generasi itu hilang. Naluri “telepon bisa dipercaya” terlalu kuat
Tentu saja, pada generasi saya, para penipu akan menemukan dan mengeksploitasi sesuatu yang secara naluriah kita percayai
Daftar seperti itu dibagikan karena mereka dianggap lebih mungkin tertipu lagi dibanding nomor acak
Saya secara berkala menerima email dari peritel dan bank yang memberi tahu, “kami tidak akan pernah menelepon untuk meminta uang atau informasi pribadi”
Dan tertulis bahwa jika tidak yakin, tutup telepon lalu hubungi nomor resmi institusi tersebut
Cara cepat menemukan nomor resmi adalah melihat bagian belakang kartu debit atau kartu kredit. Seharusnya nomor itu tercetak di sana
Pada kolom tanda tangan kartu, lebih baik jangan menandatangani, tetapi tulis sesuatu seperti “SEE ID”
Seperti ungkapan “Privacy & settings — lokasi saat ini — adalah tempat yang alami, tetapi harus terlihat juga di tempat lain”, langkah berikutnya tampaknya adalah mengirim notifikasi push aplikasi sebelum panggilan, dan menaruh banner yang terlihat segera setelah login ke aplikasi
Jika indikator visual “seharusnya tidak sedang menelepon sekarang” muncul di berbagai bagian aplikasi, peluang penyerang untuk berhasil bisa berkurang
Biasanya ini dipakai untuk membisukan media saat menerima panggilan, tetapi untuk aplikasi yang sensitif, layar beranda juga bisa menampilkan apakah staf dukungan pelanggan sungguhan sedang mencoba menghubungi
Detail panggilan seperti nomor telepon tampaknya tidak mudah didapat, tetapi dengan izin yang tepat, sepertinya mungkin juga memelihara daftar nomor penipuan berbasis laporan pengguna dan mengirim notifikasi saat penipu yang sudah dikenal menelepon
Bank saya sudah menjalankan fitur serupa sejak beberapa tahun lalu
Jika seseorang menelepon, mereka meminta saya membuka aplikasi ponsel, lalu muncul notifikasi dalam aplikasi berupa banner di aplikasi itu sendiri, semacam “tekan OK untuk mengonfirmasi bahwa orang yang sedang menelepon sekarang memang orang yang benar”
Sebelum saya menekan konfirmasi, pihak lawan tidak bisa mengakses detail akun
Saya takut seiring bertambahnya usia, ketangkasan untuk melindungi diri dari penipuan bank seperti ini akan hilang. Saya tidak tahu solusinya
Jika nasabah menyadari bahwa penyerang tidak meminta konfirmasi dan menjadi curiga, itu bisa membantu, tetapi orang seperti itu mungkin sedikit, dan penipu pandai meredakan kekhawatiran dengan alasan yang terdengar masuk akal
Saya penasaran apakah fitur ini juga bekerja ketika saya yang menelepon Monzo. Jika setelah saya memberikan informasi lalu indikator yang sama muncul di aplikasi, itu membuka pintu bagi serangan man-in-the-middle
Dalam kasus itu, penyerang bisa membuat dirinya terlihat sah, sehingga serangannya justru menjadi jauh lebih berbahaya
Dari nomor-nomor yang bisa ditemukan, tidak ada yang menghubungkan ke manusia, dan terus memutar saya tanpa henti agar memakai chat di dalam aplikasi. Padahal chat itu juga lebih mirip “tinggalkan pesan dan kami akan memeriksanya pada hari Senin” daripada chat langsung sungguhan
Monzo pernah membekukan semua rekening bank saya hampir 5 hari karena terkena langkah pencegahan penipuan
Secara teori bagus, tetapi mengerikan jika pada praktiknya tidak bisa berbicara dengan siapa pun
Bank terbaik adalah bank yang tidak menelepon atau mengirim SMS lewat jaringan telepon/seluler yang ada, dan juga tidak memakai email. Harus selalu memakai komunikasi aman dalam aplikasi
Untuk akses, gunakan binding perangkat yang aman, kata sandi/PIN, autentikasi biometrik, dan untuk penyiapan awal serta reset kredensial gunakan token FIDO2 (Yubikey) yang sudah didaftarkan sebelumnya dan dikirim secara aman, serta KYC video dalam aplikasi
Reset kredensial tidak boleh bergantung pada kanal lain. Sejak hari pertama, pengguna harus diedukasi bahwa mereka tidak akan dihubungi lewat sarana lain apa pun, agar ekspektasi yang aman terbentuk
Di dalam aplikasi, setiap transaksi uang harus meminta autentikasi tambahan, dan di sisi server harus ada batas transfer per transaksi dan per hari
Untuk transfer bernilai besar, penerima harus ditambahkan ke akun dan diberi masa tunggu 1–2 hari; selama periode itu pengguna diberi tahu dan punya kesempatan memadai untuk campur tangan jika merasa itu kesalahan atau penipuan
Pembayaran instan dengan friksi rendah hanya boleh diizinkan ke alamat merchant yang sudah diverifikasi dan didaftarkan sebelumnya
Transfer instan antarindividu memerlukan pembatasan kecepatan, serta kerangka hukum yang memungkinkan pengembalian dana dan penuntutan saat terjadi penipuan
Di luar jaringan, misalnya transfer internasional instan, penerima wajib diverifikasi dan ditambahkan ke akun pembayar, serta harus ada dana perlindungan penipuan yang memungkinkan pengembalian cepat dan kerangka hukum untuk penuntutan internasional
Tanpa perlindungan seperti ini, sekadar meningkatkan kecepatan transaksi bank pasti akan berujung pada kerugian penipuan yang lebih besar daripada tingkat yang secara tradisional diterima
Saya cenderung mengurus semua yang memungkinkan secara online; itu lebih murah bagi mereka, lebih nyaman bagi saya, dan juga karena alasan-alasan yang sudah disebutkan di atas
Telepon sepertinya hanya terjadi pada kasus pinggiran yang sangat jarang, seperti nasabah lansia atau penyandang disabilitas, transaksi kompleks, atau kegagalan verifikasi identitas
Bisa saja mereka tidak pernah menelepon sama sekali, atau memasukkan fitur ini untuk kasus yang sangat jarang. Namun penjelasan “kalau kami menelepon, warnanya berubah” tampak lebih meyakinkan bagi orang yang sedang ditekan oleh penipu agresif dibanding “kami tidak pernah menelepon”
Dalam tulisan industri penagihan utang yang pernah muncul di sini dulu, ada bagian yang kurang lebih mengatakan, “Anda akan terkejut mengetahui betapa banyak orang tidak memahami bank, teknologi, dan matematika dasar”
Anda mengatakan “jangan bergantung pada kanal lain untuk reset kredensial”, tetapi bagaimana jika rumah nasabah terbakar dan ponsel serta Yubikey ikut hilang?
Kerangka hukum untuk pengembalian dana dan penuntutan pada transfer instan antarindividu bukan sesuatu yang bisa ditetapkan oleh satu bank
Jika transfer bernilai besar mengharuskan penambahan penerima dan masa tunggu 1–2 hari, akan muncul reaksi “mengapa Anda yang menentukan apa yang boleh dan tidak boleh saya lakukan dengan uang saya?”
Dalam praktiknya ada juga kasus seperti membeli mobil bekas, ketika seseorang tiba-tiba harus mengirim jumlah besar ke penerima yang sebelumnya tidak dikenal
Token FIDO2 yang sudah didaftarkan sebelumnya memang sangat bagus, tetapi dari bank-bank yang pernah saya pakai, tidak ada satu pun yang mendukung FIDO. Saya juga belum pernah mendengar ada bank seperti itu, dan kalau ada mungkin saya akan membuka rekening
Apakah ada bank atau perusahaan yang secara proaktif mencoba “menipu” pelanggan mereka untuk edukasi? Caranya menelepon, lalu melemparkan beberapa tanda bahaya dan memberi pelatihan.
Khususnya bagi pelanggan lansia, latihan simulasi yang menegangkan tepat sebelum mereka benar-benar menjadi korban bisa membantu menurunkan risiko penipuan.
Akan cukup bagus kalau ada opsi untuk mematikan email seperti ini, tetapi sekarang hanya menambah kebisingan di kotak masuk.
Tentu saja email mirip penipuan dari bank masuk ke kotak masuk, sementara email penipuan sungguhan masuk ke folder spam.
Jika mengeklik tautannya, kami akan diberi pelatihan phishing perusahaan yang wajib. Berkat itu saya jadi lebih berhati-hati.
Hanya saja bukan untuk tujuan edukasi, melainkan sebagai bagian dari operasional normal, dan jika menolak melakukan “hal yang sama sekali tidak boleh dilakukan” yang sangat mencurigakan dan penuh tanda bahaya, urusan yang saya inginkan tidak bisa diproses.
Saya pernah diminta memberikan sebagian atau seluruh PIN online banking lewat telepon, dan pernah juga diminta memasukkan PIN kartu kredit di situs web acak yang mencurigakan sebagai bagian dari 3DSecure.
Itu bank yang berbeda-beda, dan keduanya adalah prosedur sungguhan serta terjadi berulang kali.
Ide yang bagus, tetapi ada satu masalah. Jika sedang menelepon dan tidak memakai Wi-Fi, modem terikat pada panggilan sehingga internet tidak berfungsi.
Sejauh yang saya tahu, hal ini tidak terjadi jika ada VoLTE, tetapi itu berarti fitur ini mungkin tidak berfungsi untuk sangat banyak orang.