PayLater semakin menjadi bagian dari ekosistem fintech. Seiring pertumbuhannya, keamanan akun dan aplikasi ikut menjadi semakin penting. Data OJK per Juni 2026 menunjukkan rekening BNPL perbankan mencapai 32,77 juta dengan outstanding Rp30,7 triliun, tumbuh 33,54% secara tahunan.

PayLater Makin Populer, Attack Surface Juga Semakin Luas

PayLater bukan hanya sebuah halaman login. Di belakangnya terdapat rangkaian komponen yang saling terhubung, mulai dari aplikasi mobile, web, API, backend, database hingga layanan pihak ketiga.

Semakin banyak komponen, integrasi, endpoint dan proses bisnis, semakin besar pula attack surface yang perlu diamankan.

Account Takeover: Ketika Akun PayLater Diambil Alih

Account Takeover (ATO) adalah kondisi ketika pihak yang tidak berwenang memperoleh akses ke akun pengguna dan dapat bertindak seolah-olah sebagai pemilik akun.

Dalam skenario PayLater, dampaknya dapat berupa perubahan informasi akun, penyalahgunaan limit, transaksi yang tidak dikenali, atau akses terhadap data pribadi—tergantung hak akses dan kontrol keamanan sistem.

Jangan Asal Klik Link Promo PayLater

Phishing sering memanfaatkan pesan yang terlihat meyakinkan: promo kenaikan limit, cashback, verifikasi akun, hadiah, atau pemberitahuan transaksi mencurigakan. OJK juga mengingatkan masyarakat untuk mewaspadai tautan yang tidak jelas dan tidak memberikan data pribadi melalui kanal mencurigakan.

Hacker Tidak Selalu Membobol Password

Serangan terhadap akun dapat terjadi melalui jalur lain. Beberapa attack path yang umum antara lain:

• Phishing — korban secara tidak sadar menyerahkan kredensial.
• Credential stuffing — kredensial yang bocor dari layanan lain dicoba pada layanan target.
• Authentication weakness — kontrol login atau verifikasi tidak cukup kuat.
• Session/token abuse — token atau sesi yang valid disalahgunakan.
• Authorization weakness — pengguna dapat mengakses resource yang seharusnya bukan haknya.
• API vulnerability — endpoint memiliki validasi, autentikasi, atau otorisasi yang lemah.

Celah API dan Business Logic Bisa Menjadi Risiko Serius

API menjadi jalur komunikasi penting antara aplikasi dan backend. Jika kontrol akses tidak tepat, risiko seperti Broken Access Control atau IDOR dapat muncul.

Selain celah teknis, business logic vulnerability juga perlu diperhatikan. Sistem dapat memiliki aturan bisnis yang secara teknis berjalan normal, tetapi dapat dimanipulasi untuk menghasilkan perilaku yang tidak semestinya.

Apa Dampaknya Jika Sistem PayLater Memiliki Celah?

Siapa yang Bertanggung Jawab Menjaga Keamanan PayLater?

Keamanan adalah tanggung jawab bersama. Pengguna perlu menjaga kredensial dan berhati-hati terhadap phishing. Di sisi penyedia layanan, keamanan harus dibangun ke dalam aplikasi, API dan proses bisnis.

Kontrol yang perlu diperhatikan mencakup authentication, authorization, session management, perlindungan data, fraud monitoring, secure mobile application, vulnerability management dan security monitoring.

7 Tips Mengamankan Akun PayLater

1. Jangan klik link promo yang sumbernya tidak jelas.
2. Jangan pernah membagikan OTP, PIN atau password.
3. Gunakan password unik untuk setiap layanan.
4. Aktifkan MFA/fitur keamanan tambahan jika tersedia.
5. Periksa notifikasi dan transaksi secara berkala.
6. Hindari memasang APK dari sumber tidak terpercaya.
7. Jika akun mencurigakan, segera amankan akun dan hubungi kanal resmi penyedia layanan.

Bagaimana Penyedia PayLater Menguji Keamanan Sistemnya?

Untuk penyedia fintech, security testing perlu melihat sistem dari perspektif attacker sekaligus memahami alur bisnisnya. Penetration testing dapat digunakan untuk mengidentifikasi kelemahan sebelum dimanfaatkan.

Keamanan PayLater Adalah Tanggung Jawab Bersama

Pengguna perlu waspada terhadap social engineering dan menjaga akses akun. Penyedia layanan perlu memastikan sistem memiliki kontrol keamanan yang memadai dan diuji secara berkala. Pendekatan ini membantu mengurangi risiko sebelum kelemahan berkembang menjadi insiden keamanan.

FAQ