Sebuah layanan dark-web dilaporkan menawarkan lebih dari 153 juta rekam jejak SIM Amerika dan Kanada untuk dijual, dan FBI sedang menyelidiki kebocoran data yang tampaknya melibatkan penyedia verifikasi identitas IDScan.net. Ini adalah kasus lain di mana beberapa mekanisme yang seharusnya melindungi masyarakat Amerika justru digunakan untuk menyakitinya. Masalahnya jelas: proses anti-penipuan saat ini yang memerlukan identifikasi dan verifikasi pelanggan justru memperkuat aktivitas penipuan dengan menyerahkan informasi sensitif Anda kepada penjahat di atas piring perak.
Serangan siber yang menargetkan informasi pribadi yang dapat diidentifikasi (PII) telah umum terjadi selama beberapa waktu dan hanya semakin memburuk. Pada 2017, Equifax — salah satu agensi pelaporan kredit terbesar di AS — mengalami serangan siber yang menyebabkan kompromi informasi pribadi sensitif dari hampir 148 juta warga Amerika. Hampir 45% warga Amerika kehilangan datanya. Departemen Kehakiman menyatakan bahwa Tentara Pembebasan Rakyat Tiongkok berada di balik serangan tersebut dalam dakwaan tahun 2020, tetapi ini hanyalah solusi sementara terhadap masalah mendasar yang semakin umum terjadi.
Laz Pieper adalah direktur penelitian di Coin Center, yang mempertahankan hak individu untuk membangun, menggunakan, dan menyusun jaringan peer-to-peer yang bebas dan terbuka, serta hak untuk melakukannya secara pribadi.
Sebagian besar orang mungkin belum pernah mendengar tentang IDScan, tetapi pernah menyerahkan SIM kepada bisnis yang menggunakan teknologi dan layanannya. Seperti namanya, IDScan berspesialisasi dalam verifikasi ID dan menyediakan perangkat keras dan perangkat lunak yang memindai, menguraikan, dan mengautentikasi ID untuk agen penyewaan mobil, bank, hotel, kasino, toko ganja, pengecer, dan bisnis lainnya. Sistemnya dapat menangkap gambar depan dan belakang, mengekstrak informasi pribadi, membandingkan foto ID dengan selfie, serta mengirimkan atau menyimpan data hasilnya di portal cloud agar bisnis dapat terus mengaksesnya setelah otentikasi.
Meskipun ada langkah-langkah keamanan siber, model bisnisnya selalu rentan terhadap serangan. Data adalah salah satu komoditas paling berharga di abad ke-21. Pemerintah dan perusahaan sama-sama merancang skema untuk memperoleh sebanyak mungkin data dari warga negara dan konsumen, dan dalam prosesnya, telah membuka pintu bagi para penjahat siber dan lawan asing untuk ikut serta dalam lomba emas modern ini.
Data yang paling penting adalah, tentu saja, PII, yang terdiri dari detail sangat sensitif, termasuk nama dan alamat seseorang, serta ID yang dikeluarkan pemerintah, seperti SIM atau paspor. Untuk mengakses sejumlah layanan yang baik di AS, warga Amerika harus mengidentifikasi diri mereka dan penyedia layanan harus memverifikasi bahwa mereka adalah siapa yang mereka klaim. Persyaratan ini bisa bersifat regulasi maupun komersial: pemerintah ingin mencegah penipuan dan aktivitas ilegal, tetapi demikian pula bisnis. Sayangnya, cara melakukannya telah sedikit sekali mencegah penipuan dan aktivitas ilegal, tetapi banyak sekali memberdayakan mereka.
Lembaga keuangan, seperti bank, menawarkan contoh terbaik. Lembaga keuangan diwajibkan berdasarkan the Bank Secrecy Act (BSA) and its regulations untuk mengumpulkan dan menyimpan catatan PII saat onboarding pelanggan baru guna memerangi keuangan ilegal dan penipuan. Informasi sensitif dan berharga ini sering disimpan dalam database pusat, dikenal sebagai “honeypot,” sehingga menjadi sasaran menarik bagi peretas. Setelah PII dicuri, informasi tersebut dapat digunakan untuk membuka atau mengompromikan akun, melakukan transaksi penipuan, dan mencuci uang atas nama orang yang tidak bersalah.
Bagaimana hasil dari langkah-langkah "pencegahan" ini bagi sistem keuangan AS dan global? Basis data keluhan dan laporan konsumen dari Federal Trade Commission menerima 6,47 juta laporan mengenai penipuan, pencurian identitas, dan masalah konsumen lainnya pada tahun 2024, naik dari sekitar 860.000 pada tahun 2004. Dan keuangan ilegal berjalan liar: telah diperkirakan bahwa aktivitas keuangan ilegal global mencapai $4,4 triliun hanya tahun lalu.
Lembaga keuangan semakin mengadopsi berbagai metode verifikasi pelanggan untuk mencegah penjahat melewati titik pemeriksaan anti-penipuan mereka — meskipun telah memperoleh PII warga negara yang taat hukum — tetapi metode-metode ini ternyata hanya menjadi hambatan kecil paling baik. Kode sementara yang dikirim melalui teks atau email dapat dengan mudah dikompromikan melalui serangan phishing dan berbagai metode lainnya, serta pemeriksaan biometrik semakin melemah seiring kemajuan pesat dalam kecerdasan buatan.
IDScan bukan lembaga keuangan, dan tidak diwajibkan oleh hukum untuk menyimpan PII siapa pun—IDScan hanyalah vendor yang memungkinkan bisnis lain melakukan pemeriksaan identitas. Namun, bisnis-bisnis yang menggunakan layanan cloud IDScan memusatkan honeypot mereka ke lokasi yang lebih terpusat, sehingga membuat kompromi data menjadi jauh lebih mudah.
Mengingat semua ini, mengapa kita menyerahkan informasi pribadi sensitif kita jika yang kita terima sebagai gantinya hanyalah janji-janji palsu tentang keamanan? Orang Amerika tidak lebih aman karena mereka mengidentifikasi diri mereka di setiap momen bangun mereka kepada setiap penyedia layanan yang mereka temui. Justru sebaliknya. Namun, pemerintah di dalam dan luar negeri ingin memperluas sistem identifikasi lebih jauh lagi dengan verifikasi usia dengan dalih melindungi anak-anak. Tetapi kita kembali menyaksikan bahwa “perlindungan” ini justru menyebabkan lebih banyak kerugian daripada manfaat. Informasi kita sudah tersebar, diperdagangkan di antara para penjahat karena pemerintah dan perusahaan ingin tahu siapa kita dan apa yang kita lakukan. Dan sekarang kita yang membayar harganya.
Jika pernah ada waktu untuk privasi yang lebih kuat, saat ini adalah waktunya. Namun, kita tidak bisa mengabaikan nuansa. Ada seruan untuk menghapus sepenuhnya proses identifikasi dan verifikasi. Ini adalah alternatif yang menarik, tetapi kenyataannya tujuan mendasar dari proses anti-penipuan adalah untuk melindungi warga Amerika dan properti mereka, serta melindungi pendapatan dan integritas operasional bisnis — pendekatan saat ini hanya tidak berhasil. Ada manfaat nyata di sini, tetapi ini tidak berarti kita harus tetap dengan status quo.
Teknologi yang sedang berkembang menawarkan kemungkinan pendekatan yang lebih baik. Alih-alih secara berulang-ulang meminta warga Amerika untuk menyerahkan salinan lengkap ID mereka, sistem yang melindungi privasi dapat memungkinkan individu untuk membuktikan hanya apa yang perlu diketahui oleh layanan — seperti usia mereka, kelayakan, atau otoritas atas suatu akun — sambil tetap menjaga informasi dasar di bawah kendali mereka.
Teknologi-teknologi ini masih dalam pengembangan, tetapi regulator federal seharusnya memberikan ruang kepada lembaga-lembaga untuk menguji mereka dan memperbarui persyaratan yang ada seiring dengan perkembangannya. Selain itu, seiring munculnya lebih banyak pendekatan yang melindungi privasi, Kongres harus mengurangi persyaratan pengumpulan dan penyimpanan informasi yang tidak perlu. Proses anti-penipuan masih bernilai, tetapi dapat ada tanpa dossier permanen yang dapat dicuri oleh penjahat.
Lebih mendesak lagi, Washington dan berbagai pemerintah negara bagian harus menghentikan segala undang-undang atau regulasi yang memperluas persyaratan identifikasi dan verifikasi ke area di mana hal tersebut belum ada dan tidak diperlukan. Dorongan menuju verifikasi usia untuk perangkat lunak sumber terbuka dan internet harus dihentikan; hal ini membahayakan warga Amerika sehari-hari dan memperkuat para penjahat serta lawan asing, sambil gagal melindungi anak-anak.
Pelanggaran seperti ini dapat dicegah; kita hanya perlu ingin mencegahnya. Alat-alat untuk melakukannya mulai muncul, dan dalam kasus di mana kita tidak perlu memverifikasi seseorang, kita sebaiknya menghindarinya. Karena cara terbaik untuk melindungi informasi pribadi sensitif adalah dengan tidak mengumpulkannya sama sekali.