Perusahaan menyatakan telah menangani kendala tersebut, memblokir akun yang terindikasi disalahgunakan, serta berkoordinasi dengan bank penerbit untuk memproses pengembalian dana atau limit kartu kredit sesuai nilai transaksi yang tidak dikenali.

Klarifikasi ini disampaikan oleh DANA secara langsung setelah muncul laporan mengenai transaksi mencurigakan yang tercatat melalui DANA QR pada sejumlah merchant, termasuk Pintu, Ajaib, dan Tokopedia.

Sebelumnya, nativzen.com telah memberitakan isu tersebut berdasarkan laporan yang mengungkap dugaan penyalahgunaan data kartu kredit dan transaksi yang dilakukan tanpa persetujuan pemilik kartu.

Dalam pernyataan resminya yang dikirim ke nativzen.com, DANA menegaskan bahwa perusahaan telah mengambil sejumlah langkah untuk penanganan dan memperkuat sistem keamanan untuk mencegah kejadian serupa.

DANA Blokir Akun yang Terindikasi Disalahgunakan

Berdasarkan pernyataan resmi yang disampaikan DANA, terdapat penyalahgunaan kartu kredit yang ditautkan ke akun DANA. Setelah isu teridentifikasi, perusahaan mengambil beberapa tindakan penanganan.

Langkah-langkah tersebut meliputi:

1. Memblokir akun DANA yang terindikasi disalahgunakan.
2. Berkoordinasi dengan bank penerbit kartu kredit untuk membantu proses pengembalian dana atau limit secara penuh sesuai nilai transaksi yang tidak dikenali.
3. Memperkuat sistem pengamanan guna mencegah kejadian serupa kembali terjadi.

Seperti dikatakan oleh Olavina Harahap, Director of Communications DANA Indonesia bahwa DANA menyebut langkah pengembalian dana tersebut sejalan dengan kebijakan DANA Protection terkait perlindungan transaksi.

DANA Tidak Mengungkap Jumlah Korban dan Nilai Kerugian

Terkait jumlah pemilik kartu kredit yang terdampak dan nilai kerugian dalam kasus ini, DANA menyatakan belum dapat memberikan informasi tersebut. Meski demikian, perusahaan memastikan akan memproses pengembalian dana secara penuh sesuai nilai transaksi yang tidak dikenali, dengan mengacu pada kebijakan DANA Protection.

DANA juga menjelaskan bahwa kejadian tersebut berkaitan dengan penyalahgunaan kartu kredit yang ditautkan ke akun DANA. Perusahaan menyatakan telah menerapkan langkah perbaikan pengamanan setelah isu teridentifikasi.

Mengapa Transaksi Kartu Kredit Bisa Terjadi Tanpa OTP?

Salah satu pertanyaan yang muncul dalam kasus ini adalah mengapa sebagian transaksi dapat berlangsung tanpa kode OTP (One-Time Password). Dalam penjelasannya, DANA menyatakan bahwa penautan kartu kredit baru wajib melalui proses verifikasi 3DS (Three-Domain Secure).

Mekanisme ini digunakan sebagai standar keamanan untuk memverifikasi kepemilikan kartu yang sah. Namun, DANA menjelaskan bahwa kartu kredit yang sudah terdaftar dan berhasil melewati tahap verifikasi 3DS tidak memerlukan OTP untuk transaksi selanjutnya.

Dengan demikian, tidak setiap transaksi setelah kartu berhasil ditautkan akan meminta OTP. Penjelasan ini menjadi bagian dari tanggapan DANA terhadap pertanyaan mengenai autentikasi transaksi dalam kasus yang sedang dibahas.

Perlu dicatat, penjelasan mengenai mekanisme OTP tersebut tidak dengan sendirinya menetapkan penyebab spesifik setiap transaksi yang dilaporkan korban. Artikel sebelumnya di Nativzen.com juga mencatat bahwa penyebab dan titik kegagalan pengamanan dalam kasus ini masih memerlukan investigasi lebih lanjut.

Bagaimana Proses Pengembalian Dana Kartu Kredit?

DANA menjelaskan bahwa pemilik kartu kredit yang terdampak perlu melakukan pelaporan melalui bank penerbit kartu terlebih dahulu.

Berikut langkah yang disampaikan DANA:

1. Hubungi bank penerbit kartu: Laporkan transaksi yang tidak dikenali dan ajukan sanggahan (chargeback) melalui bank penerbit kartu kredit.
2. Kirimkan informasi laporan kepada DANA: Sampaikan nama bank dan nomor laporan dari bank melalui pesan langsung (DM) Instagram resmi DANA, yaitu @dana.id.
3. Menunggu proses verifikasi: Setelah laporan diverifikasi, DANA akan memproses pengembalian dana atau limit ke bank penerbit dalam waktu 24 jam.
4. Memeriksa lembar tagihan berikutnya: Pengembalian dana atau limit ke kartu kredit akan tercantum pada lembar tagihan berikutnya, sesuai prosedur dan kebijakan masing-masing bank.

DANA menegaskan bahwa pengembalian dana atau limit tidak dilakukan melalui akun DANA pengguna, melainkan melalui bank penerbit kartu kredit.

Apabila pemilik kartu telah melaporkan kasus kepada bank dan DANA, tetapi pengembalian dana atau limit belum diterima dalam waktu 30 hari, pengguna diminta menghubungi kembali akun Instagram resmi DANA melalui DM. Perusahaan menyatakan akan membantu menindaklanjuti proses tersebut dengan bank terkait.

DANA Sebut Pengguna Tetap Dilindungi DANA Protection

DANA juga menyatakan bahwa penautan kartu kredit dengan aplikasi masih aman. Perusahaan juga menyampaikan komitmennya terhadap keamanan transaksi pada aplikasi DANA, termasuk pembayaran, investasi, dan produk DANA lainnya.

Dalam klarifikasi yang disampaikna, DANA juga menyebutkan bahwa DANA Protection sebagai mekanisme perlindungan terhadap data, akun, dan saldo pengguna dari aktivitas mencurigakan atau transaksi ilegal.

Bagi pengguna yang menemukan transaksi kartu kredit yang tidak dikenali, perusahaan mengimbau agar pengajuan sanggahan dilakukan melalui bank penerbit kartu kredit dan laporan disampaikan melalui kanal resmi DANA.

DANA Berkoordinasi dengan Bank Indonesia

Selain bekerja sama dengan bank penerbit, DANA juga menyatakan melalui klarifikasinya bahwa akan terus berkoordinasi dengan Bank Indonesia untuk melaporkan perkembangan penanganan yang dilakukan.

Koordinasi bertujuan memastikan transaksi pengguna tetap berjalan sesuai standar keamanan sistem yang berlaku. DANA juga menegaskan komitmennya untuk menindaklanjuti setiap laporan dan terus memperkuat sistem keamanan demi melindungi pengguna.

Sebagian korban mengaku tidak pernah menautkan kartu kredit ke aplikasi DANA, bahkan tidak memiliki akun DANA. Tentunya, kasus ini menimbulkan pertanyaan mengenai keamanan data kartu kredit, mekanisme autentikasi transaksi digital, serta kemungkinan penyalahgunaan fitur pembayaran QRIS menggunakan kartu kredit.

Transaksi DANA QR Muncul Tanpa Persetujuan Pemilik Kartu

Dalam artikel yang diterbitkan Vaksin.com pada 22 September 2026, penulis Alfons Tanujaya mengungkap sejumlah bukti berupa tangkapan layar transaksi dan notifikasi perbankan yang dibagikan korban di media sosial Threads.

Salah satu bukti menunjukkan adanya sembilan percobaan transaksi pada 19 September 2026 dengan keterangan “DANA QR * PINTU-KKI-DE”. Seluruh transaksi memiliki nominal Rp 2.010.000, dengan empat percobaan di antaranya berhasil.

Tiga percobaan transaksi terjadi secara berurutan dalam rentang waktu hanya beberapa detik, yakni pukul 10:49:26, 10:49:27, dan 10:49:28. Menurut Alfons, pola transaksi berulang dengan nominal yang sama mengindikasikan kemungkinan penggunaan otomatisasi, bukan transaksi manual oleh pengguna.

Bukti lainnya menunjukkan transaksi ke PT Ajaib Fut senilai Rp 2.024.000 dan PT Tokopedia sebesar Rp 1.419.300 yang tercatat tanpa OTP. Sementara itu, korban lain mengaku menerima OTP resmi dari bank untuk transaksi DANA dan Airbnb yang tidak pernah mereka lakukan.

Modus yang Diduga Menggunakan Data Kartu Kredit Curian

Vaksin.com merekonstruksi kemungkinan modus berdasarkan bukti yang tersedia. Salah satu skenario yang dinilai masuk akal adalah pelaku memperoleh data kartu kredit korban, termasuk nomor kartu, masa berlaku, CVV, dan nama pemilik kartu.

Data tersebut kemudian diduga digunakan untuk:

1. Menguji validitas kartu: Pelaku melakukan transaksi bernilai Rp0 secara berulang untuk memastikan kartu masih aktif. Pola ini dikenal sebagai card testing.
2. Menautkan kartu ke akun dompet digital: Data kartu digunakan untuk menghubungkan kartu kredit korban ke akun DANA milik pelaku.
3. Melakukan transaksi melalui QRIS: Kartu dimanfaatkan untuk membayar merchant yang memungkinkan dana digunakan pada aset kripto atau transaksi e-commerce.

Alfons juga menekankan bahwa pengguna tidak harus memiliki akun DANA agar kartu kreditnya dapat menjadi sasaran. Dalam skenario ini, yang disalahgunakan adalah data kartu, bukan akun DANA milik korban.

Meski begitu, Alfons juga menegaskan bahwa rekonstruksi tersebut masih merupakan analisis berdasarkan bukti yang beredar, bukan hasil investigasi forensik yang telah dikonfirmasi secara resmi.

Mengapa Transaksi Bisa Lolos Tanpa OTP?

Salah satu persoalan utama dalam kasus ini adalah adanya transaksi yang berhasil tanpa autentikasi OTP. Vaksin.com menjelaskan bahwa mekanisme autentikasi pembayaran berbasis 3-D Secure generasi baru menggunakan penilaian risiko untuk menentukan apakah transaksi memerlukan verifikasi tambahan, seperti OTP.

Keputusan tersebut melibatkan sistem bank penerbit kartu. Dengan demikian, tidak tepat menyimpulkan secara sederhana bahwa merchant tertentu selalu tidak memerlukan OTP. Artikel yang ditulis Alfons menunjukkan adanya transaksi DANA dan Airbnb yang memicu pengiriman OTP, sementara transaksi lainnya dapat berjalan tanpa OTP.

Menurut analisis Vaksin.com, kemungkinan persoalannya terletak pada pengendalian risiko yang gagal mengenali transaksi tidak sah. Namun, belum terdapat investigasi resmi yang menetapkan pihak mana yang bertanggung jawab atas setiap transaksi atau menjelaskan secara menyeluruh bagaimana transaksi tersebut lolos.

Sumber Kebocoran Data Kartu Belum Terungkap

Hingga artikel Vaksin.com diterbitkan, belum ada pernyataan resmi dari bank, DANA, maupun regulator mengenai sumber kebocoran data kartu yang digunakan dalam kasus tersebut. Alfons menyebut beberapa kemungkinan yang umum ditemukan dalam insiden pencurian data pembayaran, antara lain:

1. Infostealer

Malware yang dapat mencuri data kartu, kata sandi, dan cookie dari browser, termasuk melalui APK atau aplikasi bajakan.

2. Web skimming

Kode berbahaya yang disisipkan pada halaman checkout merchant untuk merekam informasi kartu ketika dimasukkan pengguna.

. Phishing

Situs atau halaman palsu yang mengatasnamakan bank, layanan pengiriman, maupun promosi tertentu untuk memancing pengguna memasukkan data kartu.

4. Kebocoran pihak ketiga

Kemungkinan kebocoran dari pihak yang terlibat dalam rantai pemrosesan pembayaran. Kemungkinan ini masih memerlukan bukti pendukung.

Kemungkinan sumber kebocoran dirangkum dari analisis Vaksin.com dan belum dapat dianggap sebagai penyebab yang telah dikonfirmasi. Alfons juga mencatat bahwa korban berasal dari berbagai bank.

Karena itu, Alfons menyarankan bahwa diperlukan investigasi lebih lanjut untuk mengidentifikasi titik temu penggunaan kartu para korban sebelum insiden, termasuk melalui analisis common point of purchase.

Benarkah Kartu Kredit Indonesia (KKI) yang Dibobol?

Label “DANA QR * PINTU-KKI-DE” pada mutasi transaksi turut memunculkan dugaan keterkaitan dengan Kartu Kredit Indonesia (KKI). Namun, Vaksin.com menyatakan bahwa belum ada bukti yang menunjukkan KKI sebagai sumber masalah dalam kasus ini.

KKI ritel disebut sebagai skema terpisah dari kartu berlogo Visa atau Mastercard. Alfons juga mengingatkan bahwa label “PINTU-KKI-DE” belum dapat dipastikan maknanya secara teknis. Oleh karena itu, klarifikasi dari DANA dan Bank Indonesia diperlukan agar masyarakat tidak menarik kesimpulan yang keliru.

Langkah yang Perlu Dilakukan Jika Menjadi Korban

Pemilik kartu kredit yang menemukan transaksi DANA QR tanpa persetujuan disarankan segera mengambil langkah pengamanan berikut:

Checklist Pengamanan Kartu Kredit

• Blokir kartu melalui call center resmi bank dan minta penggantian kartu.
• Ajukan sanggahan tertulis atas transaksi yang tidak dilakukan dan simpan bukti notifikasi.
• Minta informasi terkait penangguhan tagihan yang disengketakan selama proses investigasi.
• Pemilik kartu kredit bisa nonaktifkan transaksi online atau e-commerce pada aplikasi bank jika tersedia.
• Jangan memberikan OTP kepada siapa pun, termasuk pihak yang mengaku sebagai petugas bank.
• Pindai perangkat, hapus data kartu tersimpan di browser, dan ganti kata sandi akun penting.
• Jika sanggahan ditolak, pertimbangkan eskalasi melalui OJK, LAPS SJK, dan kepolisian.

Vaksin.com juga memperingatkan kemungkinan adanya penipuan lanjutan. Dalam skenario yang disebutkan, korban dapat menerima OTP untuk transaksi yang tidak mereka lakukan, kemudian dihubungi pihak yang mengaku sebagai petugas bank dan menawarkan bantuan pembatalan transaksi atau pemblokiran kartu.

Waspada! Jangan pernah membagikan OTP kepada pihak lain, meskipun mereka mengaku berasal dari bank atau layanan pembayaran. Gunakan nomor kontak resmi yang tercantum pada aplikasi atau situs bank.

Peran Bank, Regulator, dan Industri Pembayaran

Kasus ini tidak hanya berkaitan dengan keamanan data pemegang kartu, tetapi juga memunculkan pertanyaan mengenai sistem pengawasan transaksi digital. Berdasarkan analisis Vaksin.com, beberapa langkah yang perlu dipertimbangkan oleh industri dan regulator mencakup:

Sumber: Vaksin.com – Alfons Tanujaya