Definisi
Carding adalah tindak kejahatan siber berupa pencurian data kartu kredit atau kartu debit milik orang lain yang kemudian digunakan untuk melakukan transaksi belanja online, penarikan dana, atau transaksi ilegal lainnya tanpa sepengetahuan dan izin pemilik kartu. Data yang dicuri biasanya berupa nomor kartu, tanggal kedaluwarsa, nama pemegang kartu, dan kode keamanan tiga digit di bagian belakang kartu. Dengan bekal data itu saja, pelaku sudah bisa berbelanja di banyak situs luar negeri yang tidak mewajibkan verifikasi tambahan.
Carding berbeda dari pencurian kartu fisik biasa karena korban sering kali baru sadar kartunya “bocor” setelah melihat tagihan atau notifikasi transaksi yang tidak dikenalinya, padahal kartu fisiknya masih tersimpan aman di dompet. Ini yang membuat carding sulit dicegah semata dengan menjaga kartu tetap di tangan — kebocoran data biasanya terjadi lewat jalur digital, bukan lewat pencurian barang.
Indonesia lama dikenal sebagai salah satu basis pelaku carding di dunia, terutama pada era 2000-an ketika sistem verifikasi kartu di banyak merchant luar negeri masih longgar. Meski pengawasan perbankan dan sistem pembayaran sudah jauh lebih ketat sekarang, modusnya terus bermutasi mengikuti celah teknologi yang baru.
Dasar Hukum
Hukum Indonesia menjerat carding lewat rangkaian pasal dalam UU ITE, bukan satu pasal tunggal, karena carding pada praktiknya menggabungkan beberapa perbuatan terpisah: mengakses sistem tanpa hak, mengambil atau memindahkan data milik orang lain, lalu menggunakannya hingga menimbulkan kerugian. Akses ilegal ke sistem komputer untuk memperoleh data kartu dijerat sebagai pelanggaran terhadap larangan mengakses komputer dan sistem elektronik orang lain tanpa hak. Perbuatan mengambil, memindahkan, atau menyalahgunakan informasi elektronik milik orang lain — termasuk data kartu — dijerat lewat larangan terhadap gangguan informasi elektronik. Jika perbuatan itu mengakibatkan kerugian bagi korban, ketentuan pemberat berlaku dan ancaman hukumannya naik signifikan.
Selain UU ITE, pelaku carding juga bisa dijerat KUHP untuk unsur penipuan atau pencurian, tergantung bagaimana modusnya dijalankan. Kombinasi UU ITE dan KUHP ini yang membuat penuntutan carding biasanya memuat beberapa pasal sekaligus dalam satu berkas perkara.
Jenis-Jenis Modus Carding
Modus carding berkembang mengikuti teknologi yang tersedia bagi pelaku:
- Phishing — mengelabui korban lewat email, SMS, atau situs palsu yang menyerupai bank atau merchant resmi agar korban memasukkan sendiri data kartunya.
- Skimming — memasang alat perekam data di mesin ATM atau mesin EDC untuk menyalin data dari pita magnetik kartu saat digesek.
- Hacking database merchant — membobol sistem penyimpanan data pelanggan milik toko online atau penyedia jasa pembayaran yang keamanannya lemah.
- Pembelian data curian — membeli paket data kartu (“dump” atau “fullz”) dari pasar gelap digital yang memperjualbelikan hasil kebocoran data dari berbagai sumber.
- Social engineering — menelepon atau mengontak korban sambil berpura-pura menjadi petugas bank untuk memancing korban menyebutkan data kartu atau kode OTP.
Ilustrasi Kasus
Pak Anwar mendapat data ribuan kartu kredit hasil kebocoran dari sebuah toko online kecil yang sistem keamanannya lemah. Bersama dua rekannya, ia menggunakan data tersebut untuk memesan barang elektronik dari luar negeri dan mengirimkannya ke alamat penampungan di Indonesia sebelum dijual kembali dengan harga miring. Ketiganya ditangkap setelah pihak bank menemukan pola transaksi mencurigakan dari ratusan kartu berbeda yang mengarah ke alamat pengiriman yang sama, dan dijerat dengan kombinasi pasal akses ilegal, gangguan data, serta pemberatan karena menimbulkan kerugian.
Kasus berbeda dialami Sari, seorang karyawan swasta yang kartu debitnya tiba-tiba terpakai untuk transaksi di luar negeri senilai belasan juta rupiah padahal kartunya tidak pernah lepas dari dompetnya. Setelah ditelusuri, ternyata datanya disadap lewat alat skimmer yang dipasang pelaku di mesin ATM tempat Sari biasa menarik tunai. Rekaman CCTV ATM membantu polisi mengidentifikasi pelaku yang ternyata sudah memasang alat serupa di beberapa lokasi lain.
Sanksi
Ancaman pidana untuk carding tergolong berat karena menggabungkan beberapa pasal ITE sekaligus, dengan kisaran hukuman penjara antara delapan hingga dua belas tahun dan denda hingga belasan miliar rupiah tergantung pasal mana saja yang terbukti dan seberapa besar kerugian yang ditimbulkan. Pengadilan biasanya mempertimbangkan skala operasi — apakah pelaku bertindak sendiri atau bagian dari jaringan terorganisir — serta jumlah korban dan total kerugian saat menjatuhkan hukuman. Barang bukti seperti data kartu curian, perangkat skimmer, dan hasil penjualan barang yang dibeli dengan kartu curian biasanya turut disita.
Cara Melapor
Korban yang mendapati transaksi tidak dikenal di kartunya sebaiknya segera menghubungi call center bank penerbit untuk memblokir kartu dan mengajukan sanggahan transaksi (chargeback), sebelum melapor ke polisi. Laporan pidana bisa diajukan ke kantor polisi terdekat atau langsung ke Direktorat Tindak Pidana Siber Bareskrim Polri, dengan melampirkan mutasi rekening atau tagihan kartu yang menunjukkan transaksi mencurigakan, kronologi kejadian, dan bukti komunikasi jika modusnya melibatkan phishing atau social engineering. Semakin cepat dilaporkan, semakin besar peluang dana yang belum sempat dicairkan pelaku bisa diblokir oleh bank.
Kesalahan yang sering terjadi adalah korban menunda pelaporan karena menganggap nominal kerugian terlalu kecil untuk diurus, padahal data yang sama biasanya sudah dijual dan dipakai untuk menyerang banyak korban lain sekaligus, sehingga laporan sekecil apa pun tetap membantu penyidik memetakan jaringan pelaku.