Definisi
Pencurian identitas atau identity theft adalah tindakan seseorang mendapatkan dan menggunakan data pribadi milik orang lain tanpa izin untuk tujuan menguntungkan diri sendiri atau merugikan korban. Data yang dicuri bisa berupa nama lengkap, nomor KTP, nomor NPWP, data biometrik wajah atau sidik jari, nomor rekening, PIN, password, sampai data kesehatan.
Modus pencurian identitas makin bervariasi seiring digitalisasi. Pelaku tidak hanya mencuri data fisik — KTP hilang atau dompet dicopet — tapi juga memanfaatkan celah keamanan sistem digital, rekayasa sosial (social engineering), dan teknik phishing untuk mengelabui korban. Setelah data didapat, pelaku bisa mengajukan pinjaman online atas nama korban, membuka rekening bank, membuat akun bisnis ilegal, atau menjual data tersebut di pasar gelap digital.
Dua undang-undang utama yang menjerat pencurian identitas adalah UU ITE (terakhir diubah dengan UU Nomor 1 Tahun 2024) dan UU Pelindungan Data Pribadi (UU Nomor 27 Tahun 2022). Masing-masing punya ancaman pidana yang berbeda.
Modus Operandi
Pencurian identitas dilakukan dalam berbagai cara:
Phishing. Pelaku mengirim email, pesan WhatsApp, atau SMS yang berpura-pura dari lembaga resmi — bank, marketplace, atau instansi pemerintah — dan meminta korban mengklik tautan yang mirip dengan situs asli. Ketika korban memasukkan username dan password, data itu langsung jatuh ke tangan pelaku.
Social Engineering. Pelaku menelepon korban dengan berpura-pura sebagai petugas bank, call center, atau teknisi. Dengan pendekatan psikologis, pelaku membuat korban percaya dan memberikan PIN, OTP, atau data rahasia lainnya. Modus ini sangat efektif karena memanfaatkan kelemahan manusia, bukan sistem.
Data Breach. Peretas membobol database perusahaan atau instansi yang menyimpan data pribadi pengguna. Data yang bocor kemudian dijual di forum bawah tanah atau digunakan langsung untuk transaksi ilegal. Indonesia masuk dalam daftar negara dengan frekuensi kebocoran data yang tinggi.
Carding dan Skimming. Pelaku menggunakan alat skimmer di mesin EDC atau ATM untuk menyalin data kartu debit/kredit korban. Data itu kemudian dipindahkan ke kartu palsu untuk transaksi. Meskipun teknologi kartu chip (EMV) mengurangi risiko ini, modusnya masih terjadi.
Deepfake. Pelaku menggunakan teknologi AI untuk meniru suara atau wajah korban. Data biometrik berupa rekaman suara atau foto wajah yang diambil dari media sosial digunakan untuk memverifikasi identitas di layanan digital tertentu. Ini adalah modus baru yang berkembang cepat.
Dasar Hukum
Pencurian identitas bisa dijerat dengan beberapa pasal dari undang-undang berbeda:
UU PDP. Pasal 67 ayat (1) menjerat perolehan atau pengumpulan data pribadi secara ilegal dengan ancaman 5 tahun penjara dan denda Rp5 miliar. Pasal 67 ayat (3) menjerat penggunaan data pribadi ilegal dengan ancaman yang sama. Ini adalah lex specialis yang langsung mengatur penyalahgunaan data pribadi.
UU ITE. Pasal 35 jo. Pasal 51 ayat (1) menjerat pemalsuan dokumen elektronik terkait data diri — ancamannya 8 tahun penjara dan denda Rp1 miliar. Pasal 36 jo. Pasal 51 ayat (2) menjerat perbuatan yang mengakibatkan kerugian dari akses ilegal. Pasal 30 menjerat akses ilegal ke sistem elektronik sebagai pintu masuk pencurian data.
KUHP. Pasal 362 tentang pencurian dalam bentuk klasik bisa diterapkan terhadap pencurian identitas fisik (dompet berisi KTP). Tapi untuk pencurian identitas digital, UU ITE dan UU PDP lebih relevan.
Perlindungan dan Pencegahan
UU PDP mewajibkan setiap pengendali data pribadi (perusahaan, instansi) untuk melindungi data yang mereka kelola. Kalau terjadi kebocoran data, pengendali data wajib melaporkan ke pihak berwenang dan memberitahu pemilik data. Pelanggaran terhadap kewajiban ini bisa kena sanksi administratif berupa denda hingga 2% dari pendapatan tahunan.
Masyarakat juga bisa melakukan langkah preventif: jangan sembarangan membagikan KTP atau data pribadi di media sosial, aktifkan autentikasi dua faktor (2FA) di akun digital, waspada terhadap tautan mencurigakan, dan rutin mengganti password.
Contoh Kasus
Sari, seorang ibu rumah tangga di Surabaya, menerima telepon dari seseorang yang mengaku petugas bank. Pelaku mengatakan kartu kredit Sari digunakan secara mencurigakan di luar kota dan harus segera diblokir. Pelaku meminta Sari menyebutkan nomor KTP, tanggal lahir, dan PIN kartu — dengan dalih verifikasi. Sari yang panik memberikan semua data. Seminggu kemudian, dia mendapat tagihan Rp25 juta dari transaksi yang tidak pernah dia lakukan. Ternyata identitasnya digunakan untuk membuka beberapa akun fintech lending dan melakukan transaksi. Sari melapor ke polisi dan kasus dijerat dengan Pasal 67 ayat (3) UU PDP dan Pasal 35 UU ITE. Pelaku akhirnya tertangkap saat mencairkan dana pinjaman di salah satu bank.
Pertanyaan yang Sering Diajukan
Apa beda pencurian identitas dan penipuan biasa? Pencurian identitas adalah cara untuk melakukan penipuan. Pelaku mencuri identitas korban dulu, baru menggunakannya untuk menipu pihak lain (bank, marketplace, lembaga keuangan). Penipuan biasa tidak harus menggunakan identitas palsu — bisa langsung memanfaatkan kepercayaan korban. Intinya, pencurian identitas menyasar data diri, sementara penipuan klasik menyasar barang atau uang secara langsung.
Apakah korban pencurian identitas bertanggung jawab atas pinjaman yang dibuat pencuri? Secara hukum, tidak. Kalau korban bisa membuktikan bahwa identitasnya digunakan tanpa sepengetahuan dan tanpa persetujuannya — misalnya lewat laporan polisi dan bukti bahwa tanda tangan atau data biometrik yang digunakan bukan miliknya — maka kewajiban pembayaran ada pada pelaku. Tapi dalam praktiknya, korban sering direpotkan dengan proses klarifikasi ke bank atau fintech, termasuk harus menyurati OJK dan Biro Informasi Kredit.
Bagaimana cara melapor pencurian identitas? Lapor ke kantor polisi terdekat dengan membawa bukti-bukti — screenshot percakapan, riwayat transaksi mencurigakan, laporan dari bank atau fintech yang dirugikan. Kalau pencurian melibatkan data digital dan transaksi elektronik, bisa juga melapor ke patroli siber Polri melalui portal patrolisiber.id. Untuk pelanggaran data pribadi oleh korporasi, bisa melapor ke Kementerian Komunikasi dan Digital (Kemkomdigi).