Studi Kasus: Saldo Dompet Digital Raib Setelah Memberi Kode OTP

1. Kasus singkat

Bu Sari (41 tahun) memakai dompet digital untuk belanja harian dan menyimpan saldo sekitar Rp7.600.000 untuk biaya sekolah anaknya. Pada suatu sore di Mei 2026, ponselnya berdering. Penelepon mengaku dari layanan pelanggan dompet digital dan menyebut nama lengkap serta sebagian nomor ponselnya. Ia mengatakan akun Bu Sari "diblokir karena transaksi mencurigakan" dan perlu diverifikasi. Tak lama kemudian masuk pesan berisi kode enam angka. Penelepon meminta Bu Sari menyebutkannya. Setelah kode disebutkan, Bu Sari melihat saldo berkurang Rp7.500.000 karena dipindahkan ke akun lain. Penyedia layanan menolak mengganti.

Kasus phishing, yaitu penipuan lewat penyamaran untuk mendapatkan data rahasia, sangat umum. Banyak korban merasa malu dan terlambat bertindak. Padahal jam-jam pertama sangat menentukan peluang pemulihan dana.

2. Kronologi

Dari kronologi ini tampak bahwa Bu Sari bertindak cukup cepat, sekitar 30 menit setelah kejadian. Kecepatan itu penting untuk dua hal: peluang menahan dana di akun penerima, dan penilaian itikad serta kehati-hatian korban.

3. Masalah hukum yang muncul

• Apakah korban phishing yang memberikan OTP sendiri kehilangan semua hak untuk meminta ganti rugi?
• Apa kewajiban penyedia dompet digital dalam menjaga keamanan dan menangani pengaduan?
• Apakah penyedia boleh menolak ganti rugi hanya karena OTP digunakan?
• Bagaimana nasib dana yang sudah berpindah ke akun penerima: dapatkah dibekukan?
• Ke lembaga mana korban dapat mengadu, dan bagaimana jalur pidana berjalan?
• Bagaimana kedudukan pemilik akun penerima yang mungkin hanya meminjamkan akun?
• Bukti apa yang perlu disimpan?

4. Aturan yang berlaku

Dompet digital umumnya termasuk layanan sistem pembayaran yang diawasi Bank Indonesia (BI), sedangkan layanan perbankan dan keuangan lain diawasi Otoritas Jasa Keuangan (OJK). Karena itu, jalur pengaduan bisa ke BI atau ke OJK, tergantung jenis penyedia. Cek di aplikasi siapa pengawas penyedia Anda. Untuk dompet digital yang dikelola bank, jalurnya melalui bank dan OJK.

Dasar hukum yang sering dipakai, dengan catatan bahwa nomor dan isi ketentuan teknis perlu dicek pada teks resmi terbaru:

• UU No. 8 Tahun 1999 tentang Perlindungan Konsumen: hak atas keamanan dan penanganan keluhan.
• UU No. 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan (P2SK) serta peraturan Bank Indonesia tentang pelindungan konsumen dan penyelenggara jasa pembayaran.
• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi: pengendali data wajib menjaga data. Status lembaga pengawas data pribadi perlu dicek pada sumber resmi terbaru; selama belum jelas, jalur pengaduan data mengikuti mekanisme yang ada.
• UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (ITE) yang telah diubah, termasuk dengan UU No. 1 Tahun 2024: akses ilegal dan manipulasi data.
• KUHP baru (UU No. 1 Tahun 2023), berlaku 2 Januari 2026: penipuan dapat diancam pidana; sesuai ketentuan pada KUHP baru, penipuan berada di Pasal 492 sedangkan nomor lama adalah Pasal 378. Penjelasan lain ada di pasal penipuan dan penggelapan.

Prinsip yang perlu dipahami:

• Kelalaian pengguna memengaruhi tanggung jawab. Memberikan OTP adalah kelalaian yang membuat penyedia lebih mudah menolak. Namun itu tidak serta-merta menghapus kewajiban penyedia menangani pengaduan dan memeriksa sistem.
• Penyedia punya kewajiban keamanan. Penyedia diharapkan memiliki sistem deteksi transaksi janggal, notifikasi, dan prosedur pembekuan. Bila sistem lalai, penyedia bisa dimintai tanggung jawab.
• Dana yang masih tertahan lebih mudah dikembalikan. Semakin cepat dilaporkan, semakin besar peluang akun penerima dibekukan.
• Korban penipuan juga korban kejahatan. Pelaku dapat dipidana. Panduan umum ada di tertipu modus transfer OTP dan phishing dan dompet digital: saldo hilang dan akun diretas.
• Rekening penampung. Orang yang meminjamkan rekening atau akun untuk menampung hasil penipuan dapat berhadapan dengan masalah hukum. Lihat rekening dipakai untuk penipuan (mule).

5. Analisis: aturan diterapkan pada fakta

Argumen Bu Sari.

• Ia menjadi korban rekayasa sosial: penelepon mengetahui data pribadinya, sehingga wajar ia percaya.
• Ia bertindak cepat setelah mengetahui penipuan dan melapor lewat kanal resmi.
• Penyedia seharusnya mengamankan data dan mendeteksi pemindahan hampir seluruh saldo ke akun baru dalam hitungan menit.
• Kebocoran data awal mungkin berasal dari pihak lain, sehingga penyedia atau pihak ketiga perlu menjelaskan.

Argumen penyedia.

• Pengguna sendiri menyebutkan OTP, padahal peringatan "jangan berikan kode kepada siapa pun" ditampilkan di pesan dan aplikasi.
• Sistem tidak diretas; transaksi memakai kode yang sah.
• Syarat dan ketentuan menyatakan pengguna menjaga kerahasiaan kode dan kata sandi.
• Pengguna juga diminta memakai kanal resmi, bukan telepon dari pihak yang tidak dikenal.

Titik lemah Bu Sari.

• Fakta bahwa ia menyebutkan OTP tidak dapat dihapus.
• Peringatan yang tertulis jelas di pesan kode membuat sulit menyatakan ia tidak tahu.
• Dana mungkin sudah ditarik pelaku, sehingga pemulihannya sulit.
• Pembuktian kebocoran data dari penyedia hampir tidak mungkin tanpa akses ke log.

Titik lemah penyedia.

• Pola penipuan seperti ini sudah lama dikenal, sehingga penyedia diharapkan punya mekanisme deteksi dan peringatan tambahan, misalnya penundaan transfer besar ke akun baru.
• Penyedia perlu menjelaskan secara rinci mengapa pengaduan ditolak dan menunjukkan log transaksi.
• Respons yang lambat atau tidak informatif bertentangan dengan kewajiban penanganan pengaduan.

Kenyataannya, banyak kasus berakhir pada pemulihan sebagian melalui pembekuan akun penerima, bukan pada ganti rugi penuh dari penyedia. Karena itu, kecepatan laporan lebih menentukan daripada perdebatan tentang siapa salah.

Sebagai gambaran cara kerja pelaku: mereka biasanya lebih dulu memperoleh data dasar korban dari kebocoran data, media sosial, atau penipuan sebelumnya. Data itu dipakai untuk membangun kepercayaan, misalnya dengan menyebut nama lengkap. Setelah itu pelaku menciptakan rasa mendesak, seperti ancaman akun diblokir, agar korban tidak sempat berpikir. Kode OTP lalu diminta karena dengan kode itulah pelaku dapat masuk ke akun korban dari perangkat lain. Memahami pola ini membantu hakim dan regulator menilai bahwa korban bukan sekadar ceroboh, tetapi sasaran manipulasi yang terencana. Meski begitu, tanggung jawab menjaga kerahasiaan kode tetap melekat pada pengguna menurut syarat layanan.

Dari sisi pidana, laporan korban penting walaupun dana sulit kembali. Laporan menjadi dasar bagi penyidik untuk meminta data akun penerima dari penyedia dan bank, serta membantu menghubungkan beberapa korban dengan pelaku yang sama. Semakin banyak laporan dengan pola serupa, semakin besar peluang jaringan pelaku terungkap.

6. Langkah yang dapat ditempuh

Sebagian langkah berikut perlu dilakukan dalam satu jam pertama.

1. Bekukan akun dan ganti kata sandi. Gunakan kanal resmi di aplikasi. Jika perlu, hubungi pusat bantuan lewat nomor yang tercantum di aplikasi atau situs resmi, bukan nomor dari penelepon.
2. Lapor ke penyedia dan minta pembekuan akun penerima. Sebut nomor transaksi, waktu, dan nominal. Minta nomor tiket.
3. Hubungi bank atau penyedia lain yang terkait. Bila dana berpindah ke rekening bank, laporkan ke bank penerima melalui bank Anda sebagai upaya penahanan.
4. Simpan bukti. Tangkapan layar riwayat panggilan, pesan OTP, notifikasi transaksi, dan percakapan dengan layanan pelanggan.
5. Lapor ke polisi. Buat laporan untuk dugaan penipuan dan akses ilegal, dan minta surat tanda terima laporan.
6. Adukan ke regulator. Bila penolakan tetap, ajukan pengaduan ke OJK atau BI sesuai pengawas penyedia, dengan melampirkan dokumen.
7. Pertimbangkan mediasi atau gugatan. Jalur alternatif penyelesaian sengketa atau gugatan perdata dapat dipertimbangkan bila ada dasar kuat bahwa penyedia lalai.
8. Waspada penipuan lanjutan. Korban sering dihubungi lagi oleh "pihak yang menawarkan bantuan pemulihan dana" dengan meminta biaya. Itu hampir selalu penipuan lanjutan.

Catatan tentang pembekuan akun penerima: penyedia dan bank umumnya bekerja berdasarkan prosedur internal dan permintaan resmi. Pembekuan cepat biasanya dimungkinkan untuk dana yang masih berada di akun penerima, tetapi pencairannya kepada korban sering memerlukan proses tambahan, misalnya laporan polisi atau penetapan. Karena itu, simpan nomor tiket dan tanggal setiap kontak, dan tanyakan secara tertulis apa saja dokumen yang diperlukan untuk pengembalian bila dana berhasil ditahan.

Selain itu, periksa apakah akun lain Anda ikut terancam. Pelaku yang berhasil masuk ke satu akun sering mencoba akun surel, aplikasi bank, dan media sosial yang memakai kata sandi atau nomor yang sama. Ganti kata sandi semuanya, aktifkan verifikasi dua langkah yang tidak memakai pesan singkat bila tersedia, dan beri tahu keluarga bahwa nomor Anda mungkin dipakai untuk menipu mereka.

Bukti yang dibutuhkan:

• Riwayat transaksi dan nomor referensi.
• Tangkapan layar pesan OTP lengkap dengan peringatannya.
• Riwayat panggilan masuk dan nomor penelepon.
• Tiket pengaduan dan jawaban penyedia.
• Laporan polisi.

Ingat pula bahwa pesan dan percakapan dengan "petugas" palsu adalah bukti penting. Jangan menghapus riwayat panggilan atau pesan, dan jangan memblokir nomor pelaku sebelum tangkapan layar tersimpan. Bila memungkinkan, cadangkan ke perangkat lain. Bukti ini membantu penyidik menghubungkan nomor pelaku dengan korban lain.

7. Kemungkinan hasil

Hasilnya tergantung bukti dan penilaian hakim atau regulator. Skenario yang masuk akal:

8. Pelajaran dan kesalahan yang bisa dihindari

9. Contoh pengaduan singkat kepada penyedia

Contoh: Surat berikut fiktif dan hanya ilustrasi.

"Kepada Yth. Unit Penanganan Pengaduan, di tempat. Saya, Sari, pengguna dompet digital Anda dengan nomor ponsel yang terdaftar, melaporkan bahwa pada 20 Mei 2026 sekitar pukul 16.14 terjadi pemindahan saldo Rp7.500.000 ke akun lain setelah saya ditipu oleh penelepon yang mengaku petugas Anda. Saya sudah membekukan akun pada pukul 16.45. Saya memohon (1) pembekuan dan penelusuran akun penerima, (2) penjelasan tertulis tentang hasil pemeriksaan dan data transaksi, (3) pengembalian dana bila terbukti ada kelalaian sistem, dan (4) informasi jalur pengaduan lanjutan. Saya melampirkan tangkapan layar, nomor referensi transaksi, dan tanda terima laporan polisi. Malang, 21 Mei 2026."

10. Pertanyaan yang sering diajukan

Apakah uang saya pasti tidak kembali bila saya yang memberi OTP? Tidak pasti, tetapi peluangnya lebih sulit. Pemulihan sebagian sering terjadi lewat pembekuan akun penerima. Kecepatan melapor sangat menentukan.

Siapa yang harus saya hubungi lebih dulu? Penyedia dompet digital lewat kanal resmi untuk membekukan akun, kemudian polisi dan regulator. Bila dana masuk ke bank, hubungi juga bank Anda.

Apakah saya bisa menuntut pemilik akun penerima? Dapat, bila identitasnya diketahui. Polisi biasanya menelusuri melalui data penyedia. Lihat rekening dipakai untuk penipuan.

Bagaimana mencegah kejadian berulang? Jangan membagikan kode, gunakan kata sandi unik, aktifkan notifikasi, batasi saldo, dan hubungi hanya kanal resmi.

Ringkasan

• Memberikan OTP adalah kelalaian yang mempersulit klaim, tetapi tidak menutup semua jalur.
• Jam pertama paling menentukan: bekukan akun, lapor penyedia, dan minta pembekuan akun penerima.
• Lapor ke polisi dan adukan ke OJK atau BI sesuai pengawas penyedia.
• Simpan bukti dan waspadai penipuan lanjutan.
• Hasil tergantung bukti dan penilaian hakim atau regulator.

Dasar hukum

• UU No. 8 Tahun 1999 tentang Perlindungan Konsumen
• UU No. 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan
• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik
• UU No. 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana

Baca juga

• Phishing dan Penipuan Transfer: Langkah Cepat Melapor ke Bank, OJK, dan Polisi
• Transfer yang tidak ada barangnya: yang disimpan lebih dulu

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.