Penipuan Modern Telah Melebihi Model Keputusan Lama

Penelitian dari UK Cryptoasset Business Council memperkirakan bahwa bank-bank di Inggris telah memblokir atau menunda kira-kira 40% pembayaran yang ditujukan ke bursa kripto. Satu bursa saja mencatat hampir £1 miliar dalam transaksi yang ditolak selama tahun lalu.

Pembatasan ini diterapkan bahkan pada bisnis yang terdaftar di FCA, dan dalam banyak kasus, pelanggan hanya mencoba memindahkan uang mereka sendiri. 

Dan tidak ada banyak alasan untuk berpikir bahwa pembayaran berisiko tinggi yang sah diblokir secara agresif hanya di Inggris. Inggris adalah tempat skala masalah ini telah diukur.

Pertahanan yang dijalankan kebanyakan bisnis mengasumsikan lawan bergerak dengan kecepatan kira-kira perubahan aturan terakhir. Hal ini tidak lagi benar setelah alat AI menjadi murah: pada saat tim penipuan menulis aturan untuk pola yang mereka lihat minggu lalu, penyerang sudah menjalankannya ribuan kali dan beralih ke versi yang tidak terdeteksi oleh aturan tersebut.

Namun respons default tetap hampir sama: menambahkan pemeriksaan lain, memperketat aturan lain, atau memblokir apa pun yang tampak tidak pasti. Pendekatan itu menangkap sebagian penipuan. Tetapi juga menolak pelanggan yang siap membayar, dan pendapatan mereka ikut hilang.

Penyerang Dapat Berubah Lebih Cepat Daripada Aturan Dapat Ditulis Ulang

Aturan bekerja paling baik ketika perilaku mencurigakan berulang dengan cara yang dapat dikenali. Setelah pola menjadi jelas dalam data penipuan atau chargeback, aturan dapat dibangun di sekitarnya untuk menandai transaksi serupa ke depannya.

AI membuat siklus respons itu jauh lebih sulit untuk diikuti. Otoritas Perbankan Eropa memperingatkan pada Desember 2025 bahwa penjahat sudah menggunakan AI untuk mengotomatisasi bagian dari kejahatan keuangan dan menghindari deteksi. Penyerang dapat menguji lebih banyak variasi dengan kerja manual yang lebih sedikit dan mengubah taktik segera setelah satu pendekatan tidak lagi berhasil.

Untuk bisnis pembayaran berisiko tinggi, ini menjadi masalah pada saat pembelian. Sinyal yang sama dapat muncul baik dalam transaksi penipuan maupun yang sah, dan aturan sendiri tidak dapat menentukan mana yang sedang dilihat.Saya terus kembali ke satu analogi: jika pihak lain telah beralih ke robot dengan senjata laser, meminta kuda yang lebih cepat dan baju zirah yang lebih tebal hanya memperkuat pertahanan yang dibangun untuk pertempuran yang sudah usang.

Penipuan Diukur, Pendapatan yang Ditolak Tidak

Ketika sebuah aturan tidak dapat membedakan transaksi penipuan dan yang sah, menolak biasanya menjadi pilihan yang lebih aman bagi bisnis.

Menyetujui transaksi yang salah, dan kerugian dapat muncul sebagai chargeback. Menolak pelanggan yang baik, dan kerugian menjadi jauh lebih sulit terlihat karena transaksi tidak pernah terjadi.

Tekanan untuk menolak hanya meningkat di bawah aturan terbaru untuk Visa’s Acquirer Monitoring Program (VAMP). Sejak 1 April 2026, ambang batas merchant yang berlebihan telah turun dari 2,2% menjadi 1,5% untuk penipuan yang dilaporkan dan sengketa terhadap transaksi yang telah diselesaikan.

Masalahnya adalah VAMP hanya melihat apa yang diselesaikan. Transaksi penipuan yang disetujui dapat merusak rasio merchant nanti, sementara pelanggan yang sah ditolak pada saat checkout menghilang sepenuhnya dari metrik. 

Pada akhirnya ini memberi tim penipuan alasan kuat untuk menjadi lebih konservatif. Semakin ketat mereka, semakin mudah menjaga transaksi yang meragukan keluar dari volume yang diselesaikan yang diukur VAMP.

Paradoks VAMP adalah bahwa merchant masih merasakan biaya di kedua sisi keputusan. Penipuan yang terlewat dapat menimbulkan risiko chargeback, sementara penolakan palsu memotong pendapatan sah sebelum pernah sampai ke bisnis.

Regulator Bergerak Menjauh dari Kontrol Risiko Menyeluruh

Selama bertahun‑tahun, lebih banyak gesekan dianggap sebagai respons paling aman terhadap kejahatan keuangan. Namun Financial Action Task Force (FATF), pembuat standar global, kini memberitahu perusahaan dan pengawas untuk lebih tepat mengenai risiko yang sebenarnya mereka kelola.

Pada Februari 2025, FATF diganti “commensurate” dengan “proportionate” dalam standar berbasis risikonya. Langkah proporsional, menurut definisi FATF sendiri, harus sesuai dengan tingkat risiko yang diidentifikasi dan menguranginya secara efektif. Kasus berisiko lebih rendah juga harus memenuhi syarat untuk langkah penyederhanaan.

Pedoman terbarunya mendorong ide yang sama lebih jauh dengan memperingatkan terhadap de‑risking yang memutuskan pelanggan alih-alih menilai risiko yang ada di depan mereka.

Membuat perbedaan itu sebelum pemeriksaan lain ditambahkan adalah tempat kebanyakan sistem kesulitan. Cara yang baik untuk melakukannya adalah penilaian niat pasif, karena memberi perusahaan lebih banyak konteks sebelum mereka memutuskan apakah pemeriksaan lain memang diperlukan.

Sinyal perilaku dan kontekstual dinilai di latar belakang, sehingga aktivitas berisiko rendah dapat melaju dengan gesekan lebih sedikit dan pembayaran yang benar‑benar mencurigakan mendapat pemeriksaan lebih teliti.

Keputusan Penipuan Membutuhkan Konteks, Bukan Verifikasi Lebih Banyak

Jika pembatasan luas menjadi pilihan ketika risiko tidak jelas, maka masalah sebenarnya adalah bagaimana sebuah bisnis menjadi cukup yakin untuk membuat keputusan yang lebih tepat.

KYC tetap dipertahankan untuk kepatuhan, dan memastikan siapa pelanggan menyelesaikan sebagian pertanyaan penipuan. Sisanya bergantung pada konteks yang tidak pernah dilihat oleh pemeriksaan identitas. Seorang pelanggan terverifikasi yang melakukan pembayaran tidak biasa hanya menjadi masalah jika pembayaran tersebut tidak biasa bagi pelanggan tersebut, dan pemeriksaan identitas tidak memiliki cara untuk mengetahui seperti apa normal bagi mereka.

Informasi berguna berasal dari bagaimana sinyal‑sinyal tersebut saling terhubung secara real time.

Sebuah pembayaran yang tampak tidak biasa hanya berdasarkan jumlahnya mungkin masuk akal sepenuhnya setelah Anda mempertimbangkan riwayat pelanggan, perangkat, waktu, dan urutan tindakan. Pembayaran lain dapat tampak biasa pada setiap ukuran dan menjadi mencurigakan hanya ketika bagian‑bagian tersebut dilihat bersama.

Pembelajaran mesin perilaku sudah melakukan penilaian itu saat transaksi terjadi, yang memberi pedagang dasar keputusan yang jauh lebih jelas.

Inilah juga titik di mana AI yang dipasang pada mesin aturan tidak memadai. Jika ambang batas tetap masih membuat keputusan akhir, AI hanya memberikan lebih banyak informasi pada proses keputusan lama. Penyerang dapat terus mengubah perilaku mereka, sementara aturan di bawahnya masih bergantung pada pola yang sudah diketahui bisnis untuk ditandai.

Menurunkan Lebih Banyak Tidak Menyelesaikan Masalah Dasar

Sistem yang menolak secara agresif tampak lebih aman di atas kertas karena penolakan palsu tidak meninggalkan jejak pada laporan penipuan. Titik buta itu telah membentuk ekonomi pembayaran terlalu lama.

Pedagang harus menilai mesin risiko berdasarkan total hasil ekonomi, menyeimbangkan margin yang disetujui dengan kerugian penipuan dan nilai seumur hidup pelanggan yang ditolak.

Lebih penting lagi, platform pembayaran harus menantang status quo vendor. Penyedia tidak boleh memengaruhi keputusan persetujuan sementara membiarkan pedagang menanggung 100% risiko chargeback. Mitra strategis sejati mendukung keputusan mereka dengan risiko nyata pada neraca, dengan mengasumsikan transfer penuh tanggung jawab keuangan dan menjamin tingkat persetujuan.