4 Agustus 2026
Berlaku mulai 10 Juli 2027, peraturan baru Uni Eropa tentang pencegahan pencucian uang akan mengubah cara lembaga keuangan, perusahaan kripto, dan pihak terkait lainnya menangani proses onboarding, kepatuhan, serta manajemen risiko. Paket peraturan ini bertujuan untuk mengurangi fragmentasi di antara negara-negara anggota, meringankan beban administratif, serta meningkatkan keamanan dan pengalaman pengguna (UX) melalui verifikasi identitas elektronik.
Inti dari paket regulasi baru ini adalah Standar Teknis Regulasi (RTS), yang saat ini sedang disusun. RTS akan menetapkan persyaratan mengenai cara lembaga keuangan yang beroperasi di Uni Eropa harus melaksanakan uji tuntas nasabah, penilaian risiko, dan proses pendaftaran digital.
Blog ini membahas faktor-faktor pendorong perubahan regulasi, apa arti persyaratan tersebut bagi perusahaan-perusahaan di Uni Eropa, serta langkah-langkah yang dapat diambil organisasi saat ini untuk menghindari risiko ketidakpatuhan di masa mendatang.
Faktor-Faktor yang Mendorong Penerapan Pengawasan AML yang Lebih Ketat
Perubahan-perubahan tersebut merupakan respons terhadap semakin canggihnya praktik pencucian uang dan pendanaan terorisme di Uni Eropa maupun di luar wilayah tersebut. Dengan memanfaatkan kecerdasan buatan generatif, alat deepfake, dan jaringan “crime-as-a-service”, para penjahat berhasil mengelabui sistem verifikasi identitas konvensional dan membuka rekening palsu.
Identitas palsu di dalam lingkup KYC dapat dimanfaatkan untuk pencucian uang, pendanaan terorisme, dan penghindaran sanksi. Para penjahat dapat memperluas praktik ini — seorang individu saja dapat membuka banyak rekening dengan menggunakan berbagai identitas yang dicuri atau dibuat-buat.
Kelemahan dalam sistem verifikasi identitas yang rapuh terungkap pada awal tahun 2026, ketika seorang pelaku kejahatan membuka 46 rekening bank di ABM AMRO dengan menggunakan informasi identitas yang dicuri dan deepfake untuk mengelabui sistem verifikasi identitas “ID + Selfie”.
Peralihan ke Proses Onboarding yang Sesuai dengan eIDAS
Tanggapan pihak regulator terhadap hal ini adalah mewajibkan pengendalian identitas yang lebih ketat pada tahap onboarding, yang didasarkan pada eIDAS. Rancangan RTS menetapkan eID sebagai sarana standar untuk memverifikasi identitas pengguna, sementara dokumen fisik dan verifikasi identitas melalui panggilan video diturunkan statusnya menjadi opsi cadangan — yang penggunaannya harus dijustifikasi oleh lembaga kepada otoritas pengawas setiap kali digunakan.
Peraturan tentang Identifikasi Elektronik, Otentikasi, dan Layanan Kepercayaan (eIDAS) menetapkan kerangka kerja untuk penggunaan eID dalam proses onboarding jarak jauh. Tingkat Jaminan (LoA) dalam peraturan tersebut mengukur tingkat keyakinan terhadap identitas yang diklaim — AMLR menerima eID pada tingkat LoA Substantial dan High. Tingkat High merupakan standar verifikasi identitas yang paling ketat di Uni Eropa.
Dengan batas waktu Juli 2027 yang semakin dekat, perusahaan-perusahaan di Uni Eropa berada di bawah tekanan untuk memodernisasi sistem identitas mereka guna memenuhi persyaratan yang berlaku. Proses sertifikasi memakan waktu berbulan-bulan, sehingga penerapan solusi identitas yang belum tersertifikasi sesuai dengan tingkat jaminan eIDAS berisiko menimbulkan ketidakpatuhan dan sanksi yang akan dikenakan saat batas waktu tiba.
Bekerja sama dengan penyedia layanan identitas yang telah memiliki sertifikasi modular untuk tingkat High dan Substantial tidak hanya menghilangkan risiko ini, tetapi juga memungkinkan Anda menyesuaikan tingkat jaminan dengan risiko yang terkait dengan transaksi, identitas, atau faktor kontekstual — sehingga tercipta keseimbangan antara kecepatan, pengalaman pengguna (UX), dan keamanan.
Ketahanan Terhadap Ancaman Identitas Sangat Penting
Meskipun draf RTS menyatakan bahwa verifikasi identitas harus sesuai dengan eIDAS, draf tersebut belum menetapkan persyaratan khusus terkait kemampuan anti-spoofing. Tidak adanya standar keamanan dasar berisiko membuat lembaga keuangan mengadopsi solusi yang tidak mampu menahan ancaman identitas terkemuka saat ini. Serangan terhadap sistem identitas jarak jauh terbagi menjadi dua bentuk:
- Serangan presentasi: Pelaku serangan membeli, mencuri, atau memalsukan dokumen identitas fisik untuk menipu proses verifikasi dokumen, kemudian memegang cetakan, topeng, atau video deepfake yang diputar di layar di depan kamera.
- Serangan injeksi: Penyerang melewati kamera sepenuhnya, menyisipkan gambar dokumen palsu dan wajah sintetis langsung ke dalam aliran data, biasanya menggunakan kamera virtual atau lingkungan virtual.
Meskipun serangan presentasi masih marak terjadi, serangan ini sudah dipahami dengan baik, skalanya terbatas, dan banyak solusi yang telah tervalidasi untuk mendeteksi serangan presentasi (PAD). Sebaliknya, serangan injeksi berkembang pesat dan terus berevolusi dengan cara yang membingungkan sistem pertahanan yang ada sebelumnya. Pada tahun 2026, iProov Threat Intelligence melaporkan peningkatan sebesar 1.151% dalam serangan injeksi yang menargetkan sistem iOS, sebuah platform yang sebelumnya dianggap aman berkat ekosistem tertutup Apple.
Jika digabungkan dengan deepfake yang dihasilkan oleh kecerdasan buatan (AI) dan identitas sintetis, serangan injeksi terbukti menjadi metode utama yang digunakan penyerang untuk melewati sistem pertahanan identitas — yang banyak di antaranya mengandalkan prinsip PAD dasar — serta membuka rekening palsu, sehingga melemahkan pengendalian AML.
Deteksi Serangan Injeksi
Solusi identitas dapat membuktikan kemampuan deteksi serangan injeksi (IAD) mereka melalui pengujian dan validasi independen yang sesuai dengan standar. CEN TS 18099 merupakan standar teknis terkini untuk deteksi serangan injeksi, yang mengklasifikasikan IAD ke dalam kategori “Substantial” dan “High”. Ingenium, sebuah laboratorium pengujian, melangkah lebih jauh dengan menetapkan 5 tingkatan IAD, di mana Tingkat 2 setara dengan kategori “High” menurut CEN.
Meskipun AMLR RTS belum secara eksplisit menetapkan deteksi serangan injeksi sebagai persyaratan, peralihan ke sistem deteksi serangan injeksi (IAD) yang dapat dibuktikan merupakan arah yang harus ditempuh dalam kepatuhan identitas global. NIST SP 800-63-4, yang disahkan pada tahun 2025, secara eksplisit mensyaratkan agar sistem verifikasi identitas jarak jauh menerapkan pengendalian terhadap konten yang dihasilkan oleh kecerdasan buatan (AI) dan serangan injeksi.
Jadi, meskipun IAD mungkin belum menjadi persyaratan eksplisit dalam peraturan AML, lembaga keuangan dapat mengambil langkah lebih awal dalam hal kepatuhan dengan menjalin kemitraan bersama penyedia layanan identitas yang mampu membuktikan kepatuhan terhadap baik IAD maupun PAD sesuai dengan standar yang diakui.
Bagaimana iProov Dapat Membantu Anda Bersiap Menghadapi Paket AML yang Akan Datang
iProov telah memperoleh sertifikasi modular eIDAS pada Tingkat Jaminan Tinggi (iProov Dynamic Liveness) dan Tingkat Jaminan Substansial (iProov Express Liveness). Dynamic Liveness telah diverifikasi sesuai dengan Ingenium Level 4 (CEN TS 18099), yang merupakan IAD dengan verifikasi independen tertinggi di antara semua vendor biometrik pada saat artikel ini ditulis.
Daftarkan diri Anda untuk mengikuti demo agar Anda dapat memahami bagaimana kami dapat membantu.
