Mengapa “Keyboard Aman” di Aplikasi Bank Tidak Benar-Benar Melindungi Keamanan Rekening Anda?

Episode terbaru podcast tim pengembang 1Password penuh dengan “hot takes” soal keamanan siber: seberapa aman tautan login yang dikirim lewat email, apakah password akan mulai meredup di 2026, sampai pertanyaan klasik—apakah VPN benar-benar bisa melindungi kita.

Kalau saya diminta menambahkan satu “hot take” lagi, saya akan mengajukan ini: keyboard “aman” di aplikasi bank tidak benar-benar menjaga keamanan akun Anda. Yang saya maksud dengan “keyboard aman” adalah keyboard sentuh buatan sendiri yang dipaksa muncul di kolom kata sandi pada banyak aplikasi mobile banking—terutama di Tiongkok daratan dan beberapa negara atau wilayah lain.

Kalau kita membuat daftar praktik keamanan paling “absurd” yang diadopsi lembaga keuangan dalam sepuluh tahun terakhir, fitur ini pantas masuk tiga besar.

Dari mana asal “keyboard aman” ini?

Mari mundur sekitar 30 tahun, ke masa ketika komputer pribadi bahkan belum sepenuhnya populer. Pada 1997, China Merchants Bank sudah meluncurkan layanan internet banking ritel dan personal bernama “OneNetcom” (一網通).

Itu jauh lebih awal dari yang kebanyakan orang kira. Saat itu baru sekitar satu dekade sejak email terkenal “Menembus Tembok Besar, menuju dunia” dikirim. QQ bahkan belum bernama QQ—masih OICQ. Komputer rumahan belum jamak, dan kalau ada pun biasanya satu perangkat dipakai bersama sekeluarga, dianggap barang mewah.

Namun, permintaan internet tetap meledak. Aplikasi seperti pesan instan, game online, dan internet banking mendorong orang online lebih cepat daripada penyebaran perangkat dan infrastruktur. Kesenjangan ini melahirkan “infrastruktur” khas era itu: warnet, komputer publik dengan akses internet publik.

Ancaman besar era warnet: keylogger hardware

Sekarang kita paham betul bahwa login di perangkat publik punya banyak risiko: harus logout, pakai mode tamu atau incognito, jangan simpan password, dan seterusnya.

Tetapi dulu ada satu serangan yang sederhana, murah, dan mematikan: keylogger hardware.

Perangkat ini diselipkan di antara keyboard dan port PS/2 komputer, diam-diam merekam setiap ketukan tombol—setiap karakter, password, bahkan isi chat. Agar tak terlihat, ukurannya biasanya kecil dan disembunyikan di belakang casing PC.

Bayangkan Anda duduk di warnet, membuka QQ, lalu mengetik ID dan kata sandi. Setelah Anda pulang, orang yang memasang keylogger mengambil perangkat itu, membaca rekamannya, lalu menemukan kredensial Anda di sela-sela log ketikan—mungkin bahkan di antara obrolan Anda yang “manis-manis” dengan teman online. Tiga hari kemudian, akun QQ Anda raib.

Tencent dan perusahaan lain kebanjiran keluhan. Mereka mengingatkan pengguna untuk memeriksa bagian belakang PC—area port PS/2—apakah ada perangkat aneh. Namun, laporan tetap berdatangan.

Lalu seorang engineer menemukan ide cerdas: keylogger hanya merekam input keyboard, tapi tidak bisa merekam tampilan layar.

Jadi kenapa tidak melewati keyboard fisik sepenuhnya?

Lahirnya soft keyboard, cikal bakal “keyboard aman” bank

Dari sinilah “soft keyboard” populer di PC: tampilan keyboard di layar yang diklik dengan mouse. Karena input berasal dari klik mouse, keylogger hardware tidak bisa menangkapnya. Banyak software—termasuk QQ—memberikan fitur ini.

Bahkan, demi mengurangi risiko proses input direkam lewat kamera atau video, sebagian aplikasi menganjurkan strategi campuran: beberapa karakter diketik biasa, beberapa karakter dimasukkan lewat soft keyboard.

Soft keyboard era PC inilah yang menjadi nenek moyang “keyboard aman” di aplikasi bank saat ini.

Secara praktik, banyak aplikasi bank akan mengganti keyboard sistem (atau keyboard pihak ketiga yang dipilih pengguna) dengan keyboard buatan mereka sendiri ketika Anda memasukkan password. Di industri keuangan Tiongkok, standar yang sering dikutip—misalnya JR/T 0068-2020 dan JR/T 0092-2019—menyebut langkah-langkah seperti enkripsi per karakter, soft keyboard kustom, dan teknik pencegahan “penyadapan keyboard” untuk melindungi input informasi sensitif.

Namun, ada dua hal penting yang sering terlewat.

Pertama, standar “JR/T” bersifat rekomendasi, bukan kewajiban—huruf “T” menunjukkan itu.

Kedua, standar lebih banyak mengatur “hasil akhir” daripada cara implementasinya. Akibatnya, tiap bank punya versi sendiri: kualitasnya bisa sangat berbeda, dari yang rapi sampai yang… bikin geleng kepala.

Ada aplikasi bank yang menggunakan mekanisme sistem seperti custom input view sehingga pengalaman mengetik terasa mirip keyboard asli. Ada juga yang menggambar kolom input palsu, lalu menampilkan UI “mengambang” untuk mensimulasikan keyboard.

Dan ada pula implementasi yang benar-benar kacau. Contohnya, ada aplikasi yang terlihat mendukung “paste” di kolom password—bahkan tombol “Tempel” muncul saat Anda menahan kolom input. Tetapi ketika Anda menempelkan password dari 1Password, hasilnya dianggap salah, sementara jika Anda mengetik lewat keyboard “aman” internal, password yang sama justru diterima.

Ini mengindikasikan kemungkinan trik di balik layar: aplikasi hanya merekam input dari keyboard internal (UI sekadar menampilkan titik), atau setiap karakter yang Anda masukkan sebenarnya dimapping ke bentuk Unicode lain sebelum diproses.

Pertanyaannya jadi tak terhindarkan: ini benar-benar keamanan, atau sekadar “placebo” yang dibuat sangat meyakinkan?

“Keyboard aman” justru mendorong perilaku yang tidak aman

Alasan kita membedah sejarahnya panjang lebar adalah untuk menegaskan bahwa “keyboard aman” adalah produk zaman tertentu: saat perangkat publik (warnet) menjadi pintu utama orang mengakses internet.

Kini situasinya berbeda.

Komputer pribadi jauh lebih umum, sehingga risiko “hardware dipasangi alat” menurun drastis. Keamanan tingkat perangkat keras (seperti secure boot dan mekanisme integritas) makin matang. Literasi kebersihan digital meningkat. Dan yang paling penting: di era smartphone, merekam input sentuh seperti keylogger fisik hampir tidak realistis.

Untuk meniru efek keylogger di smartphone secara hardware, penyerang harus mencegat sinyal layar atau touch—yang nyaris mustahil dilakukan secara massal dan tanpa jejak. Serangan seperti kabel berbahaya di tempat umum memang ada, tetapi itu berbeda kelas masalah dan tidak spesifik diselesaikan oleh “keyboard aman”.

Kalau hardware sulit, bagaimana dengan software?

Bahkan aplikasi level sistem pun biasanya tidak bisa sembarangan mengambil input layar melalui API perekaman layar. Pengguna iPhone, misalnya, walaupun memakai keyboard pihak ketiga untuk pengetikan normal, di kolom password akan dipaksa kembali ke keyboard bawaan iOS. Di sebagian Android, ada fitur “password keyboard” yang aktif secara default dan akan mengganti keyboard pihak ketiga ketika field sensitif (seperti SecurityField) digunakan.

Anda mungkin berpikir: “Bagaimana dengan serangan inferensi lewat sensor seperti gyroscope?” Memang ada riset akademik yang mengeksplorasi hal itu. Namun poin pentingnya: keyboard biasa pun soft keyboard—keyboard buatan bank juga soft keyboard. Jika ada malware yang mampu menginfer input lewat sensor, serangannya cenderung “AOE”: menarget semua keyboard di layar, bukan hanya keyboard sistem.

Satu-satunya mitigasi yang punya makna di skenario itu adalah keyboard yang benar-benar acak—tombol diacak setiap kali. Tetapi untuk membuat serangan nyata berhasil, penyerang harus melewati hambatan yang sangat tinggi: menembus pembatasan OS, berjalan terus di background, tidak dibunuh sistem, tidak memperlambat perangkat, dan tetap mampu merekonstruksi input dengan akurat.

Namun, bahkan jika bank melakukan semua itu dengan sempurna, masalah terbesar masih ada.

Memblokir password manager adalah “own-goal” keamanan

Banyak implementasi “keyboard aman” membuat autofill password manager rusak atau tidak bisa dipakai sama sekali.

Ini ironis, karena OS modern (macOS, iOS, Android) menyediakan jalur autofill yang aman justru untuk mengurangi risiko: tidak perlu mengetik manual, mengurangi peluang pencurian input, dan membuat serangan inferensi jauh lebih tidak relevan karena pengguna tidak memasukkan password lewat ketikan.

Ketika aplikasi memaksa keyboard kustom, memodifikasi field input, atau melakukan transformasi karakter secara non-standar, password manager sering gagal mendeteksi kolom atau menyuntikkan kredensial. Pengguna akhirnya dipaksa kembali ke cara lama: mengetik manual.

Dan mengetik manual selalu punya konsekuensi.

Jika proses input lambat, menyebalkan, dan rawan salah—apalagi pada keyboard yang diacak—pengguna secara alami akan memilih password yang lebih mudah diingat dan lebih mudah diketik. Itu biasanya berarti password ber-entropy rendah.

Polanya sama seperti “aturan password kompleks” di banyak situs dulu: harus ada huruf besar, huruf kecil, angka, simbol, dan panjang minimum tertentu. Secara teori terdengar masuk akal, tetapi praktiknya justru mendorong password yang mudah ditebak seperti P@ssw0rd1, serta memicu kebiasaan paling berbahaya: memakai satu password “yang lolos di mana-mana” lalu digunakan ulang di banyak layanan.

Keyboard “aman” yang menambah friksi sering menghasilkan efek serupa: pengguna memilih password yang “nyaman” untuk manusia, bukan password yang benar-benar kuat, unik, dan dikelola dengan baik oleh password manager.

Jadi, fitur yang diklaim sebagai “perlindungan tambahan” bisa berujung pada penurunan keamanan nyata.

Musuh keamanan bukan kenyamanan—melainkan friksi

Ada pepatah lama: keamanan dan kenyamanan harus saling mengorbankan.

Semakin lama Anda “hidup” di internet, semakin terasa bahwa itu tidak selalu benar.

Keamanan sering gagal bukan karena sesuatu itu mudah, tetapi karena ia terlalu merepotkan—sehingga orang mencari jalan pintas.

Karena itulah password manager diciptakan. Manusia tidak didesain untuk membuat, mengingat, dan mengelola ratusan password unik yang ber-entropy tinggi. Berikan sistem yang selaras dengan perilaku manusia, dan keamanan justru meningkat.

Dilihat dari kacamata hari ini, password manager dan passkeys punya kesamaan pengalaman pengguna: keduanya membuat kredensial, menyimpannya, lalu saat digunakan cukup melakukan verifikasi cepat (Face ID, sidik jari, unlock perangkat). Passkeys memberi ketahanan ekstra terhadap phishing melalui kriptografi kunci publik, tetapi password manager yang digunakan dengan benar sudah menyelesaikan banyak masalah praktis yang membuat “era password” rapuh di dunia nyata.

Masalah terbesar bukan “password semata”. Masalahnya adalah ekosistem di sekitarnya: cara menyimpan, cara mengirim, kebiasaan reuse, phishing, dan faktor manusia.

Itulah mengapa standar seperti FIDO dan passkeys penting: mereka berupaya membakukan dan “membungkus” bagian tersulit agar pengguna tidak perlu memikul beban mental.

Namun, ada satu kenyataan yang tidak bisa dilompati: standar tidak bisa mengubah dunia dalam semalam. Password sudah menjadi default selama puluhan tahun, dan migrasi internet butuh waktu.

Sambil menunggu transisi itu selesai, kita perlu jujur tentang apa yang benar-benar membantu.

“Keyboard aman” yang dipaksakan sering kali merupakan respons warisan terhadap model ancaman lama. Dalam banyak implementasi, ia memblokir password manager, menambah friksi, dan mendorong kebiasaan yang lebih lemah—sementara perlindungan tambahannya terhadap serangan paling umum hari ini sering kali minim.

Dalam keamanan siber, sistem terbaik bukan menang karena memaksa pengguna bekerja lebih keras.

Mereka menang karena membuat jalur paling aman menjadi jalur yang paling mudah.

Itulah sebabnya, kenyamanan bukan musuh keamanan.

Yang menjadi musuh adalah friksi dan kerumitan yang tidak perlu.