Pemerintah mewajibkan sertifikasi ISO/IEC 30107-3 untuk sistem verifikasi wajah dalam registrasi SIM baru. Kedengarannya meyakinkan. Namun, jika Anda membaca dokumen standar tersebut secara saksama, ada satu kalimat yang sering terlewat: "Serangan yang dipertimbangkan dalam dokumen ini terjadi pada perangkat penangkap biometrik saat presentasi. Serangan lainnya dianggap di luar cakupan dokumen ini." Artinya, standar ini hanya menguji apakah sistem bisa membedakan wajah asli dari foto, video, topeng, atau replika 3D yang disodorkan ke kamera — bukan serangan injeksi digital yang justru menjadi ancaman utama saat ini.
Presentasi vs Injeksi: Dua Dunia Berbeda
Serangan presentasi (presentation attack) adalah ancaman klasik: pelaku menunjukkan foto, video, atau topeng ke kamera untuk mengelabui sistem. Ini relatif mudah dideteksi dengan teknologi liveness detection yang sudah matang. Namun, serangan injeksi (injection attack) bekerja dengan cara yang jauh lebih canggih: ia melewati kamera sepenuhnya, menyuntikkan media sintetis seperti deepfake langsung ke aliran data melalui virtual camera atau API.
Menurut vendor biometrik iProov, serangan injeksi "bypasses the camera entirely, feeding synthetic media like a deepfake directly into the data stream. Injection attacks are harder to detect and require server-side analysis." Dengan kata lain, sistem bisa lolos sertifikasi ISO/IEC 30107-3 namun tetap rentan terhadap deepfake yang disuntikkan ke pipeline data.
Lonjakan Serangan yang Mencemaskan
Data industri menunjukkan bahwa serangan injeksi justru melonjak drastis. Laporan iProov Threat Intelligence Report 2025 mencatat bahwa "Native Virtual Camera attacks have become the primary threat vector, increasing by 2665% due partly to mainstream app store infiltration." Face swap juga meningkat 300% dibanding 2023, dengan deepfake dan serangan injeksi mencapai 3,9% dari seluruh pengecekan identitas — naik dari 1,6% pada 2023.
Laporan iProov 2026 yang dirilis April lalu menyebut serangan injeksi terhadap perangkat iOS melonjak 1.151% pada paruh kedua 2025, dan Asia Tenggara mengalami lonjakan serangan 720% pada kuartal ketiga 2025. Firma keamanan Group-IB mendokumentasikan 8.065 percobaan biometric injection attack terhadap satu institusi keuangan antara Januari-Agustus 2025.
Celah Struktural yang Diakui Industri
Analis NHI Management Group menegaskan bahwa "a control can satisfy PAD requirements and still fail against deepfake injection because the threat model changed from spoofing a sensor to subverting the data path." Ini bukan sekadar kekhawatiran teoretis — ini adalah celah struktural yang diakui oleh industri keamanan biometrik global.
Untuk menutup celah ini, industri global tengah mengembangkan standar terpisah — CEN/TS 18099 untuk Injection Attack Detection (IAD), yang akan menjadi dasar standar ISO/IEC 25456 mendatang. Standar ini berbeda dari ISO/IEC 30107-3 yang diwajibkan Permenkomdigi. Dengan kata lain, standar yang dirujuk aturan Indonesia dirancang untuk kelas ancaman yang berbeda dari deepfake generasi baru.
Pertanyaan yang Belum Terjawab
Apakah operator-operator Indonesia sudah memiliki pertahanan terhadap serangan injeksi? Pertanyaan ini belum terjawab secara publik. Pasal 3 ayat (5) Permenkomdigi hanya mewajibkan sertifikasi ISO/IEC 30107-3 — tidak menyebutkan standar injeksi. Jika operator hanya mengandalkan standar ini, sistem mereka bisa lolos uji namun tetap rentan terhadap serangan deepfake yang disuntikkan melalui aplikasi pihak ketiga atau virtual camera.
Implikasi: Ketidaksesuaian dengan Ancaman Nyata
Kebijakan yang baik harus dirancang berdasarkan ancaman terkini, bukan standar yang dirancang untuk ancaman masa lalu. Ironisnya, pemerintah mengklaim kebijakan ini sebagai langkah maju dalam keamanan digital, namun standar teknis yang diwajibkan justru tidak sesuai dengan lanskap ancaman yang sebenarnya.
Pertanyaan terbuka: Akankah Komdigi merevisi aturan untuk mewajibkan standar injeksi detection? Atau akankah operator secara sukarela mengadopsi standar CEN/TS 18099? Tanpa langkah ini, kebijakan registrasi SIM biometrik Indonesia berisiko menjadi pintu masuk bagi gelombang baru kejahatan digital berbasis deepfake — sebuah ironi yang pahit mengingat tujuan awalnya adalah memutus rantai penipuan.