password encryption untuk akun pengguna elaporan baik bank maupun pegawai menggunakan plaintext, atau tanpa di enkripsi. sehingga password akun aplikasi yg ada di LPS dapat dilihat oleh tim di GSTI yang mempunyai akses ke database/sqlquery. Bukti yang disampaikan adalah tim GSTI share password 4 akun elaporan dari bank dengan password asli yang dimiliki bank kepada vendor, meskipun akun tersebut dimaksudkan untuk tes scenario/SIT suatu aplikasi yg dibangun vendor, namun password tersebut merupakan password asli milik bank. Password untuk akun-akun di aplikasi LPS seharusnya di enkripsi dan tidak di share ke siapapun sehingga tidak bisa diketahui kecuali oleh pemilik akun itu sendiri. karena jika tanpa enkripsi bisa disalahgunakan apalagi itu untuk akses akun elaporan bank yang didalamnya bisa terdapat laporan-laporan bank yang confidential, terlebih password tsb telah di share ke pihak luar LPS. Seharusnya tim security IT di LPS meng-enkripsi password2 yg ada di database LPS. 