Baca berita dengan sedikit iklan, klik disini
TEMPO.CO, Jakarta - Daftar serangan siber yang menyasar perusahaan atau organisasi di tanah air bertambah panjang. Data pribadi dan data perusahaan yang seharusnya terjaga kerahasiaannya tercecer di forum online gelap dan diperdagangkan secara ilegal.
Baca berita dengan sedikit iklan, klik disini
Catatan Tempo.Co menyebut setidaknya ada sepuluh serangan yang terjadi sepanjang tahun lalu. Pada tahun ini sudah ada tiga catatan serupa dengan yang terbaru yang diduga kuat dialami Badan Penyelenggara Jaminan Sosial atau BPJS Kesehatan.
Baca berita dengan sedikit iklan, klik di sini
Baca berita dengan sedikit iklan, klik disini
Pakar keamanan siber dari Vaksincom, Alfons Tanujaya, menilai kesadaran akan pentingnya data pribadi di era digital sekarang ini perlu ditingkatkan di Indonesia, terutama di kalangan pemerintahan. Kalangan pemerintahan yang dinilainya tertinggal dalam pengelolaan data yang baik dan bertanggung jawab.
General Manager untuk Asia Tenggara di Kaspersky Yeo Siang Tiong juga prihatin pembobolan dan kebocoran data dan data pribadi menjadi hal yang semakin kerap terjadi. “Ingatlah, pelanggaran keamanan pada satu akun berpotensi juga menempatkan akun lain dalam risiko. Terutama jika kata sandi dibagikan, atau transaksi reguler dilakukan di antara mereka,” katanya.
Berikut ini beberapa catatan peristiwa serangan-serangan yang membobol data pribadi maupun perusahaan di Indonesia,
MEI 2021, BPJS KESEHATAN
Bocornya data pribadi penduduk Indonesia dari lembaga ini yang kemudian diperjualbelikan diperkuat oleh hasil penelusuran Kementerian Komunikasi dan Informatika terhadap satu juta data--yang memang disediakan si penjual secara gratis di sebuah forum online, Raid Forums. Satu juta data itu ditujukan sebagai sampel dari 279 juta data kependudukan Indonesia yang diklaim dimiliki si penjual.
Hasil penelusuran itu menyebut ada 100.002 data yang diaku mirip struktur data di BPJS Kesehatan. "Struktur data yang terdiri dari Noka (Nomor Kartu), Kode Kantor, Data Keluarga/Data Tanggungan, dan status Pembayaran yang identik dengan data BPJS Kesehatan," kata juru bicara Kementerian Kominfo Dedy Permadi, Jumat, 21 Mei 2021.
Berbagai langkah lalu dilakukan Kementerian Kominfo pascatemuan tersebut. Salah satunya, mengajukan pemutusan akses terhadap tautan untuk mengunduh data pribadi tersebut. "Terdapat tiga tautan yang terindetifikasi dan dua telah dilakukan takedown, sedangkan satu masih terus diupayakan untuk pemutusan akses segera," ujar Dedy.
MARET 2021, PERTAMINA
Kelompok peretas atau hacker yang menamakan diri RansomEXX dikabarkan telah meretas situs perusahaan negara minyak dan gas bumi PT Pertamina. Mereka juga mengklaim membocorkan data yang dicurinya ke dark web.
Kabar tersebut diungkap pertama kali oleh platform investigasi kriminal dark web bernama DarkTracer: DarkWeb Criminal Intelligence atau @darktracer_int, pada Selasa, 23 Maret 2021. DarkTracer memberikan bukti screen capture atau gambar yang berisi tautan akun milik RansomEXX di dark web. Dalam gambar tersebut, terlihat profil PT Pertamina yang cukup lengkap.
Gambar juga menunjukkan bahwa data perusahaan pelat merah itu dipublikasikan pada 19 Maret 2021. “Ukuran data yang dibocorkan: 430.6 MP,” tertulis di gambar itu.
Menurut Cyber Security Researcher and Consultant Teguh Aprianto, data PT Pertamina yang bocor bersumber dari report private milik perusahaan. “Ada dokumen internal dan 91 ribu data customer @pertamina,” cuit pemilik akun @secgron, Kamis, 25 Maret 2021.
Tidak pernah ada klarifikasi ataupun komentar dari Pertamina perihal kabar peretasan itu. Namun indikasi kebenaran adanya serangan itu datang dari seorang mitra Pertamina di bidang BBM & gas retail. Dia menduga, peretasan itu berada di balik kekacauan pemesanan barang atau delivery order berupa BBM & gas yang sempat dialaminya selama 1,5 minggu sejak 6 Maret lalu.
JANUARI 2021, UNIVERSITAS DIPONEGORO
Data mahasiswa Universitas Diponegoro dikabarkan bocor. Kabar datang dari Twitter, Selasa 5 Januari 2021. "Breached! Lebih dari 125 ribu data mahasiswa Universitas Diponegoro (Undip) bocor," tulis akun @fannyhasbi.
Dalam unggahannya, dilampirkan juga tangkapan layar berisi data-data pribadi yang tersebar. Mulai dari data pribadi lengkap mahasiswa, alamat, jalur masuk, email, username, password, IPK, riwayat sekolah, beasiswa, dan lain-lain.
Sempat membantah adanya pembobolan dan memastikan keamanan jaringan yang dimilikinya, Undip hampir berselang dua minggu kemudian mengungkap adanya upaya meretas server milik perguruan tinggi negeri itu dari luar negeri. Secara spesifik upaya itu disebutkan datang dari Belanda, Cina, Hong Kong, serta Meksiko.
Adapun server yang diserang yakni laman pak.undip.ac.id yang semula dipakai untuk penilaian angka kredit. Server yang diperbarui terakhir pada 16 April 2018 itu memang berisi data pribadi mahasiswa Undip namun diklaim tak lagi menjadi bagian dari sistem informasi yang berjalan saat ini.
NOVEMBER 2020, CERMATI
Pada 1 November, startup bidang teknologi keuangan, Cermati.com, dilaporkan telah diretas namun mereka segera mengambil tindakan untuk memastikan keamanan data pengguna. Hal itu diungkapkan Cermati.com dalam surat elektronik kepada pelanggan.
Dalam email tersebut, Cermati.com mengatakan telah mengambil langkah-langkah penanganan, yakni melakukan investigasi dan menghapus akses yang tidak sah untuk memastikan data pengguna tetap terjaga. Termasuk bekerja sama dengan lembaga pemerintah maupun ahli keamanan informasi eksternal independen untuk membantu meningkatkan keamanan secara menyeluruh.
OKTOBER 2020 - RED MART, LAZADA
Platform RedMart milik platform belanja online Lazada dilaporkan mengalami peretasan. Lazada menemukan upaya peretasan tersebut pada 29 Oktober lalu di Singapura. Isu keamanan data tersebut melibatkan basisdata khusus RedMart yang di-hosting oleh penyedia layanan pihak ketiga.
Peretas mendapatkan nama, nomor telepon, email, alamat, kata sandi yang terenkripsi dan sebagian nomor kartu kredit dari pelanggan RedMart. Data ini digunakan di aplikasi dan situs web RedMart sebelumnya, yang sekarang sudah tidak lagi digunakan.
Lazada memastikan bahwa data para pelanggan Lazada di Asia Tenggara, termasuk Indonesia, tidak terpengaruh oleh kejadian ini.
SEPTEMBER 2020 - SHOPBACK, REDDOORZ
Pada akhir September, perusahaan platform cashback e-commerce ShopBack menemukan akses tidak sah ke data pribadi pelanggan. Segera setelah mengetahui insiden ini, ShopBack mengatakan telah melakukan tindakan pengamaman, dan akses tidak sah tersebut telah dihapus.
ShopBack menegaskan bahwa cashback dan kata sandi/password pengguna tetap aman dan terenkripsi. Aplikasi cashback tersebut juga mengimbau pengguna untuk tidak menggunakan kata sandi/password yang sama dengan yang digunakan pada aplikasi lainnya.
Pada saat yang bersamaan, RedDoorz mengirim surat elektronik serupa kepada pelanggan. Jaringan penginapan budget online itu mengakui adanya akses tidak sah masuk dalam sistemnya yang melibatkan data pengguna pelanggan pada awal September.
RedDoorz mengungkapkan jenis pelanggaran data termasuk nama pelanggan, email, nomor telepon, alamat dan rincian pemesanan. Meski begitu, RedDoorz mengatakan data yang terkait dengan informasi keuangan pengguna, seperti kartu kredit dan password masih aman.
AGUSTUS 2020, KREDITPLUS
Data nasabah platform digital Kreditplus diduga bocor di forum internet. Menurut Lembaga Riset Keamanan Siber dan Komunikasi CISSReC, sebanyak 819.976 data nasabah Kreditplus yang bocor meliputi nama, KTP, email, status pekerjaan, alamat, data keluarga penjamin pinjaman, tanggal lahir, dan nomor telepon.
Kementerian Komunikasi dan Informatika (Kominfo) menyatakan sudah mengirimkan surat kepada pengelola platform digital Kreditplus mengenai dugaan bocornya data pengguna. Kominfo menegaskan Kreditplus sebagai penyelenggara sistem elektronik (PSE) wajib memenuhi standard perlindungan data pribadi sebagaimana diatur dalam Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik.
JUNI 2020, DATA COVID-19
Pada akhir Juni, muncul kabar yang menyebutkan peretasan basisdata Covid-19. Kementerian Komunikasi dan Informatika (Kominfo) menelusuri dugaan peretasan itu dan mengatakan database Covid-19 dan hasil cleansing yang ada di pusat data aman. Kominfo juga berkoordinasi dengan Badan Siber dan Sandi Negara (BSSN), selaku penanggung jawab keamanan data Covid-19 di Indonesia.
Pelaku peretasan atas nama Database Shopping di dark web RaidForums menjual data pasien Covid-19 di Indonesia 18 Juni. Peretas mengaku data tersebut diambil pada pembobolan 20 Mei. Fitur spoiler di situs gelap menunjukkan data yang diambil antara lain berupa ID pengguna, jenis kelamin, usia, nomor telepon, alamat tinggal hingga status pasien.
Peretas diduga mengantongi 230.000 data dalam format MySQL dalam unggahan di situs gelap tersebut.
MEI 2020 - TOKOPEDIA, BUKALAPAK, BHINNEKA
Pada awal Mei, platform belanja online Tokopedia dilaporkan dibobol setelah seorang peretas mengklaim memiliki data 15 juta pengguna Tokopedia di dark web. Data yang diretas, seperti yang diumumkan, berupa nama, alamat email dan password.
Belakangan, diduga kebocoran data ini menimpa pengguna dalam jumlah yang lebih besar, sebanyak 91 juta pengguna. Tokopedia memberi notifikasi pada semua pengguna mereka sambil memulai penyelidikan dan memastikan akun dan transaksi di platform tersebut tetap aman.
Beberapa hari berselang, Bukalapak dikabarkan kembali diretas, namun hal itu dibantah oleh platform belanja online tersebut. Bukalapak mengatakan keamanan data pengguna menjadi prioritas, dan selalu mengimplementasi berbagai upaya demi meningkatkan keamanan dan kenyamanan para pengguna, serta memastikan data-data pengguna tidak disalahgunakan.
Tautan yang beredar, menurut Bukalapak, adalah informasi dari kejadian tahun lalu di mana data 13 juta pengguna mereka dibobol. Pada peretasan 2019, Bukapalak mengklaim sudah menemukan sumber peretasan dan menghentikan akses tersebut. Selain itu, mereka juga mengingatkan para pengguna untuk secara berkala mengganti kata kunci, sambil perusahaan memperkuat sistem keamanan.
Beberapa hari setelah itu, tepatnya pada 10 Mei, kelompok peretas bernama ShinyHunters mengklaim telah membobol sepuluh perusahaan, salah satunya e-commerce b to b asal Indonesia, Bhinneka. Kelompok peretas, yang kabarnya juga dalang peretasan Tokopedia, dilaporkan membobol 1,2 juta data pengguna Bhinneka, dan menjualnya di pasar web gelap atau dark web.
Bhinneka menekankan bahwa keamanan dan kenyamanan pelanggan saat berbelanja selalu menjadi prioritas. Mereka juga menyatakan telah menerapkan standar keamanan global PCI DSS (Payment Card Industry Data Security Standard) dari TUV Rheinland untuk melindungi pelanggan.
MEI 2020, KPU
Masih pada Mei, tepatnya 22 Mei, peretas mengklaim telah membobol 2,3 juta data warga Indonesia dari Komisi Pemilihan Umum (KPU). Informasi itu datang dari akun @underthebreach, yang sebelumnya mengabarkan kebocoran data ecommerce Tokopedia.
Akun itu juga menyebutkan bahwa peretas membocorkan informasi 2.300.000 warga Indonesia. Data termasuk nama, alamat, nomor ID dan tanggal lahir. Data tersebut tampaknya merupakan data 2013.
Tidak hanya itu, peretas juga mengklaim akan membocorkan 200 juta data lainnya. Dalam cuitannya, @underthebreach mengunggah foto tangkapan layar di sebuah forum peretas di mana sang peretas menyebutkan bahwa data ID termasuk NIK dan NKK.
