Tahukah GudPeople, Indonesia menempati peringkat ke-13 di dunia terkait kebocoran data. Pada 2023, kasus kebocoran data di Indonesia bahkan hampir mencapai 1 juta data.
Mengkhawatirkan sekali, kan?
Sebab itu, sangat penting bagi kita untuk sadar terhadap privasi data dan belajar dari kasus kebocoran data perusahaan di Indonesia agar kejadian serupa tidak terulang.
10 Kasus Kebocoran Data Perusahaan di Indonesia
1. Bank Indonesia
Pada tanggal 17 Desember 2021, Bank Indonesia terkena serangan siber.
Untungnya, Bank Indonesia cepat tanggap dan langsung melaporkan kejadian ke Badan Siber dan Sandi Negara (BSSN). BSSN dan Bank Indonesia langsung bekerja sama untuk mengatasi masalah ini.
Anton Setiawan, juru bicara BSSN, menjelaskan kebocoran data berasal dari kantor Bank Indonesia cabang Bengkulu, bukan dari kantor pusat.
Ada 16 komputer di kantor cabang Bengkulu yang terkena serangan ini. Data yang dicuri berisi tentang pekerjaan-pekerjaan personal di kantor tersebut.
Anton menegaskan, tidak ada data penting tentang sistem utama Bank Indonesia yang ikut dicuri, jadi keamanannya masih terjaga.
Kabar kebocoran data ini pertama kali muncul dari akun Twitter bernama Dark Tracer. Mereka bilang ada sekelompok penjahat siber bernama “Conti” yang melakukan serangan ini. Conti terkenal suka menggunakan virus “ransomware” yang bisa mengunci data di komputer.
Dark Tracer juga memposting gambar file-file yang terlihat seperti milik Bank Indonesia, dengan nama file depannya “corp.bi.go.id”. Ada total 838 file dengan ukuran sekitar 487 MB yang berhasil dicuri oleh Conti.
2. BPJS Kesehatan
Pada Mei 2021, data dari sekitar 279 juta orang Indonesia—hampir seluruh populasi Indonesia, termasuk data orang yang sudah meninggal, bocor dan dijual di internet.
Data ini diduga kuat berasal dari BPJS Kesehatan.
Data yang bocor ini sangat lengkap, mulai dari nama, nomor telepon, alamat, gaji, bahkan sampai sekitar 20 juta data juga melampirkan foto pribadi.
Data-data ini dijual di sebuah forum internet bernama RaidForums oleh seseorang dengan nama akun “Kotz”. Ia bahkan memberikan contoh 1 juta data gratis untuk dicoba.
BPJS Kesehatan sendiri sudah membentuk tim khusus bersama BSSN, Kominfo, dan Telkom untuk mencari tahu apa yang terjadi. Kominfo juga memanggil direksi BPJS Kesehatan untuk memastikan data yang bocor dan menguji ulang sistem keamanannya.
Kominfo sudah berusaha mencegah penyebaran data ini dengan memblokir link (tautan) untuk mengunduh datanya.
3. PT Pertamina Training & Consulting
PT Pertamina Training & Consulting (PTC), anak perusahaan Pertamina yang mengurus pelatihan dan pengembangan sumber daya manusia, mengalami kebocoran data sekitar 163.000 pelamar kerja di PTC.
Data yang bocor sangat lengkap, termasuk nama lengkap, alamat, tempat dan tanggal lahir, agama, nomor telepon, gelar pendidikan, bahkan data KTP, Kartu Keluarga, ijazah, transkrip nilai, kartu BPJS, CV, sampai Surat Izin Mengemudi (SIM) juga ikut bocor.
Data-data ini disebarkan oleh orang yang sama yang sebelumnya membocorkan data pasien Covid-19 dari Kementerian Kesehatan, nama akunnya adalah ‘Astarte’. Data ini disebarkan di sebuah forum internet bernama Raid Forums.
Mengutip Liputan6.com, Pakar keamanan siber, Pratama Persadha, mengatakan pelaku mengklaim memiliki banyak data pelamar kerja Pertamina sebesar 60 GB.
Namun, sampai sekarang belum jelas dari mana data ini bocor, apakah dari Pertamina pusat, dari PTC, atau dari komputer karyawan.
4. PLN
Jadi, ada seorang hacker (peretas) dengan nama akun @loliyta mengaku sudah mencuri data lebih dari 17 juta pelanggan PLN. Ia menyebarkan informasi ini di sebuah situs bernama breached.to, di forum hacker Breach Forum.
Data-data pelanggan PLN yang dicuri itu macam-macam, mulai dari ID pelanggan, nama pelanggan, alamat, jenis listrik yang dipakai, sampai nomor meteran dan jumlah pemakaian listrik (kWh).
Mengutip Kompas.com, juru bicara PLN, Gregorius Adi Trianto, menyatakan data yang beredar itu bukan data asli, melainkan data tiruan yang sudah tidak update. Ia memastikan server data PLN aman dan tidak ada orang luar yang masuk.
PLN juga mengaku sudah bekerja sama dengan BSSN untuk memperkuat keamanan data mereka.
5. Jasa Marga
PT Jasa Marga, perusahaan yang mengelola jalan tol, mengakui data internal mereka bocor.
Namun, Jasa Marga menegaskan data yang bocor itu bukan data pelanggan, melainkan data internal dan administrasi dari aplikasi mereka yang bernama JMTO (Jasa Marga Tollroad Operator).
Sebelumnya, ada kabar kalau data Jasa Marga bocor dan disebarkan di internet, tepatnya di situs breached.to.
Kelompok hacker (peretas) bernama Desorden Group mengaku bertanggung jawab atas kebocoran ini.
Mereka bilang kalau punya 252 GB data Jasa Marga, termasuk data pengguna, pelanggan, karyawan, data perusahaan, dan data keuangan. Mereka bahkan membagikan beberapa contoh dokumen, seperti KTP dan dokumen administrasi Jasa Marga tahun 2020.
Setelah kejadian ini, Jasa Marga langsung mematikan server yang terkena serangan.
Mereka juga sedang berusaha memulihkan data yang bocor dan memindahkan sistem ke server yang lebih aman.
Selain itu, Jasa Marga juga berusaha menutup celah keamanan yang membuat data mereka bisa bocor, dan mereka bekerja sama dengan ahli keamanan siber untuk memeriksa sistem keamanan mereka.
BSSN juga ikut turun tangan dan sedang menyelidiki kasus ini bersama Jasa Marga.
6. Komisi Pemilihan Umum (KPU)
Ada yang menjual data yang diduga milik KPU di internet. KPU baru mengetahui soal ini pada tanggal 27 November 2023, sekitar jam 3 sore.
Begitu tahu, KPU langsung mengabarkan BSSN, Bareskrim Polri, dan pihak-pihak terkait lainnya. KPU juga langsung bergerak cepat memeriksa sistem mereka, terutama Sistem Informasi Data Pemilih (Sidalih).
Mereka juga mematikan sementara akun-akun yang bisa mengakses Sidalih, untuk mencegah masalahnya jadi lebih besar.
Mereka menganalisis banyak hal, seperti catatan siapa saja yang mengakses sistem, pengaturan akun pengguna, dan catatan lainnya dari aplikasi dan server. Ini dilakukan untuk mencari tahu siapa pelakunya, kalau memang benar ada yang meretas sistem KPU.
Sementara menurut pernyataan BSSN, pada tanggal 27 November 2023, tim menemukan ada orang yang menyebarkan data di internet, di forum bernama Breachforums. Orang ini menggunakan nama akun “Jimbo”, dan data yang dia sebarkan diduga data pemilih.
Gara-gara masalah ini, Ketua KPU dan semua anggotanya harus menjalani sidang pemeriksaan kode etik. Sidang ini membuat rapat penting KPU untuk menghitung hasil suara Pemilu 2024 ditunda.
7. Pusat Data Nasional Sementara (PDNS)
Pada Juni 2024, PDNS di Surabaya terkena serangan ransomware. Serangan ini mengakibatkan layanan publik, termasuk layanan imigrasi, menjadi terganggu dan baru mulai pulih beberapa hari kemudian.
Mengutip CNN Indonesia, Kepala BSSN, Hinsa Siburian, menjelaskan kalau virus ransomware yang dipakai bernama “Brain Cipher”. Virus ini adalah versi terbaru dari ransomware yang lebih lama, namanya “Lockbit 3.0”.
Kelompok Lockbit 3.0 memang terkenal suka menyerang sistem komputer di berbagai negara, termasuk Indonesia, dan tujuannya untuk mendapatkan uang.
Benar saja, para penjahat yang menyerang PDNS ini meminta tebusan 8 juta dolar, atau sekitar 131 miliar rupiah! Tapi, Menteri Komunikasi dan Informatika (Menkominfo), Budi Arie Setiadi, menegaskan kalau pemerintah tidak akan bayar tebusan itu.
Direktur Jenderal Aplikasi Informatika Kominfo, Semuel Abrijani Pangerapan, mengatakan ada 210 instansi pemerintah, baik di pusat maupun daerah, yang terkena dampak serangan ini.
Namun, ia tidak menyebutkan instansi mana saja yang terkena. Ia hanya mengatakan beberapa layanan sudah mulai pulih, seperti layanan imigrasi, layanan pengadaan barang/jasa pemerintah (LKPP), dan layanan perizinan acara di Kementerian Koordinator Bidang Kemaritiman dan Investasi (Marves).
BSSN menjelaskan serangan ini mulai terjadi tanggal 17 Juni saat sistem keamanan Windows Defender coba dimatikan.
Lalu, tanggal 20 Juni, aktivitas mencurigakan mulai terdeteksi, seperti ada file-file berbahaya yang masuk ke sistem, file penting dihapus, dan layanan dimatikan. Akhirnya, Windows Defender benar-benar tidak bisa berfungsi lagi.
8. Direktorat Jenderal Pajak
Kabar kebocoran data ini pertama kali diungkap oleh pendiri Ethical Hacker Indonesia, Teguh Aprianto.
Dia memposting gambar dari situs Breach Forums yang menunjukkan 6 juta data pajak dijual di sana. Harganya 150 juta rupiah. Bahkan, data Presiden ke-7 Jokowi, Gibran Rakabuming Raka, Kaesang Pangarep, dan beberapa menteri juga ikut bocor.
Data yang bocor itu berisi Nomor Induk Kependudukan (NIK), Nomor Pokok Wajib Pajak (NPWP), nama, alamat, nomor telepon, sampai status wajib pajak.
Mengutip Tempo.co, pakar keamanan siber dari Vaksincom, Alfons Tanujaya, menduga ada dua kemungkinan kenapa data ini bisa bocor. Pertama, mungkin ada orang dalam DJP yang sengaja membocorkan data. Kedua, mungkin ada hacker (peretas) yang berhasil masuk ke sistem DJP.
Alfons lebih curiga kalau peretasan ini dilakukan lewat komputer yang terhubung ke server DJP, bukan langsung ke server pusat. Alasannya, jumlah data yang bocor “hanya” 6 juta. Kalau peretasannya langsung ke server pusat, harusnya data yang bocor bisa lebih banyak lagi.
Namun, DJP membantah kalau data itu bocor dari sistem mereka.
Mengutip Antara, Direktur Penyuluhan, Pelayanan, dan Hubungan Masyarakat DJP, Dwi Astuti, mengatakan mereka sudah memeriksa dan tidak menemukan tanda-tanda kebocoran data dari sistem DJP.
Meskipun begitu, DJP tetap berkoordinasi dengan Kominfo, BSSN, dan polisi untuk menyelidiki kasus ini. DJP juga berjanji akan terus menjaga kerahasiaan data wajib pajak dan meningkatkan keamanan sistem mereka.
9. Bank Syariah Indonesia
Pada 2023, BSI juga terkena serangan ransomware dari kelompok hacker bernama LockBit. Gara-gara serangan ini, data nasabah BSI bocor dan disebar di internet.
Mengutip Tempo.co, pakar keamanan siber dari Vaksincom, Alfons Tanujaya, memastikan data BSI yang bocor itu asli. Ia sudah cek nomor rekening dan nama pemilik rekening yang disebar oleh LockBit, dan ternyata memang benar itu data nasabah BSI.
LockBit mengaku sudah mencuri 15 juta data nasabah, informasi karyawan, dan sekitar 1,5 terabyte data internal BSI.
Mereka lalu menyebarkan data-data ini di dark web. Data yang disebar itu macam-macam, mulai dari data retail banking sampai data perpanjangan sewa ATM.
Awalnya, tanggal 8 Mei, layanan mobile banking dan ATM BSI mengalami gangguan selama seminggu. BSI mengatakan gangguan ini karena mereka sedang melakukan pemeliharaan sistem.
Namun, tanggal 14 Mei, terungkap kalau gangguan ini sebenarnya karena serangan ransomware dari LockBit.
LockBit memberi waktu 72 jam kepada BSI untuk menghubungi mereka dan membayar tebusan. Jika tidak, mereka mengancam akan merusak reputasi BSI.
Namun, BSI malah mengatakan mereka sedang maintenance. Akhirnya, hacker benar-benar menyebarkan data nasabah BSI.
Masih mengutip Tempo.co, Corporate Secretary BSI, Gunawan A. Hartoyo, memastikan data dan dana nasabah aman. Ia mengatakan BSI bekerja sama dengan pihak berwenang untuk menangani masalah ini.
10. Tokopedia
Tokopedia, salah satu e-commerce terbesar di Indonesia, juga pernah mengalami masalah kebocoran data pada tahun 2020.
Kabarnya, data dari 91 juta pengguna Tokopedia bocor, bahkan ada juga data dari 7 juta akun penjual (merchant). Artinya, hampir semua pengguna Tokopedia mengalami pencurian data, karena pada 2019, Tokopedia bilang mereka punya 91 juta pengguna aktif.
Data yang dicuri beragam, mulai dari ID pengguna, email, nama lengkap, tanggal lahir, jenis kelamin, nomor telepon, sampai password.
Data-data ini dijual di dark web seharga 5.000 dolar, atau sekitar 74 juta rupiah. Bahkan, ada 15 juta data yang bisa diunduh gratis.
Kejadian ini mulanya terungkap dari hacker (peretas) bernama Whysodank, yang memposting informasi ini di forum internet bernama Raid Forums pada tanggal 2 Mei 2020. Ia mengatakan kalau peretasan ini terjadi pada tanggal 20 Maret 2020.
Lalu, ada akun Twitter @underthebreach, yang mengaku sebagai layanan pengawas kebocoran data, ikut menyebarkan informasi ini dan me-mention akun Tokopedia.
Hacker ini mengatakan masih berusaha memecahkan kode acak password pengguna Tokopedia, dan meminta bantuan hacker lain untuk melakukannya. Ia juga membagikan sebagian data pengguna yang sudah bisa dibuka, yang isinya nama, email, dan nomor telepon.
Tokopedia akhirnya mengakui kalau ada upaya pencurian data pengguna pada tanggal 2 Mei malam. Namun, mereka memastikan kalau informasi penting seperti password masih aman.
Kemudian, tanggal 3 Mei, Whysodank mengumumkan kalau dia sudah berhasil menjual 91 juta data pengguna Tokopedia di forum dark web bernama EmpireMarket.
Tokopedia kemudian mengklaim jika data pembayaran pengguna, seperti kartu kredit, kartu debit, dan OVO, aman.
Tokopedia sendiri sebenarnya sudah berusaha keras untuk melindungi data pengguna. Mengutip Tempo.co, Co-Founder and Director Tokopedia, Leontinus Alpha Edison, mengatakan mereka selalu menganggap keamanan data pengguna sebagai tanggung jawab besar.
Mereka sudah investasi besar untuk perangkat keamanan dan sumber daya manusia. Tokopedia juga terus memperbarui sistem keamanan, berkomunikasi dengan Kominfo dan BSSN, serta melakukan audit keamanan secara berkala.
Tips untuk Melindungi Data Bisnis GudPeople
Dari kasus-kasus di atas, kita benar-benar perlu meningkatkan kesadaran atas perlindungan data pribadi. Apalagi jika Anda adalah pemilik bisnis, menjaga data pelanggan sangat penting.
Ada beberapa tindakan yang bisa kita lakukan, seperti:
1. Gunakan Kata Sandi yang Kuat dan Terapkan Otentikasi Multi-Faktor (MFA)
Buat kata sandi dengan mengombinasikan huruf besar dan kecil, angka, dan simbol. Hindari informasi pribadi yang mudah ditebak, seperti tanggal lahir. Ganti kata sandi secara berkala.
Selain itu, tambahkan lapisan keamanan ekstra. Jadi, selain kata sandi, pengguna juga harus memasukkan kode verifikasi dari perangkat lain atau biometrik.
2. Selalu Perbarui Software
Jangan lupa memperbarui semua perangkat lunak yang Anda gunakan. Pembaruan sering kali berisi perbaikan keamanan untuk kerentanan yang baru ditemukan.
Jika memungkinkan, atur pembaruan otomatis agar GudPeople tidak perlu mengingatnya.
Hacker sering menargetkan kerentanan pada software yang sudah usang. Nah, pembaruan perangkat bisa menutup celah ini.
3. Amankan Jaringan
Gunakan firewall untuk memblokir akses yang tidak sah ke jaringan Anda.
Begitu pula gunakan kata sandi yang kuat untuk jaringan Wi-Fi Anda dan gunakan enkripsi WPA2 atau WPA3. Hindari jaringan Wi-Fi publik tanpa pengaman untuk transaksi sensitif.
4. Enkripsi Data Sensitif dan Gunakan Sertifikat SSL
Enkripsi data sensitif baik saat disimpan (data at rest) maupun saat transit (data in transit). Maksudnya, mengubah data menjadi format yang tidak dapat dibaca tanpa kunci dekripsi.
Salah satu caranya menggunakan sertifikat SSL (Secure Sockets Layer), yakni protokol keamanan yang membuat koneksi terenkripsi antara web server dan browser. SSL memastikan semua data yang dikirimkan antara keduanya tetap pribadi dan aman.
Anda pasti pernah melihat gembok di bilah alamat browser dan website yang menggunakan HTTPS, kan? Itu artinya website menggunakan SSL/TLS.
Website-website yang menyimpan data sensitif, seperti e-commerce atau website pemerintah, wajib menggunakan sertifikat SSL ini.
Namun, membeli sertifikat SSL pun tidak boleh sembarangan. Harus dari Certificate Authority (CA) atau penyedia lain yang terpercaya.
Kabar baiknya, GudangSSL menyediakan berbagai produk SSL terbaik dan terpercaya dari CA dengan harga 30% lebih hemat!
Anda bisa memilih SSL sesuai kebutuhan website, mulai dari tingkat validasi dan jumlah domain. Tim support kami juga siap sedia 24/7 membantu Anda.
5. Latih Karyawan tentang Keamanan Siber
Karyawan sering kali merupakan titik terlemah dalam pertahanan keamanan siber sebuah bisnis. Untuk mengatasi hal ini, perusahaan perlu mengadakan pelatihan keamanan siber secara berkala.
Fokus utama pelatihan adalah mengajarkan karyawan cara mengenali dan menghindari ancaman umum seperti email phishing, tautan mencurigakan, dan lampiran berbahaya.
Selain itu, karyawan perlu dibekali dengan pengetahuan tentang praktik terbaik keamanan siber, seperti penggunaan kata sandi yang kuat, penanganan data sensitif dengan benar, dan prosedur pelaporan insiden keamanan.
Semoga artikel ini bermanfaat, ya!
