Microsoft Tak Peringatkan Pemilik Akun yang Diretas

San Francisco, CNN Indonesia -- Beberapa tahun lalu para pakar Microsoft Corp menyimpulkan bahwa pihak berwenang China telah meretas ke lebih dari seribu akun surat elektronik Hotmail, tetapi memilih untuk tidak memberi tahu pemilik akun tersebut.

Beberapa mantan pegawai Microsoft mengatakan bahwa keputusan itu membuat pihak berwenang China terus bisa meretas akun-akun tersebut yang terutama milik pemimpin kelompok minoritas Tibet dan Uighur.

Setelah Reuters mengajukan permintaan komentar, pada Rabu (30/12) Microsoft mengatakan akan mengubah kebijakannya dan di masa depan perusahaan itu akan mengirim surel kepada pengguna ketika ada kecurigaan satu pemerintah mencoba meretas.

Juru Bicara Microsoft Frank Shaw mengatakan perusahaan itu tidak pernah yakin pelaku serangan terhadap Hotmail tersebut.

Untuk pertama kali, Microsoft juga membenarkan bahwa pihaknya tidak pernah menghubungi, mengirim surel ataupun memberi tahu pengguna Hotmail bahwa korespondensi elektronik mereka telah diretas.

Namun, perusahaan ini menolak mengatakan sejauh mana pengungkapan fakta peretasan Hotmail ini memicu mereka mengubah kebijakan tersebut.

Pertanda terbuka pertama atas aksi retas ini muncul pada Mei 2011, meski tidak dikaitkan langsung dengan pihak berwenang China.

Saat itu perusahaan keamanan Trend Micro Inc mengumumkan bahwa surel yang dikirim ke seseoran di Taiwan berisi satu pirati lunak mini.

Piranti lunak ini memanfaatkan cacat di situs Microsoft yang belum diketahui sebelumnya, dan memerintahkan Hotmail dan layanan surel gratis Microsoft lain untuk secara diam-diam mengirim salinan surel yang diterima pemilik akun ke satu akun yang dimiliki oleh peretas.

Pilihan Redaksi Serangan Malware ke iOS dan OS X Meningkat Google Dituding Mata-matai Aktivitas Pelajar Microsoft Peringatkan Pemakai Email yang Disadap Pemerintah

Trend Micro menemukan korban peretas ini berjumlah lebih dari seribu, dan Microsoft segera memperbaiki kerentanan itu sebelum perusahaan keamanan tersebut mengumumkan penemuan itu secara terbuka.

Microsoft pun melakukan penyelidikan sendiri pada tahun itu juga. Perusahaan ini menyimpulkan bahwa sebagian peretasan ini sudah terjadi pada Juli 2009 dan serangan dilakukan pada akun suret pemimpin tertinggi Uighur dan Tibet di sejumlah negara, diplomat Jepang dan Afrika, pengacara hak asasi manusia dan jabatan-jabatan sensitif di dalam China sendiri.

Fakta ini kemukakan oleh dua mantan pegawai Microsof yang tidak mau disebutkan identitasnya kepada kantor berita Reuters.

Sejumlah serangan itu dilakukan dari satu jaringan milik China yang dikenal dengan nama AS4808, yang sebelumnya dikaitkan dengan sejumlah aksi mematai-matai termasuk serangan ke divisi keamanan EMC Corp bernama RSA.

Menurut para pejabat intelijen AS serangan ke RSA ini dilakukan oleh China.

Para pejabat Microsoft tidak menyangkal bahwa sebagian serangan ini berasal dari China, tetapi mengatakan ada juga yang berasal dari tempat lain meski tidak merincinya.

“Kami mempertimbangkan beberapa faktor terkait reaksi atas insiden ini, seperti fakta bahwa baik Microsoft atau pemerintah AS tidak pernah bisa mengidentifikasi sumber serangan yang tidak hanya datang dari satu negara,” ujar Microsoft.

“Kami juga mempertimbangkan kemungkinan dampak dari penyelidikan dan langkah-langkah mencegah kemungkinan serangan di masa depan yang sedang kami lakukan.”

Dalam mengumumkan kebijakan baru itu, Microsoft mengatakan: “Ketika cakupan ancaman berkembang, pendekatan kami pun berubah. Dan kini kami akan memberi tahu dan memberi panduan jika kami yakin ada pelaku serangan yang “disponsori oleh pemerintah.”

Sementara itu, juru bicara Kementerian Luar Negeri China Lu Kang mengatakan pemerintah China “pendukung utama keamanan siber dan menentang keras segala bentuk serangan siber”. Dia menambahkan bahwa pemerintah negara itu selalu menghukum peretas sesuai dengan hukum yang berlaku.

“Perlu saya katakan bahwa jika pihak terkait memiliki bukti nyata dan kuat, mereka bisa melakukan kerja sama dengan China dengan lebih bermanfaat sesuai dengan jalur-jalur yang ada,” kata Lu dalam jumpa pers harian.

“Tetapi jika ada penyebaran rumor yang tidak terbukti kebenarannya, tidak ada manfaatnya untuk upaya mengatasi masalah ini, meningkatkan rasa saling percaya dan mendorong keamanan siber.”

Badan Dunia Siber China belum memberi komentar atas berita ini.

Perdebatan Internal

Mantan pegawai Microsoft mengatakan kepada Reuters, setelah perdebatan internal yang sengit pada 2011 yang melibatkan pejabat tertinggi keamanan Microsoft Scott Charney dan ahli hukum perusahaan yang kini presiden Microsost Brad Smith, perusahaan ini memutuskan untuk tidak memberi tahu pengguna secara jelas bahwa ada yang salah.

Menurut mantan pegawai Microsof yang membocorkan informasi ini, Microsoft hanya memaksa pemilik akun untuk memilih kata sandi atau password baru tanpa menjelaskan alasannya.

Informan ini mengatakan ketika Microsoft akhirnya bertindak, para peretas kemungkinan besar telah masuk ke mesin milik korban sehingga bisa mengetahui password baru yang dibuat.

Dalam rapat internal 2011 disebutkan bahwa salah satu alasan para pejabat Microsoft tidak memberi peringatan secara jelas adalah mereka khawatir membuat pemerintah China marah.

Pemerintah China menganggap Dalai Lama sebagai pemicu gerakan TIbet memisahkan diri dari negara itu. (Reuters/Dylan Martinez)

Pernyataan Microsoft tidak merujuk secara pasti anjuran dari Smith dan Charney terkait masalah ini.

Satu sumber yang mengetahui pemikiran pada pejabat perusahaan itu mengatakan kekhawatiran akan balasan China memang memainkan peran karena ada kekhawatiran Microsft tentang dampaknya pada pengguna produk mereka.

Microsoft mengatakan perusahaan itu sebelumnya yakin perubahan password merupakan cara tercepat memperbaiki keamanan akun pengguna.

“Tujuan utama kami adalah memastikan bahwa pelanggan kami dengan cepat mengambil langkah praktis untuk mengamankan akun mereka, termasuk memaksa mengubah password,” kata pernyataan tertulis Microsoft.

Masih belum jelas nasib pengguna surel dan korespondensi mereka terkait kegagalan Microsoft memberi tahu mereka tentang dugaan peretasan oleh pemerintah.

Tetapi sejumlah orang yang akunnya diretas mengatakan sangat khawatir dengan risiko, terutama mereka yang masih berada di dalam wilayah China.

“Penyedia layanan internet dan penyedia surel memiliki tanggung jawab etika dan moral untuk memberi tahu pengguna ketika [akun] mereka diretas,” kata Seyit Tumturk, wakil presiden Kongres Uighur Dunia, yang akunnya juga diretas.

“Ini masalah hidup manusia.”

Ratusan Orang

Kerusuhan di Xinjiang, wilayah China yang berbatasan dengan Kazakhstan yang ditinggali mayorita warga Uighur, telah menewaskan ratusan jiwa dalam beberapa tahun belakangan.

Beijing menyalahkan militan Islamis, sementara kelompok-kelompok hak asasi manusia mengatakan pembatasan keras terhadap agama dan budaya warga Uighur memicu kekerasan.

Mantan pegawai Microsoft mengatakan hingga Rabu (30/12), Microsoft menolak ide memberi peringatan jelas terkait aksi peretasan yang didukung satu pemerintah seperti yang dimulai oleh Google Inc pada 2012.

Dalam kasus 2011, perusahaan ini juga memutuskan untuk tidak mengirim peringatan generik terkait aksi retas. Sejumlah bekas pegawai Yahoo Inc dan Facebook Inc mengatakan kepada Reuters bahwa perusahaan-perusahaan itu telah mengeluarkan peringatan semacam itu selama beberapa tahun, termasuk ketika terduga pelakunya adalah satu pemerintah.

Beberapa bulan belakangan, kedua perusahaan ini dan juga Twitter Inc telah mengumumkan bahwa mereka akan mengikuti langkah Google dan memberi tahu pengguna layanan mereka jika ada aksi retas yang diduga dilakukan pemerintah satu negara.

Google mengatakan saat ini pihaknya rata-rata mengirim puluhan ribu peringatan semacam itu setiap beberapa bulan, dan penerima peringatan itu bergerak untuk memperbaiki keamanan akun mereka dengan proses otentikasi dua faktor dan langkah-langkah lain.

Kantor berita Reuters mewawancarai lima korban peretasan Hotmail yang diidentifikasi dalam penyelidikan Microsoft: dua pemimpin Uighur, seorang tokoh senior Tibet dan dua orang media yang berurusan dengan kepentingan para pejabat China.

Sebagian besar ingat dengan perubahan password, tetapi tidak satupun memandang prosedur itu sebagai indikasi bahwa seseorang telah membaca surel mereka, atau bahwa akun mereka telah diakses oleh pemerintah China.

“Saya pikir hal itu biasa, semua orang menerimanya,” kata salah satu korban yang merupakan imigran dari Uighur dan sekarang tinggal di Eropa. Dia meminta tidak disebutkan namnya karena keluarga dia masih tinggal di China.

Korban lain yang diidentifikasi oleh tim internal Microsoft adalah Tseten Norbu dari Nepal. Dia adalah mantan presiden Kongres Pemuda Tibet.

Pemerintah China dituduh meretas akun surel Hotmail milik tokoh-tokoh kelompok masyarakat Uighur yang dianggap memicu kekerasan di wilayah Xinjiang. (Getty Images/Guang Niu)

Korban lain yang diidentifikasi Microsoft adalah Tumturk, wakil presiden Kongres Uighur Dunia yang kini tinggal di Turki.

Para penyelidik Microsoft juga melihat bahwa selama bertahun-tahun surel dari akun Peter Hickman, mantan diplomat yang menyelengarakan pidato tokoh-tokoh internasional di Klub Pers Nasional di Washington, telah dikirim ke tempat lain.

Hickman mengatakan mempergunakan akun Hotmailnya di komputer milik Klub Press untuk berkorespondensi dengan pihak lain, seperti staf pemerintah Tibet di pengasingan. Ketua kelompok ini, Lobsang Sangay, berpidato di klub itu pada 2011.

Wakil presiden Kongres Uighur Dunia juga berpidato pada 2009, sementara presdien Taiwan tampil melalui hubungan video pada 2007.

Hickman mengatakan tidak ingat harus mengubah password akunnya itu. Dia mengatakan tidak pernah curiga ada yang salah di akun surelnya yang hingga kini masih digunakan. (yns)