Jakarta, CNN Indonesia --
Peretasan di berbagai instansi milik pemerintah belakangan marak terjadi. Tak tanggung-tanggung, hacker membobol hingga ratusan juta data penduduk Indonesia.
Terbaru, peretas bukan hanya bereaksi untuk menyitat data pribadi lewat aplikasi eHAC, namun hacker asal China dikabarkan telah menembus beberapa lembaga pemerintah Indonesia, termasuk Badan Intelijen Negara (BIN).
Hacker China Bobol BIN dan beberapa Kementerian
Peneliti Inskit pertama kali menemukan upaya pembobolan 10 Kementerian termasuk BIN pada April 2021. Peretasan itu dikabarkan terhubung dengan Mustang Panda yang dikenal sebagai peretas asal China, yang menargetkan kawasan Asia Tenggara.
ADVERTISEMENT
SCROLL TO CONTINUE WITH CONTENT
Awalnya, mereka saat itu sedang mendeteksi server pengendali dan control (C&C) malware PlugX yang dioperasikan Mustang Panda. Server tersebut ternyata berkomunikasi dengan beberapa host dalam jaringan pemerintah Indonesia.
Mereka kemudian menelusuri lebih lanjut dan mengklaim hal itu telah berlangsung sejak Maret 2021. Namun, belum jelas metode serta target dari peretasan tersebut.
Peneliti Insikt Group menyatakan telah memberi tahu celah tersebut ke Indonesia pada Juni 2021 dan dilakukan lagi pada Juli 2021. Namun, pemerintah Indonesia disebut tidak merespons laporan itu.
BIN juga disebut menjadi salah satu target paling sensitif dari aksi peretasan itu. Mereka juga tidak merespons laporan The Record pada Juli dan Agustus 2021.
Pakar keamanan siber CISSReC Pratama Persadha mengatakan hingga kini pihaknya belum mengetahui persis kebenaran dari informasi tersebut sehingga ada kemungkinan terjadi klaim sepihak.
Meski begitu apabila peretasan ini sebagai bentuk spionase antar negara, ia menilai bukti akan lebih sulit didapat karena motifnya bukan ekonomi atau popularitas.
Kendati masih simpang siur, menurut Pratama kondisi ini tetap bagus sebagai trigger untuk semua Kementerian dan Lembaga pemerintah di Indonesia untuk mulai mengecek sistem informasi dan jaringannya.
Pratama pun menyarankan perlu dilakukan deep vulnerable assessment terhadap sistem yang dimiliki. Serta melakukan penetrasi tes secara berkala untuk mengecek kerentanan sistem informasi dan jaringan. Lalu gunakan teknologi Honeypot dimana ketika terjadi serangan maka hacker akan terperangkap pada sistem honeypot ini, sehingga tidak bisa melakukan serangan ke server yang sebenarnya.
Data eHAC Bocor
Tim peneliti siber dari vpnMentor menemukan kebocoran data dari aplikasi tes dan telusur Covid-19 atau Kartu Waspada Elektronik yang dibuat Kementerian Kesehatan Republik Indonesia (Kemenkes) yaitu Electronic Health Alert Card atau eHAC pada akhir Agustus lalu.
Dalam laporannya vpnMentor menjelaskan pengembang eHAC menggunakan 'database Elasticsearch' tanpa jaminan untuk menyimpan lebih dari 1,4 juta data dari sekitar 1,3 juta pengguna eHAC.
Selain kebocoran data sensitif pengguna, para peneliti menemukan semua infrastruktur di sekitar eHAC terekspos, termasuk informasi pribadi tentang sejumlah rumah sakit di Indonesia, serta pejabat pemerintah yang menggunakan aplikasi tersebut.
Data yang bocor itu meliputi ID pengguna yang berisi nomor kartu tanda penduduk (KTP), paspor serta data dan hasil tes Covid-19, alamat, nomor telepon dan nomor peserta rumah sakit, nama lengkap, tanggal lahir, pekerjaan dan foto.
Tim juga menemukan data dari 226 rumah sakit dan klinik di seluruh Indonesia serta nama orang yang bertanggung jawab untuk menguji setiap pelancong, dokter yang menjalankan tes, informasi tentang berapa banyak tes yang dilakukan setiap hari, dan data tentang jenis pelancong.
Data yang bocor bahkan meliputi informasi pribadi yaitu kontak orang tua atau kerabat wisatawan, serta detail hotel yang disewa dan informasi tentang kapan akun eHAC dibuat.
Bahkan vpnMentor juga menemukan data anggota staf eHAC yang meliputi nama, nomor ID, nama akun, alamat email dan kata sandi juga bocor.
Di samping itu pengamat menyerukan perlunya dibentuk otoritas perlindungan data pribadi (OPDP) yang independen imbas bocor data eHac dan BPJS Kesehatan. Pembentukan otoritas itu dinilai dapat mendorong kepatuhan sektor publik terhadap prinsip-prinsip pemrosesan data pribadi yang baik dan keamanannya.
Hal tersebut disampaikan Koalisi Advokasi Perlindungan Data Pribadi (KA-PDP), sebagai respon dari maraknya kasus-kasus kebocoran data pribadi pada sektor publik, seperti kasus kebocoran databases e-HAC dan BPJS Kesehatan.
Situs Sekretariat Kabinet Diretas
Pada Juli lalu situs Sekretariat Kabinet (Setkab) diretas oleh dua orang remaja berusia 17 dan 18 tahun, yang mengakibatkan situs tersebut tidak bisa diakses dan diubah tampilannya pada awal Agustus 2021.
Halaman situs sempat menampilkan layar hitam dengan tampilan foto demonstran membawa bendera merah putih pada Sabtu (31/7). Di bawahnya tertulis keterangan "Padang Blackhat II Anon Illusion Team Pwned By Zyy Ft Luthfifake".
Pada Minggu (8/2) situs setkab menunjukkan keterangan: Kami akan segera kembali! Mohon maaf untuk ketidaknyamanannya, saat ini kami sedang melakukan update sistem.
Atas peretasan yang dilakukan oleh remaja itu, keduanya disangkakan dengan perkara Undang-Undang Nomor 11 Tahun 2008 tentang informasi dan transaksi elektronik (ITE).
2 Juta Nasabah BRI Life Bocor
Data nasabah asuransi BRI Life diduga bocor dan dijual secara onlie oleh oknum di situs gelap pada Juli lalu. Kabar bocornya data itu dibeberkan oleh salah satu warga lewat Twitter, oleh akun The Brach.
Akun itu menuliskan bila ada pelanggaran besar terkait oknum yang menjual data sensitif dari BRI Life. Ia juga menuliskan oknum memiliki video berdurasi 30 menit tentang sejumlah besar data sekitar 250 GB yang mereka peroleh.
Aku tersebut membagikan tangkapan layar mengenai sejumlah data milik nasabah BRI Life, mulai dari KTP hingga rekam medis.
Kementerian Komunikasi dan Informatika (Kemenkominfo) melakukan investigasi atas kebocoran 2 juta data nasabah asurasi BRI Life yang dijual di Raid Forum.
Setelah beberapa hari data BRI Life dikabarkan bocor, Pakar keamanan siber dari Vaksin.com, Alfons Tanujaya mengungkap bahwa postingan yang menjual data nasabah tersebut tiba-tiba menghilang.
Ia menduga beberapa kemungkinan hilangnya postingan tersebut. Pertama, bisa jadi pelakunya takut karena kebocoran data itu viral dan tengah menjadi fokus perhatian banyak orang. Sehingga pelaku peretasan takut terungkap oleh pihak berwenang.
Kedua, ada pihak yang diam-diam membeli data tersebut dan bersedia membayar lebih jika pelaku mencabut penjualan data tersebut.
Dengan nominal harga jual Rp100 jutaan, Alfons juga menduga bahwa ada pihak yang memberikan uang dengan tambahan nominal tertentu agar penjual bersedia mencabut penjualan data di forum tersebut. Dengan harapan, penjual itu merupakan satu-satunya peretas yang memiliki 2 juta data nasabah BRI Life.
279 Juta Data Pengguna BPJS Kesehatan Bocor
Sebanyak 279 juta data penduduk Indonesia yang bocor dan dijual di forum hacker diduga berasal dari BPJS Kesehatan pada Mei 2021. Dewan Pengawas (Dewas) BPJS Kesehatan mencermati risiko keamanan nasional pada isu kebocoran data yang diduga milik BPJS Kesehatan.
Pasalnya, data yang bocor tersebut mencakup data kependudukan anggota TNI dan Polri. Data yang dijual itu terdiri dari namma lengkap, KTP, nomor telepon, email, NID dan alamat.
Saat ini polisi terkait dengan penjualan data kependudukan yang diduga berasal dari perusahaan pelat merah itu.
2,3 Juta Data KPU Bocor
Sebanyak 2,3 juta data warga dan pemilih Indonesia dilaporkan bocor dan dijual di forum hacker pada Mei 2020 lalu. Hal itu diungkap oleh akun @underthebreach yang sebelumnya mengungkap soal penjualan data 91 juta pengguna Tokopedia.
Penjual data mengaku mendapat data ini secara resmi dari Komisi Pemilihan Umum (KPU). Data tersebut dijual dalam bentuk PDF. Dari bocoran data yang diungkap akun ini, sebagian besar pemilih berasal dari Yogyakarta. Bocoran data yang dijual berisi nama, alamat, nomor induk kependudukan (NIK) dan Kartu Keluarga (KK), serta data lain.
Dalam contoh data yang disajikan tampak data yang dijual adalah data KPU tahun 2014 lengkap dengan logo KPU pada bagian kop surat.
Peretas juga menampilkan folder-folder yang berisi data pemilih dari sejumlah daerah di Yogyakarta.
Dalam tulisan yang sama, peretas menjanjikan untuk menjual data 200 juta data pengguna Indonesia. Ini berarti nyaris seluruh data warga Indonesia bakal diperjualbelikan.
Dengan kebocoran data masyarakat di KPU yag meliputi NIK dan identitas lengkap masyarakat. Hal itu disebut Kominfo menjadi penyebab bocornya sertifikat vaksin Covid-19 milik Presiden Joko Widodo pada awal September 2021.
15 Juta Data Pengguna Tokopedia Bocor
Platform belanja online Tokopedia juga mengalami peretasan, setelah seorang peretas mengklaim memiliki data dari 15 juta pengguna Tokopedia didark web. Data yang diretas, seperti yang diumumkan peretas berupa nama, alamat email dan hashed password.
Kementerian Komunikasi dan Informatika (Kominfo) menyatakan kemungkinan data yang diambil adalah nama, alamat email dan nomor ponsel. Belakangan, diduga kebocoran data ini menimpa pengguna dalam jumlah yang lebih besar, sebanyak 91 juta pengguna.
Tak lama setelah mengetahui kejadian tersebut, Tokopedia memberi notifikasi pada semua pengguna mereka sambil memulai penyelidikan dan memastikan akun dan transaksi di platform tersebut tetap aman.
13 Juta Data Pengguna Bukalapak Bocor
Bukalapak kembali diretas, namun hal itu dibantah oleh platform perdagangan online tersebut. Bukalapak mengatakan keamanan data pengguna menjadi prioritas, dan selalu mengimplementasi berbagai upaya demi meningkatkan keamanan dan kenyamanan para pengguna, serta memastikan data-data pengguna tidak disalahgunakan.
Tautan yang beredar, menurut Bukalapak, adalah informasi dari kejadian tahun lalu. Pada peretasan 2019 lalu, Bukalapak menyatakan sudah menemukan sumber peretasan dan menghentikan akses tersebut.
Selain itu, mereka juga mengingatkan para pengguna untuk secara berkala mengganti kata kunci, sambil perusahaan memperkuat sistem keamanan. Bukalapak mengalami kasus peretasan tahun lalu, berakibat pada data 13 juta pengguna mereka diambil.
Data Pasien Covid-19
Pada akhir Juni, muncul kabar yang menyebutkan dugaan peretasan COVID-19. Kementerian Komunikasi dan Informatika (Kominfo) menelusuri dugaan peretasan basis data pasien COVID-19 tersebut.
Kominfo mengatakan database COVID-19 dan hasil cleansing yang ada di data center aman. Kominfo juga berkoordinasi dengan Badan Siber dan Sandi Negara (BSSN), selaku penanggung jawab keamanan data COVID-19 di Indonesia.
Seorang peretas atas nama Database Shopping di situs peretas Raid Forums menjual basis data dari pasien COVID-19 di Indonesia, tertanggal 18 Juni. Peretas mengaku data tersebut diambil pada pembobolan 20 Mei lalu.
Fitur spoiler di situs gelap menunjukkan data yang diambil antara lain berupa ID pengguna, jenis kelamin, usia, nomor telepon, alamat tinggal hingga status pasien.
Peretas diduga mengantongi 230.000 data dalam format MySQL dalam unggahan di situs gelap tersebut.
