Dokumen Rahasia dari 21.000 Perusahaan di Indonesia Dilaporkan Bocor

Suara.com - Sebuah unggahan di Twitter dari seorang pengguna @nuicemedia menunjukkan dugaan kebocoran data yang melibatkan lebih dari 21.000 perusahaan Indonesia dan perusahaan asing dengan ukuran 374 gigabyte.

Dugaan kebocoran data ini menyusul unggahan di darkweb oleh akun bernama toshikana yang menjual dokumen penting seperti laporan keuangan seharga US$50.000 atau sekitar Rp743 juta.

Salah satu pihak perusahaan yang dibocorkan datanya mengaku "kaget" dan mendesak pemerintah untuk memperbaiki sistem pengelolaan data.

Sementara itu, pengamat keamanan siber menyebut kebocoran data ini menjadi momentum pemerintah untuk mengesahkan Undang-Undang Perlindungan Data Pribadi.

Di sisi lain, pemerintah mengatakan masih menyelidiki dugaan kebocoran data ini.

https://twitter.com/nuicemedia/status/1560450018657460224?s=20&t=ZnaoZsrDQiOTmarxg0QG1w

Baca Juga:

• Situs PSE Kominfo hampir Rp1 triliun diretas: 'Anggaran sefantastis itu kok kualitasnya buruk?'
• Polemik data eHAC bocor, infrastruktur keamanan digital pemerintah dinilai 'sangat buruk'
• Data jutaan WNI diduga dibobol peretas dari KPU, 'bisa disalahgunakan untuk kejahatan siber'

Isi data rahasia yang dijual melalui darkweb diklaim termasuk KTP, NPWP direksi dan komisaris perusahaan, Kartu Keluarga pemilik saham, laporan keuangan, catatan transfer, rekening koran, sampai SPT tahunan.

Daftar 21.000 perusahaan dibagikan peretas. Dari daftar perusahaan ini setidaknya terdapat perusahaan asuransi, pertambangan, konsultan hukum, koperasi, perkebunan, farmasi, logistik, properti, ekspor-impor, garmen, kerajinan tangan, transportasi, sampai konstruksi.

Bukan hanya itu, dalam daftar tersebut juga terdapat sejumlah yayasan, univesitas ternama di Indonesia sampai rumah sakit.

Toshikana mempublikasikan sejumlah sampel data penting, dari perusahaan yang memiliki pendapatan di atas Rp700 miliar maupun di bawah nilai tersebut. BBC melihat salinan NPWP sepuluh perusahaan besar yang sebagian nomor kartunya telah disensor.

Sementara, sampel sebanyak 21 perusahaan menengah ke bawah berisi data rinci berupa salinan KTP pemegang saham, KTP direksi, tanda tangan direktur/wakil direktur, kontrak kerja sama perusahaan, SPT Pajak, rekening koran, akta perusahaan, surat izin usaha perdagangan, KTP pengurus perusahaan, dan lain sebagainya.

BBC mengkonfirmasi salah satu perusahaan sampel yang dibocorkan oleh peretas, yaitu CV Kharisma Sejahtera.

Manajer operasional CV Kharisma Sejahtera Mundiyono tak menyangkal sejumlah konfirmasi detail tentang data perusahaan yang dibocorkan, seperti nama direktur utama, tempat tanggal lahir, sampai tahun akta pendirian perusahaan.

"Jelas kita kaget," katanya kepada BBC News Indonesia.

Ia juga mengaku tak pernah memberikan data secara rinci ke mana pun, selain ke sebuah institusi pemerintah yang mengurus soal kegiatan usaha minyak dan gas bumi.

"Khawatirnya, ada orang yang menggunakan ini untuk mengikuti suatu tender, atau digunakan untuk yang lain… Ini jadi alat penipuan," tambah Mundiyono, "pemerintah harus jauh lebih tanggap harus lebih aktif harus lebih di update lagi sistem pengamannya seharusnya."

Kebocoran ini ikut memicu kemarahan warganet. Seperti yang diungkap akun @spaxeman yang meminta pemerintah untuk fokus pada keamanan data.

https://twitter.com/spaxeman/status/1560455737653936128

Damar Juniarto dari SAFE Net—lembaga yang selama ini fokus pada isu perlindungan data— juga merespon dugaan kebocoran data ini.

https://twitter.com/DamarJuniarto/status/1560479903522312193

Sebagian warganet lain mengaku kecewa, tapi tidak terkejut.

https://twitter.com/kembaz/status/1560473610384736259

Sejumlah pengguna akun twitter ini juga menyinggung persoalan Penyelenggara Sistem Elektronik (PSE) yang kontroversial.

Pakar keamanan siber, Alfons Tanujaya dari Vaksincom mengatakan kemungkinan peretasan data sensitif ini menggunakan pola zero day exploit.

Peretas memanfaatkan kelemahan sistem yang tidak diketahui oleh pihak pengembang perangkat lunak dan kemudian masuk ke jaringan server untuk mengambil seluruh data. Biasanya peretasan berlangsung cepat dan masif.

"Jadi eksploitasi itu mau server apa pun, sesakti apa pun, jangankan di Indonesia, seluruh dunia itu pasti jebol," kata Alfons yang menambahkan, "tapi yang lucu kenapa cuma perusahaan di Indonesia."

Kemungkinan kedua, kata Alfons, peretas memanfaatkan kelalaian dari instansi atau perusahaan yang menyimpan data-datanya dalam satu layanan awan (cloud). "Kalau bocor, peretasnya tinggal copy (salin) semua," katanya.

Dijual,17 juta data pelanggan PLN

Dalam cuitannya, @nuicemedia juga membagikan foto dari darkweb mengenai penjualan data 17 juta pelanggan PLN yang diunggah oleh akun loliyta.

https://twitter.com/nuicemedia/status/1560450018657460224/photo/2

"Saya menjual data PLN sebanyak 17 juta yang berisi dengan nomor ID, KTP pelanggan, nama pelanggan, jenis listrik, KWh, alamat, nomor meteran, jenis meteran, dan lain-lain," tulis akun tersebut.

Menurut Alfons, dugaan kebocoran data PLN ini merupakan masalah lebih penting, karena datanya sudah sangat spesifik. "Nah itu jeroannya. Itu masalah," katanya.

Ia menambahkan, dugaan kebocoran data ini semestinya disikapi pemerintah dengan mempertimbangkan segera mengesahkan Undang Undang Perlindungan Data Pribadi (UU PDP).

"Jadi, UU PDP, dia ada sanksi yang keras dan jelas kepada pengelola data, hingga terjadi kebocoran data, dan mengharuskan pengelola data mengikuti standar," katanya.

Di sisi lain, pemerintah mengatakan masih mendalami dugaan kebocoran data baik dari 21.000 perusahaan maupun 17 juta data PLN.

"Setelah mendapatkan berita itu, kami langsung melakukan pengecekan. Jadi saat ini Kominfo sedang mendalami terkait dugaan kebocoran data itu, dan nanti kami akan sampaikan jika sudah ada hasil atau temuan sementara dari dugaan kebocoran data itu," kata juru bicara Kominfo Dedy Permadi kepada media di Indonesia.

Laporan kebocoran data ini bukan pertama kali. Sebelumnya dugaan kebocoran data juga terjadi terhadap 279 juta data peserta BPJS Kesehatan, platform eHac, KPU, sampai platform perdagangan elektronik. Sementara pemerintah menyebut telah mendorong pengesahan UU PDP sejak 2018.