Contoh Kasus Peretasan dan Kebocoran Data di Indonesia

Contoh kasus hacking di Indonesia, dari serangan ransomware pada PDNS 2 hingga dugaan kebocoran data BPJS Kesehatan, menunjukkan bahwa insiden siber dapat melumpuhkan layanan publik dan membuka data jutaan orang. Artikel ini merangkum tiga kasus yang diberitakan luas oleh media nasional, apa yang bisa dipelajari dari masing-masing, dan langkah pencegahan yang realistis bagi organisasi maupun individu.

Kasus 1: Ransomware pada Pusat Data Nasional Sementara (PDNS 2), 2024

Pada Juni 2024, PDNS 2 di Surabaya diserang ransomware. Menurut kronologi Kompas, aktivitas awal tercatat sejak 17 Juni 2024 ketika Windows Defender dinonaktifkan, dan pada 20 Juni dini hari muncul aktivitas berbahaya seperti pemasangan berkas jahat dan penghapusan berkas sistem penting. Siang harinya layanan imigrasi di sejumlah bandara besar terganggu hingga antrean mengular. Pemerintah mengonfirmasi penyebabnya sebagai ransomware varian LockBit 3.0 bernama Brain Cipher pada 24 Juni, dengan tuntutan tebusan 8 juta dolar AS (sekitar Rp131 miliar) yang ditolak.

Dampaknya meluas ke 282 layanan instansi. Dari jumlah itu, hanya 44 instansi yang memiliki data cadangan, dan cadangan di Batam hanya mencakup sebagian kecil dari data PDNS 2. BSSN, dalam rapat dengan DPR, menyebut kelemahan tata kelola operasional pusat data. Pelaku kemudian merilis kunci dekripsi tanpa biaya pada 3 Juli 2024. Rinciannya dapat dibaca di kronologi Kompas.

Pelajaran dari kasus PDNS 2

• Backup yang teruji, terpisah, dan cukup besar adalah garis pertahanan terakhir terhadap ransomware.
• Kontrol keamanan seperti antivirus tidak boleh dapat dimatikan dengan mudah, dan perubahan pada konfigurasi perlu dipantau.
• Satu titik kegagalan yang melayani ratusan instansi menggandakan dampak insiden.
• Tata kelola dan rencana pemulihan sama pentingnya dengan teknologi.

Cara kerja serangan jenis ini dibahas di artikel tentang ransomware.

Kasus 2: Serangan Ransomware pada Bank Syariah Indonesia, 2023

Pada 8 sampai 11 Mei 2023, layanan Bank Syariah Indonesia (BSI) terganggu selama empat hari. Seluruh fitur lewat ATM maupun aplikasi seluler tidak dapat dipakai. Bank sempat menyebut gangguan itu sebagai pemeliharaan sistem, sampai kemudian kelompok ransomware LockBit 3.0 mengklaim bertanggung jawab. Menurut Bisnis.com, kelompok itu mengklaim membawa 1,5 TB data, termasuk data 15 juta pelanggan dan karyawan, serta kata sandi untuk layanan internal. Angka-angka itu adalah klaim pelaku, bukan hasil verifikasi independen. Liputan awalnya ada di Bisnis.com.

Pelajaran dari kasus BSI

• Sektor keuangan adalah sasaran bernilai tinggi karena gangguan layanan langsung terasa oleh publik.
• Komunikasi krisis yang terbuka menjaga kepercayaan. Menyebut insiden sebagai pemeliharaan membuat kepercayaan lebih mudah runtuh ketika kenyataannya terungkap.
• Pemerasan ganda, yaitu mengunci sistem sekaligus mengancam menyebarkan data, membuat backup saja tidak cukup. Enkripsi data dan pembatasan akses juga penting.

Kasus 3: Dugaan Kebocoran Data BPJS Kesehatan, 2021

Pada Mei 2021, akun bernama Kotz di forum RaidForums mengklaim memiliki data 279 juta penduduk Indonesia yang diduga berasal dari BPJS Kesehatan, dan menawarkannya seharga 0,15 Bitcoin atau sekitar 6.000 dolar AS. Data itu disebut memuat data KTP, nomor telepon, alamat, email, dan gaji. Menurut Kontan, Kementerian Kominfo memanggil direksi BPJS Kesehatan pada 21 Mei 2021 dengan dasar PP 71 Tahun 2019, karena struktur data pada sampel seperti nomor kartu, kode kantor, dan data tanggungan keluarga dinilai cocok dengan data BPJS Kesehatan. Kominfo juga memutus akses ke tautan unduhan data. Pembaruan lengkapnya ada di Kontan. Kasus ini diberitakan sebagai dugaan, dan angka serta asal data tetap perlu dibaca sebagai klaim pada saat itu.

Pelajaran dari kasus BPJS Kesehatan

• Data yang menggabungkan identitas dan informasi finansial sangat berharga bagi penipu.
• Organisasi perlu menerapkan akses minimum, pencatatan akses, dan pembatasan ekspor data besar.
• Dengan berlakunya UU PDP, pengendali data wajib memberi pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga yang berwenang bila terjadi kegagalan pelindungan data pribadi. Detailnya ada di artikel tentang UU PDP.

Pola yang Berulang pada Kasus Peretasan dan Kebocoran Data

Dari tiga kasus tersebut, beberapa pola terlihat jelas. Pertama, kesiapan pemulihan sering lebih menentukan daripada pencegahan awal, karena tidak ada sistem yang kebal. Kedua, data pribadi bernilai tinggi bagi pelaku dan sering dijual atau disebarkan setelah dicuri. Ketiga, komunikasi yang lambat atau menutupi masalah memperburuk dampak. Penyebab kebocoran data lainnya, seperti konfigurasi yang keliru dan akun yang disalahgunakan, dibahas di artikel penyebab kebocoran data.

Apa yang Bisa Dilakukan Organisasi dan Individu?

Bagi organisasi

• Terapkan backup berlapis, termasuk salinan terpisah yang rutin diuji pemulihannya.
• Batasi akses sesuai kebutuhan, aktifkan autentikasi dua faktor, dan pantau aktivitas akun istimewa.
• Susun dan latih rencana penanganan insiden sebelum krisis datang.
• Lakukan penilaian keamanan berkala oleh pihak yang berwenang. Organisasi dapat mempertimbangkan layanan pengujian keamanan.

Bagi individu

• Gunakan kata sandi unik untuk setiap akun dan aktifkan autentikasi dua faktor.
• Waspadai pesan penipuan yang memakai data pribadi Anda yang pernah bocor.
• Cek apakah data Anda terdampak lewat panduan cara mengecek kebocoran data pribadi.

Baca juga: Pentingnya Cyber Security di Indonesia.

Pertanyaan yang Sering Diajukan

Apa kasus peretasan terbesar di Indonesia?

Tidak ada satu ukuran tunggal. Dari sisi dampak layanan, serangan pada PDNS 2 pada 2024 sangat luas karena menyentuh ratusan instansi. Dari sisi jumlah data yang diklaim, kasus BPJS Kesehatan 2021 melibatkan klaim 279 juta data.

Apakah semua klaim kebocoran data benar?

Tidak selalu. Penjual atau pelaku sering membesar-besarkan jumlah, dan hasil investigasi resmi bisa berbeda dengan klaim awal. Karena itu, bedakan antara klaim, dugaan, dan fakta yang sudah diverifikasi.

Apa yang harus dilakukan jika data pribadi saya bocor?

Ganti kata sandi akun terkait, aktifkan autentikasi dua faktor, waspadai penipuan yang menggunakan data Anda, dan pantau rekening atau akun penting. Laporkan ke penyelenggara layanan yang bersangkutan.

Kesimpulan

Kasus PDNS 2, BSI, dan BPJS Kesehatan memperlihatkan bahwa kesiapan pemulihan, tata kelola, dan perlindungan data harus dibangun sebelum insiden terjadi. Pelajari kasus bukan untuk meniru, tetapi untuk memperkuat pertahanan. Linuxhackingid menyediakan kursus keamanan siber bagi Anda yang ingin memahami cara melindungi sistem dan data secara legal.