Dugaan Kebocoran Data Mahasiswa 13 Universitas: Fakta dan Pelajarannya

Dugaan kebocoran data universitas di Indonesia mencuat pada Januari 2026, ketika tangkapan layar yang diklaim berisi data mahasiswa dari sekitar 13 kampus beredar di media sosial. Kementerian Pendidikan Tinggi, Sains, dan Teknologi menyatakan masih memverifikasi dan sebagian data tampak lama, sehingga cakupan serta keaslian kebocoran ini belum terkonfirmasi.

Apa yang Diklaim, dan Apa yang Terverifikasi

Pembedaan antara klaim dan fakta adalah inti dari kasus ini, jadi kami memisahkannya secara eksplisit. Informasi di bawah mengacu pada laporan Kompas.com, Katadata, dan CNBC Indonesia yang terbit 20 sampai 23 Januari 2026.

• Diklaim: sebuah akun Facebook mengunggah tangkapan layar, kemudian dibagikan ulang di Instagram, yang disebut berisi data mahasiswa dari belasan universitas, sekitar 13 menurut sejumlah media, dan dijual di forum peretas atau dark web. Tangkapan layar itu disebut memuat nama lengkap, nomor induk mahasiswa (NIM), email, dan kata sandi.
• Dinyatakan kementerian: Sekretaris Jenderal Kemdiktisaintek kepada Kompas.com pada 19 Januari 2026 menyatakan kementerian sedang memverifikasi, berkoordinasi dengan CSIRT dan pengelola TI kampus, dan hasil telaah awal menunjukkan sebagian data merupakan data lama yang sebelumnya sudah ditangani masing-masing institusi. Nama kampus belum dibuka hingga verifikasi selesai.
• Dinyatakan Komdigi: Direktur Jenderal Pengawasan Ruang Digital kepada Katadata pada 20 Januari 2026 menyatakan kebocoran belum dapat dipastikan dan harus dibuktikan lewat investigasi serta forensik digital oleh institusi terkait. Menurut Komdigi, unggahan ancaman tersebut muncul pada waktu yang berbeda-beda sepanjang 2024 sampai 2025, dan Komdigi mengirim surat pemberitahuan kepada 13 dari 17 perguruan tinggi.
• Dugaan sumber: Wakil Menteri Komdigi Nezar Patria pada 22 Januari 2026, ketika ditanya soal klaim 13 universitas, menyebut sumbernya mungkin Pusat Data dan Teknologi Informasi Kemdiktisaintek. Ia memakai kata "mungkin", sehingga ini dugaan, bukan temuan.
• Belum terverifikasi: keaslian tangkapan layar, jumlah data, nama kampus terdampak, dan asal data. Ketua CISSReC kepada Katadata menyebut sebagian orang dalam sampel mengakui data itu miliknya, tetapi menegaskan data belum dapat diverifikasi secara teknis tanpa audit dan forensik digital. Tidak ada angka resmi jumlah data, dan kami tidak memakai angka yang beredar tanpa sumber jelas.

Kebocoran Data Universitas: Mengapa Kampus Jadi Sasaran

Terlepas dari benar tidaknya klaim ini, kampus adalah target yang menarik. Perguruan tinggi menyimpan data identitas ribuan orang, memiliki banyak akun dengan siklus keluar-masuk yang tinggi (mahasiswa baru, lulusan, dosen tamu), dan sering mengelola banyak sistem yang dibangun terpisah. Sekretaris Jenderal Kemdiktisaintek sendiri mengakui bahwa kesiapan keamanan siber antarkampus belum merata dan belum ada penilaian nasional yang seragam, meski sebagian kampus sudah mulai membentuk CSIRT.

Data yang disebut berpotensi terpapar menurut Kemdiktisaintek mencakup nama lengkap, NIM atau NIP, alamat, email, dan nomor telepon, baik mahasiswa maupun dosen. Risiko yang dicatat antara lain phishing, pengambilalihan akun, dan penyalahgunaan identitas untuk pinjaman online ilegal. Artikel kami tentang phishing membantu Anda mengenali pesan semacam itu.

Kelemahan yang Disebut Pemerintah

Dalam keterangannya pada 22 Januari 2026, Wakil Menteri Komdigi menyebut kata sandi lemah dan tidak adanya autentikasi dua faktor sebagai celah yang lazim. Ia meminta setiap kementerian meninjau kesiapan CSIRT masing-masing, dan menyebut audit atas kebocoran seperti ini biasanya dilakukan BSSN. Kemdiktisaintek sendiri menyatakan akan memperketat persyaratan keamanan data dosen dan mahasiswa yang terhubung dengan sistem kementerian serta memperkuat kontrol akses dan perlindungan data, dimulai dari Pusat Data dan Teknologi Informasi miliknya. Kementerian juga menganjurkan MFA, pembaruan sistem berkala, dan pemantauan berkelanjutan.

Perlu diingat bahwa pernyataan pejabat tentang kelemahan umum bukan temuan forensik atas kasus ini. Penyebab sebenarnya baru dapat dipastikan lewat investigasi.

Langkah Konkret bagi Kampus

1. MFA untuk semua akun bernilai tinggi. Mulai dari admin sistem akademik, email dosen, dan portal keuangan. Pelajari autentikasi dua faktor.
2. Inventaris sistem dan data. Ketahui sistem apa yang menyimpan data apa, siapa yang punya akses, dan apa yang terintegrasi dengan sistem pusat.
3. Kurangi dan hapus data. Simpan hanya data yang diperlukan dan hapus data alumni atau pendaftar lama sesuai kebijakan retensi. Data yang tidak disimpan tidak bisa bocor.
4. Hak akses minimum. Terapkan least privilege dan tinjau akun secara berkala, termasuk akun mahasiswa yang sudah lulus.
5. Penyimpanan kata sandi yang benar. Gunakan hashing yang kuat, bukan penyimpanan teks biasa.
6. Pemantauan dan tim tanggap insiden. Aktifkan log terpusat, tetapkan CSIRT kampus, dan latih prosedurnya; lihat tahapan incident response.
7. Patuhi UU PDP. Kampus adalah pengendali data pribadi; ringkasan kewajibannya ada di UU PDP bagi organisasi.

Yang Bisa Dilakukan Mahasiswa dan Dosen

Ganti kata sandi akun kampus dan jangan memakainya di layanan lain. Aktifkan MFA bila tersedia. Waspadai pesan yang mengaku dari pihak kampus, bank, atau pinjaman online yang menyebut nama dan NIM Anda. Periksa apakah email Anda pernah muncul di kebocoran lewat cara mengecek kebocoran data pribadi. Jangan menyebarkan tangkapan layar data orang lain, karena itu memperbesar kerugian bagi mereka.

Cara Membaca Klaim Kebocoran dengan Kepala Dingin

Klaim kebocoran yang beredar lewat tangkapan layar sulit dinilai. Tangkapan layar mudah dibuat atau disusun dari data lama, dan penjual data di forum gelap bisa saja melebih-lebihkan jumlahnya untuk menaikkan harga. Karena itu, ada tiga pertanyaan yang berguna: siapa yang menyatakannya, apakah ada pihak independen yang memverifikasi sampelnya, dan apakah pemilik sistem sudah mengonfirmasi. Pada kasus ini, belum ada jawaban pasti untuk ketiganya dalam pernyataan resmi yang dipublikasikan, dan itu sebabnya klaim ini tetap ditempatkan sebagai dugaan.

Di sisi lain, sikap "ini data lama" tidak boleh menjadi alasan abai. Data lama yang masih valid tetap berguna bagi penipu. Kampus perlu memeriksa apakah akun dengan kata sandi yang tertera pada tangkapan layar masih aktif, memaksa penggantian bila perlu, dan memberi tahu pengguna dengan bahasa yang jelas tentang apa yang terjadi dan apa yang harus mereka lakukan.

Kronologi Singkat

• Pertengahan Januari 2026: tangkapan layar klaim kebocoran beredar di Facebook dan Instagram.
• 19 Januari 2026: Sekretaris Jenderal Kemdiktisaintek menyatakan kementerian sedang memverifikasi.
• 20 Januari 2026: Komdigi menyatakan kebocoran belum dapat dipastikan dan telah mengirim surat pemberitahuan kepada 13 dari 17 perguruan tinggi.
• 22 Januari 2026: Wakil Menteri Komdigi menyampaikan dugaan sumber dan imbauan keamanan.
• Per 29 Oktober 2026: belum ada hasil verifikasi resmi yang dipublikasikan tentang keaslian dan cakupan data.

Pertanyaan yang Sering Diajukan

Berapa data mahasiswa yang bocor?

Belum ada angka resmi. Angka tertentu yang beredar tidak berasal dari sumber yang terverifikasi, sehingga tidak kami gunakan.

Kampus mana saja yang terdampak?

Kemdiktisaintek belum membuka nama kampus hingga verifikasi selesai, dan Komdigi hanya menyebut telah menyurati 13 dari 17 perguruan tinggi tanpa menyebut namanya.

Apakah data saya otomatis aman jika kampus saya tidak disebut?

Tidak otomatis. Karena cakupannya belum jelas, langkah dasar seperti mengganti kata sandi dan mengaktifkan MFA tetap bijak.

Kesimpulan

Per 29 Oktober 2026, belum ada konfirmasi resmi yang dipublikasikan atas cakupan kebocoran ini; yang pasti hanyalah bahwa kementerian memverifikasi, Komdigi menyurati kampus terkait, dan sebagian data dinilai sebagai data lama. Kasus ini tetap relevan sebagai cermin kesiapan keamanan kampus. Jika institusi Anda ingin menilai kesiapannya, tim Linuxhackingid menyediakan asesmen keamanan. Rujukan utama: Kompas.com, Katadata, dan CNBC Indonesia.