Kebocoran Data Pengguna DeepSeek: Kronologi dan Pelajarannya

Kebocoran data DeepSeek mengemuka pada 29 Januari 2025, ketika peneliti Wiz melaporkan sebuah database milik startup AI itu terbuka di internet tanpa autentikasi. Isinya lebih dari satu juta baris log yang memuat riwayat obrolan, kunci rahasia, dan detail sistem internal. Artikel ini merangkum kronologi berdasarkan sumber yang dapat diverifikasi, memisahkan apa yang terbukti dari apa yang belum, dan menarik pelajarannya.

Apa yang Sebenarnya Terjadi pada Data DeepSeek?

Menurut laporan Wiz Research, tim tersebut menemukan database ClickHouse milik DeepSeek yang dapat diakses publik tanpa autentikasi. Database itu berada di dua host, oauth2callback.deepseek.com dan dev.deepseek.com, pada port 9000 dan 8123. Tabel log_stream memuat lebih dari satu juta entri, dengan catatan tertua bertanggal 6 Januari 2025.

Data yang terlihat meliputi riwayat obrolan, kunci API dan rahasia, detail backend, serta metadata operasional. Peneliti Wiz mengakses antarmuka web ClickHouse di jalur /play dan hanya menjalankan perintah untuk mendaftar tabel, tanpa melakukan kueri yang lebih intrusif. Wiz menyatakan telah mengungkapkannya secara bertanggung jawab dan DeepSeek dengan cepat menutup paparan tersebut.

Perlu dicatat apa yang tidak dinyatakan: sumber yang dapat diverifikasi tidak memuat jumlah pengguna yang terdampak, dan tidak ada bukti dalam laporan Wiz bahwa pihak lain mengunduh isi database itu. Ini kasus konfigurasi yang terbuka, bukan pembobolan massal yang terkonfirmasi.

Kronologi Kebocoran Data DeepSeek

• 6 Januari 2025: tanggal catatan tertua pada tabel log yang terpapar, menurut Wiz.
• 25 Januari 2025: aplikasi DeepSeek meluncur, sebagaimana dicatat Krebs on Security.
• 29 Januari 2025: Wiz menerbitkan temuannya; DeepSeek menutup paparan setelah diberi tahu.
• 30 Januari 2025: regulator perlindungan data Italia, Garante, memerintahkan pemblokiran chatbot DeepSeek di Italia dengan efek segera. Menurut Reuters, Garante menilai informasi dari perusahaan di balik DeepSeek "sama sekali tidak memadai", dan pertanyaannya mencakup data apa yang dikumpulkan serta apakah disimpan di Tiongkok.
• Awal Februari 2025: firma keamanan seluler NowSecure menganalisis aplikasi iOS DeepSeek. Menurut ulasan Krebs on Security, aplikasi itu menonaktifkan App Transport Security milik Apple sehingga bisa mengirim data tanpa enkripsi, memakai sandi 3DES yang usang dengan kunci tertanam, dan berkomunikasi dengan Volcengine, platform cloud milik ByteDance. NowSecure menyarankan organisasi mencopot aplikasi iOS tersebut.
• 14 Februari 2025: tanggal versi kebijakan privasi DeepSeek yang menyatakan bahwa informasi yang dikumpulkan disimpan di server yang berlokasi di Republik Rakyat Tiongkok.

Rangkaian ini menunjukkan dua lapis persoalan yang berbeda. Lapis pertama adalah kelalaian teknis, yaitu database yang terbuka. Lapis kedua adalah tata kelola data: ke mana data pengguna dikirim, disimpan di mana, dan siapa yang menjamin pengamanannya. Regulator Italia mempersoalkan lapis kedua, sedangkan Wiz dan NowSecure menemukan lapis pertama.

Kebocoran Data DeepSeek: Apa Dampaknya bagi Pengguna?

Karena yang terpapar adalah log yang memuat riwayat obrolan, risikonya ada pada apa yang pernah diketik pengguna ke chatbot itu: pertanyaan pribadi, potongan kode, dokumen kerja, bahkan kredensial yang tak sengaja ditempel. Wiz juga mencatat bahwa database tanpa autentikasi seperti ini berpotensi memungkinkan penyerang membaca file lokal atau kredensial dalam bentuk teks biasa lewat kueri, tergantung konfigurasi ClickHouse-nya.

Bagi pengguna biasa, kesimpulan praktisnya sama untuk layanan AI mana pun. Anggap setiap prompt dapat tersimpan dan terbaca pihak lain. Jangan memasukkan data pribadi, kata sandi, data pelanggan, atau dokumen rahasia perusahaan ke layanan yang tidak disetujui organisasi Anda. Jika Anda butuh pemrosesan yang tidak keluar dari perangkat, model terbuka dapat dijalankan sendiri; caranya dijelaskan di panduan menjalankan DeepSeek-R1 secara lokal.

Pelajaran bagi Organisasi dan Tim Teknis

Jangan pernah membuka database ke internet

Wiz menyebut ini risiko dasar yang harus diprioritaskan tim keamanan. Layanan seperti ClickHouse, Redis, atau MongoDB sebaiknya hanya berada di jaringan privat dengan autentikasi dan firewall. Temuan ini juga mengingatkan bahwa pemindaian permukaan serangan tidak boleh berhenti di port 80 dan 443: database tersebut baru ditemukan setelah Wiz memeriksa port lain pada sekitar 30 subdomain DeepSeek yang menghadap internet.

Perlakukan log sebagai data sensitif

Log yang memuat obrolan dan kunci API sama berharganya dengan database utama. Terapkan kontrol akses, masking untuk data sensitif, dan jangan menuliskan rahasia ke log. Beberapa penyebab umum kebocoran dibahas di artikel tentang penyebab kebocoran data.

Libatkan tim keamanan dalam adopsi AI

Wiz menyarankan tim keamanan bekerja erat dengan insinyur AI untuk memahami arsitektur, tools, dan model yang dipakai, serta melindungi data pelanggan sebagai prioritas utama walau adopsi berjalan cepat. Gartner pun menyoroti penggunaan AI tanpa pengawasan sebagai tren keamanan 2026; ulasannya ada di tren cyber security 2026.

Kewajiban hukum di Indonesia

Bagi pengendali data di Indonesia, UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pemberitahuan tertulis kepada subjek data dan lembaga berwenang paling lambat 3 x 24 jam ketika terjadi kegagalan pelindungan data (Pasal 46 ayat 1), menurut teks undang-undang di JDIH Komdigi. Ringkasan kewajibannya ada di artikel tentang UU PDP.

Pertanyaan yang Sering Diajukan

Apakah data akun pengguna DeepSeek dicuri dalam kasus ini?

Laporan Wiz menyebut paparan berupa log yang memuat riwayat obrolan, kunci rahasia, dan detail backend. Sumber yang terverifikasi tidak melaporkan adanya pencurian data akun dalam jumlah tertentu.

Apakah DeepSeek sudah memperbaiki masalah ini?

Menurut Wiz, DeepSeek dengan cepat menutup paparan setelah diberi tahu. Namun, perbaikan itu tidak menjawab pertanyaan lain, seperti kebijakan penyimpanan data di server di Tiongkok.

Apa yang sebaiknya saya lakukan sebagai pengguna?

Hindari memasukkan informasi sensitif ke layanan AI mana pun, gunakan kata sandi unik dengan autentikasi dua faktor, dan baca kebijakan privasi layanan sebelum memakainya.

Kesimpulan

Kasus kebocoran data DeepSeek bukan tentang kecanggihan serangan, melainkan database yang dibiarkan terbuka. Pelajarannya sederhana dan berlaku untuk semua tim: inventarisasi aset yang menghadap internet, tutup layanan yang tidak perlu terbuka, dan lindungi log. Untuk membekali tim Anda dengan kebiasaan itu, Linuxhackingid menyediakan pelatihan keamanan untuk organisasi.