Kasus Kebocoran Data, Ahli: Raid Forums Masih Bisa Diakses

24 Mei 2021, 18:19 WIB

Ilustrasi peretasan (IDN Times/Sukma Shakti)

Jakarta, IDN Times - Praktisi keamanan siber Teguh Aprianto mengatakan upaya pemblokiran yang dilakukan Kementerian Komunikasi dan Informatika (Kemkominfo) terhadap situs forum peretas, Raid Forums, tidak berpengaruh untuk mencegah kebocoran 279 juta data warga Indonesia. Sebab yang diblokir hanya domain situs tersebut, sedangkan situs yang jadi tempat jual beli 279 data penduduk itu tetap bisa diakses menggunakan Virtual Private Network (VPN).

"Raid Forums ini kan forum underground. Gak semua orang punya akses ke sana. Ketika situs itu diblokir ya ngapain. Percuma," kata Teguh ketika dihubungi IDN Times, Senin (24/5/2021).

Artinya, kata dia, kebocoran data tersebut tetap terjadi meski domainnya sudah diblokir Kemkominfo. Ia pun melihat publik tidak begitu saja percaya kepada penjelasan Kemkominfo. Justru, mereka semakin terlihat kesal saat tahu upaya penanganan kebocoran data itu tidak maksimal.

Lalu, apa yang bisa dilakukan publik ketika mengetahui data pribadinya yang tersimpan di BPJS Kesehatan bocor?

1. Cek data kamu, apakah sudah bocor ke publik melalui situs periksa data

Ilustrasi peretasan data (IDN Times/Sukma Shakti)

Melalui akun media sosialnya @secgron, Teguh menyarankan publik memeriksa, apakah data mereka yang tersimpan di BPJS Kesehatan ikut bocor atau tidak, melalui situs periksadata.com. Publik tinggal memasukkan nomor keanggotaannya di BPJS Kesehatan.

"Jumlah penduduk Indonesia di 2021 271 juta penduduk. Sementara, data yang bocor mencapai 279 juta, termasuk orang yang sudah meninggal. Jadi, walaupun kamu gak ada di sampel yang diberikan oleh pelaku, kemungkinannya sangat besar data kamu ikut bocor bersamaan dengan 279 juta orang lainnya," kata Teguh pada 22 Mei 2021.

Sayangnya, menurut pendiri Ethical Hacker Indonesia itu, bila ditemukan adanya data pribadi yang bocor, maka tak ada yang bisa dilakukan. Sebab, data yang tersebar luas merupakan data sensitif yang dasar, seperti Nomor Induk Kependudukan (NIK), alamat tinggal, nomor telepon, hingga tanggal lahir.

"Kecuali kita diberi identitas baru ya. Maka seharusnya kita sangat-sangat marah melihat kejadian bocornya data tersebut. Ini kebocoran data yang paling parah dan sayangnya publik tak bisa berbuat apa-apa," tutur dia.

Kasusnya berbeda bila data yang bocor ke ruang publik sekadar alamat surat elektronik. "Itu masih bisa ada yang dilakukan untuk pencegahan, dengan two steps verification," kata Teguh.

2. Empat bahaya penyalahgunaan jika data pribadi bocor

ilustrasi hutang (IDN Times/Arief Rahmat)

Bocornya data-data pribadi ini, menurut Teguh, sangat berbahaya. Sayangnya, malah kerap kali berulang di Indonesia. Selain bisa digunakan untuk membuat kartu kredit baru dengan data yang bocor itu, pelaku juga bisa mengakses pinjaman online dan melakukan peminjaman sejumlah uang. Padahal, si pemilik data tak pernah meminjam di akun pinjol tersebut.

"Kedua, doxxing (intimidasi di dunia maya) semakin lebih mudah dilakukan, karena data penduduk sudah diketahui. Ketiga, publik semakin rentan jadi korban penipuan di dunia maya, baik secara langsung atau tidak," kata dia.

Hal lainnya yang juga berbahaya yaitu bila pelaku tindak kejahatan paham cara menggunakan data itu, maka mereka bisa menggunakan data yang beredar di dunia maya tersebut, dan digunakan untuk mengakses data yang disimpan di instansi lainnya. Salah satunya yang tersimpan di Kementerian Dalam Negeri.

"Kan sekarang tinggal modal (data) NIK saya sudah bisa mendapatkan berbagai data lengkap di KTP (Kartu Tanda Penduduk), termasuk foto. Jadi, saya bisa memperoleh data lain seperti agama, golongan darah, nama orang tua, hingga status pekerjaannya," ujar Teguh.

3. Publik wajib tahu hasil investigasi Kemkominfo soal kebocoran data dari BPJS Kesehatan

Ilustrasi peretasan (IDN Times/Arief Rahmat)

Oleh sebab itu, Teguh mendesak agar hasil pertemuan dan investigasi yang dilakukan Kemkominfo disampaikan ke publik. Sebab, publik berhak tahu lantaran yang bocor adalah data pribadinya.

Di sisi lain, Teguh menilai, sistem perlindungan data di instansi pemerintahan tergolong buruk. Akibatnya, sistem mereka rentan disusupi peretas.

"Di pemerintahan itu, orang-orang yang tidak memiliki kompetensi pekerjaan malah diminta untuk mengerjakan soal ini (perlindungan data). Pada dasarnya kan itu bukan tanggung jawab mereka. Mereka gak bisa kita salahkan," katanya.

Hal lainnya yang ditemukan Teguh, yaitu pihak ketiga atau vendor yang dipekerjakan tak memiliki standar khusus dalam perlindungan data publik.

"Seharusnya ketika mengerjakan aplikasi terkait data pribadi harus ada standarisasi, misal ISO 27001. Itu gak tahu apakah itu diterapkan oleh pemerintah atau tidak, tapi kebanyakan sih gak," ujarnya.

Teguh menambahkan kalau pun standarisasi ISO itu diterapkan, tujuannya hanya untuk proses audit. "Setelah sertifikasi diterapkan, ISO itu gak lagi diterapkan, makanya kejadian semacam ini terus berulang," kata dia.