Insiden kebocoran data skala besar kembali mengguncang ekosistem digital Indonesia. Kali ini, diduga 2 juta data pengguna sebuah platform e-commerce lokal bocor dan beredar di forum dark web. Insiden ini pertama kali terdeteksi oleh tim riset keamanan siber Indonesia Cyber Research Institute (ICRI) pada Sabtu (22/6) malam.
"Kami menemukan database yang berisi 2.147.832 record pengguna dijual dengan harga $3.000 di salah satu forum dark web. Data yang bocor meliputi alamat email, nomor telepon, alamat pengiriman, riwayat pembelian 6 bulan terakhir, dan hash password yang sebagian sudah berhasil di-decrypt," jelas ketua tim riset ICRI dalam keterangan persnya.
Kronologi Terungkapnya Kebocoran
Menurut investigasi awal ICRI, kebocoran kemungkinan besar terjadi melalui kerentanan pada API (Application Programming Interface) platform e-commerce tersebut yang tidak memiliki autentikasi yang memadai. Kerentanan ini memungkinkan pihak tidak berwenang untuk mengekstrak data dalam jumlah besar tanpa terdeteksi oleh sistem monitoring internal perusahaan.
Yang lebih mengkhawatirkan, ICRI memperkirakan bahwa akses tidak sah ke database sudah berlangsung selama minimal 3 bulan sebelum terdeteksi. Hal ini menunjukkan kelemahan serius dalam sistem deteksi ancaman (intrusion detection system) perusahaan.
Respon Kominfo dan Regulator
Kementerian Komunikasi dan Informatika (Kominfo) langsung memanggil jajaran direksi perusahaan yang bersangkutan pada Senin (24/6) pagi untuk memberikan klarifikasi. Menteri Kominfo menyatakan bahwa pemerintah akan menerapkan sanksi maksimal sesuai dengan Undang-Undang Pelindungan Data Pribadi (UU PDP) jika terbukti ada kelalaian.
- Denda administratif hingga 2% dari pendapatan tahunan sesuai UU PDP
- Pemberhentian sementara pengolahan data pribadi hingga perbaikan selesai
- Kewajiban memberitahu seluruh pengguna terdampak dalam 72 jam
- Audit keamanan siber menyeluruh oleh tim independen yang ditunjuk Kominfo
Pelajaran untuk Industri
Ahli keamanan siber dari Indonesian Security Incident Response Team on Internet Infrastructure (ISR2I) menekankan bahwa insiden ini harus menjadi wake-up call bagi seluruh industri digital Indonesia. "Banyak perusahaan yang menganggap keamanan data sebagai biaya, bukan investasi. UU PDP sudah berlaku sejak 2022, tapi implementasinya masih sangat lemah. Ini harus berubah," tegasnya.
Perusahaan bersangkutan telah mengeluarkan pernyataan resmi mengakui insiden ini dan meminta maaf. Mereka mengklaim telah memperbaiki kerentanan API dalam 12 jam setelah diinformasikan oleh ICRI dan sedang melakukan investigasi internal menyeluruh. Namun, kepercayaan pengguna sudah terguncang — media sosial dipenuhi keluhan dan ancaman untuk menghapus akun.
