Pakar: Data PeduliLindungi yang Bocor dan Dijual Bjorka Valid, Pemerintah Harus Lakukan Digital Forensic

Liputan6.com, Jakarta - Bjorka kembali beraksi dengan mengklaim telah memiliki 3,2 miliar data yang berasal dari aplikasi PeduliLindungi. Ia diketahui menjual data tersebut melalui situs Breached.to.

Menurut pakar keamanan siber Pratama Persadha, data yang dibocorkan itu mencakup data pengguna, data vaksinasi, riwayat pelacakan, termasuk riwayat check-in pengguna aplikasi. Hal itu diketahui dari sampel data yang diberikan.

"Saat dicek apakah data ini valid menggunakan aplikasi pengecek nomor KTP, data ini benar valid terdata di data kependudukan. Dan, jika diperiksa lebih lanjut pada sampel datanya, ada banyak koordinat lokasi yang bertepatan dnegan fitur check-in PeduliLindungi di tempat-tempat publik," tutur Pratama dalam keterangan resmi yang diterima, Selasa (15/11/2022).

Kendati demikian, Pratama menuturkan, sumber datanya hingga saat ini belum jelas. Hanya mengenai keaslian atau tidaknya data ini, instansi yang terlibat dalam pembuatan aplikasi PeduliLindungi, seperti Kementerian Kominfo, Kementerian BUMN, Kementerian Kesehatan, dan Telkom yang bisa memastikan.

"Dan juga sangat disayangkan data yang sangat sensitif ini tidak maksimal pengamanannya, misalnya dengan melakukan enkripsi datanya. Jalan terbaik harus dilakukan audit dan investigasi digital forensic untuk memastikan kebocoran data ini dari mana," tutur Chairman lembaga riset siber CISSReC (Communication & Information System Security Research Center ini.

Menurut Pratama, salah satu yang bisa dilakukan adalah mengecek terlebih dulu sistem informasi dari PeduliLindungi yang datanya dibocorkan oleh Bjorka. Apabila ditemukan lubang keamanan, berarti kemungkinan besar memang terjadi peretasan dan pencurian data.

Sementara apabila setelah dilakukan pengecekan menyeluruh dan digital forensic tidak ditemukan celah keamanan maupun jejak digital peretasan, ada kemungkinan kebocoran data karena insider atau orang dalam.

"Hal ini memang bukan barang baru, karena dalam kebocoran data ada 3 penyebab utama, yaitu peretasan, karena human eror atau tindakan orang dalam, serta terakhir karena adanya kesalahan dalam sistem informasi tersebut," ujar Pratama menjelaskan.

Dengan kata lain, setiap kebocoran data tidak selalu disebabkan oleh serangan siber para peretas. Namun apabila memang terjadi serangan oleh peretas, hal itu tidak bisa langsung diidentifikasi para penyerangnya, karena tergantung dengan kemampuan si peretas.

Untuk itu, Pratama menuturkan, apabila ini benar data PeduliLindungi, berlaku Pasal 46 UU PDP ayat 1 dan 2 yang berisi dalam hal terjadi kegagalan perlindungan data pribadi, pengendali data pribadi wajib menyampaikan pemberitahuan secara tertulis, paling lambat 3x24 jam.

"Pemberitahuan itu disampaikan kepada subyek data pribadi dan Lembaga Pelaksana Pelindungan Data Pribadi (LPPDP). Pemberitahuan minimal harus memuat data pribadi yang terungkap, kapan dan bagaimana data pribadi terungkap, serta upaya penanganan dan pemulihan atas terungkapnya oleh pengendali data pribadi," tuturnya.

Pratama pun menuturkan, pemerintah perlu segera membentuk lembaga pengawas PDP, semisal Komisi PDP. Sebab, ini sudah diamanatkan UU PDP agar presiden membentuk Komisi PDP setelah UU berlaku.

"Komisi PDP ini nanti tidak hanya mengawasi, tapi juga melakukan penegakan aturan serta menciptkaan standar keamanan tertentu dalam proses pengolahan pemrosesan data. Dalam kasus kebocoran data seperti aplikasi PeduliLindungi ini, bila ada masyarakat yang dirugikan nantinya bisa melakukan gugatan lewat Komisi PDP," ujar Pratama menutup pernyataannya.

Perlu diketahui, Bjorka kembali lagi beraksi. Kali ini, ia mengklaim memiliki 3,2 miliar data dari aplikasi PeduliLindungi. Hal itu diungkapnya melalui situs breached.to pada Selasa (15/11/2022).

Dalam keterangannya, Bjorka menyebut bahwa PeduliLindungi adalah aplikasi pelacakan kontak resmi Covid-19, yang digunakan untuk melacak kontak secara digital di Indonesia.

Ia menyebut, aplikasi PeduliLindungi dibuat oleh Kementerian Komunikasi dan Informatika bekerja sama dengan Komite Penanganan Corona Virus Disease 2019 dan Pemulihan Ekonomi Nasional, Kementerian Kesehatan, Kementerian BUMN, dan Telkom Indonesia.

"Aplikasi ini awalnya dikenal sebagai TraceTogether tetapi diganti karena Singapura menggunakan aplikasi yang bernama sama," kata Bjorka.

Berdasarkan informasi file yang diunggah, data yang ada sebesar 48 GB dalam kondisi dikompres dan 157 GB saat uncompressed, dengan total 3.250.144.777 data berformat CSV.

Bjorka mengklaim, data yang tersedia antara lain nama, email, Nomor Induk Kependudukan (NIK), nomor telepon, tanggal lahir, Device ID, status Covid-19, riwayat check-in, riwayat pelacakan kontak, hingga vaksinasi.

Bjorka bahkan mengklaim, data yang ada di sampel juga termasuk data pribadi milik Menkominfo Johnny G. Plate, Menko Marves Luhut Binsar Pandjaitan, dan host Deddy Corbuzier.

Data-data pribadi ini sendiri ia jual dengan harga USD 100 ribu dan hanya menerima pembayaran berupa Bitcoin (BTC). Terkait dugaan kebocoran data ini, belum ada pernyataan dari Kemkominfo maupun Kemenkes.

Ini merupakan aksi kedua Bjorka dalam beberapa waktu terakhir setelah sempat menghilang. Pembocor data ini sebelumnya mengklaim telah memiliki data dari layanan MyPertamina dan menjualnya melalui situs Breached Forum.

Lewat unggahan di situs Breached Forum, Bjorka membuat unggahan baru dengan topik MyPertamina Indonesia 44 Million. Berdasarkan informasi yang ditampilkan, informasi ini diunggah pada Kamis (10/11/2022).

Dalam unggahan ini, Bjorka mengklaim telah memiliki data sekitar 44 juta data yang berasal dari MyPertamina. Data yang dijual berukuran 30GB dengan hasil kompresi 6GB.

Dari informasi tersebut, data yang dibocorkan mencakup nama, email, NIK, NPWP, nomor telepon, alamat, tanggal lahir, jenis kelamin, bahkan penghasilan (harian, bulanan, tahunan).

(Dam/Isk)