HEADLINE: Geger Peretasan 204 Juta Data Pemilih di Situs KPU, Ancaman Serius?

Liputan6.com, Jakarta - Sistem jaringan Komisi Pemilihan Umum (KPU) kembali dibobol oleh hacker. Sebelumnya, peretas Bjorka mengklaim berhasil mengantongi 105 juta data pemilih dari website KPU pada 2022.

Kali ini pelaku kejahatan siber dengan nama anonim Jimbo mengaku telah meretas situs kpu.go.id dan mencuri ratusan juta data milik daftar pemilih tetap (DPT) dari situs tersebut.

Dia bahkan dengan percaya diri membagikan 500 ribu data sampel penduduk Indonesia di salah satu posting-annya di situs BreachForums yang biasa digunakan untuk menjual hasil peretasan.

Jimbo juga mengunggah sejumlah tangkapan layar dari website https://cekdptonline.kpu.go.id/ guna memverifikasi kebenaran data yang didapatkan tersebut.

Sang hacker mengungkapkan di forum peretas tersebut bahwa data 252 juta yang berhasil dia dapatkan terdapat beberapa data yang terduplikasi.

Jimbo kemudian melakukan penyaringan, dan hasilnya terdapat 204.807.203 data unik. Angka itu hampir sama dengan jumlah pemilih dalam DPT tetap KPU sebesar 204.807.222 pemilih dari 514 kab/kota di Indonesia serta 128 negara perwakilan.

Terkait dugaan peretasan ini Kementerian Komunikasi dan Informatika (Kominfo) mengaku tengah berkoordinasi dengan Badan Siber dan Sandi Negara (BSSN) dan KPU.

Direktur Jenderal Informasi dan Komunikasi Publik Kementerian Kominfo, Usman Kansong, mengatakan pihaknya masih menelusuri soal dugaan kebocoran data KPU tersebut.

"Masih kami telusuri dan koordinasikan dengan BSSN dan KPU," kata Usman melalui pesan singkat kepada Tekno Liputan6.com, Rabu (29/11/2023).

Informasi kebocoran data pribadi ini pertama kali diungkap oleh Konsultan Keamanan Siber Teguh Aprianto, pada Selasa 28 November melalui platform X alias Twitter.

Lewat platform media sosial X @secgron, dirinya membagikan tangkapan layar unggahan hacker bernama Jimbo dengan caption "KPU.GO.ID 2024 Voters RAW DATABASE".

"Belum juga pemilu dan tau hasilnya gimana, tapi data pribadi kita semua yang terbaru malah udah bocor duluan. Sungguh berguna sekali kalian @kemkominfo, @BSSN_RI, dan @KPU_ID," tulis @secgron seraya menyindir.

Hacker Jimbo Jual Data Pribadi DPT Senilai Rp 1,2 Miliar

Menurut penelusuran Pakar Keamanan Siber Pratama Persadha, di dalam data yang didapatkan oleh Jimbo, terdapat beberapa data pribadi yang cukup penting.

"Antara lain NIK, No. KK, nomor ktp (berisi nomor paspor untuk pemilih yang berada di luar negeri), nama lengkap, jenis kelamin, tanggal lahir, tempat lahir, status pernikahan, alamat lengkap, RT, RW, kodefikasi kelurahan, kecamatan dan kabupaten serta kodefikasi TPS," ungkap Chairman Lembaga Riset Keamanan Siber CISSReC tersebut.

Pratama menyebut tim CISSReC telah melakukan verifikasi data sample yang diberikan secara random melalui website 'cekdpt', dan data itu ditemukan sama dengan data sample yang dibagikan oleh peretas Jimbo, termasuk nomor TPS di mana pemilih terdaftar.

Untuk mendapatkan keuntungan finansial, Jimbo menawarkan data yang berhasil dia curi dengan harga USD 74.000 atau sekitar Rp 1,2 miliar.

Pada tangkapan layar lainnya yang dibagikan Jimbo, tampak sebuah halaman website KPU yang kemungkinan berasal dari halaman dashboard pengguna.

Dengan adanya tangkapan layar tersebut, Pratama menilai, kemungkinan besar Jimbo berhasil mendapatkan akses login dengan role Admin KPU dari domain sidalih.kpu.go.id menggunakan metode phishing.

Hacker juga bisa melakukan peretasan melalui social engineering atau malware. Dengan memiliki akses dari salah satu Admin KPU, Jimbo mengunduh data pemilih serta beberapa data lainnya.

"CISSREC sebelumnya bahkan sudah memberikan peringatan kepada Ketua KPU tentang vulnerability di sistem KPU pada 7 Juni 2023. Sampai saat ini belum ada tanggapan resmi dari KPU terkait bocornya data pemilih di forum Breachforums tersebut," kata Pratama.

Pratama menjelaskan, jika peretas Jimbo benar-benar berhasil mendapatkan kredensial dengan role Admin, hal ini tentu saja bisa sangat berbahaya pada pesta demokrasi pemilu yang akan segera berlangsung di Indonesia.

"Sebab, bisa saja akun dengan role Admin tersebut dapat dipergunakan untuk mengubah hasil rekapitulasi penghitungan suara yang tentunya akan mencederai pesta demokrasi, bahkan bisa menimbulkan kericuhan di tingkat nasional," ucapnya menambahkan.

Guna memastikan titik serangan yang dimanfaatkan oleh peretas untuk mendapatkan data pemilih yang diklaim berasal dari website KPU, Pratama mengimbau, lembaga penyelenggara pemilu harus melakukan audit serta forensik dari sistem keamanan dan server KPU.

"Sambil melakukan investigasi, ada baiknya tim IT KPU melakukan perubahan username dan password dari seluruh akun yang memiliki akses ke sistem KPU tersebut sehingga bisa mencegah Admin yang semula berhasil didapatkan oleh peretas supaya tidak dapat dipergunakan kembali," Pratama memungkasi. 

Direktorat Tindak Pidana Siber (Dittipidsiber) Bareskrim Polri saat ini tengah mengusut dugaan kebocoran data DTP. Dirtipidsiber Bareskrim Polri Brigjen Pol Adi Vivid mengatakan indikasi kebocoran data KPU itu ditemukan saat jajarannya melakukan patroli siber.

“Dugaan kebocoran data KPU kami temukan dari hasil patroli siber yang dilakukan oleh anggota kami,” ujar Adi saat dikonfirmasi, Rabu (29/11/2023).

Dengan temuan tersebut, Siber Polri langsung melakukan penyelidikan sembari berkoordinasi dengan pihak lain yang berkaitan dengan dugaan peretasan data KPU.

“Saat ini Tim CSIRT (Computer Security Incident Response Team) sedang koordinasi langsung dengan KPU untuk berkoordinasi sekaligus melakukan penyelidikan,” Adi memungkaskan.

Sementara itu, anggota Komisi Pemilihan Umum (KPU) Betty Epsilon Idroos menyebut pihaknya sudah mendengar dugaan pembobolan data pemilih dalam Pemilu 2024, dan pihaknya langsung berkoordinasi dengan BSSN untuk mengantisipasi persoalan ini.

"Sekarang lagi kita minta bantuan dari Satgas Cyber. Sekarang yang bekerja BSSN," ujar Betty di Kantor KPU, Menteng, Jakarta Pusat, Selasa (28/11/2023) malam.

Dia menyebut koordinasi dengan BSSN dilakukan KPU untuk memastikan apakah benar data pemilih yang ada dalam database KPU dibobol peretas. Namun dia enggan berbicara banyak soal hal ini.

"Kan dicek dulu, seperti apa datanya, bagaimana bentuknya lagi dicek. Lagi ditelusuri," kata Betty memungkaskan.

KPU sendiri mengaku tengah menginvestigasi kasus dugaan kebocoran data pemilih 2024. Hal ini menyikapi klaim hacker Jimbo yang mengklaim meretas situs kpu.go.id dan mendapatkan data daftar pemilih tetap (DPT) dari situs tersebut.

Ketua KPU Hasyim Asy'ari menyatakan, pihaknya baru mengetahui informasi peretasan tersebut dari pemberitaan di sejumlah media online.

Saat ini, KPU bersama BSSN, Direktorat Tindak Pidana Siber Bareskrim Polri, Badan Intelijen Negara (BIN), dan Kemkominfo sedang menyelidiki dugaan peretasan tersebut.

"Kami masih memastikan apakah informasi itu benar atau tidak. Kami bekerja sama dengan tim yang selama ini sudah ada yaitu tim dari KPU, tim dari BSSN, kemudian dari tim Cyber Crime Mabes Polri, juga BIN dan Kemkominfo. Mereka sedang kerja untuk memastikan kebenaran informasi tersebut," ujar Hasyim saat ditemui di Istana Negara, Jakarta, Rabu (29/11/2023).

Dia menyebut tim yang menangani IT KPU di dalamnya ada unsur kepolisian, sehingga nanti setelah ditemukan bukti pidana dalam kasus peretasan tersebut, Polri akan langsung menindaklanjutinya dengan penegakan hukum.

"Nanti kalau indikasi-indikasi sudah jelas tentu ada tindakan-tindakan lanjutan. Tapi yang paling penting sekarang sedang diperiksa, sedang dicek, sedang dilacak kebenaran informasi tersebut," ujar Hasyim.

Ketua KPU menegaskan bahwa tim langsung bergerak memeriksa kebenaran kabar peretasan yang diklaim hacker Jimbo tersebut. Namun hingga saat ini, pihaknya belum menerima perkembangan dari tim IT KPU yang melakukan investigasi.

Lebih lanjut, Hasyim memastikan bahwa masyarakat masih bisa mengakses DPT Pemilu 2024 di link https://cekdptonline.kpu.go.id/ dengan menggunakan nomor induk kependudukan (NIK) masing-masing.

"Nanti kalau ada perkembangan lebih lanjut itu akan kami informasikan," ucapnya.

Sementara terkait kebocoran data 105 juta data pemilih yang diklaim hacker Bjorka pada 2022 lalu, Hasyim menyatakan bahwa indikasi tersebut tidak ditemukan di database KPU.

"Waktu itu yang angkanya 100 juta itu, 104 juta ya itu kalau di database KPU tidak ada indikasi, tetapi data itu kan memang di luar banyak yang pegang, enggak cuma KPU," kata Hasyim menandaskan.