Sah! – Kebocoran data terjadi kembali di awal tahun 2024, kali ini merupakan data sensitif milik PT KAI yang dibobol oleh peretas menggunakan Ransomware.
Dilansir dari media sosial X, pada tanggal 14 Januari 2024, PT KAI telah diretas oleh kelompok peretas dengan metode Ransomware bernama Stormous. Setelahnya, data yang diretas tersebut dijual di forum Dark Web atau pasar gelap.
Pada situs Dark Web tersebut, Stormous mendistribusikan sampel data yang mereka retas dari PT KAI sejumlah 2,2 GB File data berbentuk kompres dan file tersebut bernama kai.rar.
Berdasarkan pendapat dari Chairman Lembaga Riset Keamanan Siber CISSReC, Dr. Pratama Persadha, data yang bocor sebanyak 82 kredensial karyawan, hampir 22.500 kredensial pelanggan, dan 50 kredensial karyawan dari perusahaan lain yang bermitra dengan PT KAI.
Data ini diperoleh dari 3.300 URL yang menjadi permukaan serangan siber eksternal dari situs PT KAI.
Selain itu, kelompok peretas tersebut mendistribusikan juga screenshot dari sebuah dashboard PT KAI yang berasal dari kredensial salah satu karyawan. Dengan akses internal, Stormous mendapatkan data tersebut dengan modus phising dan social engineering.
Stormous juga bisa menggunakan cara melakukan pembelian kredensial dari peretas lain dengan memanfaatkan Malware Log Stealers.
Data yang bocor dengan serangan siber berupa Ransomware ini, meliputi data pribadi karyawan, penumpang, hingga data lain berhubungan perkeretaapian Indonesia. Namun, untuk jumlah pastinya masih belum diketahui.
Stormous mendesak pemerintah Indonesia untuk memberikan uang tebusan untuk memperoleh kembali data PT KAI sejumlah 11.69 Bitcoin atau sejumlah 7,7 miliar Rupiah.
Desakan dari Stormous ditambah dengan memberikan tenggat waktu kepada pemerintah Indonesia untuk ditebus, apabila tidak ditebus kelompok kejahatan ini akan menyebarkannya ke publik.
Sudah sebanyak 82,72% total Malware sebagai serangan siber yang teridentifikasi selama 2023, jenis Malware atau serangan siber terbanyak adalah Ransomware, yaitu sebanyak 3.273 total kasus.
Hal ini juga dilansir dari Vaksincom yang mengungkapkan bahwa Ransomware merupakan jenis Malware yang paling banyak dimanfaatkan karena keunggulannya, yaitu tidak dapat dilacak.
Ransomware merupakan salah satu jenis dari Malware yang terdiri dari Ransom (tebusan) dan Malware (software berbahaya).
Kejahatan jenis ini memiliki tujuan untuk menuntut pembayaran atau tebusan untuk data yang telah diretas dan dicuri atau data yang telah dienkripsi (akses terbatas).
Serangan siber ini diawali dengan Malware Arrival yang diketahui dari kegiatan pengguna dengan mengklik malicious link atau malicious software.
Apabila sudah diklik, secara otomatis akan terhubung ke Command and Control atau C2C yang menjadi pusat aktivitas dari Malware untuk melakukan pengiriman perintah dan pengontrolan.
Pada tahap ini, Malware akan melakukan pengunduhan terhadap dokumen pendukung lain untuk melakukan serangan siber secara mendalam. Setelahnya, melakukan pencarian dokumen untuk dicuri atau dengan penguncian target dokumen.
Nantinya, dokumen yang telah dijadikan target akan dilakukan enkripsi dan meluncurkan sebuah catatan yang berisikan alamat email peretas dan nomor rekening pembayaran.
Penyerang akan memberikan mekanisme pembayaran, tetapi banyak korban yang setelah melakukan pembayaran tidak diberikan kembali data yang telah dicuri.
Serangan Ransomware mampu untuk menginfeksi suatu komputer dengan mengenkripsikan target data tanpa meninggalkan jejak. Setelah melakukan aksinya, peretas dapat langsung menghapus jejaknya secara cepat.
Apabila terdapat bekas yang tertinggal dari aksinya tersebut, virus Ransomware dapat mengalihkan atau mengubah identitas tiap kali peretas melakukan kejahatan siber ini.
Menurut Pratama Stormous memanfaatkan celah VPN untuk meretas data milik PT KAI tersebut.
PT KAI juga telah melakukan upaya mitigasi terhadap isu ini, seperti menghapus dan menonaktifkan portal VPN yang berasal dari situs PT KAI. Dari sinilah Stormous masuk dan meretas sistem PT KAI.
Walaupun telah melakukan upaya mitigasi, Stormous berpendapat bahwa hal ini merupakan percuma karena peretasan ini terjadi bukan hanya satu jam saja, tetapi sudah hampir seminggu mereka berhasil masuk dan mengakses data dari sistem PT KAI.
VC Public Relations PT KAI, Joni Martinus, menyatakan bahwa hingga saat ini belum ada bukti terjadinya kebocoran data miliki PT KAI. Walaupun begitu, pihak dari PT KAI akan tetap melakukan investigasi lebih lanjut terkait dengan isu peretasan ini.
PT KAI memastikan bahwa seluruh datanya aman, seluruh sistem operasional IT, pembelian tiket secara online, hingga layanan berupa face recognition boarding gate di seluruh stasiun masih beroperasi dengan baik.
Joni juga mengungkapkan bahwa PT KAI telah mempunyai manajemen keamanan informasi yang baik dengan mengaplikasikannya berdasarkan standar internasional, yaitu ISO 27001 terkait Standardisasi Manajemen Keamanan Informasi.
Selain itu, pihaknya juga berkolaborasi dengan pihak berwajib untuk menginvestigasi isu dan pelaku pemeras, yaitu Stormous.
PT KAI berpegang teguh bahwa tidak akan patuh pada kejahatan siber seperti ini, mereka secara teratur juga meningkatkan sistem keamanan siber untuk memberikan pelayanan yang nyaman, aman, dan tepat waktu.
Selanjutnya, pada 17 Januari 2024, PT KAI mengungkapkan bahwa sistem untuk pemesanan tiket sudah berkolaborasi dengan Oracle berupa teknologi cloud@costumer sebagai standar keamanan data yang tinggi.
Executive Vice President Informasi dan Teknologi PT KAI, Albertus Indarko Wiyongi, mengungkapkan bahwa sistem tersebut memiliki kemampuan untuk meningkatkan kinerja operasional sejumlah 50% sehingga keamanan data pribadi konsumen aman di pusat data.
Di sisi lain, Pengamat Keamanan Siber Vaksincom, Alfons Tanujaya, mengungkapan bahwa kebocoran data yang terjadi pada PT KAI memang mungkin benar terjadi, tetapi hanya di perangkat konsumen yang mengalami peretasan. Untuk di server, data tersebut masih aman.
Ia menambahkan bahwa PT KAI tidak gegabah dalam memberikan akses kepada suatu komputer, walaupun milik karyawannya. Sampai saat ini, PT KAI merupakan perusahaan yang memiliki sistem keamanan siber yang baik dan terdepan.
Apabila mereka mampu untuk mempertahankan keamanan sistem IT dengan baik, seperti menjadi ISO dengan baik atau data konsumen yang dienkripsi, kebocoran ini tidak akan menyebar hingga ke server.
Selain itu, ia juga mengungkapkan bahwa apabila peretas telah berani untuk mengklaim data perusahaan ada di tangan peretas, artinya kemungkinan besar mereka telah memperoleh data tersebut, hanya saja perlu diinvestigasi jenis dan nilai dari data tersebut.
Sebagai perusahaan yang menerapkan sistem face recognition, untuk upaya mitigasi, ia menyarankan untuk tidak hanya memperoleh datanya saja, tetapi juga wajib untuk mengamankannya dengan mengenkripsi data tersebut.
Dan juga wajib untuk patuh terhadap standar penyimpanan yang baik, misalnya menggunakan standar internasional ISO 19794-5 yang memberikan standar penyimpanan berupa data biometrik yang termasuk data sensitif.
Ditambah dengan pendapat lain, Dr. Pratama Persadha, berdasarkan risetnya, ia mengungkapkan bahwa data yang diunggah tersebut merupakan data otentik miliki PT KAI.
Ia menilai upaya mitigasi yang dilakukan oleh PT KAI bisa saja tidak efisien, hal ini disebabkan karena kelompok peretas ini telah memasang backdoor pada sistem IT PT KAI sehingga Stormous bisa saja mengaksesnya kembali kapanpun.
Menurutnya, upaya yang lebih efektif dan aman untuk dilakukan adalah dengan deployment system di server yang baru dengan memanfaatkan back up data milik PT KAI dan melakukan perbaikan terhadap portal atau data kredensialnya.
Ia juga menilai bahwa walaupun PT KAI memiliki sistem yang canggih, tetapi tetap percuma karena edukasi terhadap karyawannya untuk mengatasi serangan siber seperti ini masih kurang. Maka dari itu, secara keseluruhan, sistem keamanan sibernya kurang kuat.
Hal ini terjadi karena tak jarang serangan siber seperti ini berawal dari peretasan PC, laptop karyawan, atau data kredensialnya melalui kejahatan phising. Dengan edukasi yang cukup terhadap potensi serangan siber, mereka tidak lagi terjebak dan diambil alih oleh peretas.
Dengan upaya ini, keamanan siber menjadi salah satu fokus dengan adanya kampanye tentang konsep “Security by Design”.
Kebocoran data ini sangat berdampak pada penurunan kepercayaan publik terhadap perkembangan SPBE (Sistem Pemerintahan Berbasis Elektronik).
Hal ini juga didukung dari pendapat Ketua Indonesia Digital Empowering Community (Idiec), M. Tesar Sandikapura, bahwa nantinya publik akan lebih ragu dalam mempercayai pemerintah untuk memberikan datanya, mengingat data pribadi yang bocor ini masih di lingkup pemerintah.
Indonesia telah memiliki Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”) untuk melindungi data pribadi masyarakat dari penyalahgunaan dan pemrosesan data oleh suatu badan usaha.
Namun, sayangnya, UU PDP ini masih belum dapat berjalan sebagaimana dimaksud pada Pasal 74 UU PDP bahwa adanya penyesuaian maksimal dua tahun sejak diundangkannya.
Indonesia telah mengalami banyak kasus kebocoran data mulai dari lingkup swasta hinggan pemerintah, tetapi sebagai PSE (Penyelenggara Sistem Elektronik), mereka hanya meyakinkan kepada masyarakat bahwa datanya aman dan selalu disangkal apabila sistemnya diretas.
Lagi-lagi, hal ini justru membuat masyarakat tidak percaya untuk memberikan data pribadinya kepada PSE lainnya. Apabila memang terjadi kebocoran atau peretasan diharapkan dapat diadili sesuai dengan regulasi yang ditetapkan.
Sah! Menyediakan layanan berupa jasa legalitas usaha sehingga tidak perlu khawatir dalam menjalankan usahanya, termasuk juga usaha anda yang bergelut di bidang teknologi.
Untuk yang hendak mendirikan suatu usaha dapat berkonsultasi dengan menghubungi WA 085173007406 atau mengunjungi laman sah.co.id.
Source:
