Kebocoran Data Bank Indonesia Ibarat Puncak Gunung Es

JAKARTA - Oleh: Alfons Tanujaya, Pakar Keamanan Siber

Apa syarat utama bekerja di lembaga negara yang mengurusi keuangan?

Menteri Keuangan Sri Mulyani pernah mengatakan: ”Jadilah ASN yang memiliki integritas, karena bekerja di bidang keuangan negara”.
Jadi, modal utama ASN adalah integritas. Apalagi lembaga yang berkaitan dengan keuangan negara.

Integritas tidak hanya dilihat pada bagaimana Anda mengelola uang, namun juga bagaimana mengelola data dan memberikan informasi yang transparan kepada masyarakat.

Ketika beredar informasi terjadi kebocoran data, Bank Indonesia mengeluarkan pernyataan resmi bahwa memang benar terjadi kebocoran data pada salah satu cabangnya di Bengkulu.

Jumlah komputer yang mengalami kebocoran data adalah 16 komputer. Hal ini diamini oleh BSSN. Informasi yang sedikit membuat lega karena publik mengira kebocoran hanya terjadi pada komputer di satu cabang saja.

BACA JUGA: Data-datanya Dibobol Geng Ransomware Conti, Bank Indonesia Buka Suara

Namun seiring berjalannya waktu dan data yang diungkapkan oleh Conti Ransomware, sampai saat artikel ini dibuat kebocoran data yang terjadi ternyata tidak hanya menimpa cabang BI di Bengkulu.

Melainkan juga cabang BI lainnya di lebih dari 20 kota di seluruh Indonesia pada lebih dari 200 komputer dengan jumlah dokumen 52.767 dan data 74.82 GB.


Data BI yang dibocorkan oleh Conti Ransomware. Foto: dok Vaksincom

Tidak jelas apakah BI tidak mengetahui sedemikian banyak data bocor dan hanya menginformasikan kebocoran terjadi hanya di 16 komputer dan satu cabang saja kepada BSSN. Yang kemudian memberikan informasi yang kurang akurat ini kepada masyarakat.

Namun melihat cara kerja Conti yang sebelumnya, pasti sudah berusaha melakukan komunikasi cukup intens dengan korbannya untuk monetisasi hasil ransomwarenya dan memaparkan berapa banyak data yang mereka miliki.

Seharusnya informasi berapa banyak data yang bocor ini sudah diketahui oleh korban Conti.

Selain itu, korban peretasan memiliki waktu yang lebih dari cukup (1 bulan) sebelum Conti mempublikasikan informasi ini ke publik.

Dalam hal kebocoran data, sebenarnya tidak produktif dan tidak ada manfaatnya mencari siapa yang salah dan memberikan hukuman karena tidak akan membatalkan data yang sudah bocor dan tidak menjamin hal yang sama tidak terulang.

Namun transparansi dalam memberikan informasi data yang bocor akan menolong pemilik data terkait yang datanya dibocorkan sehingga bisa melakukan antisipasi dan tidak menjadi korban eksploitasi dari data yang bocor tersebut.

Dalam hal mencegah data publik yang bocor, penulis mengharapkan pemerintah bekerja keras membuat aturan yang bisa mendukung supaya ada keseriusan dari pengelola data dalam melakukan perlindungan data yang menjadi tanggung jawabnya.

Jadi, jangan hanya mau mendapat keuntungan dari mengelola data saja. Melainkan juga harus bertanggung jawab atas data yang dikelolanya.

Salah satu yang bisa dipertimbangkan adalah memberikan konsekuensi hukum dan finansial yang keras dan tegas kepada pengambil keputusan pada institusi yang bertanggung jawab mengelola data publik sehingga mau tidak mau mereka memberikan perhatian khusus dalam melindungi data yang dikelolanya.

Akibat Data yang Bocor
Vaksincom mencoba menganalisa data yang mulai dibagikan oleh Conti Ransomware dan cukup banyak informasi yang mengkhawatirkan dan jika jatuh ke tangan yang salah akan mudah dieksploitasi.

Bank Indonesia adalah pengelola kebijakan moneter negara dan informasi yang dikelolanya bersifat strategis dan kebocoran data yang dialami Bank Indonesia mungkin tidak mengakibatkan kerugian finansial secara langsung kepada rekening bank masyarakat. Namun akan berdampak sangat besar bagi dunia finansial Indonesia khususnya perbankan.

Sebab, pihak lain yang berkepentingan bisa mendapat informasi yang seharusnya rahasia. Seperti bagaimana peredaran uang kertas di setiap kota di Indonesia dan dapat digunakan untuk memetakan kekuatan perbankan di setiap daerah secara cukup akurat.

Vaksincom juga menemukan data foto KTP, NPWP dan nomor rekening seorang narasumber pada salah satu komputer yang di retas dimana hal ini akan menjadi sasaran empuk eksploitasi data kependudukan.

Narasumber ini tidak tahu apa-apa dan tidak berperan dalam kebocoran data ini, tetapi ia menjadi korban dari kebocoran data ini dan harus menanggung resikonya.

Pada cabang lain ditemukan file peta pemasangan titik CCTV secara detail di setiap lantai pada gedung cabang Bank Indonesia sehingga dapat diketahui area mana saja yang diawasi CCTV dan area mana yang tidak tercover CCTV.
Jadi kalau dikatakan bahwa informasi ini tidak bersifat kritikal, mungkin hal ini perlu dikaji ulang.

Apa yang Harus Dilakukan?
Kita tidak ingin menghukum, tetapi kita ingin pengelola data menjalankan tanggung jawabnya dengan baik dan prudent.

Jika data bocor, jujur saja dan tidak perlu ditutupi. Sebab, akan terungkap ke masyarakat. Dan kalau ketahuan tidak jujur tentu akan menurunkan kepercayaan dari masyarakat. Hal ini yang perlu disadari oleh institusi yang mengelola data publik.

Lalu apa yang harus untuk mencegah hal yang sama terulang kembali?

Sebagai informasi, ancaman terhadap data saat ini ada dua. Yakni ransomware dan extortionware.

Untuk menghadapi ransomware solusinya adalah menggunakan antivirus dengan teknologi NGAV seperti Webroot untuk menjaga dari malware dan berikan perlindungan tambahan Vaksin Protect yang akan dapat mengembalikan data sekalipun sudah berhasil di enkripsi oleh ransomware.

Namun untuk menghadapi extortionware, perlindungan anti ransomware tidak akan efektif karena sekalipun kita berhasil recover semua data dan sistem yang dienkripsi ransomware dengan Vaksin Protect dan backup, namun data tersebut sudah diunduh dan tetap akan disebarkan kepada publik jika kita tidak membayar uang tebusan yang diminta.