Sebanyak 34 Juta Data Pemegang Paspor Indonesia Diduga 'Bocor', 'Sepertinya Perlu Dipercepat Pembentukan Lembaga Perlindungan Data Pribadi'

JAKARTA - Sebanyak 34 juta data paspor diduga bocor, kejadian berulang yang semestinya jadi momentum percepatan pembentukan lembaga perlindungan data pribadi sesuai amanat Undang Undang Perlindungan Data Pribadi (PDP), menurut pakar keamanan siber.

Pemerintah Indonesia sejauh ini mengatakan “belum dapat menyimpulkan telah terjadi kebocoran data pribadi dalam jumlah yang masif seperti yang diduga”.

Di sisi lain, sebuah perusahaan keamanan siber mengidentifikasi data yang bocor tersebut sebagai “valid”.

Alasannya, mereka menemukan beberapa rincian yang bersifat rahasia atau hanya diketahui otoritas pemerintah.

Validasi ini diperkuat pengakuan seorang pakar keamanan siber yang mengaku “kesal” karena namanya masuk dalam data yang dibocorkan.

Data yang dibocorkan berisi satu juta nama lengkap dengan nomor paspor, national identity, Kartu Identitas Masyarakat (NIKIM atau Nomor Induk Keimigrasian), tanggal pembuatan, jenis kelamin, sampai tanggal lahir pemilik.

Siapa yang membocorkan data paspor?

Namanya mengarah pada Bjorka.

Akun anonimus ini sempat viral pada 2022 saat mengeklaim telah meretas dokumen milik Presiden Jokowi, termasuk membobol data pribadi para pejabat, menteri dan ketua DPR.

Sejauh ini, siapa, di mana dan bagaimana cara kerjanya masih sumir. Pemerintah sempat membentuk tim khusus untuk mengungkap identitas Bjorka, tapi hasilnya nihil.

Menko Polhukam Mahfud MD sempat menyebut motif di balik akun Bjorka sebagai "gado-gado".

"Motif politik, motif ekonomi, motif jual-beli, dan sebagainya. Sehingga, juga, sebenarnya motif-motif kayak gitu sebenarnya tidak ada yang terlalu membahayakan," kata Mahfud MD.

Dalam kasus pembocoran data paspor, melalui blog, Bjorka membagikan sampel sebanyak satu juta data nama pengguna paspor secara cuma-cuma.

Data ini meliputi nomor paspor, NIKIM, tanggal pembuatan, tanggal kadaluarsa, tanggal lahir, jenis kelamin hingga pemutakhiran.

Bjorka mengaku punya total 34.900.867 nama pengguna paspor yang ia banderol 10.000 USD atau sekitar Rp150 juta.

Apakah datanya valid?

Kementerian Komunikasi dan Informatika mengaku sudah menelusuri dugaan kebocoran data paspor ini.

“Tim masih bekerja dan sejauh ini belum dapat menyimpulkan telah terjadi kebocoran data pribadi dalam jumlah yang masif seperti yang diduga.

Kesimpulan ini diambil setelah dilakukan beberapa tahap pemeriksaan secara hati-hati terhadap data yang beredar,” kata Direktur Jenderal Aplikasi Informatika Semuel A. Pangerapan dalam keterangan pers, Kamis (06/07).

Kementerian Kominfo juga melakukan koordinasi dengan pihak-pihak terkait sesuai ketentuan yang berlaku yaitu Badan Siber dan Sandi Negara (BSSN), serta Direktorat Jenderal Imigrasi, Kementerian Hukum dan HAM.

“Kementerian Kominfo akan terus melanjutkan penelusuran dan akan merilis hasil temuan setelah mendapatkan informasi yang lebih detail,” tambah Sammy – sapaan Semuel A. Pangerapan.

Di sisi lain, Vaksincom - sebuah perusahaan keamanan siber - meyakini data yang dibocorkan ini “valid”, karena terdapat dua nomor paspor dan NIKIM yang hanya dipegang oleh pemilik dan otoritas.

“Kalau [pemerintah] menyangkal ini ibarat muka sudah bengap berdarah bilang ‘aku nggak apa-apa dipukul orang’. Percuma,” kata Alfons Tanujaya, pakar keamanan siber dari Vaksincom, Kamis (06/07).

Validasi data paspor ini diperkuat pengakuan pakar dari lembaga riset keamanan siber dan komunikasi CISSReC, Pratama Persadha. Namanya berada di salah satu baris data file yang dibagikan Bjorka.

“Sudah biasa juga, tapi kesal juga,” kata Pratama.

Nama Pratama berada dalam barisan data yang dibocorkan Bjorka.

Kebocoran data pribadi seperti nomor paspor ini bukan pertama kali terjadi.

Sebelumnya Bjorka juga mengeklaim membobol dan menjual data pribadi lainnya, di antaranya:

• 35 juta data pengguna MyIndihome;
• 19 juta data BPJS Ketenagakerjaan;
• 3,2 miliar data dari Aplikasi PeduliLindungi;
• 45 juta data MyPertamina;
• 105 data Komisi Pemilihan Umum;
• 679.000 surat yang dikirim ke Presiden Jokowi;
• 1,3 miliar data SIM Card, dan
• Browsing history dari 26 jut

Dalam sejumlah kesempatan pihak pengelola data dan pemerintah mengatakan mengambil langkah investigasi.

Menurut Pratama, belum ada hasil investigasi yang secara terbuka diumumkan kepada masyarakat.

Padahal, kata dia, hal ini penting agar masyarakat bisa segera mengetahui sumber kebocoran serta mendapat kepastian bahwa kebocoran data serupa tidak akan terjadi kembali di kemudian hari.

“Karena acapkali peretas akan meninggalkan akses tersembunyi yang dapat mereka pergunakan untuk masuk ke dalam sistem yang pernah mereka retas,” katanya.

Di mana data paspor disimpan?

Direktur Jendral Imigrasi, Silmy Karim mengatakan ke sejumlah media nasional bahwa “Server imigrasi di Pusat Data Nasional (PDN) milik Kominfo.”

PDN adalah fasilitas penyimpanan data secara terpusat, inisiasi Ditjen Aptika melalui Direktorat Layanan Aplikasi Informatika Pemerintahan.

Sejauh ini masih dalam proses pembangunan dan rencananya akan didirikan di empat lokasi yaitu Cikarang, Batam, IKN, serta Labuan Bajo.

Sebagai gambaran, kapasitas PDN yang diproyeksikan akan dibangun di Cikarang berupa prosesor 25.000 core, storage 40 PetaBytes, dan memori 200 TeraBytes.

PDN ini nantinya kan menjadi pusat data pemerintah pusat hingga daerah.

“PDN pun juga memiliki beberapa kekurangan seperti terkumpulnya pusat data di satu lokasi juga akan lebih memudahkan hacker untuk melakukan pencurian data,” kata Pratama.

Di mana sumber kebocoran data?

Pratama melanjutkan, perlu langkah audit sistem keamanan serta forensik digital untuk mengetahui sumber kebocoran data paspor.

“Beberapa metode audit yang dapat dilakukan adalah melakukan penilaian celah kerawanan dari sistem yang dimiliki, melakukan pengecekan di perangkat IDS serta IPS untuk memeriksa apakah ada akses tidak dikenal di dalam sistem,” kata Pratama Persadha.

Selain itu, audit terhadap perangkat karyawan yang memiliki akses ke sistem utama juga perlu dilakukan untuk memastikan perangkat tersebut tidak dimanfaatkan peretas membobol sistem dan mencuri data.

Sementara itu, Alfons Tanujaya, pakar keamanan siber dari Vaksincom meyakini kebocoran data paspor terjadi dari pusat server.

“Kalau lihat data bocor segambreng begini, itu mah kayaknya sih ada orang memiliki akses ke server database dan bisa copy [data],” kata Alfons. Oleh karena itu perlu diperiksa log para pengakses untuk mengetahui pelakunya.

“Kalau Imigrasi bilang tidak tahu, artinya sistemnya kacau. Itu selevel negara, punya sistem kacau begitu. Yang menderita rakyat. Kamu pikir yang menderita imigrasi? Nggak. Mereka paling malu.”

Apa risikonya terhadap masyarakat yang datanya bocor?

Kejahatan: Penipuan. Pembuatan identitas palsu. Kegiatan terorisme. Sampai “Berdampak buruk terhadap wisata Indonesia.”

Penipuan bisa dilakukan dengan cara memanfaatkan data tersebut secara langsung maupun tidak langsung.

“Penipuan lain dengan mengatasnamakan atau menggunakan data pribadi orang lain yang bocor tersebut,” kata Pratama.

“Yang lebih berbahaya lagi jika data pribadi tersebut dipergunakan untuk membuat identitas palsu yang dipergunakan untuk melakukan tindakan terorisme, sehingga pihak serta keluarga yang data pribadinya dipergunakan akan mendapat tuduhan sebagai teroris atau kelompok pendukungnya,” lanjutnya.

Kebocoran data yang terjadi juga dapat merugikan pemerintah. Insiden kebocoran data ini akan membentuk persepsi keamanan siber sektor pemerintahan cukup rendah.

“Hal ini tentu saja akan mencoreng nama baik pemerintah baik di mata masyarakat Indonesia maupun di mata dunia internasional,” tambah Pratama.

Alfons Tanujaya ikut menimpali dengan gambaran data wisatawan asing yang masuk ke Indonesia.

“Nanti kalau pengelolaan data seperti ini lalu ada wisatawan ke Bali, atau Lombok, mereka masuk di-scan sama Imigrasi, lalu datanya bocor, ngamuklah mereka… Ya, berdampak buruk terhadap wisata Indonesia.”

Bagaimana jalan keluarnya?

Pemerintah didorong segera merintis lembaga yang bertugas menyelenggarakan perlindungan data pribadi. Hal ini sesuai amanat dari UU PDP yang telah disahkan Oktober 2022—mulai berlaku 2024 mendatang.

Lembaga ini punya peran mengawasi dan memastikan kepatuhan badan publik/pemerintah terhadap UU PDP, termasuk memberi sanksi bila terjadi pelanggaran. Lembaga ini akan bertanggung jawab langsung kepada presiden.

“Jadi yang perlu secepatnya dilakukan oleh pemerintah adalah Presiden segera membentuk komisi PDP sesuai amanat UU PDP,” kata Pratama.

Hal ini juga disampaikan peneliti dari Lembaga Studi dan Advokasi Masyarakat (ELSAM), Annisa N. Hayati dalam keterangan yang diterima BBC News Indonesia. Lembaga otoritas pengawas PDP ia sebut “menjadi krusial”.

“Presiden memberikan atensi khusus dalam pembentukan lembaga pengawas PDP, sebagaimana dimandatkan Pasal 58 (3) UU PDP, untuk memastikan pembentukan otoritas PDP yang kuat, sebagai lembaga yang secara langsung bertanggungjawab kepada presiden, dan dapat menjalankan tugas dan fungsinya secara optimal, guna menjamin efektivitas implementasi dari UU PDP”. (*)