Data PLN hingga Telkom Diduga Bocor, Berapa Harganya di Dark Web?

Setidaknya ada 13 Badan Usaha Milik Negara (BUMN) maupun kementerian dan lembaga (K/L) yang diduga mengalami kebocoran data sejak 2020, termasuk Perusahaan Listrik Negara (PLN) dan Indihome, Telkom. Berapa harga data pengguna yang bocor?

Lebih dari 17 juta data pelanggan PLN diduga bocor pada Jumat (19/8). Berdasarkan tangkapan layar (screenshot) yang dibagikan, terlihat laman web breached.to dengan akun bernama "loliyta" menjual data pengguna PLN.

Beberapa data pelanggan PLN yang dijual di antaranya ID lapangan, ID pelanggan, nama pelanggan, tipe energi, KWH, alamat rumah, nomor meteran, tipe meteran hingga nama unit UPI.

Dua hari setelahnya, sekitar 26 juta data histori penelusuran (browsing) pelanggan IndiHome bocor, termasuk Kartu Tanda Penduduk (KTP), email, nomor ponsel, kata kunci, domain, platform, dan URL.

Namun, perwakilan Telkom Group menyatakan data-data IndiHome yang diduga bocor tidak valid. “Kami melakukan pengecekan dan investigasi mengenai keabsahan data-data tersebut sejak (Minggu) pagi. Temuan awal data itu hoaks dan tidak valid," kata Senior Vice President Corporate Communication and Investor Relation Telkom Ahmad Reza dikutip dari Antara, Minggu (21/8).

Berdasarkan penyelidikan awal, Telkom menyatakan mereka tidak pernah memberikan email untuk pelanggan IndiHome dan bahwa domain alamat mereka adalah @telkom.co.id.

Penyelidikan terhadap sekitar 100 ribu sampel, data nomor induk kependudukan (NIK) tidak cocok. "Di internal Telkom, data-data pelanggan sulit diakses mengingat ada enkripsi dan firewall yang berlapis," kata Reza.

Berdasarkan data Telkom, jumlah pelanggan IndiHome saat ini delapan juta. Peretas mengklaim mengantongi 26 juta histori browsing.

Reza menyatakan histori browsing tersebut bukan berasal dari internal Telkom, melainkan dari situs lain.

"Ada kemungkinan data-data histori browsing diretas karena mengakses situs-situs terlarang. Sebaiknya memang kita semua bijak menggunakan akses internet dan waspada terhadap situs-situs terlarang karena bisa saja mengandung malware," kata Reza.

Telkom juga menemukan data sampel berasal sejak 2018.

Sedangkan juru bicara PLN Gregorius Adi Trianto mengatakan, data yang beredar merupakan replikasi. Ini bukan data transaksional aktual dan sudah tidak diperbarui.

“Kami memastikan bahwa server data milik PLN aman dan tidak dimasuki oleh pihak lain. Data transaksi aktual pelanggan aman,” ujar Gregorius kepada Katadata.co.id, Jumat (19/8).

Ia menyatakan, PLN telah dan terus menerapkan keamanan berlapis bersama Badan Siber dan Sandi Negara (BSSN). Ini sebagai tindakan pengamanan dalam memperkuat dan melindungi data pelanggan.

“Kami sedang melakukan investigasi atas penggunda yang terotorisasi dan berkoordinasi dengan aparat penegak hukum jika ditemukan ada indikasi pelanggaran hukum menyangkut kerahasiaan data perusahaan,” ujar Gregorius.

Selain PLN dan Indihome, Telkom, ada 11 BUMN maupun K/L yang mengalami dugaan kebocoran data atau serangan siber. Mereka di antaranya:

1. Indihome, Telkom pada Minggu (21/8)
2. PLN pada Jumat (19/8)
3. Badan Intelijen Negara pada Minggu (21/8)
4. Kepolisian pada Minggu (21/8) dan November 2021
5. Bank Indonesia pada Januari.
6. Kemenkes pada Januari 2022 dan Agustus 2021
7. BSSN pada Oktober 2021
8. Sertifikat vaksinasi Jokowi pada September 2021
9. BPJS Kesehatan pada Mei 2021
10. BRI Life pada Juli 2021
11. DPR diretas pada Oktober 2020
12. Kemendikbud pada Mei 2020
13. KPU pada Mei 2020

Berapa Harga Data Pengguna yang Bocor?

Dari ketiga 13 BUMN maupun kementerian yang datanya diduga bocor atau mengalami serangan siber, hanya BRI Life yang tercatat harganya. Pengguna Twitter Alon Gal dengan nama akun @UnderTheBreach mengungkapkan dugaan kebocoran data BRI Life pada pertengahan tahun lalu.

Basis data itu milik dua juta nasabah BRI life. Informasi yang bocor berupa pin polis asuransi Secure Hash Algorithm 1 (SHA-1), manfaat yang diterima nasabah, lama menjadi klien, dan lainnya. Advertisement Setidaknya ada 463 ribu dokumen yang diduga bocor.

Isinya berupa foto KTP, Kartu Keluarga (KK), foto buku rekening, akta kelahiran, akta kematian, bukti transfer, foto hasil lab hingga keterangan penyakit.

Data sebesar 250 GB itu dibanderol US$ 7.000 atau sekitar Rp 101,5 juta.

Selain itu, perusahaan keamanan siber asal Rusia, Kaspersky mengungkapkan kisaran harga setiap jenis data pribadi yang dijual di forum peretas atau dark web. Yang paling mahal yakni akun PayPal yang dibanderol US$ 50-US$ 500 atau sekitar Rp 706 ribu-Rp 7 juta.

Sedangkan data akun layanan bank seperti internet banking, mobile banking, dan lainnya dijual 1 - 10% dari nilai. Lalu, informasi berupa catatan medis, swafoto atau selfie, dan identitas pribadi dibanderol US$ 40 - US$ 60 atau Rp 565 ribu - Rp 849 ribu.

Kisaran harga tersebut berdasarkan analisis terhadap penawaran aktif di 10 forum dan pasar dark web internasional. Sedangkan angka rinci dapat dilihat pada Tabel di bawah ini:

Sumber: Kaspersky

Peneliti keamanan di Kaspersky's GReAT Dmitry Galov mengatakan, beberapa informasi pribadi diminati hampir satu dekade terakhir, terutama data kartu kredit, akses perbankan dan layanan pembayaran elektronik. Harganya juga tidak berubah dalam beberapa tahun terakhir.

Selain itu, ia mencatat ada beberapa jenis data baru yang mulai dijual di dark web seperti catatan medis, swafoto, dan dokumen beserta identitas pribadi. “Dalam beberapa tahun terakhir banyak area kehidupan yang beralih ke  digital, seperti catatan medis,” kata Dmitry dikutip dari siaran pers, akhir 2020 (7/12/2020).

Kemudian, swafoto semakin digemari oleh pengguna ponsel pintar (smartphone) di seluruh dunia. Di satu sisi, foto diri juga menjadi informasi pribadi yang dapat diperjualbelikan.

Data-data tersebut dapat dimanfaatkan oleh peretas untuk mengambil alih akun e-commerce hingga perbankan korban. Oknum juga dapat memeras atau langsung mencuri uang.