Kebocoran data Bank Indonesia

Puncak gunung es

Apa syarat utama bekerja di lembaga negara yang mengurusi keuangan ?

Menteri Keuangan Sri Mulyani pernah mengatakan : “Jadilah ASN yang memiliki integritas, karena bekerja di bidang keuangan negara”.

Jadi modal utama ASN adalah integritas, apalagi lembaga yang berkaitan dengan keuangan negara. Dan integritas tidak hanya dilihat pada bagaimana anda mengelola uang, tetapi juga bagaimana anda mengelola data dan memberikan informasi yang transparan kepada masyarakat.



Ketika beredar informasi terjadi kebocoran data, Bank Indonesia mengeluarkan pernyataan resmi bahwa memang benar terjadi kebocoran data pada salah satu cabangnya di Bengkulu dan jumlah komputer yang mengalami kebocoran data adalah 16 komputer dan hal ini diamini oleh BSSN. Informasi yang sedikit membuat lega karena mengira kebocoran hanya terjadi pada komputer di satu cabang saja.

Namun seiring berjalannya waktu dan data yang diungkapkan oleh Conti Ransomware, sampai saat artikel ini dibuat kebocoran data yang terjadi ternyata tidak hanya menimpa cabang BI di Bengkulu, melainkan juga cabang BI lainnya di lebih dari 20 kota di seluruh Indonesia pada lebih dari 200 komputer dengan jumlah dokumen 52.767 dan data 74.82 GB (lihat gambar 1).

Tidak tahu apakah BI tidak mengetahui sedemikian banyak data yang bocor dan hanya menginformasikan kebocoran terjadi hanya di 16 komputer dan satu cabang saja kepada BSSN yang kemudian memberikan informasi yang kurang akurat ini kepada masyarakat. Namun melihat cara kerja Conti yang sebelumnya pasti sudah berusaha melakukan komunikasi yang cukup intens dengan korbannya untuk monetisasi hasil ransomwarenya dan memaparkan berapa banyak data yang mereka miliki, harusnya informasi berapa banyak data yang bocor ini sudah diketahui oleh korban Conti. Dan korban peretasan memiliki waktu yang lebih dari cukup (1 bulan) sebelum Conti mempublikasikan informasi ini ke publik.

Dalam hal kebocoran data, sebenarnya tidak produktif dan tidak ada manfaatnya mencari siapa yang salah dan memberikan hukuman karena tidak akan membatalkan data yang sudah bocor dan tidak menjamin hal yang sama tidak terulang. Namun transparansi dalam memberikan informasi data yang bocor akan menolong pemilik data terkait yang datanya dibocorkan sehingga bisa melakukan antisipasi dan tidak menjadi korban eksploitasi dari data yang bocor tersebut.

Dalam hal mencegah data publik yang bocor, penulis mengharapkan pemerintah bekerja keras membuat aturan yang bisa mendukung supaya ada keseriusan dari pengelola data dalam melakukan perlindungan data yang menjadi tanggung jawabnya. Jadi jangan hanya mau mendapatkan keuntungan dari mengelola data saja, tetapi juga harus bertanggung jawab atas data yang dikelolanya. Salah satu yang bisa dipertimbangkan adalah memberikan konsekuensi hukum dan finansial yang keras dan tegas kepada pengambil keputusan pada institusi yang bertanggung jawab mengelola data publik sehingga mau tidak mau mereka memberikan perhatian khusus dalam melindungi data yang dikelolanya.

Akibat data bocor

Vaksincom mencoba menganalisa data yang mulai dibagikan oleh Conti Ransomware dan cukup banyak informasi yang mengkhawatirkan dan jika jatuh ke tangan yang salah akan mudah dieksploitasi.

Bank Indonesia adalah pengeloa kebijakan moneter negara dan informasi yang dikelolanya bersifat strategis dan kebocoran data yang dialami Bank Indonesia mungkin tidak mengakibatkan kerugian finansial secara langsung kepada rekening bank masyarakat, namun akan berdampak sangat besar bagi dunia finansial Indonesia khususnya perbankan karena pihak lain yang berkepentingan bisa mendapatkan informasi yang seharusnya rahasia seperti bagaimana peredaran uang kertas di setiap kota di Indonesia dan dapat digunakan untuk memetakan kekuatan perbankan di setiap daerah secara cukup akurat.

Vaksincom juga menemukan data foto KTP, NPWP dan nomor rekening seorang nara sumber pada salah satu komputer yang di retas dimana hal ini akan menjadi sasaran empuk eksploitasi data kependudukan. Nara sumber ini tidak tahu apa-apa dan tidak berperan dalam kebocoran data ini, tetapi ia menjadi korban dari kebocoran data ini dan harus menanggung resikonya. Pada cabang lain ditemukan file peta pemasangan titik CCTV secara detail di setiap lantai pada gedung cabang Bank Indonesia sehingga dapat diketahui area mana saja yang diawasi CCTV dan area mana yang tidak tercover CCTV.

Jadi kalau dikatakan bahwa informasi ini tidak bersifat kritikal, mungkin hal ini perlu dikaji ulang.

Rekening anda di bank aman

Satu hal yang banyak menjadi pertanyaan besar masyarakat awam adalah :

Apakah uang saya di bank aman ?

Bagi masyarakat awam, BI merupakan representasi bank di Indonesia dan merupakan lembaga perbankan yang paling dihormati, ibaratnya Godfather bank di Indonesia. Kalau data BI bocor, tentu mereka khawatir dengan dananya yang disimpan di bank.

Dalam hal ini penulis dapat memastikan bahwa tidak ada hubungan langsung antara kebocoran data ini dengan keamanan dana anda di bank. Informasi dana rekening anda di bank disimpan di server yang dijaga dengan sangat ketat dan hati-hati oleh bank dan Bank Indonesia tidak memiliki akses langsung kepada rekening anda di bank. Wewenang yang dimiliki oleh Bank Indonesia adalah hak meminta informasi rekening kepada seluruh bank di Indonesia yang harus diberikan kapanpun diminta, namun tidak langsung mengakses rekening secara live. Hak ini hanya dimiliki oleh bank yang bersangkutan yang mengelola rekening dan nasabah pemilik rekening melalui internet banking dan mobile banking.

Apa yang harus dilakukan

Kita tidak ingin menghukum tetapi kita ingin pengelola data menjalankan tanggung jawabnya dengan baik dan prudent, kalau data bocor jujur saja terjadi kebocoran data dan tidak perlu ditutupi karena memang akan terungkap ke masyarakat dan kalau ketahuan tidak jujur tentu akan menurunkan kepercayaan dari masyarakat, hal ini yang perlu disadari oleh institusi yang mengelola data publik.

Lalu apa yang harus untuk mencegah hal yang sama terulang kembali ?

Sebagai informasi, ancaman terhadap data saat ini ada dua, ransomware dan extortionware.

Untuk menghadapi ransomware solusinya adalah menggunakan antivirus dengan teknologi NGAV seperti Webroot untuk menjaga dari malware dan berikan perlindungan tambahan Vaksin Protect yang akan dapat mengembalikan data sekalipun sudah berhasil di enkripsi oleh ransomware.

Namun untuk menghadapi extortionware, perlindungan anti ransomware tidak akan efektif karena sekalipun kita berhasil recover semua data dan sistem yang dienkripsi ransomware dengan Vaksin Protect dan backup, namun data tersebut sudah diunduh dan tetap akan disebarkan kepada publik jika kita tidak membayar uang tebusan yang diminta. Jadi solusi extortionware ini adalah melakukan enkripsi atas semua data penting di seluruh komputer sehingga sekalipun data penting berhasil di unduh, tetap tidak bisa dibuka. Hal ini dapat dipenuhi oleh solusi DLP Data Loss Prevention yang akan secara otomatis mengunci / mengenkripsi data jika diunduh dari komputer yang sah. Sehingga pencuri data tidak dapat membuka data yang diunduhnya tersebut. Namun ingat, pastikan implementasi DLP ini dijalankan dengan sempurna dan jangan pernah merasa aman sekalipun sudah membeli dan menggunakan solusi terkenal dan mahal, karena yang paling penting adalah implementasi dan sekali lagi Security is a process, not a product.

Salam,
Alfons Tanujaya

[email protected]

PT. Vaksincom
Jl. R.P. Soeroso 7AA
Cikini

Jakarta 10330
Ph : 021 3190 3800

Website : http://www.vaksin.com
Fanpage : www.facebook.com/vaksincom
Twitter : @vaksincom