Bukan Hanya KPU, Ini Sederet Situs Pemerintah yang Pernah Dibobol Hacker

Indonesia kembali dihebohkan kabar kebobolan 204 juta Data Pemilih Tetap (DTP) Komisi Pemilihan Umum (KPU).

Rabu, 29 Nov 2023 18:29:00

Indonesia kembali dihebohkan kabar kebobolan 204 juta Data Pemilih Tetap (DTP) Komisi Pemilihan Umum (KPU).

Bukan Hanya KPU, Ini Sederet Situs Pemerintah yang Pernah Dibobol Hacker

Indonesia kembali dihebohkan kabar kebobolan 204 juta Data Pemilih Tetap (DTP) Komisi Pemilihan Umum (KPU). Seorang peretas anonim bernama "Jimbo" mengklaim bertanggungjawab meretas situs kpu.go.id tersebut. Dia membobol dan menjual data pemilih ke situs BreachForums. 

Data yang dicuri Jimbo itu memiliki beberapa data pribadi yang cukup penting seperti NIK, No. KK, nomor ktp (berisi nomor passport untuk pemilih yang berada di luar negeri), nama lengkap, jenis kelamin, tanggal lahir, tempat lahir, status pernikahan, alamat lengkap, RT, RW, kodefikasi kelurahan, kecamatan dan kabupaten serta kodefikasi TPS.

Sebelum kasus ini, beberapa situs pemerintahan juga pernah menjadi sasaran hacker. Hacker yang paling viral tahun lalu adalah Bjorka. Bjorka pernah membobol beberapa situs pemerintah. Mulai dari KPU, DPR, Pertamina hingga BIN.

Aksi-aksi hacker bikin heboh mengungkap data pemerintah dan warga Indonesia ini beberapa kali terjadi. 

Berikut sederet situs pemerintah Indonesia yang pernah diretas hacker:

1. BPJS Ketenagakerjaan

Situs milik Badan Penyelenggara Jaminan Sosial (BPJS) Kesehatan, bpjs-kesehatan.go.id juga pernah mengalami peretasan pada tahun 2021. Data sekitar 279 juta warga Indonesia - termasuk mereka yang sudah meninggal dunia - diduga diretas dan dijual di forum daring.

Para tersangka bekerjasama dengan hacker untuk membobol jutaan data. Sedangkan keuntungan yang didapatkan dalam praktik ini mencapai miliaran rupiah.

"Para tersangka sudah ditahan. (modus) pembuatan kartu prakerja fiktif ini mereka mendapat keuntungan total Rp18 miliar," ucap Direktur Reserse Kriminal Khusus Polda Jabar Kombes Arief Rachman, Senin (6/12/21).

Pelaku mendapatkan total hasil data sebanyak 12.401.328 NIK dan data foto. Kemudian dari jumlah itu berhasil dikerucutkan menjadi 322.350 data. Dari jumlah itu, dalam pembuatan Kartu Prakerja, mereka berhasil menembuskan jumlah 10 ribu data penerima.

2. Sekretariat Kabinet Negara

Situs Sekretariat Kabinet (Setkab) diretas dan diubah tampilan web-nya (deface) oleh hacker pada Sabtu, 31 Juli 2021. Pengujung situs dihadirkan pesan bahwa Indonesia dalam keadaan darurat dan tidak baik-baik saja.

Tidak hanya itu, Ketika situs diakses, penggunjung seharusnya ditampilkan berbagai informasi umum ternyata diubah dengan foto seseorang yang sedang membawa sebuah bendera merah putih dengan tulisan "Padang Blackhat" dan "Anon Illusion Team."

Namun, Deputi Dukungan Kerja Kabinet Sekretariat Kabinet (Setkab) Thanon Aria Dewangga memastikan tak ada dokumen negara bersifat rahasia di dalam situs Setkab.go.id yang diretas beberapa waktu lalu. Menurut dia, data-data yang diunggah pihak Setkab di situs masih aman.

3. Mahkamah Agung

Di tahun 2020, Bareskrim Siber Polri menangkap hacker pelaku peretasan 1.300 lebih akun lembaga pemerintah yang telah beraksi sejak 2014 lalu.

"Tersangka mengakui telah melakukan hack di akun pemerintah, akun swasta, juga akun jurnal-jurnal. Itu ada 1309 akun yang dihack," katanya di Mabes Polri, Jakarta Selatan, Selasa (7/7) seperti dilihat merdeka.com (27/11).

Pelaku juga dengan sengaja mengubah tampilan akun yang diretas sebagai bentuk bukti dan ancaman. Di setiap aksinya, pelaku menerima tebusan sekitar Rp2 juta hingga Rp5 juta.

Di samping itu, akun yang berhasil diretas tidak hanya situs Badilum milik Mahkamah Agung (MA), namun juga situs Pengadilan Negeri Sleman, situs AMIK Indramayu, situs polri.go.id, situs Dumasan Polda DIY, situs Pemprov Jateng, dan situs UNAIR.

4. Pedulilindungi

Hacker Bjorkan telah meretas 3,2 miliar data pengguna PeduliLindungi pada tahun 2021. Data tersebut ia jual seharga USD 100 ribu atau sekitar Rp 1,5 miliar. Transaksinya pun menggunakan bitcoin.

Bjorka menyebutkan bahwa data yang diretas hacker ini ialah nama, alamat email, NIK, nomor telepon, DOB, identitas perangkat, status Covid-19, check-in history, contact tracing history, vaksinasi, dan lain-lain.

"PeduliLindungi adalah aplikasi contact tracing COVID-19 resmi yang dipakai di Indonesia. Aplikasi ini dikembangkan oleh Kemenkominfo, yang bekerja sama dengan KPCPEN, Kemenkes, Kemen BUMN, dan Telkom Indonesia. Aplikasi ini awalnya dikenal sebagai TraceTogether namun kemudian diganti karena Singapura menggunakan aplikasi dengan nama sama," tulis Bjorka dalam Breached Forum.

5. Youtube DPR

Akun youtube resmi dari DPR-RI yang menjadi korban peretasan. Bahkan menyiarkan live streaming permainan judi slot. Jika dilihat dari judul video serta thumbnail video yang ada di akun youtube resmi milik DPR-RI @DPRRIOfficial tersebut, video yang disisipkan oleh peretas adalah video yang sama yang ditampilkan di youtube Barış Slot (@Baris-casino).

“Namun jika dilakukan investigasi lebih lanjut, akun Barış Slot sendiri sepertinya juga menjadi korban peretasan seperti halnya akun DPR-RI, karena berdasarkan video lama di akun tersebut adalah video lagu-lagu karaoke dalam bahasa Vietnam,” kata Chairman Lembaga Riset Keamanan Siber CISSReC Pratama Persadha. 

Menurutnya, kemungkinan akun youtube resmi tersebut berhasil diambil alih oleh peretas melalui metode phising, dimana email yang dipergunakan untuk login kemungkinan tidak dilengkapi metode 2 Factor Authentication dan operator yang menggunakan email tersebut kurang berhati-hati sehingga jatuh ke dalam jebakan phising yang dikirimkan oleh peretas.

Hal tersebut kemungkinan besar diperparah oleh sebuah celah keamanan yang berhasil ditemukan oleh Threat Analysis team dari Google pada tahun 2021 yaitu adanya kampanye phising terhadap akun youtube yang memanfaatkan malware yang bisa mencuri cookies.

6. Surat Rahasia Presiden

Bjorka kembali berulah. Bukan data warga Indonesia yang dibagikan melainkan data daftar judul dan nomor surat termasuk dokumen rahasia untuk Presiden Jokowi, salah satunya dari Badan Intelijen Negara (BIN).

Dalam keterangannya, dokumen yang dicuri pada September 2022 itu terdiri dari 679.180 data dengan kapasitas 40 MB (compressed) dan 189 MB (uncompressed).

Dalam unggahannya ini, Bjorka tak menyertakan perincian harga jual. Kemungkinan sekadar unjuk gigi membuktikan ucapan sebelumnya di Telegram untuk membobol data Presiden. Ia juga menyertakan sejumlah sampel atau contoh dokumen yang dibobol. Isinya, kata Bjorka, "tittle of the letter, letters number, sender, receiver employee id, letter date etc".

7. Data Pelanggan Indihome

Bjorka mengklaim telah mengantongi 26 juta history browsing pelanggan IndiHome. Datanya mencakup keyword, email, nama, jenis kelamin, hingga Nomor Induk Kependudukan (NIK).

Namun perwakilan Telkom Group menyatakan, bahwa data yang bocor tidak valid dan merupakan hasil fabrikasi.