Bisnis.com, JAKARTA — Sekitar lima juta pelanggan maskapai Qantas dilaporkan menjadi korban kebocoran data besar-besaran yang dilakukan oleh kelompok peretas internasional Scattered Lapsus$ Hunters. Data pribadi tersebut telah beredar di dark web.
Melansir laman The Guardian pada Senin (13/10/2025) kebocoran ini merupakan bagian dari serangan yang menargetkan lebih dari 40 perusahaan global, termasuk Qantas, Google, Toyota, Disney, McDonald’s, dan Air France-KLM.
Pemerintah Australia memperkirakan jumlah upaya penipuan (scam) akan meningkat tajam setelah insiden ini. Qantas mengonfirmasi data pelanggan yang bocor mencakup nama, alamat email, dan nomor keanggotaan frequent flyer milik lebih dari 5 juta pelanggan.
Beberapa catatan bahkan mencantumkan alamat rumah dan kantor, tanggal lahir, nomor telepon, jenis kelamin, hingga preferensi makanan. Sejumlah politisi federal juga termasuk di antara korban kebocoran, menurut pernyataan Koordinator Keamanan Siber Nasional Australia.
Meski begitu, Qantas menegaskan tidak ada data berupa dokumen identitas, kartu kredit, rincian keuangan, kata sandi, maupun PIN yang bocor. Para peretas juga tidak berhasil mengakses akun frequent flyer pelanggan.
Qantas telah mendapatkan perintah pengadilan dari Mahkamah Agung New South Wales untuk mencegah akses, penyebaran, atau penggunaan data yang dicuri. Menteri Keamanan Siber Tony Burke menegaskan bahwa mengakses data curian di dark web adalah tindakan ilegal.
“Tidak ada alasan untuk mencoba mencari data itu, bahkan jika Anda hanya ingin memeriksa milik Anda sendiri,” ujarnya.
Namun, pemerintah Australia memperkirakan data yang sudah terlanjur bocor akan tetap dimanfaatkan oleh pelaku kejahatan siber untuk menipu masyarakat. Qantas mengaku telah menerima laporan meningkatnya kasus penipuan yang mengatasnamakan perusahaan.
Pemerintah Australia dan Qantas meminta masyarakat waspada terhadap panggilan telepon atau email mencurigakan yang mengaku dari perusahaan resmi. “Jika Anda menerima panggilan tak terduga, tutup telepon dan hubungi kembali melalui saluran resmi,” ujar Burke.
Peneliti utama Data61 CSIRO, Dr. Marthie Grobler, memperingatkan data frequent flyer bisa dimanfaatkan untuk membuat penipuan yang tampak meyakinkan, seperti tawaran penukaran poin atau pengaturan ulang jadwal penerbangan palsu. Qantas menegaskan agar pelanggan hanya merespons email resmi yang diakhiri dengan domain @qantas.com atau @qantas.com.au, bukan alamat palsu seperti qantas.net atau qantas.biz. Otoritas privasi nasional juga menyarankan masyarakat untuk mengganti kata sandi email dan mengaktifkan autentikasi dua langkah.
Qantas sendiri telah membuka layanan bantuan 24 jam dan menyediakan panduan perlindungan identitas bagi pelanggan terdampak. Hingga saat ini, Qantas belum menawarkan kompensasi bagi pelanggan yang terdampak. Menteri Burke mengatakan fokus pemerintah masih pada penyelidikan dugaan pelanggaran kewajiban perlindungan data yang dapat berujung pada denda bagi perusahaan.
Sementara itu, firma hukum Maurice Blackburn menyatakan tengah mempertimbangkan langkah hukum berupa gugatan perwakilan (class action) atas nama pelanggan Qantas. Firma tersebut sebelumnya telah mengajukan keluhan resmi terkait kebocoran data ini pada Juli lalu. Menurut Qantas, peretas tidak mendapatkan data melalui penipuan langsung terhadap pelanggan, melainkan dengan menyusup ke sistem pusat layanan pelanggan (call centre) pada Juni lalu dan mengakses platform layanan pelanggan.
Investigasi dari Google menunjukkan kelompok peretas berpura-pura menjadi staf dukungan teknis (IT support) dan menipu pegawai perusahaan agar memberikan akses ke sistem Salesforce—platform penyimpanan data pelanggan.
Salesforce menegaskan tidak ada kerentanan perangkat lunak yang dimanfaatkan dan sistem mereka tidak diretas secara langsung.