Kementrian Lembaga: Direktorat Jenderal Pajak (DJP)

Jakarta –

Tahun segera berganti dalam hitungan jam. Di 2024, Indonesia mengalami beberapa kejadian terkait keamanan siber.

Berikut adalah rangkaian serangan siber sepanjang 2024 yang dirangkum lembaga riset keamanan siber Communication and Information System Security Research Center (CISSReC).

Januari 2024: KAI Diserang Stormous

PT. KAI mengalami serangan siber yang dilakukan oleh aktor peretas Stormous dan membocorkan 82 kredensial karyawan PT. KAI dan hampir 22 ribu kredensial pelanggan, serta 50 kredensial data karyawan perusahaan lain yang bermitra dengan KAI.

Data kredensial yang berhasil didapatkan peretas berasal dari sekitar 3.300 URL yang menjadi permukaan serangan external situs PT KAI. Peretas itu mendapatkan akses masuk ke sistem PT KAI melalui akses VPN menggunakan beberapa kredensial dari beberapa karyawan.

Setelah berhasil masuk mereka berhasil mengakses dashboard dari beberapa sistem PT KAI dan mengunduh data yang ada di dalam dashboard tersebut. Peretas menuntut tebusan sebesar 11,69 BTC atau hampir setara dengan Rp 7,9 miliar dan mengancam akan mempublikasikan semua data yang mereka dapatkan jika tebusan tidak dibayarkan.

Februari 2024: Gaduh Pilpres Gegara Sirekap

Terjadi kegaduhan pada proses Pilpres dan Pilleg 2024 karena sistem Sirekap yang dipergunakan oleh KPU membuat perbedaan antara suara yang dihitung di tingkat TPS dengan hasil yang ditampilkan oleh Sirekap.

Salah satu kendala Sirekap adalah tidak adanya error checking yang seharusnya sistem langsung bisa mengetahui adanya kesalahan jika jumlah suara dalam satu TPS lebih dari jumlah surat suara yang dimiliki oleh TPS tersebut.
Proses rekapitulasi suara berjenjang juga sempat dihentikan pada tanggal 19 dan 20 Februari yang bahkan menimbulkan pertanyaan lebih lanjut tentang keabsahan hasil pemilu.

Sistem Sirekap juga menuai polemik karena diduga server yang dipergunakan untuk Sirekap berada di luar negeri. Kerjasama KPU dengan Alibaba Cloud untuk layanan Sirekap merupakan langkah yang buruk, karena dengan menggunakan server yang dimiliki oleh pihak lain apalagi asing memiliki risiko lebih besar terutama terhadap data hasil pemilu.

KPU juga dituntuk melakukan audit publik dari source code yang dipergunakan untuk Sirekap sehingga dapat dipastikan bahwa aplikasi berjalan dengan kaidah umum dan tidak ada baris-baris program yang disusupkan untuk melakukan suatu hal yang dapat menguntungkan pasangan calon presiden tertentu.

Maret 2023: Biznet Diserang

Salah satu Internet Service Provider (ISP) di Indonesia menjadi korban serangan siber yang diindikasikan sebagai insider threat atau serangan dari dalam pada tanggal 10 Maret 2024.

Peretas juga dengan percaya diri memberikan beberapa petunjuk tentang jati dirinya dan mengancam akan membagikan data Biznet Gio jika Biznet tidak menghapus kebijakan FUP sampai dengan 25 Maret 2024.

Berdasarkan investigasi pada laman darkweb milik peretas yang menggunakan nama anonim Blucifer tersebut terdapat 5 table yang sudah dibagikan antara lain table Customers, Addresses , ContractAccounts , Contract serta tabel Products.

Saat CISSReC mengakses laman darkweb, peretas sudah menghapus petunjuk terkait jati dirinya. Beberapa data pribadi yang ada di beberapa tabel tersebut antara lain nama depan, nama belakang, jenis kelamin, tanggal lahir, jenis kartu identitas (NPWP, KTP, KITAS), nomor kartu identitas (NPWP, KTP, KITAS), email, nomor HP, nomor telepon, nomor fax, akun media sosial, alamat lengkap bahkan Mac address dari perangkat yang digunakan pelanggan.

April 2024: Indonesia Darurat Judi Online

Pengamat keamanan siber dari CISSReC Pratama Persadha, mengatakan pemerintah dan aparat terkesan tak serius menangani persoalan judi online, karena jika hanya memblokir situsnya, tak akan berpengaruh apa-apa.

“Para agen judi slot bisa bikin lebih banyak lagi. Bahkan mereka nekat meretas situs milik kampus atau pemerintah yang tak dikelola dan mengubahnya jadi judi slot,” ujarnya.

Ada ribuan website milik pemda yang disusupi judi online dan tidak diblokir, karena kalau diblokir seluruh pelayanan di dalam website akan mati.

Selain itu, membuat situs judi juga sangat mudah karena mereka sudah punya template, tinggal beli domain, dan pasang template itu. Domain yang murah banyak tersedia, bahkan yang gratisan juga ada.

Mei 2024: Polemik Starlink di Indonesia

Resmi beroperasinya Starlink di Indonesia menimbulkan polemik. Meskipun Starlink memiliki manfaat melayani daerah 3T yang sulit dijangkau teknologi fiber optik atau radio, masuknya Starlink membawa sisi lain yang kurang menyenangkan, misalnya kesan diberi ‘karpet merah’ saat masuk ke Indonesia, termasuk terkait perizinan yang begitu cepat.

Selain itu juga ada masalah Network Operating Center (NOC) yang seharusnya berada di Indonesia. Diharapkan Starlink selalu menaati regulasi sampai kapanpun, bukan hanya saat ini saja ketika baru beroperasi di Indonesia. Salah satu contohnya dengan memastikan bahwa arus internet di Indonesia melalui Starlink hanya melalui NAP lokal dan tidak menggunakan Laser Link sebagai backbone layanannya.

Juni 2024: Pusat Data Nasional Lumpuh

Server Pusat Data Nasional (PDN) mengalami kelumpuhan dan berimbas pada terganggunya aktivitas layanan pengecekan imigrasi di bandara dikarenakan serangan ransomware oleh group Brain Cipher.

Total terdapat 282 instansi pemerintah yang datanya tersimpan di PDNS Surabaya terdampak serangan ransomware, mencakup data kementerian dan lembaga, serta pemerintah provinsi, kabupaten, dan kota.

Brain Cipher adalah kelompok peretas yang beraksi menggunakan varian ransomware LockBit 3.0 dan pelaku serangan ransomware ke PDNS Surabaya memang meminta uang tebusan USD8 juta atau sekitar Rp131,8 miliar untuk membuka gembok pada data-data di fasilitas itu.

Di bulan yang sama, pemerintah membentuk satgas judi online yang tertuang dalam Keputusan Presiden (Keppres) Nomor 21 Tahun 2024 tentang Satuan Tugas Pemberantasan Perjudian Daring yang terbit di Jakarta, Jumat (14/6), Menteri Koordinator Bidang Politik, Hukum, dan Keamanan (Menko Polhukam) Hadi Tjahjanto ditunjuk sebagai ketua satgas.

Dalam Pasal 4 Keppres Nomor 21 Tahun 2024, Satgas Judi Online bertugas:

Mengoptimalkan pencegahan dan penegakan hukum perjudian online secara efektif dan efisienMeningkatkan koordinasi antar kementerian/lembaga dan kerja sama luar negeri dalam upaya pencegahan dan penegakan hukum perjudian onlineMenyelaraskan dan menetapkan pelaksanaan kebijakan strategis serta merumuskan rekomendasi dalam mengoptimalkan pencegahan dan penegakan hukum perjudian online.

Pembentukan Satgas Judi Online dilakukan karena kegiatan perjudian online melanggar hukum dan menimbulkan kerugian finansial, gangguan sosial, serta dampak psikologis dengan efek kriminal yang berkelanjutan. Oleh karena itu, perjudian online perlu ditindak tegas.

Juli 2024: Dirjen Aptika Mundur Imbas PDNS Diserang

Direktur Jenderal Aplikasi Informatika (Dirjen Aptika) Kementerian Komunikasi dan Informatika (Kominfo) Semuel Pangerapan mengumumkan pengunduran dirinya setelah insiden ransomware yang menyerang Pusat Data Nasional Sementara (PDNS).

Ia menyebut pengunduran dirinya merupakan bentuk tanggung jawab moral karena secara teknis, masalah PDN seharusnya bisa ditangani dengan baik.

Sementara itu, Brain Cipher yang berada di balik serangan ini menegaskan tidak ada motif politis di balik serangannya dan meminta maaf kepada publik Indonesia dan mereka akan memberikan kunci ramsomwarenya secara cuma-cuma serta berharap serangan mereka membuat masyarakat paham betapa pentingnya membiayai industri keamanan siber dan merekrut spesialis yang berkualifikasi.

Brain Cipher juga meminta ada pernyataan terbuka kepada publik yang menunjukkan rasa terima kasih kepada mereka dan mengonfirmasi bahwa mereka ‘secara sadar dan independen telah mengambil keputusan ini’.

Agustus 2024: Kebocoran Data BKN

Kali ini insiden kebocoran data terjadi di Badan Kepegawaian Negara (BKN). Temuan ini bermula dari sebuah unggahan dari akun peretas bernama TopiAx di Breachforums pada Sabtu (10/8).

Peretas berhasil mendapatkan data dari BKN sebanyak 4.759.218 baris yang mencakup informasi seputar Pegawai Negeri Sipil (PNS) seperti nama, tempat dan tanggal lahir, gelar, tanggal CPNS, tanggal PNS, Nomor Induk Pegawai (NIP), Nomor SK CPNS, Nomor SK PNS, golongan, jabatan, instansi, alamat, nomor identitas, nomor HP, email, pendidikan, jurusan, hingga tahun lulus.

Di unggahan itu, peretas menawarkan seluruh data yang berhasil didapatkannya dengan nominal USD 10 ribu atau sekitar Rp 160 juta. Hacker juga membagikan sampel data berisi 128 ASN yang berasal dari berbagai instansi di Aceh.

CISSReC sudah melakukan verifikasi secara random pada 13 ASN yang namanya tercantum dalam sampel data tersebut melalui WhatsApp, dan menurut mereka data tersebut valid, meskipun beberapa ada yang menginformasikan adanya kesalahan penulisan digit terakhir pada field NIP dan NIK.

September 2024: Data Dirjen Pajak Bocor dan Indodax Gangguan

Diduga data 6,6 juta wajib pajak milik Direktorat Jenderal Pajak (DJP) bocor dan diperjualbelikan di forum hacker. Akun anonim mengaku sebagai ‘Bjorka’ mengklaim telah membobol dan mencuri data wajib pajak, termasuk milik Presiden Jokowi, menteri-menteri, dan pejabat tinggi lainnya.

Data DJP yang diperoleh tersebut sebesar 2GB dalam bentuk normal, dan 500MB dalam bentuk terkompresi. CISSReC mengungkap telah melakukan penelusuran dan mengunduh sampel data yang diberikan dan dugaan kuat mengarah pada DJP sebagai sumber kebocoran, mengingat nomenklatur data sangat spesifik, seperti terdapat field nama KPP, nama Kanwil, status PKP, serta jenis wajib pajak (WP). Hacker menawarkan data curian tersebut dengan harga USD 10 ribu atau sekitar Rp 153 juta.

Di bulan ini juga, perusahaan exchanger kripto Indodax mengalami gangguan sistem akibat peretasan. Dalam salah satu laporan, peretasan yang dialami Indodax menyebabkan kerugian senilai USD22 juta atau Rp337,4 miliar (asumsi kurs Rp15.336 per USD).

Peretasan yang dialami Indodax terjadi pada 11 September 2024. Berdasarkan akun media sosial X, peringatan keamanan real-time dari platform Cyvers @CyversAlerts menyampaikan adanya transaksi yang mencurigakan di platform Indodax.

Lebih lanjut, akun itu juga menyebut sudah ada alamat yang mencurigakan untuk menukarkan koin di Indodax ke bitcoin Ether.

Oktober 2024: Kominfo Menjadi Komdigi dan UU PDP Berlaku

Kementerian Komunikasi dan Informatika (Kominfo) resmi berubah nama menjadi Kementerian Komunikasi dan Digital (Komdigi). Keamanan data pribadi, pemberantasan judi online, internet ramah anak, dan digitalisasi layanan pemerintah menjadi fokus utama Menteri Komdigi Meutya Hafid pada program 100 hari pertamanya.

Perubahan nomenklatur Kementerian Kominfo menjadi Kementerian Komdigi dilakukan untuk menjawab tantangan zaman yang makin berkembang ke ranah digital. Meutya mengatakan, komunikasi ke depan akan berbasis digital dan PR yang diembannya adalah bagaimana mengamankan data-data itu terkait dengan digital dan pemerintahan yang efisien efektif.

Presiden terpilih Prabowo Subianto diharapkan memiliki perhatian terhadap Pelindungan Data Pribadi sebagai salah satu fokus utama pemerintahan Prabowo, termasuk menjatuhkan sanksi pada institusi, baik pemerintah maupun swasta, yang menjadi korban kebocoran data, karena Undang-Undang Perlindungan Data Pribadi (UU PDP) sudah berlaku penuh sejak 18 Oktober 2024.

UU PDP memberikan kerangka hukum bagi pengelolaan data pribadi, termasuk sanksi bagi pelanggaran, baik di sektor pemerintah maupun swasta. Namun hingga kini, lembaga yang bertugas menegakkan aturan tersebut belum juga terbentuk.

November 2024: Pegawai Komdigi Terlibat Judi Online

Kasus pegawai Komdigi melindungi judi online menjadi sorotan banyak pihak. Sejumlah pakar digital sampai angkat bicara. Sampai saat ini polisi sudah menetapkan 16 tersangka, termasuk 11 pegawai Komdigi. Tidak menutup kemungkinan ada tambahan lagi seiring kasus ini masih terus didalami.

Pada kasus ini, terungkap bahwa para tersangka diduga telah memperoleh keuntungan sebesar Rp 8,5 juta dari setiap situs judi online yang mereka ‘bina’. Tercatat mereka sudah melakukan ‘binaan’ terhadap sekitar seribu situs judi.

Desakan kian menguat agar Komdigi segera melakukan pembenahan. Bahkan para pakar digital dan keamanan siber satu persatu bersuara. Para pakar menawarkan solusi konstruktif untuk Komdigi.

Desember 2024: Serangan Ransomware BRI Diduga Hoax

Chairman Lembaga Riset Keamanan Siber CISSReC Pratama Persadha mensinyalir, penyebaran informasi bahwa Bank Rakyat Indonesia (BRI) terkena serangan Bashe Ransomware, patut diduga sebagai sebuah hoax dan merupakan upaya pemerasan.

CISSReC juga melihat bahwa informasi serangan ransomware ini hanya upaya coba-coba untuk memeras BRI bahwa seolah-olah mereka terkena serangan ransomware.

“Jika memang group Bashe Ransomware memiliki data asli BRI hasil serangan malware, tentu seharusnya mereka menggunggah data tersebut dan bukannya mengunggah data yang sudah pernah diposting di Scribd sebelumnya,” duga Pratama.

Apalagi, group Bashe Ransomware sendiri mengaku sudah bekerja sejak 3 September 2019. Dugaan BRI diserang siber dengan modus ransomware berawal dari ungggahan akun FalconFeeds.io di platform X pada 18 Desember 2024, pukul 18.54 WIB.

FalconFeeds.io kemudian membuat postingan klarifikasi pada pukul 22.42 WIB, yang mengatakan bahwa klaim yang melaporkan serangan siber kepada BRI adalah berita yang kurang benar.

“Investigasi tim CISSReC menemukan bahwa sampel data yang diberikan oleh Bashe Ransomware identik dengan salah satu unggahan di Scribd yang diunggah oleh salah satu akun bernama ‘Sonni GrabBike’ pada 17 September 2020,” jelas Pratama.

“Tim CISSReC juga menemukan bahwa nomor kartu yang tertera pada sample data didapatkan di Scribd, adalah valid serta nomor kartu tersebut masih aktif, karena masih bisa dilakukan transfer ke nomor tersebut,” imbuhnya.

(rns/rns)