Pakar desak KPU lakukan audit forensik ungkap pembocoran 204 juta data pemilih

Sejumlah pakar siber pada Rabu (29/11) mendesak Komisi Pemilihan Umum untuk melakukan audit forensik dalam sistem keamanan servernya, menyusul seorang peretas membocorkan 204 juta data pemilih di situs resmi komisi tersebut.

Sebuah akun bernama Jimbo dalam forum internet BreachForums berhasil membobol situs Komisi Pemilihan Umum (KPU) pada Senin (27/11), menurut Teguh Aprianto, pendiri Ethical Hacker Indonesia, dalam laman X miliknya.

Pratama Persadha, pakar Keamanan Siber Lembaga Riset Keamanan Siber Indonesia Cissrec, menyarankan KPU agar memprioritaskan keamanan informasi teknologi pasca data pemilih diretas.

“Tim KPU bisa melakukan perubahan username dan password dari seluruh akun yang memiliki akses ke sistem. Ini bisa mencegah user yang semula berhasil didapatkan oleh peretas supaya tidak dapat dipergunakan kembali,” ujar Pratama kepada BenarNews, Rabu.

Peretas Jimbo juga melampirkan 500 ribu sampel data pemilih hingga yang berada di luar negeri mulai dari nomor induk kependudukan (NIK), tanggal lahir hingga alamat, ujar Pratama. Jimbo mengklaim memiliki 250 juta data lebih pemilih, dan dijual seharga USD74 ribu atau Rp1,14 miliar.

Menurut Pratama, dirinya khawatir data pemilih yang bocor dimanfaatkan untuk kampanye hitam, mengingat kebocoran data tersebut akan berdampak pada masyarakat apabila disalahgunakan khususnya pada waktu Pemilu 2024.

Ruby Alamsyah, CEO Digital Forensic Indonesia, mengatakan bahwa kasus peretasan tersebut terjadi akibat dua kemungkinan. Pertama, pelaku meretas langsung sistem data KPU. Kedua, pelaku membobol pengelola situs KPU yang membuat peretas dapat mengakses data-data KPU.

“Terkesan sistem tersebut tidak disiapkan dengan proper... Akhirnya orang bisa mengakses. Semudah itu. Human error,” jelas Ruby kepada BenarNews.

“Kita sangat sayangkan karena KPU sudah meminta anggaran untuk penguatan IT-nya,” ujar Ruby.

Peneliti Pusat Riset Kecerdasan Artifisial dan Keamanan Siber Badan Riset dan Inovasi Nasional (BRIN) Thufaili Imdad mengatakan KPU dan pemerintah bisa melakukan standardisasi keamanan seperti ISO 27000 untuk mencegah serangan serupa.

“Sedangkan kejadian di KPU ini harus ada audit untuk mengatasinya,” ujar dia.

Polisi selidiki kebocoran data

Polisi menyatakan pihaknya langsung menyelidiki dugaan kebocoran data daftar pemilih tetap Pemilu 2024 milik KPU yang dijual pada sebuah forum internet tersebut.

Direktur Direktorat Tindak Pidana Siber Badan Reserse Kriminal Polri Brigadir Jenderal Polisi Adi Vivid Bachtiar mengatakan indikasi kebocoran ini diketahui saat polisi melakukan patroli siber.

“Dugaan kebocoran data KPU kami temukan dari hasil patroli siber yang dilakukan oleh anggota kami,” ujar Adi Vivid pada wartawan di Jakarta, Rabu.

Adi juga menjelaskan bahwa seorang pengguna X (sebelumnya Twitter) @p4c3n0g3 mengunggah tangkapan layar akun seseorang yang mengaku bernama “Jimbo” pada forum internet BreachForums.

Pratama mengaku timnya sudah melakukan verifikasi data sampel yang diberikan secara acak melalui laman cek dpt (https://cekdptonline.kpu.go.id/). Hasilnya, data resmi KPU sama dengan data sampel yang dibagikan oleh peretas Jimbo, termasuk nomor tempat pemungutan suara (TPS) di mana pemilih terdaftar.

Adi Vivid mengatakan polisi kini melakukan pendalaman dugaan tersebut dan berkoordinasi dengan berbagai pihak terkait.

“Saat ini Tim CSIRT (Computer Security Incident Response Team) sedang koordinasi langsung dengan KPU untuk berkoordinasi sekaligus melakukan penyelidikan,” ujar dia.

Ketua KPU Hasyim Asy'ari mengatakan meski ada dugaan peretasan, data pemilih Pemilu 2024 masih bisa diakses pada laman dptonline.kpu.go.id. Sebelumnya KPU menetapkan daftar pemilih tetap Pemilu 2024 sebanyak 204.807.222 pada Juli.

Data ini diperoleh KPU dari daftar pemilih tetap Pemilu 2019 dan Pemilihan Kepala Daerah sebelumnya. Data tersebut juga dilengkapi dengan data dari Kementerian Dalam Negeri.

Karena itu, menurut dia, data yang diduga bocor itu, bukan hanya dimiliki oleh KPU, namun juga beberapa instansi lain.

"Nanti kalau sudah indikasi-indikasi sudah jelas tentu ada tindakan-tindakan lanjutan tapi yang paling penting sekarang sedang diperiksa, sedang dicek, sedang dilacak kebenaran informasi tersebut," ujar dia dikutip dari Kompas.com.

Kementerian Komunikasi dan Informatika mengatakan bahwa mereka tengah berkoordinasi dengan Badan Siber dan Sandi Negara (BSSN) dan KPU terkait dugaan kebocoran data daftar pemilih tetap.

"Kita masih melakukan penelusuran," ujar Direktur Jenderal Informasi dan Komunikasi Publik Kementerian Komunikasi dan Informatika Usman Kamsong kepada BenarNews.

Pembobolan data lembaga-lembaga publik beberapa kali terjadi di Indonesia. Pada September 2022, peretas bernama Bjorka diduga membobol sejumlah data pribadi para menteri di Indonesia yang diunggah di situs breached.to pada 9 September yang kemudian viral di media sosial.

Pada Maret, peretas yang diduga terafiliasi pemerintah China mencuri ribuan megabyte data ASEAN dan negara anggotanya tahun lalu yang mungkin berisi informasi strategis di Laut China Selatan dan pembicaraan dengan Washington, kata sebuah perusahaan keamanan dan analis.

Pada Mei, sistem Bank Syariah Indonesia diretas, yang menyebabkan jutaan nasabah tidak dapat mengakses akun mereka atau melakukan transaksi melalui ATM dan perbankan seluler.

Kelompok peretas LockBit 3.0 mengklaim bertanggung jawab atas serangan ransomware itu dan mengatakan telah mencuri 15 juta data pelanggan, informasi karyawan dan sekitar 1,5 terabyte data internal dari bank syariah tersebut.

Awal November, situs resmi Kementerian Pertahanan (kemhan.go.id) diduga telah dibobol oleh hacker, dan menjual akun untuk dapat mengakses dashboard dari laman web tersebut.