DERAS.CO.ID Anda Berhak Tahu!
DERAS.CO.ID – Data nasabah Bank BSI yang dicuri LockBit dipastikan valid. Ancaman kebocoran data nasabah PT Bank Syariah Indonesia Tbk (BSI) di situs gelap alias dark web kian nyata setelah bank itu diduga kuat terkena serangan ransomware pada senin hingga jumat pekan lalu.
Hal itu merujuk pada data yang dirilis group peretas asal Rusia, LockBit yang mengklaim bertanggung jawab atas serangan ransomware terhadap bank syariah terbesar di Indonesia tersebut.
Dalam situs webnya, LockBit menyebutkan telah menguasai data yang berisi informasi pribadi lebih dari 15 juta nasabah, dokumen finansial, dokumen legal, perjanjian kerahasiaan atau non-disclosure agreement dan kata kunci untuk mengakses internet dan layanan perbankan yang digunakan.
Adapun data nasabah yang bocor itu antara lain adalah nama, nomor telepon seluler, alamat, profesi, saldo rekening rata-rata, riwayat transaksi, tanggal pembukuan rekening dan informasi pekerjaan.
Dalam rilisnya, LockBit turut mengunggah 27 gambar tangkapan layar atau screen capture yang menampilkan jendela atau tab berisikan sejumlah sampel data yang diklaim sebagai data nasabah bank BSI. Tangkapan layar tersebut lengkap berserta direktori nama komputer hingga file lokasi data itu berada.
LockBit memberikan tenggat waktu hingga 15 Mei 2023 pukul 21:09:46 UTC atau hari ini selasa, 16 Mei 2023 pukul 04.09 WIB kepada manajemen BSI untuk menghubungi kontak yang diberikan dan membayar uang tebusan.
Jika sampai batas waktu tersebut BSI tidak membayar tebusan, maka seluruh data yang ada akan dibocorkan di situs gelap.
Hasil penelusuran data nasabah
Tempo mencoba menelusuri kebenaran data dan klaim yang diunggah LockBit. secara acak, tempo memilih data milik dua orang yang diduga nasabah BSI yang dipublikasikan dalam tangkapan layar tersebut.
Data tersebut adalah 10 digit nomor rekening, nama pemilik rekening dan jenis tabungan yang dimiliki. Nasabah pertama berprofesi sebagai pelajar dengan saldo rata-rata Rp 425.134 dan nasabah kedua berprofesi sebagai karyawan swasta dengan saldo rata-rata Rp 813.627.
tempo lalu mencocokkan data nomor rekening dan nama nasabah dengan yang tertera dalam verifikasi daftar transfer antar bank melalui aplikasi mobile banking bank lainnya.
Hasilnya terdapat kesamaan antara nama dan nomor rekening yang dipublikasikan LockBit serta nama dan nomor rekening pada aplikasi mobile banking. Hal itu menandakan bahwa data yang dipegang LockBit valid.
sebelumnya pada ahad lalu, Komisaris Independen BSI Komaruddin Hidayat, membenarkan kabar adanya serangan siber di BSI, namun dia membantah serangan siber tersebut dari LockBit.
“Itu kabar hoaks, sudah pulih dan yang pasti data serta uang nasabah aman”, ucapnya
Direktur Utama BSI Hery Gunardi, mengungkapkan seluruh layanan perbankan perseroan sudah berangsur normal dan pulih setelah dilakukan perbaikan dan pengamanan sistem.
“Gangguan sudah dapat dipulihkan segera dan ini merupakan respon pemulihan yang baik, perioritas utama kami menjaga data dan dana nasabah”, kata direktur utama BSI.
Direktur Utama BSI menambahkan, BSI juga terus memperkuat keamanan dan sistem teknologi perseroan dalam satu divisi khusus yang di tempatkan di bawah Chief Information and Security Officer (CISO).
“Sistem ini kerjanya seperti satpam dari sisi teknologi, dia akan melihat titik-titik kelemahan yang harus ditutup sebagai upaya melindungi data nasabah”. ungkap Direktur Utama BSI.
Pakar IT
Sementara itu sejumlah pakar teknologi informasi dan kemanan siber memastikan validitas data yang dirilis dan diklaim LockBit. Pakar kemanan siber dari Vaksincom Alfons Tanujaya, menuturkan penelusuran dan pengujian data sebagaimana yang dilakukan tempo menjadi bukti kuat bahwa telah terjadi peretasan data nasabah BSI oleh LockBit.
“Jika dicoba melakukan transfer kesalah satu nomor rekening yang dipublikasikan di situs LockBit, lalu keluar nomor rekening dan nama nasabah yang sama artinya data itu valid”, ucapnya.
Menurut Alfons, ada beberapa celah yang dapat menjadi pintu masuk serangan ransomware pada BSI, salah satunya adalah terbukanya celah keamanan yang kemudian dimanfaatkan peretas untuk penyusup masuk. Misalnya ada remote dekstop yang tidak diamankan dengan baik atau akses internet bank digunakan untuk mengakses internet luar.
Sebab pada dasarnya pelaku ransomware akan berusaha semaksimal mungkin mengenkripsi data penting, data cadangan dan data sistem yang bertujuan mengganggu jalannya perusahaan. Dengan demikian ransomware akan mengunci data dan akses sehingga sistem operasional menjadi kacau.
kata Alfons, Risiko kebocoran data itu pun tak dapat dihindari karena tak ada sistem yang mampu menarik kembali data yang telah bocor di dunia maya.
“Diinternet itu ada hukum yang berbunyi: sekali data bocor, dia akan disana selamanya, jadi tidak mungkin membatalkan data yang bocor. Salinannya sudah ada di mana-mana”, ucapnya.
Menurut Direktur Eksekutif Indonesia ICT Institute, Heru Sutadi, berdasarkan rekam jejaknya, LockBit merupakan group peretas keamanan bersekala global dan lintas negara yang menjalankan bisnis ransomware as a service (RAAS).
“Mereka menjadikan ransomware sebagai bisnis sehingga kemungkinan besar yang mereka sampaikan itu benar”, katanya.
Guna memastikan serangan ransomware itu, ucap Heru, dibutuhkan verifikasi melalui audit digital forensik oleh bagian internal BSI.
Jika memang benar LockBit berada dibalik serangan itu, kata Heru, perlu dilakukan negosiasi untuk mencegah kebocoran data direalisasi dan terjadi secara masif.
“Tetapi kalau memang manajemen bisa memastikan tidak terjadi serangan ransomware dari LockBit, ya, tidak perlu takut untuk tidak membayar tebusan”, kata Heru.
Biaya tebusan LockBit
Heru menghimbau, berdasarkan pengalaman aksi serangan ransomware, negosiasi dengan group peretas seperti LockBit biasanya memerlukan dana tebusan yang tidak sedikit.
“Untuk personal saja bisa US$ 1.000-2.000, kalau perusahaan seperti BSI dengan jumlah nasabah 19-20 juta akun, tentu tebusan yang diminta bisa sampai miliaran rupiah”, ungkap Heru.
Menurut Heru, BSI perlu berkoordinasi dengan Kementerian Komunikasi dan Informatika, Badan Siber dan Sandi Negara, serta Otoritas Jasa Keuangan (OJK) untuk memverifikasi dan mengevaluasi kasus yang terjadi.
Dalam praktek dan sejarahnya memang tidak ada satu pun lembaga penyelenggara sistem elektronik yang mengakui sistemnya diretas, tidak ada yang benar-benar mengaku terkena terkena ransomware”, ucapnya.
Hal itu kontradiktif dengan kewajiban penyampaian informasi yang transparan ke publik yang menjadi syarat mutlak dalam undang-undang nomor 27 tahun 2022 tentang pelindungan data pribadi.
“Padahal sudah jelas sistemnya bocor, walau tidak diakui. Tetapi kemudian datanya kan disebar di dark web”, kata Heru.
Dia mengatakan sebagai langkah antisipatif, BSI seharusnya segera menghimbau nasabahnya untuk mengganti kata sandi dan menerapkan verifikasi ganda dalam setiap transaksi.
[koran tempo]
