Semarang (ANTARA) - Pakar keamanan siber Dr. Pratama Persadha mengungkap dugaan Bjorka membocorkan 44 juta data MyPertamina berisi nama, surat elektronik (email), nomor induk kependudukan (NIK), nomor kartu tanda penduduk (KTP), dan nomor pokok wajib pajak (NPWP).
"Selain itu, Bjorka upload (mengunggah) nomor telepon, alamat, date of birth (tanggal lahir), jenis kelamin, penghasilan (harian, bulanan, dan tahunan), data pembelian bahan bakar minyak (BBM), dan masih banyak data lainnya," kata Pratama Persadha melalui percakapan WhatsApp kepada ANTARA, di Semarang, Kamis malam.
Sebelumnya, kata dia, kebocoran data di PLN, Indihome, data registrasi SIM card, dan 105 juta data pemilih, hingga data rahasia dan surat untuk Presiden Joko Widodo (Jokowi) yang bocor dan diunggah oleh Bjorka.
Pratama menjelaskan bahwa kebocoran tersebut diunggah pada hari Kamis (10/11) pukul 10.31 WIB oleh anggota forum situs breached.to dengan nama identitas "Bjorka". Dia menyebutkan pula bahwa 44 juta data ini dijual dengan harga 25.000 dolar Amerika Serikat atau sekitar Rp400 juta dengan menggunakan mata uang Bitcoin.
Data yang diklaim oleh Bjorka, kata Pratama, berjumlah 44.237.264 baris dengan total ukuran mencapai 30 gigabita bila dalam keadaan tidak dikompres. Diungkapkan pula oleh Ketua Lembaga Riset Siber Indonesia CISSReC ini bahwa data sampelnya dibagi dua file, yaitu data transaksi dan data akun pengguna.
Ketika pengecekan terhadap sampel data secara acak dengan aplikasi "GetContact", ujar dia lagi, nomor tersebut benar menunjukkan nama dari pemilik nomor tersebut. "Selain itu, dicek NIK lewat aplikasi Dataku juga cocok. Berarti sampel data yang diberikan oleh Bjorka merupakan data yang valid," ujarnya.
Hingga saat ini, kata Pratama, sumber datanya masih belum jelas. Namun, soal asli atau tidaknya data ini hanya Pertamina sendiri yang bisa menjawabnya. Hal ini karena Pertamina yang membuat aplikasi ini yang juga memiliki dan menyimpan data ini. Menurut pria asal Cepu, Kabupaten Blora, Jawa Tengah ini, jalan terbaik harus dilakukan audit dan investigasi forensik digital untuk memastikan kebocoran data ini dari mana.
Ia memandang perlu pengecekan terlebih dahulu terhadap sistem informasi dari aplikasi MyPertamina. Apabila ditemukan lubang keamanan, berarti kemungkinan besar memang terjadi peretasan dan pencurian data.
Namun, lanjut Pratama, dengan pengecekan yang menyeluruh dan forensik digital, bila benar-benar tidak ada celah keamanan dan jejak digital peretasan, ada kemungkinan kebocoran data ini terjadi karena insider atau data ini bocor oleh orang dalam.
Bila benar ini data MyPertamina, menurut dia, berlaku pada Pasal 46 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) ayat (1) dan (2).
Baca juga: Pakar temukan serangan "phishing" sasar data riset universitas
Baca juga: Warganet disarankan lindungi perangkat digital dari kejahatan siber
Dalam pasal tersebut menyebutkan bahwa dalam hal terjadi kegagalan perlindungan data pribadi, maka pengendali data pribadi wajib menyampaikan pemberitahuan secara tertulis, paling lambat 3 x 24 jam. Pemberitahuan itu disampaikan kepada subjek data pribadi dan Lembaga Pelaksana Pelindungan Data Pribadi (LPPDP).
Pratama menerangkan bahwa pemberitahuan minimal harus memuat data pribadi yang terungkap, kapan, dan bagaimana data pribadi terungkap, serta upaya penanganan dan pemulihan atas terungkapnya oleh pengendali data pribadi.
"Selain itu, Bjorka upload (mengunggah) nomor telepon, alamat, date of birth (tanggal lahir), jenis kelamin, penghasilan (harian, bulanan, dan tahunan), data pembelian bahan bakar minyak (BBM), dan masih banyak data lainnya," kata Pratama Persadha melalui percakapan WhatsApp kepada ANTARA, di Semarang, Kamis malam.
Sebelumnya, kata dia, kebocoran data di PLN, Indihome, data registrasi SIM card, dan 105 juta data pemilih, hingga data rahasia dan surat untuk Presiden Joko Widodo (Jokowi) yang bocor dan diunggah oleh Bjorka.
Pratama menjelaskan bahwa kebocoran tersebut diunggah pada hari Kamis (10/11) pukul 10.31 WIB oleh anggota forum situs breached.to dengan nama identitas "Bjorka". Dia menyebutkan pula bahwa 44 juta data ini dijual dengan harga 25.000 dolar Amerika Serikat atau sekitar Rp400 juta dengan menggunakan mata uang Bitcoin.
Data yang diklaim oleh Bjorka, kata Pratama, berjumlah 44.237.264 baris dengan total ukuran mencapai 30 gigabita bila dalam keadaan tidak dikompres. Diungkapkan pula oleh Ketua Lembaga Riset Siber Indonesia CISSReC ini bahwa data sampelnya dibagi dua file, yaitu data transaksi dan data akun pengguna.
Ketika pengecekan terhadap sampel data secara acak dengan aplikasi "GetContact", ujar dia lagi, nomor tersebut benar menunjukkan nama dari pemilik nomor tersebut. "Selain itu, dicek NIK lewat aplikasi Dataku juga cocok. Berarti sampel data yang diberikan oleh Bjorka merupakan data yang valid," ujarnya.
Hingga saat ini, kata Pratama, sumber datanya masih belum jelas. Namun, soal asli atau tidaknya data ini hanya Pertamina sendiri yang bisa menjawabnya. Hal ini karena Pertamina yang membuat aplikasi ini yang juga memiliki dan menyimpan data ini. Menurut pria asal Cepu, Kabupaten Blora, Jawa Tengah ini, jalan terbaik harus dilakukan audit dan investigasi forensik digital untuk memastikan kebocoran data ini dari mana.
Ia memandang perlu pengecekan terlebih dahulu terhadap sistem informasi dari aplikasi MyPertamina. Apabila ditemukan lubang keamanan, berarti kemungkinan besar memang terjadi peretasan dan pencurian data.
Namun, lanjut Pratama, dengan pengecekan yang menyeluruh dan forensik digital, bila benar-benar tidak ada celah keamanan dan jejak digital peretasan, ada kemungkinan kebocoran data ini terjadi karena insider atau data ini bocor oleh orang dalam.
Bila benar ini data MyPertamina, menurut dia, berlaku pada Pasal 46 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) ayat (1) dan (2).
Baca juga: Pakar temukan serangan "phishing" sasar data riset universitas
Baca juga: Warganet disarankan lindungi perangkat digital dari kejahatan siber
Dalam pasal tersebut menyebutkan bahwa dalam hal terjadi kegagalan perlindungan data pribadi, maka pengendali data pribadi wajib menyampaikan pemberitahuan secara tertulis, paling lambat 3 x 24 jam. Pemberitahuan itu disampaikan kepada subjek data pribadi dan Lembaga Pelaksana Pelindungan Data Pribadi (LPPDP).
Pratama menerangkan bahwa pemberitahuan minimal harus memuat data pribadi yang terungkap, kapan, dan bagaimana data pribadi terungkap, serta upaya penanganan dan pemulihan atas terungkapnya oleh pengendali data pribadi.