tirto.id - Dua bulan belakangan Kementerian Komunikasi dan Informatika (Kemenkominfo) kelabakan menghadapi pertanyaan orang-orang tentang keamanan data pribadi. Salah satu biang keroknya adalah akun anonim di internet bernama Bjorka. Satu orang ini—atau bisa jadi lebih—menjadi momok buat pemerintah karena menguak betapa lemahnya keamanan digital di Indonesia.
Awalnya, Bjorka mengklaim punya 26 juta data pengguna internet IndiHome. Data ini dia perjual-belikan di sebuah forum yang tak bisa diakses oleh pengguna internet yang menggunakan provider dari Indonesia atau termasuk ke kategori situs gelap. Kehebohannya diketahui pada akhir Agustus 2022 lalu.
Pihak IndiHomemaupun Telkomkemudian menyangkal klaim Bjorka. Pertama, pelanggan IndiHome diperkirakan hanya 8 juta pengguna. Kedua, dari 100 ribu sampling Nomor Induk Kependudukan (NIK) yang ada, IndiHome mengaku datanya tidak valid. Ketiga, data pengguna IndiHome “sulit diakses” karena ada enkripsi dan firewall berlapis.
Tidak berakhir di situ, Bjorka belakangan kembali mengklaim punya data baru. Kali ini, Bjorka memperjual-belikan 1,3 miliar data dari proses registrasi subscriber identity module (SIM) card atau kartu SIM di Indonesia.
Beda dari sebelumnya, data-data ini kemudian diverifikasi oleh Kemenkominfo dan memang 15-20 persennya valid dengan data yang diperoleh dari operator seluler di Indonesia.
Operator seluler mengaku bahwa data-data itu sebenarnya tidak sama. Kemenkominfo kemudian melakukan investigasi dengan memanggil pihak operator seluler, Direktorat Jenderal Kependudukan dan Pencatatan Sipil (Dukcapil) Kementerian Dalam Negeri (Kemendagri), Badan Siber dan Sandi Negara (BSSN), Direktorat Tindak Pidana Siber Bareskrim Polri, dan Direktorat Jenderal (Ditjen) Penyelenggaraan Pos dan Informatika (PPI).
Namun pada satu kesempatan ini, Kemenkominfo membuat pernyataan yang kemudian menyentil Bjorka. Direktur Jenderal Aplikasi Informatika Kemenkominfo Semuel Abrijani Pangerapan dalam konferensi persnya meminta kepada hacker atau peretas untuk tidak melakukan perbuatan melanggar hukum.
“Kalau bisa jangan menyerang lah (serangan siber). Orang itu ilegal kok,” kata Semuel.
Sekilas, pernyataan Semuel tidak bermasalah, seperti halnya imbauan berbuat baik biasa. Namun, jelas sangat naif—bahkan konyol—mengharapkan para peretas bakal mematuhi imbauan semacam itu.
Lebih ironis lagi, imbauan utopis itu justru meluncur dari pemerintah dan aparat penegak hukum yang semestinya melakukan fungsi pencegahan dan penertiban. Omongan Semuel itu kemudian ditanggapi Bjorka.
“My Messages to Indonesian Government: Stop being an idiot,” tulisnya.
Keamanan Data Pribadi Bermasalah
Setelah itu, kasus kebocoran data tentu tak berhenti begitu saja. Bjorka malah bertubi-tubi membeberkan data-data sensitif yang dia retas dan mengklaim bakal terus melakukannya di hari-hari ke depan.
Beberapa data retasan yang telah dia beber di antaranya data 105 juta pemilih Indonesia, dan juga data diri Presiden Joko Widodo beserta Wakil Presiden Ma’ruf Amin, lengkap dengan NIK dan alamat. Bjorka juga sempat membagikan data yang berisi kumpulan surat kepada Jokowi sepanjang periode 2019-2021. Itu termasuk juga surat dari BIN yang diberi label “rahasia.”
Meski begitu, keabasahannya masih diragukan. Sejauh ini, BIN dan pihak istana mengklaim data BIN masih aman. Yang bocor ke tangan Bjorka disebut hanyalah log aktivitas surat-menyurat atau sekadar “buku tamu.” Bjorka juga sempat mengancam akan membocorkan data dari aplikasi MyPertamina akibat prihatin atas naiknya harga BBM.
Yang paling genting dari semua itu adalah bocornya 105 juta data pemilih yang memuat asal provinsi, kota, kecamatan, kelurahan, TPS, NIK-KK, nama, tempat lahir, tanggal lahir, usia, jenis kelamin dan alamat. Sejauh ini, beberapa pakar telah mencoba mencocokan temuan ini dengan kasus kebocoran lainnya dan memang sesuai alias valid.
Jika sebelumnya 1,3 miliar data sebesar 87 GB itu dihargai US$50.000, kali ini Bjorka melego data 105 juta pemilih itu dengan harga US$5.000.
Perkara verifikasi data ini memang tidak mudah bagi publik yang tak punya akses ke data masyarakat umum lainnya. Karenanya, masyarakat sulit membuktikan kebenaran klarifikasi pemerintah atau operator seluler bahwa data yang bocor tersebut keliru.
Namun kemarin, Bjorka menunjukan bahwa dia tidak sekadar gertak sambal. Salah satu data yang terakhir ia bocorkan adalah milik Menkominfo Johnny G. Plate. Mulai dari nama, NIK, alamat, nomor telepon, hingga jenis vaksinasi tertera dalam data yang dibagikan Bjorka di situs terlarang.
Setelah nomor telepon seluler itu diselidiki, benar belaka bahwa nomor itu memang milik Johnny Plate.
Lewat peretasan atau bukan, fakta bahwa orang atau kelompok anonim macam Bjorka bisa mendapatkan data-data pribadi Johnny secara lengkap dan diumbar ke publik seharusnya cukup membuktikan bahwa keamanan data pribadi di Indonesia memang bermasalah.
Tidak Percaya Pemerintah
Rentetan kasus kebocoran data itu terang membikin pengguna internet Indonesia marah dan kecewa. Namun, opini warganet—utamanya di Twitter—cenderung berbalik usai Bjorka melontarkan sarkasme kepada pemerintah.
Terlepas dari aksi kriminal yang dilakukan Bjorka, warganet anehnya malah seakan menjadikannya sebagai hero. Ramai-ramai warganet justru meminta Bjorka membongkar lebih banyak dokumen yang dimiliki pemerintah Indonesia.
Salah satu contoh yang cukup banyak diminta adalah data terkait dalang pembunuhan Munir Said Thalib yang meninggal karena racun arsenik pada 2004 di atas langit Romania.
Pembunuhan itu dilakukan oleh pilot Garuda Indonesia Pollycarpus Priyanto yang merupakan jaringan nonorganik Badan Intelijen Negara (BIN). Dalam persidangan, terungkap bahwa sosok yang memerintahkan pembunuhan Munir adalah Muchdi Purwopranjono.
Namun, proses hukum di PN Jakarta Selatan pada Rabu, 31 Desember 2008, memutuskan bahwa Deputi V BIN bidang Penggalangan (2001-2005) itu tidak terbukti secara sah dan bersalah terhadap kejahatan yang dituduhkan padanya. Muchdi akhirnya bebas dan kiwari, dia menjadi Ketua Umum Partai Berkarya.
Untuk menyelidiki kebenaran kasus ini, pemerintah masa Susilo Bambang Yudhoyono sebenarnya pernah membentuk Tim Pencari Fakta (TPF) berdasarkan Keputusan Presiden Nomor 111 Tahun 2004.
Namun hingga sekarang, dokumen penyelidikan dari TPF tidak pernah diungkap ke publik. Yang lebih misterius, dokumen itu lenyap pada 2016.
Bjorka mungkin tidak berhasil menemukan dokumen TPF kasus pembunuhan Munir yang hilang, tapi informasi yang disebarnya terkait keterlibatan Muchdi Pr. dalam kasus itu sebenarnya bukanlah rahasia lagi.
Lalu, mengapa warganet berubah haluan kepada Bjorka? Padahal, mereka sebelumnya menjadi korban pencurian data olehnya.
Satu sebab yang bisa segera diajukan sebagai jawabannya adalah pupusnya kepercayaan warga kepada pemerintah.
Dalam hal keamanan data pribadi, masyarakat memang mendukung premis bahwa pemerintah lemah dalam menjaga data pribadi masyarakat. Hal itu terlihat dalam hasil survei yang dilakukan tim riset Tirto bekerja sama dengan penyedia layanan survei daring Jakpat.
Survei ini dilakukan pada 8 September 2022 dan melibatkan 1.519 responden yang tersebar di 32 provinsi di Indonesia. Profesi respondennya cukup beragam, dari mahasiswa, ibu rumah tangga, hingga pengusaha.
Hasilnya menunjukkan bahwa 84,99 persen publik percaya ketika ditanya seberapa tinggi kepercayaan mereka atas keamanan data pribadinya di bawah institusi swasta. Angka itu didapat dengan mengkalkulasikan mereka yang menjawab “sangat percaya,” “cukup percaya,” dan “percaya.”
Dalam pertanyaan dan jenis jawaban yang sama terhadap institusi pemerintah, persentase jawaban responden yang percaya menurun jadi 71,83 persen. Sementara itu, 17,45 persen responden menjawab “tidak percaya” dan 10,73 persen menjawab “sangat tidak percaya.”
Boleh jadi, ketidakpercayaan pada pemerintah ini akhirnya malah mendorong keberpihakan warganet pada Bjorka. Dia—atau mereka—seolah menjelma seorang Hacktivism yang dianggap sebagai simbol perlawanan terhadap pemerintahan yang acakadut.
Padahal, aksi Bjorka sebenarnya bisa sangat membahayakan masa depan Indonesia. Di tangan entitas yang mampu mengolahnya, data-data curian itu bisa saja dimanfaatkan untuk kepentingan tertentu yang berisiko.
Tengoklah pengalaman kasus pengambilan data dari Facebook sekitar tahun 2010 oleh sebuah perusahaan analisis data Cambridge Analytica. Data-data yang diambil Cambridge Analytica waktu itu diolah dan dipakai sebagai bahan kampanye pilpres Amerika Serikat 2016.
Maka bukan tidak mungkin data-data orang Indonesia yang dicuri itu dipakai untuk kepentingan yang sama, atau bahkan lebih buruk lagi.
Masalah Berulang, Belum Ada Solusi Konkret
Pertanyaan lanjutannya, apa yang menyebabkan rendahnya kepercayaan masyarakat terhadap pemerintah?
Masalah pembobolan data ini bukanlah masalah baru. Sebelum aksi-aksi Bjorka mengemuka, aksi peretasan data telah terjadi berulang kali. Salah satu kasus yang juga cukup menghebohkan terjadi pada 2020 lalu.
Pada Juli 2020, data 91 juta akun pengguna Tokopedia dilaporkan telah dibobol dan diperjual-belikan di situs gelap. Ini adalah kasus peretasan kedua yang dialami Tokopedia di tahun itu. Dua kasus ini juga diduga saling berkaitan.
Kemenkominfo memang memanggil pihak Tokopediauntuk dimintai keterangan, tapi alih-alih mengakui kebocoran keamanan data yang lemah di Indonesia, Kemenkominfo menegaskan sistem keamanan siber Tokopedia masih “aman” karena dilengkapi penjagaan berlapis.
Tahun lalu—tepatnya pada Mei 2021, data 279 penduduk Indonesia kembali bocor. Kali ini, BPJS yang menjadi sasaran pembobolan. Bahkan sebelum Bjorka jadi buah bibir, data pelanggan IndiHome dan PLN juga diduga bocor.
Kasus-kasus peretasan terus berulang, tapi pemerintah seakan belum punya solusi konkret. Kritik atas hal ini pernah dikemukakan oleh Peneliti dan konsultan keamanan siber Teguh Aprianto.
“Mereka (pemerintah) tak paham tentang bahayanya [data pribadi bocor]. Sementara menghabiskan uang yang sangat banyak, tapi hasilnya tidak ada,” ujar Teguh usai kasus kebocoran data BPJS mencuat tahun lalu.
Sementara kasus kebocoran data terus terjadi, proses pembahasan RUU Perlindungan Data Pribadi (PDP) terus molor. Apabila dihitung, perdebatan antara Komisi I DPR dan Kementerian Kominfo terkait substansi RUU PDP ini tergolong lama. Pasalnya, prosesnya menghabiskan enam kali masa perpanjangan sidang rapat panitia kerja, rapat tim perumus, dan tim sinkronisasi.
RUU PDP baru diketuk palu dan disepakati di tingkat I pada Rabu, 7 September 2022, kemarin. Selanjutnya, RUU ini masih akan dibawa ke sidang paripurna sebelum memasuki masa reses.
Kepercayaan rakyat pun makin luntur lantaran pemerintah terkesan enggan mengakui lemahnya tata kelola siber di Indonesia. Ketika kritik dari masyarakat seakan tak dihiraukan, maka tidak heran orang-orang justru mendukung pihak luar--meski ia Bad Actor--mengekspos kesalahan atau rahasia pemerintahannya sendiri.
Dalam konteks Indonesia dan Bjorka sekarang, itu adalah ekses wajar dari banyaknya masalah yang tak dituntaskan: keamanan data pribadi dan keterbukaan informasi.
Editor: Fadrik Aziz Firdausi
