Bila Mereka Diretas, Tokopedia Wajib Tanggung Jawab

Akhir pekan ini, seorang peretas membocorkan data puluhan juta pengguna yang terdaftar di Tokopedia, toko daring terbesar di Indonesia. Informasi ini pertama dibeberkan oleh @underthebreach, sebuah akun pemantau kebocoran data global.

Dalam tangkapan layar percakapan dari salah satu forum peretas di dark web, diketahui bahwa data tersebut diperoleh pada Maret 2020 dan mengandung informasi pribadi setidaknya 15 juta pengguna. Angka ini sendiri masih belum saklek. Penelusuran dari lembaga ELSAM mendapati bahwa kebocoran dipastikan terjadi atas setidaknya 12.115.583 akun Tokopedia.

Sehari kemudian, @underthebreach menyampaikan kabar mengkhawatirkan. Peretas tersebut rupanya memegang data sedikitnya 91 juta pengguna Tokopedia, dan ingin memperjualbelikannya melalui dark web. Penelusuran dari situs teknologi ZDNet mendapati bahwa berkas tersebut berupa database dump PostgreSQL, dan berisi informasi seperti nama lengkap pengguna, surel, nomor telepon, tanggal lahir, informasi profil Tokopedia, dan kata sandi akun yang telah di-hash.

Perkara terakhir inilah yang mendorong sang peretas membagikan data tersebut ke forum. Seperti diterangkan Liputan 6, hash adalah fungsi yang digunakan untuk mengamankan basis data seperti nama pengguna dan kata sandi. Semisal suatu akun punya kata sandi “Asumsi”, melalui algoritma hash kata sandi tersebut dikonversi menjadi “3!308f??8”.

Sederhananya, hash adalah kata sandi untuk kata sandi. Bila seseorang memiliki akses atau berhasil membobol hash tersebut, kata sandi sesungguhnya bakal dibeberkan. Sejauh ini, sang peretas mengaku belum berhasil menemukan hash untuk membobol puluhan juta akun Tokopedia tersebut. Oleh karena itulah ia membagikannya ke forum, dengan harapan peretas lain akan berhasil melanjutkan pekerjaannya.

Nuraini Razak, VP of Corporate Communications Tokopedia, membenarkan bahwa telah terjadi upaya pencurian data terhadap pengguna Tokopedia. “Namun Tokopedia memastikan, informasi penting pengguna, seperti kata sandi, tetap berhasil terlindungi,” tuturnya. Nuraini pun menyatakan bahwa Tokopedia “tengah melakukan penyelidikan lebih lanjut” terhadap dugaan peretasan tersebut.

Adapun menurut ZDNet, kata sandi yang telah di-hash diamankan dengan algoritma hashing SHA2-384. Algoritma tersebut dikenal “aman, tetapi tidak mustahil dijebol.”

Meskipun kata sandi pengguna aman — untuk sementara waktu — bukan berarti puluhan juta pengguna Tokopedia yang terdampak dapat langsung menghela napas lega. Data sensitif berupa nama lengkap, nomor telepon, tanggal lahir, jenis kelamin, dan akun email sudah keburu bocor dan diperjualbelikan secara bebas..

Seorang pengguna Twitter asal Indonesia bernama @ronaldips bahkan dapat membeli sebagian file yang diperdagangkan sang peretas untuk harga 10 Euro. Konsultan dan peneliti keamanan siber Teguh Aprianto menyatakan bahwa data pengguna tersebut kini dijual bebas di Empire Market dengan harga lima ribu dollar US, atau sekitar Rp 74 juta.

Menurut pengamat keamanan siber Alfons Tanujaya, hal ini membuat puluhan juta pengguna Tokopedia yang terdampak rentan terhadap penipuan dan phishing — teknik yang memancing pengguna untuk memberikan data pribadi mereka secara tak sadar ke situs palsu. Bila pengguna “terpancing” ke situs phishing, mereka dapat tak sengaja menyerahkan kata sandi mereka. Walhasil, data mereka bakal sepenuhnya di tangan peretas.

Persoalan lain adalah Tokopedia dinilai lamban memberitahu publik bahwa terjadi kebocoran terhadap data mereka. “Tokopedia belum mengakui, mereka baru bilang ada “upaya” peretasan,” kritik Lintang Setianti, peneliti ELSAM. “Padahal datanya sudah tersebar luas di Dark Web. Kalau kamu periksa melalui situs yang bisa mengecek apakah surelmu dibobol seperti haveibeenpwned.com, kamu bisa tahu bahwa surel banyak orang sudah diretas.”

Lebih penting lagi, penelusuran ELSAM mendapati bahwa data tersebut bocor selambat-lambatnya pada 17 April 2020. Ketika terjadi kegagalan perlindungan data pribadi, Tokopedia seharusnya wajib memberitahukan penggunanya yang terdampak. Hal ini diatur dalam Pasal 14 ayat (5) PP No. 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, yang menyebutkan: “Jika terjadi kegagalan dalam perlindungan terhadap Data Pribadi yang dikelolanya, Penyelenggara Sistem Elektronik wajib memberitahukan secara tertulis kepada pemilik Data Pribadi tersebut.”

Mengacu pada Pasal 28 Permenkominfo No. 20/2016 tentang Perlindungan Data Pribadi Dalam Sistem Elektronik, pemberitahuan tertulis ini memang dapat dilakukan paling lambat 14 hari sejak terjadinya insiden. Namun, tenggat waktu 14 hari telah lewat. Bagi Lintang, seharusnya informasi terkait kebocoran data dan tips menanggulanginya datang dari Tokopedia secara langsung–bukan dari Under the Breach atau pakar digital di media sosial.

Tokopedia bukan raksasa daring pertama yang dijegal insiden kebocoran data. Maret 2019, Bukalapak disorot setelah 13 juta data penggunanya disasar oleh peretas. Dalam insiden serupa, Sephora Asia juga diretas dan 3.7 juta data penggunanya dibobol. Namun, menurut Lintang, terdapat perbedaan mencolok antara cara perusahaan lokal dan internasional menangani kebocoran data.

“Dalam kasus Bukalapak, sangat disayangkan bahwa mereka bilang data konsumen, nama, email, dan nomor telepon itu bukan “data krusial”, hanya karena kata sandi tidak bocor,” kritik Lintang. “Padahal apapun data konsumen, apalagi itu bisa mengidentifikasi satu orang, harusnya ada tanggung jawab untuk menjaganya.”

Kontras dengan itu, Sephora Asia lekas memberikan notifikasi ke pengguna yang mengkonfirmasi bahwa terdapat peretasan data, tetapi tidak ada nomor kartu kredit pengguna yang bocor. “Kita bisa lihat perbandingan dengan institusi luar negeri yang punya tanggung jawab lebih,” ucapnya. “Sebagai konsumen, saya lebih baik dapat informasi itu.”

Menurut Anton Muhajir, Sekretaris Jenderal SafeNet, konsumen berhak untuk menuntut Tokopedia bila tudingan peretasan terbukti benar. “Dia sudah lalai menjaga data kita,” tutur Anton. “Dia tidak bisa menjamin keamanan data yang kita serahkan kepada mereka.”

Namun, Anton menyoroti bahwa saat ini hukum yang ada untuk melindungi hak dan data pribadi konsumen belum memadai. “Hal-hal seperti seberapa besar tanggung jawab perusahaan ketika terjadi kebocoran data dan seberapa jauh hak mereka dalam penguasaan data itu baru kita bahas di Indonesia,” kritiknya.

“Di PP No. 71/2019, nggak ada aturan yang secara langsung membicarakan ganti rugi ke konsumen,” ucap Lintang. “Yang ada sanksi administratif berupa teguran tertulis, denda administratif, penghentian sementara, dan lain sebagainya. Ini dilakukan oleh Menteri Kominfo.”

Dalam Peraturan Menteri Kominfo No. 20 tahun 2019 pasal 29, memang ada bab khusus yang membahas penyelesaian sengketa. Pemilik data pribadi dapat mengajukan pengaduan ke Menteri Kominfo atas kegagalan perlindungan data pribadi. Kemudian, sengketa tersebut diselesaikan “secara musyawarah” atau melalui “penyelesaian alternatif.”

“Sayangnya, nggak ada ganti rugi langsung ke konsumennya sendiri,” ucap Lintang. “Kalau RUU Perlindungan Data Pribadi diloloskan, kita jadi punya hak untuk meminta ganti rugi dan ada kewajiban dari Tokopedia untuk memberitahukan kita secara tertulis.”