Data Pasien Covid-19 Diduga Ikut Bocor, Pelaku Diduga Berusia 19 Tahun

JawaPos.com - Adu kepiawaian teknologi antara hacker pembobol data BPJS Kesehatan dan tim Mabes Polri sedang berlangsung. Hacker yang menggunakan nama Kotz itu berusaha menghilangkan jejak. Namun, polisi lebih canggih. Mereka berhasil mengidentifikasi hacker yang menjual identitas 275 juta warga Indonesia tersebut.

Tim Bareskrim Mabes Polri menemukan beberapa bukti bahwa Kotz diduga seorang remaja berusia 19 tahun. Dia tinggal di luar Jawa. Sumber Jawa Pos di kepolisian menyebutkan, hal itu diketahui setelah Bareskrim berkoordinasi dengan sejumlah pihak dari Rusia dan Singapura.

Koordinasi lintas negara dilakukan karena akun anonymous itu menggunakan IP address dari sana. Koordinasi dengan Rusia, misalnya, diperlukan karena pelaku menggunakan aplikasi Telegram yang berasal dari negara tersebut. ’’Cybercrime itu kejahatan internasional, borderless (tanpa batas, Red),” jelas seorang penyidik.

Namun, setelah ditelusuri lebih lanjut, hacker itu diketahui tinggal di Indonesia. Penyidik juga mendapatkan foto yang diduga Kotz. ”Wajah telah diidentifikasi dan tinggal di luar Jawa,” paparnya.

Ada beberapa dugaan terkait Kotz. Salah satunya, Kotz merupakan hacker sekaligus penjual data kependudukan yang dijebol. Dugaan lain, Kotz dan hacker yang membobol data kependudukan itu orang berbeda. Namun, mereka bekerja sama. ”Dugaan paling kuat, pembobol data dan penjualnya orang yang sama,” ujarnya.

Kotz melakukan berbagai cara untuk menghilangkan jejak. Selain berganti-ganti IP address, dia memblokir akunnya sendiri. Meski begitu, penyidik tetap mampu mengungkap identitasnya. ”Semua itu karena penyidik Bareskrim yang andal,” katanya. Ada pula dugaan bahwa hacker bekerja sama dengan oknum orang dalam BPJS, terutama di tim teknologi informasi. ”Melalui analisis log file,’’ terangnya Minggu malam (23/5).

Petugas juga mengungkap fakta lain yang mengejutkan. Saat memburu Kotz, petugas mendapati penjualan data identitas pasien Covid-19. Semua data terkait Covid-19 itu ikut diperjualbelikan di situs RaidForums. Jawa Pos sempat men-download sampel data yang disediakan Kotz pada Jumat (21/5), sebelum diblokir pemerintah. Tepatnya melalui link https://anonfiles.com/B5P2G8v5u5/Indonesia_zip

Dokumennya berukuran 50,76 MB dan bisa dibuka dengan Ms Excel. File sebelumnya diekstraksi. Untuk membukanya, cukup ketikkan password raidforums.

Data dalam dokumen tersebut cukup komplet. Mulai nomor BPJS Kesehatan, nama lengkap, tempat dan tanggal lahir, nomor induk kependudukan (NIK), hingga alamat e-mail. Saat dicek di beberapa aplikasi pengecekan NIK yang banyak tersedia di PlayStore, data dalam dokumen itu akurat. Namun, website Raid Forums sudah tidak bisa diakses pada Minggu malam lalu.

Di sisi lain, data Covid-19 yang diperjualbelikan itu melingkupi semua data. Mulai nama, nomor handphone, dan sebagainya. Data nama pasien Covid-19 dan siapa pun yang pernah mengidap Covid-19 juga diperjualbelikan. ’’Untuk data vaksin, belum ada (saat data dicuri, Red),” ucapnya.

Bukan hanya itu, data Komisi Pemilihan Umum (KPU), aparatur sipil negara (ASN), hingga data Tokopedia juga dijual di situs RaidForums. Pencurian data KPU dan Tokopedia memang sempat mencuat beberapa tahun lalu. Namun, hingga kini belum tuntas juga. ”Semua harus ditangkap,” tegasnya.

Yang menarik, data ASN tersebut meliputi nama hingga gaji ASN. Menurut dia, ada kemungkinan hacker untuk semua pencurian data itu berbeda-beda. ”Hacker-nya bukan cuma Kotz, beda-beda,” tuturnya.

Dikonfirmasi terkait temuan itu, Kadivhumas Polri Irjen Argo Yuwono mengatakan akan menanyakan ke Bareskrim. ”Besok Senin saya tanyakan dulu,” terangnya saat dihubungi Jawa Pos tadi malam.

Hingga Sabtu (22/5), penyelidikan Kementerian Komunikasi dan Informatika (Kemenkominfo) menemukan beberapa fakta baru. Misalnya, RaidForums yang teridentifikasi sebagai forum yang kerap menyebarkan konten yang melanggar perundang-undangan di Indonesia. ”Website tersebut, termasuk akun bernama Kotz, sedang dalam proses pemblokiran,” jelas Jubir Kemenkominfo Dedy Permadi.

Semua tautan yang disediakan Kotz untuk melampirkan sampel data di beberapa website juga diblokir. Kemenkominfo mengonfirmasi bahwa jumlah data yang bocor lebih besar dari pernyataan mereka sebelumnya yang menyebut hanya 100 ribuan data.

Saat ini, lanjut Dedy, pihaknya menginvestigasi sekitar 1 juta data yang diklaim sebagai data sampel oleh penjual. Sesuai PP 71/2019, pihaknya telah melakukan pemanggilan terhadap direksi BPJS Kesehatan pada Jumat lalu (21/5). Dalam pertemuan itu, pihak BPJS berjanji akan memastikan dan menguji ulang data pribadi yang diduga bocor. Investigasi tim internal BPJS akan dikoordinasikan dengan Kemenkominfo dan BSSN.

Di sisi lain, Direktur Utama (Dirut) BPJS Kesehatan Ali Ghufron Mukti belum banyak berkomentar saat dikonfirmasi terkait kasus kebocoran data di lembaganya. Namun, dia mengaku sudah mengklarifikasi ke Bareskrim Mabes Polri. ’’Sudah (klarifikasi, Red) dan diterima dengan baik,’’ paparnya kemarin.

Baca Juga: Sepuluh Tahun Menikah, Istri Akui Dua Anaknya dari Pria Lain

Guru besar Universitas Gadjah Mada (UGM) Jogjakarta itu berjanji memberikan keterangan langsung ke masyarakat dalam waktu dekat. Satu atau dua hari ke depan, jajaran BPJS Kesehatan akan menyampaikan keterangan pers kepada publik. BPJS Kesehatan juga sudah membentuk tim khusus untuk menangani dugaan kebocoran data itu.

Ali pun meminta masyarakat bersabar sembari menunggu hasil kerja tim-tim terkait. Baik tim internal BPJS Kesehatan maupun tim eksternal seperti dari Kemenkominfo dan kepolisian.

Sulit Terapkan Sanksi Pidana

MENTERI Pendayagunaan Aparatur Negara dan Reformasi Birokrasi (PAN-RB) Tjahjo Kumolo menyesalkan kebocoran data BPJS Kesehatan. Dia mendukung Kemenkominfo untuk mengusut tuntas kebocoran data tersebut.

Sebab, sangat mungkin di dalamnya juga ada data aparatur sipil negara (ASN).

Tjahjo menuturkan, BPJS Kesehatan membentuk tim khusus bersama Badan Siber dan Sandi Negara (BSSN), Kemenkominfo, serta Telkom untuk melakukan penelusuran. Kemenkominfo telah memanggil direksi BPJS Kesehatan untuk segera memastikan dan menguji ulang data pribadi yang bocor.

Tjahjo juga mendorong DPR segera mengesahkan RUU Perlindungan Data Pribadi demi terjaminnya data masyarakat, khususnya ASN. Pasalnya, saat ini dasar hukum perlindungan data pribadi WNI masih berbentuk rancangan undang-undang (RUU).

Dia menilai RUU itu penting. Sebab, selama ini terlihat bahwa penegak hukum masih sulit menerapkan sanksi tegas, terutama yang bersifat pidana, kepada oknum yang membocorkan data konsumen. ”Jadi, penting agar RUU Perlindungan Data Pribadi segera disahkan,” ucap politikus PDIP tersebut.

Perlindungan data pribadi masih mengacu pada Peraturan Menteri Komunikasi dan Informatika Nomor 20 Tahun 2016. Pasal 36 menyebutkan bahwa pihak yang menyebarluaskan data pribadi dikenai sanksi berupa peringatan lisan dan tertulis, penghentian kegiatan, atau pengumuman di situs online. Aturan itu merupakan turunan dari pasal 26 ayat (1) UU 19/2016 tentang Informasi dan Transaksi Elektronik, yang menyatakan bahwa penggunaan setiap informasi melalui media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan yang bersangkutan.

Komisioner Komisi Informasi Pusat (KIP) Cecep Suryadi menegaskan, data pribadi wajib dilindungi. Semua pihak, baik badan publik maupun pihak swasta yang memiliki dan menyimpan data pribadi seseorang, harus melindungi kerahasiaannya. Hal itu sesuai dengan UU 14/2008 tentang Keterbukaan Informasi Publik, serta UU 24/ 2013 tentang Perubahan atas UU 23/2006 tentang Administrasi Kependudukan.

Cecep menyatakan, saat ini sudah terjadi darurat perlindungan data pribadi. Sebab, jaminan hukum atas perlindungan data pribadi masih sangat lemah. Selain itu, pembahasan RUU Perlindungan Data Pribadi belum selesai.

Dengan banyaknya kasus kebocoran data pribadi WNI, dia berharap DPR dan pemerintah segera menyelesaikan pembahasan RUU Perlindungan Data Pribadi demi menjaga kerahasiaan data masyarakat Indonesia. ’’Di tengah darurat perlindungan data pribadi, RUU Perlindungan Data harus segera disahkan,’’ tegasnya.

Cecep melanjutkan, perlindungan data pribadi WNI merupakan hal dasar yang harus diperhatikan. Percepatan pengesahan RUU Perlindungan Data Pribadi dapat menjadi solusi untuk menata pengelolaan data pribadi. ’’Agar masyarakat dapat memperoleh jaminan hukum yang jelas,” tuturnya.

Fraksi PKS DPR menyarankan agar kasus itu dibicarakan lintas sektor demi menemukan solusi agar data penduduk tidak bocor lagi di masa mendatang.

Menurut Wakil Ketua Fraksi PKS Mulyanto, persoalan tersebut sebaiknya dibahas di berbagai komisi DPR karena menyangkut beberapa elemen.

Di antaranya, jaminan keamanan data pribadi yang menjadi ranah komisi I, hukum yang jadi kewenangan komisi III, serta upaya pencegahan pengambilan di komisi VII. ’’Ini berpotensi disalahgunakan ke mana-mana seperti penipuan, tindak kriminal kekerasan, KTP palsu, dan penipuan pinjol,’’ jelasnya kemarin.

Selain melibatkan lintas komisi di DPR, dia juga menyarankan agar pembahasan kasus itu melibatkan Badan Pengkajian dan Penerapan Teknologi (BPPT) sebagai otoritas riset dan teknologi. Diharapkan, badan tersebut bisa mengembangkan sistem guna mencegah kebocoran data digital di masa depan. ’’Lembaga litbang ini sangat penting untuk mengembangkan teknologi yang andal agar dapat melindungi kerahasiaan data publik,’’ imbuh anggota Komisi VII DPR itu.