Jakarta, FORTUNE - Sebanyak 204 juta data Daftar Pemilih Tetap (DPT) dikabarkan diretas dan diperjual belikan di forum hacker. Chairman Lembaga Riset Keamanan Siber CISSReC, Pratama Persadha, mengungkap Komisi Pemilihan Umum (KPU) memiliki sistem yang masih rentan.
Pratama mengatakan, peretas yang menggunakan nama ‘Jimbo’ kemungkinan besar berhasil mendapatkan akses login sistem KPU dengan role Admin KPU dari domain sidalih.kpu.go.id.
“Menggunakan metode phising, social engineering atau melalui malware, dengan memiliki akses dari salah satu pengguna tersebut Jimbo mengunduh data pemilih serta beberapa data lainnya,” ujarnya dalam keterangan yang diterima Fortune Indonesia, Rabu (29/11).
Menurutnya, jika benar Jimbo mendapatkan role Admin tersebut, maka hal itu dapat sangat membahayakan pesta demokrasi pemilu yang akan berlangsung pada Februari 2024. “Karena bisa saja akun role admin tersebut dipergunakan untuk mengubah hasil rekapitulasi penghitungan suara, yang tentunya akan mencederai pesta demokrasi bahkan bisa menimbulkan kericuhan pada skala nasional,” kata Pratama.
Dijual
Insiden peretasan data ini merupakan kali kedua terjadi pada data DPT di KPU. Sebelumnya, pada 2022, peretas dengan nama ‘Bjorka’ juga mengklaim mendapatkan 105 juta data pemilih dari website KPU.
“Kali ini (2023) akun anonim Jimbo tersebut juga membagikan 500 ribu data contoh yang berhasil dia dapatkan pada salah satu postingannya di situs BreachForums yang biasa dipergunakan untuk menjual hasil peretasan,” kata Pratama. “Jimbo menawarkan data yang berhasil dia dapatkan seharga US$74.000 atau hampir setara Rp1,2 miliar.”
Data konfidensial
Untuk memverifikasi kebenaran data yang didapatkan, Jimbo juga mengatakan bahwa data 252 juta yang berhasil didapat, ada beberapa data yang terduplikasi, yang mana setelah disaring terdapat 204.807.203 data unik DPT Tetap KPU dengan 204.807.222 pemilih dari 514 kab/kota di Indonesia, serta 128 negara perwakilan.
Didalam data yang didapatkan oleh Jimbo tersebut, terdapat beberapa data pribadi yang cukup penting, seperti NIK, No. KK, nomor KTP, nomor passport pemilih yang berada di luar negeri, nama lengkap, jenis kelamin, tanggal lahir, tempat lahir, status pernikahan, alamat lengkap, RT, RW, kodefikasi kelurahan, kecamatan dan kabupaten serta kodefikasi TPS.
Saran
Berdasrkan kejadian tersebut, ia menyarankan KPU memastikan titik serangan yang dimanfaatkan oleh peretas, yang sebelumnya diklaim dari website KPU. Menurutnya, KPU masih perlu melakukan audit serta forensik dari sistem keamanan serta server. Namun, sayangnya sampai saat ini belum ada tanggapan resmi dari KPU terkait bocornya data pemilih di forum breachforums tersebut.
“Sambil melakukan investigasi, ada baiknya tim IT KPU melakukan perubahan username dan password dari seluruh akun yang memiliki akses ke sistem KPU tersebut sehingga bisa mencegah user yang semula berhasil didapatkan oleh peretas supaya tidak dapat dipergunakan kembali,” kata Pratama.
