DATA PENGGUNA TOKOPEDIA DI HACK ?

Pagi-pagi pas buka berita hari ini, cukup terkejut membacanya “91 juta data pengguna Tokopedia bocor”. Jadi cepat-cepat cari sumber berita terkait lewat beberapa artikel di internet juga dan aku mencoba merangkumnya dalam satu artikel. Semoga membantu😊

Tokopedia resmi diluncurkan pada 17 Agustus 2009 di bawah naungan PT. Tokopedia yang didirikan oleh William Tanuwijaya dan Leontinus Alpha Edison pada 06 Februari 2009.

Tokopedia memiliki bisnis marketplace terdepan di Indonesia yang memungkinkan setiap individu, toko kecil, dan brand untuk membuka dan mengelola toko daring (perdagangan elektronik). Hingga saat ini, Tokopedia termasuk marketplace yang paling banyak dikunjungi oleh masyarakat Indonesia karena layanan dasarnya dapat digunakan oleh semua orang secara gratis.

                                                 

Untuk sistem pengamanannya, Tokopedia menyampaikan bahwa sistem pengamanan mereka menggunakan password yang disimpan dalam bentuk hash, dan juga menggunakan fitur OTP sebagai two factors authentication sehingga user selalu diminta memasukkan kode yang baru secara real-time setiap melakukan login.

Sekilas pengenalan singkat mengenai Tokopedia. Kita lanjut ke topik beritanya 😃

Dikutip dari CNN Indonesia, Tokopedia mengakui adanya upaya pencurian data oleh hacker pada Sabtu (2/5). Data yang diduga bocor mencapai 91 juta data yang kemudian dijual di dark web (penjelasannya di artikel selanjutnya) dengan harga 5.000 dolar AS atau sekitar Rp. 73.4 juta. Bahkan menurut CNN Indonesia, ada 14.999.896 akun Tokopedia yang datanya bisa di-download

Berdasarkan penuturan Nuraini Razak, VP of Corporate Communications Tokopedia, untuk data pembayaran, Tokopedia memberi jaminan bahwa poin masih aman. Seluruh transaksi dengan semua metode pembayaran, termasuk informasi kartu debit, kartu kredit dan OVO, di Tokopedia tetap terjaga keamanannya.

Para pakar keamanan siber kemudian menelusuri jejak peretasan dan penjualan data pribadi itu di dark web atau dark net, sebuah situs web dan forum online yang terenkripsi sehingga tidak terindeks oleh mesin pencari (search engine) biasa. Untuk mengakses dark web, orang memerlukan browser khusus yang disebut Tor.

Pakar keamanan siber, Pratama Persadha dari Communication & Information System Security Research Center (CISSReC), mengungkapkan bahwa peretas data Tokopedia tersebut pertama kali mengumbar hasil retasannya menggunakan nama Whysodank lewat dark web Raid Forums pada Sabtu (2/5). Dia mengumbar 91 juta data pengguna Tokopedia berupa email, username, tanggal lahir, nomor HP, dan hash password. Kemudian setelah mengaku memiliki seluruh data 91 juta pengguna Tokopedia, ia lantas menjualnya di dark web Empire Market dengan menggunakan nama pengguna ShinyHunters.

Pengguna Whysodank tercatat bergabung dengan forum ini sejak April 2020 dan memiliki akun VIP. Akun ini pertama kali memperkenalkan diri sebagai penjual beberapa data pribadi dalam jumlah besar dan kecil.

Raid Forums merupakan forum komunitas hacker di internet yang berisi informasi-informasi terkait dengan database bocoran data, hingga berbagi prank dan komunitas pengolok. Di sini, peretas mencoba untuk meminta bantuan rekan hacker untuk membuka hash dari password akun para pengguna Tokopedia. Dia mengalami kesulitan untuk membuka password.

Hash adalah sebuah algoritma yang mengubah suatu data informasi berupa huruf, angka, atau symbol menjadi karakter terenkripsi. Biasanya hash dimanfaatkan untuk menyembunyikan, menyamarkan atau mengacak password asli.

Pratama mengatakan bahwa ia belum bisa mengidentifikasi apakah peretasan ini dilakukan secara perorangan atau berkelompok. Hingga saat ini, CISSReC masih mendalaminya. Pratama menekankan bahwa meski password muncul dalam bentuk yang belum bisa dimanfaatkan oleh para hacker, namun data pribadi lain yang sudah dibuka bisa disalahgunakan oleh hacker. Misalnya mengirimkan link phising maupun upaya social engineering lain.

Bila nantinya password sudah berhasil dibuka oleh pelaku, pastinya salah satu yang akan dilakukan adalah takeover akun. Lalu pelaku secara acak akan mencoba melakukan takeover akun medsos dan marketplace lainnya, karena ada kebiasaan penggunaan password yang sama untuk semua platform.

Kementerian Komunikasi dan Informatika (KEMENKOMINFO) meminta Tokopedia dan masyarakat melakukan beberapa hal untuk menjamin keamanan data pengguna, diantaranya:

1.    Tokopedia harus segera melakukan pengamanan sistem untuk mencegah meluasnya data breach

2.    Tokopedia memberitahu pemilik akun yang kemungkinan data pribadinya terekspos

3.    Melakukan investigasi internal untuk memastikan dugaan data breach serta apabila telah terjadi, mencari tahu penyebab data breach

4.    Masyarakat dihimbau tetap menjaga keamanan akun masing-masing dengan cara mengubah password rutin dan tidak mudah percaya dengan pihak lain yang meminta password maupun kode OTP. Password dan OTP hanya dibutuhkan oleh sistem, jika permintaan password atau OTP dari perseorangan sudah dipastikan itu penipuan.

5.    Masyarakan dihimbau untuk mewaspadai penipuan yang menggunakan phising atau penipuan dengan cara mengelabui untuk mencuri akun pribadi. Sebelum kita mengklik tautan yang kita terima lewat email, pastikan keaslian alamat email pengirim. Cara membaca alamat email dari belakang ke depan.

Kasus dugaan pencurian data jutaan pengguna Tokopedia juga mendorong pemerintah bersama DPR mengupayakan percepatan Rancangan Undang-Undang Perlindungan Data Pribadi (RUU PDP).