MAKALAH

KASUS AUDIT PDE

Disusun guna memenuhi Ujian Tengah Semester Kelompok Mata Kuliah Audit PDE

Dosen Pengampu:
M. Nordiansyah, SE, M.Ak, Ak, CA
H. Rano Wijaya, SE, M.Si, M.Fin, CMA (Aus), CBV, CIBA

Disusun Oleh:
Kelompok 2

Nadhifa Tahta Lailata (2010313220076)

Rima (2010313220032)
Saidatun Napisah (2010313320021)
Tria Femi Koesasih (2010313320044)

PROGRAM STUDI S1 AKUNTANSI

FAKULTAS EKONOMI DAN BISNIS
UNIVERSITAS LAMBUNG MANGKURAT
BANJARMASIN
2023
 KATA PENGATAR

Puji syukur senantiasa kami panjatkan kehadirat Allah SWT, yang telah melimpahkan

rahmat, karunia dan hidayah-Nya, sehingga kami dapat menyelesaikan tugas makalah yang

berjudul “Kasus Audit PDE” dengan tepat waktu. Makalah ini disusun untuk memenuhi

Ujian Tengah Semester Kelompok Mata Kuliah Audit PDE.

Kami mengucapkan terima kasih kepada Bapak M. Nordiansyah, SE, M.Ak, Ak, CA

dan Bapak H. Rano Wijaya, SE, M.Si, M.Fin, CMA (Aus), CBV, CIBA selaku dosen Mata

Kuliah Audit PDE. Ucapan terima kasih juga disampaikan kepada semua pihak yang telah

membantu diselesaikannya makalah ini. Kami menyadari bahwa dalam penulisan makalah ini

tidak terlepas dari bantuan banyak pihak yang dengan tulus memberikan doa, saran dan kritik

sehingga makalah ini dapat terselesaikan.

Kami menyadari sepenuhnya bahwa makalah ini masih jauh dari sempurna

dikarenakan terbatasnya pengalaman dan pengetahuan yang kami miliki. Oleh karena itu,

kami mengharapkan segala bentuk saran serta masukan bahkan kritik yang membangun dari

berbagai pihak. Kami berharap semoga laporan ini dapat memberikan manfaat bagi

perkembangan dunia pendidikan.

Banjarmasin, 11 Oktober 2023

Kelompok 2

i
 DAFTAR ISI

KATA PENGATAR ................................................................................................................... i

DAFTAR ISI..............................................................................................................................ii

BAB I PENDAHULUAN ......................................................................................................... 1

1.1 Latar Belakang ............................................................................................................ 1

1.2 Rumusan Masalah ........................................................................................................ 2

1.3 Tujuan .......................................................................................................................... 2

BAB II PEMBAHASAN .......................................................................................................... 3

2.1 Kasus Database Kejaksaan Agung Republik Indonesia Rusak (2021) ......................... 3

2.2 Kasus Peretasan Channel Youtube BNPB (2021) ........................................................ 6

2.3 Kasus Data eHAC Milik 1,3 juta Pengguna bocor ..................................................... 10

2.4 Kasus Pencurian Data PT Asuransi BRI Life ............................................................. 13

DAFTAR PUSTAKA .............................................................................................................. 18

ii
 BAB I
PENDAHULUAN

1.1 Latar Belakang

Di Indonesia, aturan soal peretasan telah dimuat dalam Undang-Undang (UU)

11/2008 tentang Informasi dan Transaksi Elektronik ITE). Pasal 30 ayat 1, ayat 2, dan
atau ayat 3 UU No 11/2008 tentang Informasi dan Transaksi Elektronik (ITE), berbunyi
: (1) Setiap orang dengan sengaja dan tanpa hak atau melawan hukum mengakses
Komputer dan/atau Sistem Elektronik milik orang lain dengan cara apa pun. (2) Setiap
orang dengan sengaja dan tanpa hak atau melawan hukum mengakses Komputer
dan/atau Sistem Elektronik dengan cara apa pun dengan tujuan untuk memperoleh
Informasi Elektronik dan/atau Dokumen Elektronik. Dan, (3) Setiap orang dengan
sengaja dan tanpa hak atau melawan hukum mengakses Komputer dan/atau Sistem
Elektronik dengan cara apa pun dengan melanggar, menerobos, melampaui, atau
menjebol sistem pengamanan.

Selain itu juga Pasal 32 ayat 1 UU No 11/2008 tentang Informasi dan Transaksi
Elektronik (ITE), yang berbunyi (1) Setiap orang dengan sengaja dan tanpa hak atau
melawan hukum dengan cara apa pun mengubah, menambah, mengurangi, melakukan
transmisi, merusak, menghilangkan, memindahkan, menyembunyikan suatu Informasi
Elektronik dan/atau Dokumen Elektronik milik orang lain atau milik publik.

Aturan lainnya, Pasal 22 huruf B Undang-Undang 36/1999 tentang

Telekomunikasi yang berbunyi Setiap orang dilarang melakukan perbuatan tanpa hak,
tidak sah, atau memanipulasi akses ke jaringan telekomunikasi; dan atau akses ke jasa
telekomunikasi; dan atau akses ke jaringan telekomunikasi khusus.

Sebelumnya diberitakan bahwa hacker Indonesia berhasil meretas berbagai situs

di Australia, termasuk laman intelijen Australian Secret Intelligence Service (ASIS).
Situs tersebut dikabarkan tiba-tiba berhenti beroperasi pada Senin (11/11), lantaran
terkena serangan distributed denial of service (DDoS). Aksi penyerangan itu dilakukan
para hacker Indonesia menanggapi aksi penyadapan yang diduga dilakukan Pemerintah
Australia terhadap Pemerintah Indonesia, beberapa waktu lalu.

1
1.2 Rumusan Masalah
a. Apa saja kasus-kasus peretasan (cyber-crime) yang menggemparkan Indonesia
pada masanya?
b. Bagaimana modus penyerangan dari setiap kasus tersebut?
c. Bagaimana proses penanganan dari setiap kasus tersebut?
d. Bagaimana perkembangan terakhir dari setiap kasus tersebut?

1.3 Tujuan Masalah

a. Mengetahui apa saja kasus peretasan (cyber crime) yang pernah menggemparkan
Indonesia pada masanya.
b. Mengetahui cara modus penyerangan yang dilakukan oleh pelaku dari setiap kasus
tersebut.
c. Mengetahui cara proses penanganan oleh pihak yang dirugikan dari setiap kasus
tersebut.
d. Mengetahui bagaimana perkembangan terakhir dari setiap kasus tersebut.

2
 BAB II
PEMBAHASAN

2.1 Kasus Database Kejaksaan Agung Republik Indonesia Rusak (2021)

2.1.1 Cerita Kasus

Kasus database Kejaksaan Agung (Kejagung) Republik Indonesia (RI)
ini merupakan salah satu kasus cyber-crime yang menggemparkan pada
masanya, yaitu pada tahun 2021. Kasus pembobolan database Kejagung ini
bermula pada saat ditemukannya database pegawai Kejaksaan RI beredar di
salah satu situs forum hacker. Menindaklanjuti hal tersebut, Kepala Pusat
Penerangan Hukum Kejagung, Leonard Eben Ezer Simanjuntak
menyampaikan “Pusdasdikti (Pusat Data Statistik Kriminal dan Tekonologi
Informasi) sedang menulusuri apakah hal ini merupakan data peretasan lama
atau kasus baru” (ANTARANEWS, 2021). Alasan Leonard mengatakan hal
tersebut adalah karena kasus semula seperti bukan pertama kali dialami oleh
Kejagung. Pada tahun 2017, Kejagung pernah mengalami peretasan yang
dikenal dengan deface, dimana beranda situsnya berganti tampilan diganti
dengan menampilkan gambar karakter Harley Quinn yang bersamaan dengan
pesan yang bernada protes dari hacker tersebut (Detiknews, 2017).

Sumber: Unggahan Pelaku terkait Peretasan Database Kejaksaan Agung RI di situs

RaidForums (2021)

Pusdaskrimti Kejagung terus melakukan pengecekan terhadap seluruh

sistem di Kejagung dan memastikan semuanya berjalan dengan normal,

3
 bersamaan dengan terus berkomunikasi bersama Badan Siber dan Sandi
Negara (BSSN) dan Adhyaksa Monitoring Centre (AMC) untuk membongkar
sosok peretas database Kejagung. Hingga pada akhirnya Kejagung RI berhasil
meringkus pelaku peretasan terhadap database kepagawaian tersebut. Mereka
berhasil mendapatkan sumber berupa identitan lengkap dengan nomor induk
kependudukan yang bersangkutan, dimana pelaku tersebut ternyata hanyalah
seorang anak berusia di bawah umur, 16 tahun dan masih bersekolah,
berinisial MFW dengan akun atas nama Gh05t666nero. Diketahui bahwa motif
dari peretasan ini hanya iseng belaka, karena remaja tersebut memiliki waktu
luang akibat pendidikan pembelajaran dilaksanakan secara virtual pada masa
pandemi Covid-19. Untungnya, dari hasil penulusuran tim investigatif,
database yang dijual merupakan data terbuka untuk umum dan memang dapat
dikonsumsi oleh masyarakat melalui situs resmi Kejaksaan RI. Data tersebut
tidak mengandung informasi yang berhubungan langsung dengan database
kepegawaian kejaksaan, melainkan informasi yang dapat diakses oleh publik
(CNN Indonesia, 2021).

2.1.2 Modus Penyerangan & Sisi Lemah yang Diserang

Leonard menyampaikan bahwa MFW (pelaku) meretas database
kepegawaian kejaksaan lalu menjualnya pada website (raidforums,com).
Berdasarkan data sampel yang diperoleh, diketahui bahwa MFW memperoleh
data tersebut dengan algoritma men-tracking akun username dan password
pengguna yang hanya merupakan user untuk masuk ke website Kejagung.
“Kemudian data pegawai Kejaksaan RI, informasi perkara yang memang
dikonsumsi oleh masyarakat, dan juga command line pelaku dalam melakukan
dumping data pada website Kejaksaan RI” ujar Leonard (Merdeka, 2021).
Dumping data umumnya merujuk pada proses output utama data yang dapat
membantu pengguna untuk cadangan atau menggandakan database. Namun
dalam konteks peretasan, dumping data mungkin merujuk pada tindakan
pelaku untuk mengambil, menyalin, atau mengunggah data dari database yang
berhasil mereka akses (Kompas, 2021). Kejagung kemudian memeriksa situs
penjual databse tersebut, namun Kejagung menilai data yang dijual merupakan
data terbuka untuk umum dan tidak terhubung dengan databse kepegawaian di
aplikasi. Hasil penelusuran pun menyatakan bahwa total yang database yang

4
 diperjualbelikan sebesar 500 megabite dengan total line database sebanyak
3.086.224 dan dijual seharga 8 kredit atau sekitar Rp 400 ribu.

2.1.3 Proses Penanganan Kasus

Pada awal mula diduga database Kejagung diretas setelah menemukan
database mereka beredar di situs (raidforums.com), kejaksaan RI melalui
Pusdaskrimti dengan langkah cepat menghimbau pengguna situs untuk
mengganti kata sandi agar tidak terjadi penyelahgunaan situs. Sementara
Kejagung terus memeriksa dan memastikan dari waktu ke waktu sistem
berjalan dengan normal, Kejagung bekerja sama dengan BSSN dan AMC
untuk menemukan sosok pelaku di belakang kejadian peretasan ini.
Hingga pada akhirnya tim investigatif pun berhasil meringkus pelaku
peretasan database kepegaiaman kejaksaan. Dari hasil investigasi didapatkan
sumber berupa identitas berinisial MFW lengkap dengan nomor induk
kependudukan yang bersangkutan, dimana pelaku ternyata hanya remaja
berusia 16 tahun dan masih bersekolah. Leonard menyebut bahwa pihaknya
berhasil mengungkap pelaku MFW dengan cara sengaja membeli data yang
dijual pelaku di situs raidforums sehingga pelaku pun terpancing dan
terkoneksi sehingga lokasi dan identitasnya diketahui. Kejagung RI menelusiri
database Kejagun yang diunggah dan dijual di situs forum hacker
(raifforums.com), ternyata sejumlah data yang diunggah meliputi data berisi
nama lengkap, nomor telepon, Alamat email dengan domain
@kejaksaan.go.id, jabatan, pangkat kepegawaian, dan nomor pegawai. Tidak
hanya itu, ada sejumlah Riwayat kasus yang diduga turut diretas oleh pelaku
melalui akun yang mengatasnamakan Gh05t666nero.

2.1.4 Perkembangan Terakhir Terkait Kasus

Setelah berhasil menemukan informasi terkait MFW, termasuk alamat
tempat tinggalnya dimana MFW didatangi langsung di tempat tinggalnya di
daerah Sumatera Selatan. Kejagung membawa MFW bersama orang tuanya ke
Jakarta untuk dilakukan pemeriksaan. Pada akhirnya, Kejagung mengambil
kebijakan bahwa MFW untuk tidak ditahan sebagaimana ujaran Leonard,
“Bapak Jaksa Agung RI memberikan kebijakan kepada MFW untuk saat ini
tidak dilakukan proses hukum dengan mempertimbangkan, yang pertama,
MFW saat ini masih muda dan berusia 16 tahun masih sekolah di daerah

5
 Palembang”. Disamping itu, MFW juga berjanji dengan membuat surat
pernyataan untuk tidak mengulangi lagi perbuatannya dan orang tua yang
bersangkutan juga telah membuat surat pernyataan yang secara langsung akan
mendidik, mengontrol anak mereka untuk tidak melakukan perbuatan
peretasan. Orang tua FMW, Edi, mengakui kurang melakukan pengawasan
terhadap anaknya dan menyampaikan permohonan maaf kepada Kejagung.
“Oleh karena itulah kami dengan anak saya di sini datang dengan tanpa ada
paksaan juga kebetulan juga layanan di Kejagung ini bukan main, memang
saya akui anak saya itu salah. Anak saya itu masih di bawah umur dan saya
juga mengakui kurang pengawasan,” kata Edi. Setelah kasus ini terjadi,
Kejagung berkomitmen untuk meningkatkan pengawasan terhadap keamanan
database mereka guna mencegah kasus peretasan serupa di masa depan.
Setelah terjadinya kasus database Kejagung rusak tersebut, BSSN yang
membantu Kejagung dalam menangani kasus tersebut meresmikan MA-
CSIRT (Computer Security Incident Response Team) pada 21 September 2023
lalu sebagai upaya memberikan perlindungan data dan keamanan informasi,
terutama dari gangguan dan insiden siber yang dapat merusak dan
mengganggu kelncaran proses penyajian informasi di Mahkamah Agung (MA)
dan badan peradilan lainnya. MA-CSIRT ini merupakan tim tanggap insiden
keamanan siber yang bertugas menghadapi dan menangani insiden keamanan
siber di lingkungan MA dan badan peradilan lainnya. “Saya harap kepada tim
MA-CSIRT dapat bekerja dengan baik dan penuh tanggung jawab, karena
informasi yang harus dilindungi menyangkut data perkara yang sangat
dibutuhkan oleh para pencari keadilan,” harap ketua Mahakamah Agung, Prof.
Dr. H. M. Syarifuddin, S. H., M. H. (BSSN, 2023).

2.2 Kasus Peretasan Channel Youtube BNPB (2021)

2.2.1 Cerita Kasus

Akun YouTube milik Badan Nasional Penanggulangan Bencana atau
BNPB diretas sejak Rabu, 8 Desember 2021. Nama saluran BNPB bahkan
diganti menjadi Ethereum 2.0. Pada siaran langsung Kamis siang tadi saluran
tersebut meraup 10 ribu penonton.
Pakar keamanan siber dari Vaksin.com, Alfons Tanujaya menduga
akun Youtube milik Badan Nasional Penanggulangan Bencana (BNPB) diretas

6
karena tak menggunakan fitur Two Factor Authentication (TFA), dan
menggunakan password yang sama. Menurut Alfons hal itu memudahkan
peretas melancarkan aksinya terhadap akun youtube BNPB.
"Ya rasanya kemungkinan besar pengambilalihan terjadi pada akun
yang tidak diproteksi dengan Two Factor Authentication," ujar Alfons kepada
CNNIndonesia.com lewat pesan teks, Kamis (9/12).
Lebih lanjut Alfons menilai pengguna akun media sosial kerap ditemui
menggunakan password yang sama di banyak akun. Sehingga jika ada satu
akun yang bocor, akun lain dengan mudahnya dibobol. Dia mengatakan salah
satu penyebab akun media sosial diretas juga bisa dari akun email yang
berhasil dikuasai sejumlah pihak. Kemudian akun sosial media yang
menggunakan email itu dengan mudah diambil-alih peretas karena verifikasi
TFA atau pergantian akun umumnya dilakukan melalui akun email.
Selain itu Alfons menduga ada juga kemungkinan bahwa akun Youtube
BNPB yang diretas itu diserahkan kepada tim pengelola, sehingga banyak
diketahui beberapa pihak.
"Kemungkinan juga akun tersebut diambil alih karena akun ini
digunakan dan dikelola oleh tim, sehingga akun ini di-share," tuturnya.
Di samping itu Alfons menjelaskan pembajakan akun BNPB itu
bertujuan ingin mendapatkan akses kepada subscriber dari akun yang dibajak
tersebut.
Dengan adanya peretasan akun Youtube BNPB itu, Alfons mengimbau
untuk melindungi kredensial yang ada dan mengelola dengan baik, serta
menggunakan password manager dan mengaktifkan TFA.
Sebelumnya akun YouTube resmi BNPB diduga diretas. Pantauan
CNNIndonesia.com pada Kamis pagi, akun YouTube BNPB yang telah
centang biru itu berubah menjadi akun aset kripto Ethereum. Pada saat
mencari akun BNPB di pencarian YouTube, dua akun teratas yang muncul
adalah Ethereum 2.0 namun dengan logo BNPB.
Hingga Kamis (9/12) siang akun resmi BNPB belum pulih. Terlihat
akun masih menyiarkan siaran langsung pendiri Ethereum, Vitalik Buterin.
Plt Kepala Pusat Data, Informasi dan Komunikasi Kebencanaan BNPB
Abdul Muhari mengatakan pihaknya sedang menanggulangi akun youtube
yang diretas oknum.

7
 "Iya di-hack, saat ini kami sedang proses pulihkan akun Youtube nya,"
ujarnya Abdul Muhari.
Berdasarkan pantauan CNNIndonesia.com hingga pukul 10.45 WIB,
akun YouTube BNPB yang telah centang biru itu masih diretas menjadi akun
aset kripto Ethereum.

2.2.2 Sisi Lemah yang diserang

Ahli teknologi informasi (IT) menilai peretasan channel youtube BNPB
terjadi karena akun tidak diproteksi dengan baik. Spesialis Keamanan
Teknologi Vaksincom Channel YouTube BNPB diretas dikarenakan tiga hal
yang menjadi dasar peretasan.
Pertama, channel YouTube BNPB tidak diproteksi dengan otentikasi
dua faktor atau two factor authentication (TFA), karena tiak diproteksi dengan
TFA maka ini akan mempermudah pembobolan dari pihak lain. Kedua,
channel YouTube BNPB menggunakan kata sandi atau password yang sama
untuk banyak akun, seperti media sosial dan email. Untuk meminimalisir
terjadinya pembobolan maka sebaiknya channel YouTube BNPB ini
menggunakan kata sandi yang berbeda untuk setiap media sosial sehingga para
peretas akan sulit mengidentifikasi dan melakukan pembobolan. Terakhir,
peretas bisa menguasai channel YouTube BNPB setelah akun platform lain
milik institusi bocor. Akun yang bocor itu memakai email yang sama dengan
YouTube BNPB. Alhasil, kebocoran itu menjadi peluang bagi peretas
mencoba untuk membobol akun lain.
Menurut sumber, tujuan utama peretasan ini yakni mendapatkan akses
subscriber atau pengikut berlangganan. Oleh sebab itulah, channel YouTube
menjadi target pembobolan oleh para pelaku peretas. Setelah channel
YouTube BNPB mengalami peretasan, nama channelnya pun berganti menjadi
“ethereum 2.0”. Channel ethereum 2.0 ini mengadakan siaran langsung soal
mata uang kripto etherum hingga pukul 14.20 WIB. . Jika membuka akun
YouTube BNPB Indonesia, akan terlihat poster promosi siaran langsung
konten berjudul "Ethereum Biggest Cypto Giveaway" dengan pembicara
Vitalk Buterin. Situs BNPB Indonesia biasanya digunakan untuk siaran
langsung konferensi pers atau webinar yang diadakan lembaga tersebut.
Sebelum siaran langsung tentang Ethereum, unggahan terakhir akun YouTube

8
 BNPB Indonesia adalah video konferensi pers tentang kondisi pandemi di
Indonesia bersama juru bicara Satgas Covid-19 Wiku Adisasmito.

2.2.3 Modus Penyerangan

Menurut peneliti siber Pratama Persadha para pelaku peretas channel
YouTube BNPB yang memakainya untuk mempromosikan aset kripto
Ethereum akan menyasar pada potensi paling lemah dari akun tersebut.
Kasus ini mirip dengan yang dialami saluran milik keluarga Gen
Halilintar beberapa waktu lalu yang diubah nama, namun jika dicek videonya
masih ada. Motifnya dipastikan ingin mencari popularitas atau juga atas
pesanan pihak lain. Tapi, dalam kasus ini peretas ingin mendapatkan viewer
banyak dan terbukti pada live streaming yang dilakukan setelah pembobolan
channel YouTube BNPB menjadi channel YouTube etherum 2.0. Model
serangan kemungkinan besar menggunakan phising yang menyasar pada email
pengelola channel, terutama admin.
Menurut Pratama, seharusnya Google dengan mudah bisa
mengembalikan saluran BNPB karena saluran ini merupakan akun resmi dari
pemerintah. Ia juga memberi ultimatum saluran YouTube lembaga pemerintah
lainnya untuk wajib mengamankan akun Gmail. Oleh sebab itu, pengamanan
dari akun email yang terlibat sebagai admin harus ditingkatkan. Mulai dari
autentikasi dua arah pada email sampai pada penambahan token untuk
membuka akun email admin tersebut.
BNPB membenarkan akun YouTube mereka diretas dan sedang
berupaya memulihkan akun tersebut. "Benar diretas dan berjalan masih kita
lakukan pemulihan akun," ungkap Pelaksana Tugas Kepala Pusat Data,
Informasi dan Komunikasi Kebencanaan BNPB, Abdul Muhari, hari ini.

2.2.4 Proses Penanganan Kasus

Untuk mengurangi risiko peretasan akun YouTube, para pemilik akun
disarankan untuk selalu menggunakan password yang kompleks, yang terdiri
dari huruf, angka, dan simbol. Selain itu juga kata sandi yang digunakan pada
setiap media sosial juga harus berbeda sehingga sulit untuk diidentifikasi para
peretas. Pemilik akun juga harus berhati-hati dalam memberikan informasi
pribadi kepada pihak yang tidak dikenal, terutama jika dimintai melalui email
atau pesan langsung.

9
 Selain itu, pengguna juga disarankan untuk mengaktifkan fitur
verifikasi dua langkah, yang membutuhkan kode verifikasi tambahan sebelum
akun dapat diakses.
Pemerintah dan lembaga keamanan siber harus terus berupaya untuk
meningkatkan sistem keamanan, termasuk alokasi anggaran untuk menjaga
keamanan siber di era digital saat ini

2.2.5 Perkembangan Terakhir Kasus

Direktorat Tindak Pidana Siber (Dittipidsiber) Bareskrim Polri
menyelidiki dugaan tindak peretasan akun Youtube Badan Nasional
Penanggulangan Bencana (BNPB). Kepala Divisi Humas Polri Irjen Pol Dedi
Prasetyo mengaku saat ini Bareskrim tengah melakukan profiling dan
mengejar akun pelakunya. Dedi menyebutkan profiling dilakukan Dittipidsiber
Bareskrim Polri untuk mencari pelaku peretas. Dedi mengatakan penyelidikan
telah dilakukan Dittipidsiber Polri sejak awal akun Youtube BNPB diretas
oleh oknumsampai saat ini. Ditipidsiber Bareskrim Polri berkomunikasi
dengan BNPB untuk mendalami kasus peretasan tersebut. Meski demikian,
Dedi belum mengetahui hasil pelacakan pelaku peretasan apakah sudah
terlacak. Namun yang pasti penyelidikan masih ditangani.
Channel YouTube pun sekarang sudah mulai diperbaiki meskipun
channel tersebut membutuhkan waktu. Oleh karenanya, informasi mengenai
BNPB hanya bisa diakses melalui akun Facebook dan Twitter.

2.3 Kasus Data eHAC Milik 1,3 juta Pengguna Bocor

2.3.1 Cerita Kasus

Aplikasi Electronic Health Alert Card atau eHAC milik Kementerian
Kesehatan bocor. Hal ini ditemukan oleh tim peneliti VPN Mentor, Noam
Roitem dan Ran Locar. Ada satu juta lebih data pribadi pengguna yang
terekspos karena hal tersebut. Tim peneliti menyebutkan aplikasi tersebut tidak
memiliki privasi dan protokol keamanan data yang baik. Aplikasi yang
dikembangkan oleh Direktorat Surveilans dan Karantina Kesehatan, Ditjen
Pencegahan, dan Pengendalian Penyakit Kemenkes itu digunakan untuk
mereka yang hendak bepergian di dalam negeri. Penggunanya warga negara
Indonesia dan juga asing. Kedua peneliti itu menemukan basis data eHAC

10
terbuka dan langsung menghubungi Kementerian Kesehatan setelah
memastikan keaslian data tersebut. Karena Kementerian Kesehatan tidak
membalas laporan tersebut, tim peneliti juga mengontak Tim Tanggap Darurat
Komputer serta Google yang menjadi host eHAC.
Sayangnya hingga awal Agustus tidak ada balasan dari Kementerian
dan Lembaga terkait. Tim peneliti juga berusaha menghubungi beberapa
lembaga lain termasuk Badan Siber dan Sandi Negara (BSSN). “Kami
menghubungi mereka pada 22 Agustus dan mereka membalas di hari yang
sama. Dua hari kemudian, pada 24 Agustus, peladen itu dinonaktifkan," kata
pernyataan vpnMentro. Mereka menyebutkan pengembang aplikasi
menggunakan 'database Elasticsearch' tanpa jaminan untuk menyimpan 1,4
juta data dari sekitar 1,3 juta pengguna. Beragam data terekspos dalam dugaan
kebocoran tersebut. Termasuk mengenai sejumlah rumah sakit di Indonesia
dan pejabat pemerintah yang menggunakan aplikasi.
Informasi yang bocor termasuk nomor kartu tanda penduduk (KTP),
paspor, dan data serta hasil tes Covid-19. Adapula data alamat, nomor telepon,
nomor peserta rumah sakit, nama lengkap, tanggal lahir, pekerjaan dan foto.
Selain itu ditemukan data 226 rumah sakit dan klinik Indonesia termasuk nama
orang yang bertanggung menguji setiap pelaku perjalanan. Ada juga data
dokter yang menjalankan tes, informasi jumlah tes yang dilakukan tiap hari
dan jenis pelaku perjalanan. Ada juga data kontak orang tua atau kerabat
pelaku perjalanan. Selain itu terdapat informasi hotel yang disewa dan
mengenai kapan akun eHAC dibuat. Atas laporan tersebut, Kepala Pusat Data
dan Informasi Kemenkes RI, Annas Ma'ruf mengatakan dugaan kebocoran
data tersebut pada aplikasi eHAC lama, yang sudah tidak dipakai lagi sejak 2
Juli 2021. Saat ini eHAC sudah terintegrasi dengan aplikasi Peduli Lindungi.
Sistem tersebut diklaim berbeda dengan sistem eHAC yang lama sebelumnya.
"kebocoran tidak terkait dengan eHAC yang ada di Peduli Lindungi. Saat ini
tengah dilakukan investigasi lebih lanjut," kata dia. Ia menduga adanya
kebocoran data tersebut berada di pihak mitra. Hal itu sudah diketahui
pemerintah dan melakukan pengamanan aplikasi juga melibatkan Kementerian
Kominfo serta pihak berwajib. (Bestari, 2021)

11
2.3.2 Modus Penyerangan dan Sisi Lemah yang Diserang
BSSN (Badan Siber dan Sandi Negara) menjelaskan mengenai
penyebab kebocoran data aplikasi eHAC milik Kemenkes menyebutkan bahwa
ada bagian yang rentan pada aplikasi tersebut hingga dapat dieksploitasi oleh
pihak luar untuk mencuri data pengguna. Menurut BSSN secara teknis
kerentanan ini bisa dikenal dengan namanya sensitive data exposure yang
mana kerentanan ini menyasar pada port tertentu pada suatu sistem atau suatu
pintu untuk bertransaksi data, seharusnya dalam port tersebut data itu tidak
seharusnya bisa dimasuki oleh pihak yang tidak berwenang hal ini yang
ditemukan oleh VPN Mentor dan BSSN. Perihal dugaan kebocoran data dan
informasi di aplikasi lama eHAC, pemerintah langsung melakukan investigasi
dengan dugaannya diakibatkan adanya dugaan kebocoran pihak mitra.
(Saubani, 2021)

2.3.3 Proses Penanganan Kasus

Berawal dari informasi yang dipublikasi oleh VPN Mentor melalui
CERT.ID pada 22 juli 2021 mengenai kerentanan aplikasi eHAC milik
pemerintah kesehatan namun tidak ada tanggapan dari CERT.ID kemudian
VPN Mentor menyampaikan informasi itu melalui email ke Id SIRTII dan
bantuan70@bssn.go.id pada 23 Agustus 2021 dan ditanggapi oleh tim
Tanggap Insiden BSSN setelah melakukan verifikasi informasi tersebut
kemudian berkoordinasi dengan kementerian kesehatan yang dikonfirmasi
tanggal 24 Agustus 2021 melalui notifikasi laporan dengan Nomor
021/TI/SDE.824.1/N/2021. im BSSN mengonfirmasi hal ini kepada pihak
Kemenkes pada pukul 15.31 WIB.pemerintah juga sudah melakukan
pencegahan dengan upaya lebih lanjut dengan Kominfo dan pihak berwajib
sesuai dengan Peraturan Pemerintah (PP) Nomor 71 Tahun 2019 tentang
Penyelenggaraan Sistem dan Transaksi Elektronik. Sebagai langkah mitigasi,
aplikasi eHAC yang lama sudah dinonaktifkan. "Sudah ditutup kerentanan
(eHAC) dan tidak digunakan lagi, sesuai kebijakan Kemenkes sudah
menggunakan eHAC yang terintegrasi di aplikasi Peduli Lindungi," jelasnya.
Kepala Pusat Data dan Informasi Kemenkes, Anas Maruf menjelaskan,
kebocoran data dan informasi aplikasi Electronic Health Alert Card atau
eHAC terjadi di aplikasi yang lama (Saubani, 2021).

12
 2.3.4 Perkembangan Terakhir Kasus
Bareskrim Polri menyetop penyelidikan dugaan kebocoran data 1,3 juta
pengguna aplikasi Electronic Health Alert Card (e-HAC) Kementerian
Kesehatan (Kemenkes). Polisi menyimpulkan tak ada upaya meretas data
pengguna e-HAC.
"Penyelidikan tidak diteruskan," ujar Kadiv Humas Polri Irjen Argo
Yuwono saat dihubungi, Selasa (7/9/2021).
"Hasil penyelidikan yang dilakukan oleh Cyber Polri terhadap
Kemenkes dan mitra Kemenkes, bahwa tidak ditemukan upaya pengambilan
data pada server e-HAC," imbuhnya.
"Kemenkes memastikan bahwa data masyarakat yang ada dalam sistem
e-HAC tidak bocor dan dalam perlindungan, data masyarakat yang ada di
dalam e-HAC tidak mengalir ke platform mitra," ungkap Anas dalam
konferensi pers Kemenkes RI Rabu (1/9).
Sementara itu, juru bicara Badan Siber dan Sandi Negara (BSSN)
Anton Setiawan menyebut dugaan kebocoran yang dilaporkan vpnMentor
tersebut sebenarnya merupakan bagian dari keamanan siber. "Bahwa apa yang
terjadi saat ini bukan terkait kebocoran data, ini bagian dari proses. Kalau di
keamanan siber mengenalnya threat information sharing," jelasnya.
(Dirgantara, 2021)

2.4 Kasus Pencurian Data PT Asuransi BRI Life

2.4.1 Cerita Kasus
Pada hari selasa tanggal 27 juli 2021, sebuah akun Twitter perusahaan
pemantau kejahatan siber, Hudson Rock mengunggah informasi bocornya
data nasabah BRI Life. Dalam unggahan tersebut, tertulis bahwa pelaku
mengancam menjual data milik BRI Life. Raidforums adalah situs online
yang sering menjadi platform pengungkapan kebocoran data. Raidforums
termasuk jenis website yang mudah diakses oleh siapa saja tanpa
menggunakan Virtual Private Network. Forum online ini menjadi ruang
diskusi bagi anggotanya untuk aktivitas pencurian data sekaligus menjadi
marketplace jual beli data illegal. "Pada situs tersebut terdapat akun bernama
Reckt yang mengupload sampel data yang dijual, namun beberapa saat

13
 kemudian dihapus Akun tersebut menjual sekitar dua juta database nasabah
BRI Life Insurance dan scan dokumen," Kata Pakar Keamanan Siber,
Persadha dikutip Minggu (5/9). Persadha menambahkan, databasenya
memiliki pin polis asuransi, detail lengkap tentang pelanggan yang
menggunakan asuransi BRI Life, total manfaat, total periode tahun serta
dokumen seperti KTP, KK, NPWP, foto buku rekening bank, akta kelahiran,
akta kematian, surat perjanjian, bukti transfer, bukti keuangan dan lainnya.

Communication & Information System Security Research Center

(CISSReC) menerangkan, terdapat 463.519 file berukuran 252GB dan dua juta
database nasabah BRI Life berukuran 410MB Penjual data memberikan
sampel berukuran 2.5GB yang berisi beragam file dan ditawarkan dengan
harga US$7.000 dan dapat dibayarkan dengan mata uang elektronik berupa
Bitcoin. Sampel tersebut memuat data yang sangat lengkap. Mulai dari data
KTP, mutasi rekening, serta formulir pernyataan diri. Hal ini menjadi
perhatian serius karena berdasarkan bukti yang ada, data nasabah BRI Life
tersebar. Pratama menjelaskan, sumber kebocoran data adalah akibat
peretasan, tidak ada campur tangan dari pihak internal atau pegawai.

2.4.2 Modus Penyerangan dan Sisi Lemah Yang Diserang

Modus penyerangan yang dilakukan oleh pelaku ialah untuk

mendapatkan keuntungan dari penjualan data milik nasabah yang berhasil
dicurinya. Peretas berhasil mendapatkan 463.519 file berukuran 252GB dan
dua juta database nasabah BRI Life berukuran 410MB. Peretas menjual data
tersebut dengan memberikan sampel berukuran 2.5GB yang berisi beragam
file dan ditawarkan dengan harga US$7.000 atau setara dengan Rp 101,5 Juta
dan dapat dibayarkan dengan mata uang elektronik berupa Bitcoin.

Kasus kebocoran data yang dialami BRI Life ini merupakan bukti
masih lemahnya proteksi dan regulasi. Peretasan dilakukan kepada karyawan
yang melakukan WFH dan perusahaan tidak menyadari bahwa keputusan
tersebut berakibat fatal karena belum adanya system proteksi selain di kantor.

14
 Alfons menyatakan bahwa data BRI Life diretas dari salah satu
komputer karyawan yang sedang melakukan work from home (WFH).
Karyawan tersebut mengakses data dari computer rumahnya sehingga peretas
dapat menembus data BRI Life miliknya. "Kejadian tersebut berbeda halnya
apabila terjadi pada saat di kantor karena sudah terlindungi dari firewall dan
relative sehingga sulit menembusnya. Sedangkan hal yang sudah terjadi adalah
computer dibawa ke rumah karyawan lalu melalui jaringan internet mengakses
data yang ada di data center BRI Life sehingga menyebabkan peretas mudah
mendapatkan data tersebut." imbuhnya. Alfons menambahkan, tidak ada pihak
internal BRI Life yang menjual data tersebut karena dalam kasus ini dari
computer korban untuk mengakses sistem terjadi pengamanan yang kurang
baik

2.4.3 Proses Penanganan Kasus

BRI Life telah melakukan respons terhadap kasus ini dan mengambil
tindakan dengan berkoordinasi dengan pihak terkait yaitu Otoritas Jasa
Keuangan dan Kementrian Komunikasi dan Informatika RI, serta Direktorat
Cyber Crime Bareskrim Polri dan Badan Sandi Siber Negara (BSSN).

“ Kami bersama dengan tim independent di bidang cyber security tengah

melakukan penelusuran jejak digital dalam rangka investigasi dan melakukan
hal-hal yang diperlukan guna meningkatkan perlindungan data pemegang polis
BRI Life,” tulis perusahaan dalam keterangan resminya.

Ahli menyimpulkan bahwa sumber kebocoran data yang dialami BRI

Life itu murni akibat peretas, bukan hasil jual beli data dari pihak internal atau
pegawai. Namun, berdasarkan hasil penyelidikan, PT Asuransi BRI Life
menemukan bukti bahwa pelaku kejahatan siber melakukan instrusi ke dalam
system BRI Life Syariah. Sistem ini terpisah dari pusat system BRI Life.

"Bukti menunjukkan bahwa pelaku kejahatan cyber melakukan intrusi ke

dalam system BRI Life Syariah yang merupakan Stand Alone System dan
terpisah dari Core System BRI Life." Kata Kepala Divisi Sekretariat
Perusahaan BRI Life, Nasution dikutip Minggu (5/9).

15
 Postingan yang terdapat pada situs Raidforums yang menjual data
nasabah BRI life diungkapkan telah menghilang tidak lama setelah viralnya
kasus ini. Pakar keamanan siber dari Vaksin.com, Alfons Tanujaya menduga
beberapa kemungkinan hilangnya postingan tersebut. Pertama, Pelaku takut
karena kebocoran data itu viral dan tengah menjadi focus banyak orang,
sehingga pelaku peretasan takut terungkap oleh pihak berwenang. Kedua, ada
pihak yang membeli diam-diam data tersebut dan bersedia membayar lebih
jika pelaku mencabut penjualan data tersebut. Setidaknya, menurut Alfons
hilangnya postingan ini membuat data korban peretasan BRI Life tidak dijual
kepada lebih banyak pihak.

Langkah yang diambil oleh Kementrian Kominfo (Kominfo) adalah

memblokir situs Raidforums, situs yang memperjualbelikan data hasil retasan
para hacker PT Asuransi BRI Life juga berkoordinasi dengan Direktorat Cyber
Crime Bareskrim Polri dan Badan Sandi dan Siber Negara (BSSN) dan
berkomitmen kepada masyarakat dengan memberikan perlindungan terkait
asuransi jiwa melalui pengembangan prinsip tata kelola yang sesuai dengan
ketentuan yang berlaku.(Choirul Anwar, 2021)

2.4.4 Perkembangan terakhir kasus

Pengamat keamanan siber, Alfons Tanujaya mengapresiasi langkah

cepat BRI Life yang berhasil mengidentifikasi sumber kebocoran data dan
melakukan mitigasi hanya dalam waktu beberapa hari. "Langkah cepat ini juga
memberikan suatu gambaran yang lebih jelas sejauh mana kerusakan yang
telah dan akan terjadi. Apakah datanya 'hanya' dikopi atau malahan sempat
diubah atau dimanipulasi oleh peretas,” kata Alfons dalam keterangan resmi
yang diterima di Jakarta, Jumat (30/7/2021). Ia menyakini data nasabah BRI
Life kemungkinan tidak sampai dimanipulasi oleh peretas, karena apabila data
sudah dimanfaatkan, peretas biasanya melakukan aksi senyap yang tidak
dipublikasi, sedangkan data nasabah BRI Life tampak dijual berdasarkan
posting Raid Forum.

Terkait kejadian ini, Alfons mengatakan perusahaan mesti disiplin

menjaga server database, apalagi yang terekspos ke internet. Sebaiknya, lanjut
dia, database jangan disimpan di server web dan akses dari web ke server

16
database dibatasi dan diawasi sedemikian rupa agar aman dari eksploitasi.
"Khusus untuk server yang mengolah database kritikal disarankan untuk
dienkripsi untuk menghindari akses ekstorsi sehingga jika terjadi kebocoran
data, maka data yang berhasil disalin tersebut juga tetap tidak bisa dibaca
karena terenkripsi,” kata Alfons.

Ia juga mengingatkan perusahaan untuk melindungi server enkripsi

dengan baik. Pasalnya, kalau kunci dekripsi berhasil dikuasai peretas, semua
perlindungan enkripsi akan percuma karena data tersebut akan bisa dibuka.
Meski demikian, ia mengakui perusahaan menjadi semakin sulit menjaga
keamanan data pelanggan karena pekerja mesti bekerja dari rumah (work from
home/WFH) di tengah pandemic COVID-19.

Saat ini, perkembangan teknologi cloud memungkinkan pekerja

mengakses data kantor dan melakukan pekerjaan dari rumah. Namun,
komputer rumah masih memanfaatkan jalur internet umum untuk berhubungan
dengan jaringan intranet komputer kantor sehingga lebih rentan diserang virus.

"Komputer tersebut jelas lebih terekspos terhadap ancaman

dibandingkan ketika bekerja di intranet kantor karena tidak adanya
perlindungan perimeter yang didapatkannya seperti ketika bekerja di kantor,"
katanya. Untuk itu, Alfons mengharapkan perusahaan dapat menyiapkan
antivirus khusus bagi komputer pekerja di rumah. Antivirus ini bukan antivirus
konvensional yang bisa bekerja dengan optimal, untuk melindungi komputer
kantor yang hanya terhubung dengan jaringan intranet.

"Antivirus dan firewall konvensional yang bekerja dengan optimal di

kantor akan kurang efektif ketika komputer berada diluar intranet karena
kesulitan manajemen. Ibarat pasukan yang tadinya terlindung dengan baik di
dalam benteng, ketika keluar benteng, komputer rentan menjadi sasaran
peretasan dan digunakan sebagai jembatan untuk mengakses sistem atau
jaringan di kantor," ucapnya. (Jemadu, 2021)

17
 DAFTAR PUSTAKA

Bestari, N. P. (2021). Kronologis Dugaan Kebocoran Data Aplikasi Lacak Corona eHAC.
CNBC Indonesia.

BSSN. (2023). BSSN Resmikan MA-CSIRT Amankan Aset Data dan Informasi Mahkamah
Agung dan Badan Peradilan di Indonesia | www.bssn.go.id.

Choirul Anwar, M. (2021, July). Ini Fakta Terbaru Hasil Investigasi BRI Life Usai Ada
Dugaan Kebocoran Data. Kompas.Com.
https://money.kompas.com/read/2021/07/28/215714726/ini-fakta-terbaru-hasil-
investigasi-bri-life-usai-ada-dugaan-kebocoran-data

Dirgantara, A. (2021). Bareskrim Setop Penyelidikan Dugaan 1,3 Data Pengguna eHAC
Bocor. DetikNews.Com.

Jemadu, L. (2021, July). Langkah Cepat BRI Life dalam Kasus Kebocoran Data Diapresiasi.
Suara.Com. https://www.suara.com/tekno/2021/07/30/225445/langkah-cepat-bri-life-
dalam-kasus-kebocoran-data-diapresiasi

Kompas. (2021). Dumping: Definisi, Tujuan, Jenis, Untung Rugi, dan Contohnya Halaman
all - Kompas.com.

Merdeka. (2021). Peretas Database Kejaksaan Agung Masih Berusia 16 Tahun.

Saubani, A. (2021). eHAC Bocor: Kronolgi, langkah BSSN dan Saran untuk Kemenkes.
Republika.Co.Id.

18