Pakar Siber Ungkap Metode Hacker yang Diduga Bocorkan 204 Juta Data DPT Milik KPU

TEMPO.CO, Jakarta - Pakar keamanan siber dari Communication and Information System Security Research Center (CISSReC) Pratama Persadha menganalisis kebocoran data milik Komisi Pemilihan Umum (KPU). Dalam sebuah tanggakan layar, peretas anonim “Jimbo” yang mengaku membobol data KPU, terlihat sebuah halaman situs KPU yang kemungkinan berasal dari halaman dashboard pengguna.

Dengan adanya tangkapan layar itu, kata Pratama, maka kemungkinan besar Jimbo berhasil mendapatkan akses login dengan dengan role Admin KPU dari domain sidalih.kpu.go.id. Dia menduga hacker menggunakan metode phising, social engineering atau melalui malware. 

“Di mana dengan memiliki akses dari salah satu pengguna itu Jimbo mengunduh data pemilih serta beberapa data lainnya,” ujar dia lewat keterangan tertulis pada Rabu, 29 November 2023.

Jika peretas Jimbo benar-benar berhasil mendapatkan kredensial dengan role Admin, hal ini tentu saja bisa sangat berbahaya. Karena bisa  saja akun dengan role admin tersebut dapat dipergunakan untuk merubah hasil rekapitulasi penghitungan suara saat pesta demokrasi mendatang. 

“Yang tentunya akan mencederai pesta demokrasi bahkan bisa menimbulkan kericuhan pada skala nasional,” ucap dia.

Menurut dia, perlu dilakukan audit forensik dari sistem keamanan serta server KPU. Tujuannya memastikan di manatitik serangan yang dimanfaatkan peretas untuk mendapatkan data pemilih yang diklaim berasal dari website KPU tersebut.

Sambil melakukan investigasi, ia berujar, sebaiknya tim IT KPU melakukan perubahan username dan password dari seluruh akun yang memiliki akses ke sistem KPU. Sehingga bisa mencegah user yang semula berhasil didapatkan oleh peretas supaya tidak dapat dipergunakan kembali. 

“CISSReC sebelumnya sudah memberikan peringatan kepada Ketua KPU tentang vulnerability di sistem KPU pada 7 Juni 2023 lalu,” tutur dia.

Peretas dengan nama anonim "Jimbo" mengklaim telah meretas situs kpu.go.id dan berhasil mendapatkan data pemilih tetap (DPT) dari situs tersebut. Hacker Jimbo membagikan 500 ribu data contoh yang berhasil didapatkan pada salah satu unggahan di situs BreachForums—biasa digunakan untuk menjual hasil retasan.

Serta beberapa beberapa tangkapan layar dari situs https://cekdptonline.kpu.go.id/ untuk memverifikasi kebenaran data yang didapatkan tersebut. Jimbo juga menyampaikan dalam unggahannya bahwa data 252 juta yang berhasil didapatkan yang isinya beberapa data yang terduplikasi. 

Setelah Jimbo melakukan penyaringan, ada 204.807.203 data unik. “Jumlah ini hampir sama dengan jumlah pemilih dalam DPT Tetap KPU yang berjumlah 204.807.222 pemilih dari dengan 514 kab/kota di Indonesia serta 128 negara perwakilan,” kata dia.

Di dalam data yang didapatkan Jimbo tersebut ada beberapa data pribadi yang cukup penting seperti Nomor Induk Kependudukan (NIK), Nomor Kartu Keluarga (KK), dan Nomor KTP—berisi nomor passport untuk pemilih yang berada di luar negeri. Selain itu ada data nama lengkap, jenis kelamin, tanggal lahir, tempat lahir, status pernikahan, alamat lengkap, RT, RW, kodefikasi kelurahan, kecamatan, dan kabupaten serta kodefikasi TPS. 

Tim CISSReC juga sudah mencoba melakukan verifikasi data sample yang diberikan secara random melalui website cekdpt. Hasilnya sama dengan data sample yang dibagikan oleh peretas Jimbo, termasuk nomor TPS di mana pemilih terdaftar. “Jimbo menawarkan data yang berhasil dia dapatkan seharga US$ 74.000 atau hampir setara Rp 1,2 miliar,” ucap dia.

Anggota KPU RI Betty Epsilon Idroos mengatakan sudah berkoordinasi dengan Satuan Tugas (Satgas) Siber Pemilu guna memastikan keamanan data pemilih pada Pemilu 2024. "Saat ini kami meminta bantuan dari Satgas Siber, sekarang yang bekerja BSSN (Badan Siber dan Sandi Negara)," ujar dia pada Selasa, 28 November 2023.

Betty mengatakan KPU telah menerima informasi terkait dugaan pembobolan data pemilih yang dilakukan seorang peretas yang menggunakan nama "Jimbo" tersebut. KPU langsung melakukan penelusuran dan bekerja sama dengan kementerian dan lembaga pemerintah non-kementerian terkait, termasuk berkoordinasi dengan BSSN untuk memverifikasi sumber data yang diduga telah dibobol itu.

MOH KHORY ALFARIZI | ANTARA

Pilihan Editor: Daftar Juru Kampanye Ganjar-Mahfud, Ada Limbad dan Denny Cagur