Kekhawatiran publik terkait isu kebocoran data yang menyeret sejumlah institusi perbankan belakangan ini telah menjadi perhatian serius.

Praktisi digital dan keamanan siber Syahraki Syahrir menilai, sistem keamanan di sektor perbankan Indonesia sejatinya termasuk yang paling kuat dibanding industri lain, terutama pada bank-bank besar.

Syahraki yang juga CEO Veda Praxis, salah satu perusahaan konsultasi yang bergerak di bidang digital dan cybersecurity, menjelaskan bahwa sektor perbankan justru menjadi industri yang paling matang (mature) dalam mengelola keamanan teknologi informasi (TI).

Menurut dia, pengawasan terhadap sistem keamanan perbankan dilakukan secara berlapis oleh sejumlah lembaga negara.

"Selama ini pengawasan terhadap industri keuangan dilakukan secara berlapis oleh berbagai lembaga seperti Otoritas Jasa Keuangan (OJK), Bank Indonesia, Badan Siber dan Sandi Negara, hingga Kementerian Komunikasi dan Digital," kata Raki sapaan akrab Syahraki melalui sambungan telepon, Sabtu (23/5).

Menurutnya, regulator terus memperbarui standar keamanan bagi industri perbankan, sekaligus melakukan edukasi kepada masyarakat dan pelaku industri mengenai pentingnya perlindungan data.

"Seluruh regulator tersebut terus meningkatkan standar keamanan ke perbankan, serta melakukan edukasi kepada masyarakat dan pelaku industri," ujarnya.

Terkait beredarnya informasi kebocoran data di dark web, alumnus Universitas Padjajaran (Unpad) ini mengatakan masyarakat tidak perlu panik berlebihan.

Menurut Raki, dark web itu hanyalah bagian dari internet yang tidak terindeks secara umum sehingga sering digunakan untuk aktivitas yang lebih bebas, termasuk penyebaran data ilegal dan belum terverifikasi kebenarannya.

Raki juga menjelaskan bahwa dalam ekosistem digital modern, sebuah sistem tidak pernah berdiri sendiri. Sistem perbankan saat ini, kata Raki, sudah terhubung dengan banyak pihak. Mulai dari penyedia layanan teknologi, infrastruktur, hingga mitra lainnya.

Menurut dia, data yang beredar di ekosistem tersebut belum tentu bocor dari sistem inti perbankan.

"Kalaupun data di dark web itu benar, kita harus meneliti sumber data tersebut berasal. Bisa jadi data berasal dari pihak ketiga yang terhubung dengan layanan bank. Jadi jangan langsung menyimpulkan banknya yang lemah. Hanya saja, memang, kalau bank yang terdengar bocor, masyarakat langsung heboh karena ada uang mereka di sana," kata Raki.

OJK Minta Masyarakat Jaga Kerahasiaan Data Pribadi

Sementara itu, Ketua Dewan Komisioner Otoritas Jasa Keuangan (OJK) Friderica Widyasari Dewi menilai, meski sistem keamanan data di perbankan sudah dilakukan secara berlapis, namun dia mengingatkan masyarakat untuk selalu waspada menjaga data pribadi agar tidak dimanfaatkan sebagai celah melakukan kejahatan perbankan.

"Meskipun bank telah menerapkan sistem keamanan berlapis dan memastikan kepatuhan terhadap regulasi perlindungan data pribadi, kejahatan tetap dapat terjadi jika nasabah tidak waspada atau lalai menjaga kerahasiaan informasi pribadinya," kata Friderica dikutip dari Antara.

Perempuan yang akrab disapa Kiki itu menambahkan, risiko terjadinya kejahatan siber termasuk di industri jasa keuangan kini semakin tinggi karena pelaku kejahatan digital semakin canggih, sementara banyak masyarakat yang masih belum memiliki literasi digital serta literasi keuangan yang memadai.

Terkait hal itu, Raki menambahkan bahwa meningkatnya kejahatan siber merupakan konsekuensi dari semakin kompleksnya penggunaan teknologi digital dalam kehidupan sehari-hari.

Ia mengimbau masyarakat agar meningkatkan kewaspadaan dalam berinteraksi di ruang digital. Contohnya, kata dia, masyarakat agar tidak mudah memberikan informasi pribadi melalui sambungan telepon, pesan instan, maupun media digital lainnya, termasuk kepada pihak yang mengaku berasal dari bank.

"Password, PIN, dan OTP tidak boleh diberikan kepada siapa pun. Kalau ada pihak yang meminta data sensitif lewat telepon atau pesan digital, masyarakat harus langsung waspada," ujar penulis buku Digital Governance ini.

Menurut Raki, yang terpenting saat ini membangun budaya kehati-hatian dalam aktivitas digital sehari-hari. Ia menyarankan masyarakat untuk selalu melakukan verifikasi sebelum memercayai informasi atau permintaan tertentu melalui kanal digital.

"Di era sekarang, kita harus extra careful. Jangan mudah percaya pada telepon, pesan, atau tautan yang mengatasnamakan pihak tertentu, termasuk bank. Kalau perlu, lakukan transaksi dan komunikasi langsung melalui aplikasi resmi atau datang ke kantor cabang," kata Raki.

Ketika Undang-Undang Nomor 8 Tahun 1999 tentang Perlindungan Konsumen disahkan, banyak yang menyebutnya sebagai awal tonggak reformasi. Klaim itu tidak sepenuhnya salah. Undang-undang ini berangkat dari keyakinan bahwa negara perlu hadir melindungi warga di hadapan kekuatan pasar.

Setelah lebih dari dua puluh lima tahun, pola distribusi dan konsumsi berubah drastis. Transaksi yang dulu mensyaratkan pertemuan langsung kini berpindah ke layar ponsel. Semua bisa dipenuhi dari genggaman tangan. Namun undang-undang itu belum juga mengalami pembaruan substansial sampai hari ini. Posisi konsumen tetap berada di posisi semula, lemah dan terjepit di antara negara yang lamban merespons dan pelaku usaha yang semakin dominan.

Kesenjangan ini bukan sekadar soal ketertinggalan regulasi. Menyebutnya demikian pada akhirnya hanya akan membawa kita pada penyederhanaan persoalan, seolah ini hanya urusan teknis dan tentang kecepatan birokrasi belaka.

Justru, yang lebih tepat membacanya sebagai cerminan pilihan politik, tentang siapa sesungguhnya yang hendak dilindungi ketika kepentingan konsumen berbenturan dengan kepentingan bisnis. Celakanya, selama dua dekade lebih, jawaban atas pertanyaan itu selalu konsisten, perlindungan itu bukan berdiri di sisi konsumen.

Ilusi Perlindungan Konsumen

Badan Penyelesaian Sengketa Konsumen (BPSK) adalah lembaga paling jujur menggambarkan kondisi ini. Secara normatif, BPSK adalah garda depan perlindungan konsumen, lembaga tempat warga seharusnya bisa mengadu dan mendapat pembelaan.

Sayang dalam praktiknya, lembaga ini seperti tidak punya taring. Masalahnya berlapis. BPSK berada di bawah struktur dinas pemerintah daerah, bergantung pada anggaran dan prioritas kepala daerah yang jarang menempatkan sengketa konsumen di urutan atas.

Putusan BPSK juga tidak memiliki daya eksekusi mengikat, sehingga pelaku usaha bisa mengabaikannya tanpa konsekuensi hukum berarti. Maka, karena posisinya seolah sulit untuk mendapatkan independensi, lembaga ini sekaligus rentan terseret kepentingan lokal yang tidak selalu berpihak pada konsumen.

Akibatnya mudah ditebak. Konsumen susah payah mengadukan kasusnya, lalu mendapati proses berlarut, putusan diabaikan, dan akhirnya memilih diam. Pelaku usaha belajar bahwa tidak ada biaya nyata dari melanggar hak konsumen.

Ralph Nader, aktivis konsumen Amerika yang mendorong lahirnya regulasi keselamatan produk di AS pada 1960-an, pernah menulis bahwa efektivitas perlindungan konsumen bukan soal banyaknya aturan, melainkan ada tidaknya mekanisme yang membuat pelanggaran menjadi mahal bagi pelaku usaha. Ukuran itu belum terpenuhi di Indonesia, dan tampaknya belum menjadi agenda mendesak bagi siapa pun saat ini.

Rapuhnya Regulasi di Era Digital

Ketika ekonomi bergerak ke platform digital, kelemahan ini menemukan medan yang lebih luas. Beragam layanan berbasis aplikasi seperti e-commerce, transportasi daring, dan pinjaman online tumbuh dengan kecepatan yang tidak mampu diikuti regulasi.

OJK mencatat lebih dari 21.000 aduan konsumen terhadap perusahaan fintech sepanjang 2025, menyangkut bunga tidak transparan, penagihan kasar, dan akses data pribadi yang tidak pernah disetujui pengguna secara sadar. Mekanisme penyelesaiannya tidak pernah berubah. Lambat, tidak mengikat, dan tidak memberi efek jera. Pelaku usaha tahu persis kalkulasinya.

Lebih mengkhawatirkan lagi adalah praktik dark pattern. Hal ini ditunjukkan misalnya salah satunya dengan desain antarmuka yang cenderung rumit. Tidak ada regulasi Indonesia yang secara eksplisit melarang praktik ini. Platform mendefinisikan sendiri batas permainannya, dan konsumen tidak punya pilihan selain menerima.

UU Perlindungan Data Pribadi (UU PDP) yang berlaku penuh Oktober 2024 seharusnya menjadi koreksi atas kekosongan ini, tetapi lembaga pengawas yang diamanatkan UU itu sampai hari ini belum terbentuk. Tidak ada instansi berwenang menerima laporan, tidak ada yang bisa menjatuhkan sanksi. Regulasi ada di atas kertas, penegakannya belum ada di mana-mana.

Bandingkan dengan General Data Protection Regulation (GDPR) di Uni Eropa (UE) yang bertugas untuk mengatur bagaimana organisasi mengumpulkan, menyimpan, dan menggunakan data pribadi penduduk Uni Eropa. Institusi ini mewajibkan semua perusahaan melakukan pelaporan jika terjadi kebocoran data dalam waktu 72 jam. Sementara, warga juga berhak untuk meminta penghapusan data mereka kapan saja.

Penegakan regulasi ini tidak sekadar pepesan kosong. Misalnya saja pada 2023 lalu, Meta akhirnya diganjar dengan denda sebesar 1,2 miliar euro atau setara Rp19,5 triliun oleh regulator Irlandia karena telah melanggar ketentuan transfer data. Namun sayangnya, di Indonesia jika ada perusahaan yang melanggar, sanksi yang diberikan sangatlah ringan.

Menuju Konsumen Berdaulat

Persoalannya tidak berhenti pada kelembagaan dan regulasi. Ada dimensi kultural yang sama beratnya dan kerap luput dari perdebatan kebijakan. Budaya konsumsi Indonesia cenderung permisif. Pelanggaran terhadap hak konsumen lebih sering diterima sebagai nasib buruk daripada sebagai ketidakadilan yang bisa dituntut.

Kondisi ini tidak terbentuk tiba-tiba, melainkan tumbuh dalam struktur ekonomi-politik yang justru diuntungkan oleh rendahnya kesadaran kritis konsumen. Lewat berbagai kampanye iklan dan kebijakan, konsumsi lebih banyak didorong sebagai penanda status sosial. Proses konsumsi bukan lagi dimaknai sebagai hak yang perlu dimengerti dan diperjuangkan.

Dalam masyarakat seperti ini, nilai seseorang lebih sering diukur dari kemampuan membeli, bukan dari kesadaran memilih. Celah antara rendahnya literasi konsumen dan regulasi yang tidak adaptif itulah yang akhirnya menumbuhkan praktik bisnis yang cenderung merugikan konsumen secara berulang.

Kondisi ini tidak terbentuk tiba-tiba. Situasi ini tumbuh dalam struktur ekonomi-politik yang diuntungkan oleh warga yang tidak kritis. George Ritzer (1993), sosiolog yang dikenal lewat konsep McDonaldisasi, mengingatkan bahwa konsumsi modern dirancang untuk memaksimalkan efisiensi pelaku usaha, bukan kepuasan konsumen. Ketika literasi konsumen rendah dan regulasi tidak adaptif, celah itulah yang ditempati praktik bisnis predatoris.

Maka, melihat centang perenang di atas, reformasi mendesak perlu segera dilakukan setidaknya pada dua tingkatan. UU Nomor 8 Tahun 1999 tentang Perlindungan Konsumen harus segera direvisi agar relevan dengan ekonomi digital, mencakup ketentuan soal dark pattern, perluasan tanggung jawab platform, dan juga menjadi dasar hukum bagi kompensasi langsung kepada konsumen yang dirugikan.

Pada saat bersamaan, BPSK harus direformasi menjadi lembaga quasi-judicial yang independen dari struktur pemerintah daerah, dengan putusan mengikat dan dapat dieksekusi tanpa perlu menunggu itikad baik pelaku usaha.

Tanpa dua perubahan itu, klaim bahwa negara hadir melindungi rakyat dari dominasi pasar akan terus menjadi pepesan kosong. Perlindungan konsumen bukan urusan teknis. Ini adalah cermin keberpihakan. Dan cermin itu, sampai hari ini, masih menunjukkan wajah buram.

PayPal mengakui data beberapa pelanggan terekspos karena kesalahan pada pengkodean aplikasi. Hal ini mengakibatkan penipu memiliki data pengguna yang bisa dimanfaatkan untuk melancarkan aksi penipuan.

"Kesalahan dalam pengkodean aplikasi PayPal menyebabkan data beberapa pelanggan terekspos dan bahkan mengakibatkan beberapa transaksi penipuan," demikian isi konfirmasi PayPal dikutip dari TechRadar, Senin (23/2).

Baru-baru ini, PayPal memberi tahu sebagian pelanggan bahwa perusahaan menemukan bug dalam aplikasi pinjaman PayPal Working Capital (PPWC), yang berfungsi sebagai produk pembiayaan bisnis.

Kerentanan itu ditemukan pada 12 Desember 2025 ini. Data yang bocor ternyata merupakan data sensitif seperti nama pengguna, alamat email, nomor telepon, alamat bisnis, nomor Jaminan Sosial (SSN), dan tanggal lahir, yang terekspos selama lebih dari lima bulan, antara tanggal 1 Juli sampai 13 Desember 2025.

Data-data itu kemudian dimanfaatkan oleh pelaku penipuan untuk melancarkan aksinya.

Dengan memiliki data kredensial, calon penipu menjadi seolah-olah benar berasal dari PayPal, sehingga mempersulit calon korban untuk membedakan email, pesan maupun panggilan yang diterima itu asli atau penipuan.

"Beberapa pelanggan mengalami transaksi tidak sah di akun mereka," kata PayPal. Akan tetapi, perusahaan menekankan bahwa akses tidak sah dicabut, dan uang para korban telah diganti.

PayPal juga telah mengganti semua kata sandi korban. Kode yang menyebabkan data pengguna terekspos juga sudah diperbaiki.

“Kami tidak menunda pemberitahuan ini sebagai akibat dari penyelidikan penegakan hukum apa pun,” kata PayPal.

Perusahaan juga menawarkan layanan pemantauan kredit dan pemulihan identitas gratis selama dua tahun melalui Equifax. TechRadar menyebutkan dalam artikel bahwa langkah ini merupakan praktik standar dalam insiden seperti ini di Amerika Serikat.

PayPal meminta semua pelanggan untuk tetap waspada terhadap email yang masuk, dan untuk lebih berhati-hati saat mengeklik tautan maupun mengunduh lampiran.

Sementara itu, Digital Watch menyebutkan jumlah pelanggan yang datanya terekspos mencapai ratusan, merujuk pada surat PayPal kepada konsumen pada 10 Februari 2026.

Insiden kebocoran data pengguna, termasuk serangan credential stuffing juga pernah terjadi pada 2023. Kasus ini memengaruhi hampir 35 ribu akun, dan mengakibatkan penipuan skala besar dengan modus phishing atau menyamar sebagai tim PayPal.

PayPal mengatakan bahwa perusahaan terus melakukan investigasi manual dan alat otomatis untuk mengurangi penipuan.

PayPal mengakui data beberapa pelanggan terekspos karena kesalahan pada pengkodean aplikasi. Hal ini mengakibatkan penipu memiliki data pengguna yang bisa dimanfaatkan untuk melancarkan aksi penipuan.

"Kesalahan dalam pengkodean aplikasi PayPal menyebabkan data beberapa pelanggan terekspos dan bahkan mengakibatkan beberapa transaksi penipuan," demikian isi konfirmasi PayPal dikutip dari TechRadar, Senin (23/2).

Baru-baru ini, PayPal memberi tahu sebagian pelanggan bahwa perusahaan menemukan bug dalam aplikasi pinjaman PayPal Working Capital (PPWC), yang berfungsi sebagai produk pembiayaan bisnis.

Kerentanan itu ditemukan pada 12 Desember 2025 ini. Data yang bocor ternyata merupakan data sensitif seperti nama pengguna, alamat email, nomor telepon, alamat bisnis, nomor Jaminan Sosial (SSN), dan tanggal lahir, yang terekspos selama lebih dari lima bulan, antara tanggal 1 Juli sampai 13 Desember 2025.

Data-data itu kemudian dimanfaatkan oleh pelaku penipuan untuk melancarkan aksinya.

Dengan memiliki data kredensial, calon penipu menjadi seolah-olah benar berasal dari PayPal, sehingga mempersulit calon korban untuk membedakan email, pesan maupun panggilan yang diterima itu asli atau penipuan.

"Beberapa pelanggan mengalami transaksi tidak sah di akun mereka," kata PayPal. Akan tetapi, perusahaan menekankan bahwa akses tidak sah dicabut, dan uang para korban telah diganti.

PayPal juga telah mengganti semua kata sandi korban. Kode yang menyebabkan data pengguna terekspos juga sudah diperbaiki.

“Kami tidak menunda pemberitahuan ini sebagai akibat dari penyelidikan penegakan hukum apa pun,” kata PayPal.

Perusahaan juga menawarkan layanan pemantauan kredit dan pemulihan identitas gratis selama dua tahun melalui Equifax. TechRadar menyebutkan dalam artikel bahwa langkah ini merupakan praktik standar dalam insiden seperti ini di Amerika Serikat.

PayPal meminta semua pelanggan untuk tetap waspada terhadap email yang masuk, dan untuk lebih berhati-hati saat mengeklik tautan maupun mengunduh lampiran.

Sementara itu, Digital Watch menyebutkan jumlah pelanggan yang datanya terekspos mencapai ratusan, merujuk pada surat PayPal kepada konsumen pada 10 Februari 2026.

Insiden kebocoran data pengguna, termasuk serangan credential stuffing juga pernah terjadi pada 2023. Kasus ini memengaruhi hampir 35 ribu akun, dan mengakibatkan penipuan skala besar dengan modus phishing atau menyamar sebagai tim PayPal.

PayPal mengatakan bahwa perusahaan terus melakukan investigasi manual dan alat otomatis untuk mengurangi penipuan.

Viral di media sosial data mahasiswa di 13 universitas diduga bocor. Spesialis Keamanan Teknologi Vaksincom Alfons Tanujaya mencatat beberapa data yang diunggah oknum, valid atau bukan rekayasa.

Sebelumnya akun Facebook dengan nama Matt Murdrock mengunggah tangkapan layar atau screenshot yang menunjukkan data mahasiswa diduga diunggah di dark web. Dark web adalah bagian tersembunyi dari internet yang tidak terindeks mesin pencari seperti Google Search, dan membutuhkan perangkat lunak khusus seperti browser Tor untuk mengaksesnya.

Dark web menawarkan anonimitas tinggi, karena enkripsi dan perutean lalu lintas melalui banyak server. Laman ini seringkali menjadikan tempat bagi aktivitas legal seperti penjualan data yang dicuri atau bocor.

Matt mengunggah screenshot laman di dark web yang diduga mengunggah data mahasiswa setidaknya dari 13 universitas di Indonesia.

Alfons menduga kebocoran data bukan berasal dari sistem satu per satu universitas, melainkan terpusat. “Probabilitas untuk diretas satu persatu ada, tetapi sangat repot dan (potensinya) relatif kecil,” ujar dia kepada Katadata.co.id, Senin (19/1).

Ia menduga para universitas mengumpulkan data di salah satu institusi atau badan publik. “Lalu yang mengelola badan publik itu tidak mengamankan dengan baik dan peretasnya berhasil masuk dan mengkopi semua data ini,” Alfons menambahkan.

Alfons menilai kebocoran data mahasiswa itu cukup ironis. Data yang tersebar bisa dieksploitasi oleh oknum.

“Data dia pernah kuliah di mana, ada nama orang tua, data kependudukan. Itu bisa dieksploitasi,” kata Alfons.

Oleh karena itu, ia meminta badan publik yang mengelola data perlu menyadari keamanan pengelolaan data. Hal ini menurut dia harus ditangani orang yang berkompeten.

Ia juga meminta Kementerian Komunikasi dan Digital atau Komdigi untuk menyelidiki dugaan kebocoran data mahasiswa, termasuk sumber kebocorannya. “Harus ada teguran. Kalau perlu sanksi, supaya mereka tahu bahwa mengelola data itu harus dengan konservatif dan baik,” kata Alfons.

Katadata.co.id sudah mengonfirmasi dugaan kebocoran data mahasiswa 13 universitas itu kepada Kementerian Komdigi, namun belum ada tanggapan.

Bisnis.com, JAKARTA — Pengguna Instagram di Indonesia mendapat notifikasi massal terkait permohonan untuk mengganti kata sandi atau password. Permohonan tersebut dikirim melalui surel kepada pengguna sejak beberapa hari lalu melalui akun email Instagram dengan centang biru.

Anggri (34) salah satu pengguna Instagram mengaku telah menerima notifikasi lewat surel dari email resmi Instagram untuk mengganti password pada 6 Januari 2026 atau 5 hari lalu. Anggri tidak hanya mendapat email itu sekali, tetapi berkali-kali. Maksudnya, selama 5 hari ini Anggri sudah mendapat 2 kali notifikasi pada tanggal 6 Januari dan 10 Januari.

Anggri sempat mengunggah permohonan tersebut di story IG. Seketika ada 7 teman yang mengirim pesan langsung (DM) ke akunnya dan mengaku mengalami hal yang sama.

“Langsung dapat DM hari itu juga, mereka bilang juga dapat notifikasi yang sama,” kata Anggri kepada Bisnis, Minggu (11/1/2026).

Anggri mengatakan setelah mendapat email tersebut dirinya tidak langsung mengganti password karena khawatir itu bagian dari upaya penipu mencuri data-data pentingnya. Terlebih, password yang dia pakai mirip dengan password beberapa akun media sosial lainnya.

Masalah serupa juga dialami oleh pengguna IG bernama Denis, yang juga mengaku mendapat email untuk mengubah password. Denis memilih mengabaikan pesan tersebut karena khawatir itu sebagai upaya scam. Dengan mengganti password, mereka khawatir data mereka diambil.

“Aku diamkan permintaan saja permintaannya di email. Semoga aman,” kata Denis.

Bisnis telah mencoba mengonfirmasi kepada Meta mengenai kabar dugaan data bocor Instagram dan kekhawatiran pengguna terkait permintaan penggantian password IG lewat email. Hingga berita ini diturunkan, Meta tidak membalas.

Centang Biru Tak Berarti Asli

Sementara itu Ketua Indonesia Cyber Security Forum (ICSF), Ardi Sutedja menyarankan jika pengguna ingin melakukan pengkinian password, sebaiknya langsung di aplikasi Instagram yang sudah terdaftar di perangkat masing-masing karena sudah terverifikasi.

Dia mengimbau agar pengguna IG tidak mengklik tautan yang disebar di email meski itu dari akun email resmi Instagram.

“Jangan mengklik link-link atau tautan-tautan yang ada di email atau DM karena sekarang sangat sulit untuk verifikasi benar atau tidaknya email-email tersebut,” kata Ardi kepada Bisnis.

Dia juga menekankan bahwa centang biru belum tentu akun resmi. Menurutnya, saat ini makin banyak email-email phising yang sulit diverifikasi keabsahannya terutama oleh mayoritas pengguna yang awam tentang masalah keamanan siber.

“Terus kalau di IG langsung, kalau pengguna lama tentunya aplikasinya sudah terverifikasi dan sudah di-patch dan pengkiniannya sudah yang terbaru sehingga tinggal pengkinian passwordnya. Kalau klik link email, kita juga tidak tahu apakah emailnya bener atau tidak?. Centang biru juga tidak menjamin,” kata Ardi kepada Bisnis.

Senada, Ketua Bidang Network dan Infrastruktur Indonesian Digital Empowerment Community (IDIEC) Ariyanto A. Setyawan meminta masyarakat untuk berhati-hati jika mendapat permintaan ganti password Instagram melalui email karena kemungkinan besar yang mengirim email adalah pihak lain, bukan pihak Instagram resmi.

“Tunggu dipaksa reset dari aplikasinya saja. Best practicenya di pengembang aplikasi saat ini untuk proses pemaksaan ganti password itu ya di aplikasinya, bukan dikirim email. Kalau email, banyaknya phishing dan teknik itu sudah ditinggalkan oleh pengembang aplikasi,” kata Ariyanto.

Untuk diketahui Phishing merupakan teknik penipuan siber yang bertujuan mencuri data sensitif seperti username, password, nomor rekening, atau informasi pribadi lainnya.

Pelaku phishing biasanya menyamar sebagai entitas tepercaya seperti bank, Instagram, pemerintah, atau perusahaan besar melalui email, SMS, WhatsApp, telepon, atau situs web palsu. Mereka mengirim pesan mendesak seperti “Akun Anda akan diblokir, verifikasi sekarang” dengan tautan yang mengarah ke halaman login tiruan, sehingga korban memasukkan data tanpa curiga.

Kasus Phising Meningkat Signifikan

Di Indonesia angka phising cenderung meningkat. BSSN mencatat pada September 2025 aktivitas anomali siber total mencapai 4,41 miliar, termasuk phishing sebagai urutan ke-3 modus terbanyak setelah malware dan akses tidak sah. Phishing disebut modus yang banyak ditemui dengan lonjakan hingga 26 juta kasus.

Sementara itu Komdigi mencatat ada 1,2 juta laporan penipuan digital hingga pertengahan 2025, mayoritas phishing/smishing via SMS/email.

Sebelumnya, ribuan pengguna Instagram di seluruh dunia, termasuk di Indonesia, baru-baru ini menerima notifikasi permintaan reset password secara massal.

Laporan dari perusahaan antivirus Malwarebytes menyebut telah terjadi kebocoran data yang memengaruhi 17,5 juta akun Instagram dengan informasi sensitif seperti nama pengguna, alamat fisik, nomor telepon, dan alamat email yang bocor.

Malwarebytes menemukan pelanggaran ini melalui pemindaian rutin di dark web, yang terkait dengan kebocoran API Instagram pada 2024.[conversation_history] Data tersebut kini dijual secara terbuka dan berpotensi disalahgunakan untuk serangan siber seperti phishing atau pengambilalihan akun, memicu lonjakan permintaan reset password yang membingungkan pengguna.

Dilansir dari Cybersecuritynews, Minggu (11/1/2026), melaporkan insiden ini awal memicu kekhawatiran serius soal privasi dan keamanan akun pengguna global, termasuk di Indonesia.

Penjual di dark web bernama "Subkek" mengklaim data ini di-scrape melalui API publik Instagram dan sumber negara-spesifik pada akhir 2024, dengan sampel record terlihat jelas di listing. Kombinasi data ini memudahkan pencuri identitas, phishing targeted, dan social engineering, di mana penjahat siber bisa kirim pesan palsu seolah dari Instagram untuk curi kata sandi.

Kementerian ESDM atau Energi dan Sumber Daya Mineral diduga mengalami kebocoran data. Spesialis Keamanan Teknologi Vaksincom Alfons Tanujaya mengatakan data yang diunggah valid dan berpotensi berbahaya.

Kabar kebocoran data pertama kali diungkapkan oleh akun Instagram Merdeka Siber. Peretas disebut berhasil menyusup ke server internal Kementerian ESDM dan mengunggah data berukuran 9,2 GB berisi dokumen rahasia ke dark web.

Dark web adalah bagian tersembunyi dari internet yang tidak terindeks mesin pencari seperti Google, dan memerlukan perangkat lunak khusus, seperti peramban Tor, untuk diakses.

Hacker disebut berhasil menyusup ke server Kementerian ESDM, karena menggunakan username dan password lama, yang lebih dulu terekspos ke publik, dan belum diperbarui. Data rahasia yang dibocorkan mencakup informasi sejak 2012 hingga 2026.

Di antara ribuan dokumen yang diduga bocor, ada dokumen sensitif seperti laporan uji coba transaksi LPG 3 kilogram melalui aplikasi MyPertamina, basis data perusahaan lengkap dengan NPWP, dokumen rencana kerja atau whistleblowing system (WBS), hingga rekaman pertemuan internal melalui Zoom.

Lihat postingan ini di Instagram

Sebuah kiriman dibagikan oleh Merdeka Siber • Belajar Cyber Security Dari Nol! (@merdekasiber)

Katadata.co.idmengonfirmasi dugaan kebocoran data ini kepada pihak Kementerian ESDM, namun belum ada tanggapan secara resmi.

Alfons Tanujaya memeriksa data yang diduga bocor, seperti Nomor Induk Kependudukan (NIK), Nomor Induk Pegawai (NIP), detail jabatan, unit kerja, nama jabatan, alamat email, nomor telepon seluler hingga data PNS terkait.

Berdasarkan penelusuran, jumlah data yang terkena dampak mencapai 2.514 data vendor ESDM dan 6.281 data ASN ESDM. Alfons menyebut, sebagian data ini telah dilakukan pengecekan, mulai dari kecocokan NIK dengan basis data Dukcapil hingga kesesuaian nomor telepon dengan identitas pemiliknya.

Hasil pengecekan, datanya valid atau bukan rekayasa oknum peretas. “Patut ditengarai terjadi kebocoran data dari Kementerian ESDM karena pengelolaan data yang ceroboh dan tidak mengikuti standar pengelolaan dan akses data yang baik,” ujar Alfons kepada Katadata.co.id, Jumat (9/1).

“Bagi vendor, data ini merupakan data rahasia. Jika bocor dan digunakan untuk eksploitasi, tentu akan sangat merugikan vendor ESDM. Ini menunjukkan kurangnya tanggung jawab pihak ESDM dalam mengelola data,” Alfons menambahkan.

Sementara bagi ASN, kebocoran data ribuan pegawai dinilai membuka peluang besar terjadinya penipuan berbasis data akurat atau scamming tertarget. “Dengan data seperti nama, status, jabatan, NIP, dan alamat, penipuan bisa dilakukan dengan sangat efektif,” kata Alfons.

Bisnis.com, JAKARTA— Perusahaan e-commerce raksasa asal Korea Selatan Coupang, mengumumkan rencana kompensasi senilai US$1,5 miliar atau setara dengan Rp25,2 triliun. Hal ini diakibatkan karena kebocoran data pribadi pengguna pada November lalu.

Setidaknya terdapat 33,7 juta pengguna terdampak yang mengalami kebocoran data. Rencananya Coupang akan memberikan kupon senilai US$35 atau sekitar Rp590 ribu.

Informasi dari KBS, Rabu (31/12/2025), kupon ini dibagi menjadi empat bagian dan hanya bisa digunakan di layanan milik Coupang sendiri, seperti belanja produk, Coupang Eats, Perjalanan, dan R.LUX.

Rencana ini diumumkan setelah pendiri Coupang, Bom Kim, menyampaikan permintaan maaf pada publik dan berjanji akan mempercepat proses kompensasi.

Namun, itu bukan menjadi penyelesaian masalah. kebijakan tersebut justru memicu kritik luas dari publik, politisi, dan kelompok advokasi konsumen.

Banyak pihak menilai bahwa kompensasi dalam bentuk voucher bukanlah ganti rugi yang adil atas kebocoran data pribadi yang serius, karena voucher tersebut hanya bisa digunakan di ekosistem Coupang.

Artinya, pengguna dipaksa kembali berbelanja di platform yang justru telah gagal melindungi data mereka.

Kritik ini semakin kuat karena beberapa layanan yang disertakan dalam voucher dianggap jarang digunakan, sehingga nilainya tidak benar-benar setara bagi semua korban.

Masalah semakin diperparah oleh sikap manajemen Coupang. Bom Kim menolak menghadiri sidang parlemen Korea Selatan yang dijadwalkan untuk membahas kasus kebocoran data ini, dengan alasan memiliki agenda lain pada awal Desember lalu.

Ketidakhadirannya dipandang sebagai bentuk kurangnya tanggung jawab moral terhadap publik dan pembuat kebijakan. Sejumlah anggota parlemen menilai Coupang mencoba mengubah krisis perlindungan data menjadi peluang bisnis, karena voucher berpotensi mendorong konsumsi tambahan alih-alih benar-benar mengganti kerugian pengguna.

Masalah lain juga muncul dari penyajian informasi itu sendiri. Dalam beberapa laporan, terdapat kesalahan penyebutan tokoh, pengulangan informasi yang berlebihan, serta inkonsistensi angka dan bahasa.

Kesalahan paling serius adalah penyebutan nama Kim Jong-un, yang sama sekali tidak terkait dengan Coupang, sehingga menunjukkan lemahnya verifikasi fakta. (Nur Amalina)

Bisnis.com, JAKARTA — Beberapa pegawai layanan pelanggan perusahaan jual beli mata uang kripto Coinbase diduga menerima suap dari penjahat siber. Mereka memberikan data pribadi pelanggan dengan total 70.000 data pelanggan bocor.

CEO Coinbase Brian Armstrong mengatakan polisi Hyderabad telah menangkap mantan agen layanan pelanggan Coinbase. Penangkapan ini bukan yang terakhir, perusahaan akan terus mengejar pelaku lainnya sampai mereka menerima hukuman.

"Satu lagi berhasil dikalahkan, dan masih akan ada lagi," kata Armstrong mengutip The Register, Selasa (30/12/2025).

Walaupun data yang bocor cukup banyak, seperti nama, alamat, nomor telepon, email, hingga data identitas, namun akses penting seperti kata sandi, kode keamanan (2FA), dan dompet kripto tidak ikut bocor.

Namun demikian, perlu diwaspadai karena penjahat memanfaatkan data tersebut untuk menipu pelanggan, dengan cara menyamar sebagai pegawai Coinbase, lalu membujuk korban agar menyerahkan kripto mereka. Selain itu, para penjahat juga memeras Coinbase dan meminta uang tebusan senilai US$20 juta atau Rp334 miliar.

Coinbase menolak membayar tebusan tersebut. sebagai gantinya, mereka menyediakan US$20 juga atau Rp334 miliar bagi siapapun yang membantu menangkap para pelaku kejahatan tersebut.

Kasus ini memicu kritik dari publik, terutama karena Coinbase mengalihdayakan layanan pelanggan ke luar negeri, yang dianggap membuka celah terjadinya suap dan kebocoran data. Coinbase sendiri memang sudah sering dikritik sebelumnya karena layanan pelanggan yang dinilai buruk.

Selain itu, Coinbase bekerja sama dengan kejaksaan Distrik Brooklyn untuk membantu penyelidikan dan proses hukum terhadap seorang pria asal Brooklyn. Pria bernama Ronald Spektor (23) dituduh menyamar sebagai petugas layanan pelanggan Coinbase.

Dengan cara itu Spektor berhasil menipu sekitar 100 pengguna dengan modus mengatakan akun mereka terancam diretas. Korban dibujuk untuk menyerahkan aset kripto mereka kemudian aset tersebut akan dipindahkan ke dompet kripto milik Spektor.

Total kerugian mencapai US$16 juta atau Rp267 miliar. Saat ini penegak hukum berhasil menyita US$600 ribu atau sekitar Rp10 miliar dari hasil kejahatan tersebut.

Coinbase menegaskan bahwa kasus Spektor ini tidak ada kaitannya dengan kasus lain yang melibatkan pegawai layanan pelanggan Coinbase di luar negeri yang menerima suap dan membocorkan data pelanggan, meskipun modusnya sama-sama mengaku sebagai petugas Coinbase. (Nur Amalina)

Jakarta, CNBC Indonesia - Kebiasaan meninggalkan kartu identitas seperti KTP di meja resepsionis sebelum memasuki gedung masih banyak dijumpai di berbagai tempat. Prosedur ini bahkan sering menjadi syarat wajib bagi pengunjung agar bisa mendapatkan akses masuk.

Namun, Peneliti dari Lembaga Studi & Advokasi Masyarakat (ELSAM), Parasurama Pamungkas, menilai praktik tersebut bertentangan dengan prinsip perlindungan data pribadi.

Menurutnya, pengumpulan data yang tidak relevan dengan tujuan utama aktivitas, misalnya hanya untuk masuk ke sebuah gedung.

"Nah, pengumpulan data pribadi yang sebenarnya tidak relevan dengan aktivitas yang kita lakukan, seperti masuk tower, kemudian daftar akun, itu merupakan sebenarnya ketidakpatuhan pengontrolan terhadap prinsip-prinsip perlindungan data pribadi," kata Parasurama kepada CNBC Indonesia, dikutip Sabtu, (1/11/2025).

Dia juga menyebut bisa menjadi "pelanggaran" karena ada beberapa prinsip yang tidak terpenuhi. Misalnya tujuan pengumpulan data itu harus terbatas dan relevan.

Pengendali data juga tidak memenuhi unsur keabsahan. Karena data pribadi yang dikumpulkan tidak relevan dan untuk tujuan lain.

Indonesia telah memiliki aturan privasi lewat Undang-Undang Perlindungan Data Pribadi sejak 2022. Aturan ini mengatur dengan ketat hak warga RI sebagai pemilik data pribadi serta menetapkan ancaman sanksi bagi perusahaan serta institusi pemerintah yang lalai melindungi data pribadi.

Namun, pelaksanaan UU ini masih tersendat karena pemerintah belum mendirikan badan pengawas perlindungan data pribadi seperti perintah UU. Badan pengawas tersebut seharusnya berdiri 1 tahun sejak UU diterbitkan yang jatuh pada 17 Oktober 2024.

"Kemudian menggunakannya untuk tujuan lain, dan dia juga kehilangan dasar hukumnya untuk melanjutkan atau memproses data-data yang tidak relevan tadi," ujarnya.

Pihak pengelola gedung seharusnya bisa mencari cara selain mengumpulkan KTP atau pemindaian wajah, dalam hal ini cara yang tidak berisiko untuk masyarakat. Termasuk menyediakan opsi agar tidak membatasi aktivitas masyarakat untuk mengakses tempat tersebut.

Parasurama menegaskan privasi harusnya bisa diberikan secara default dan by desain. Perlindungan atas privasi juga harus dilakukan oleh pengelola area-area terbatas, termasuk untuk gedung.

"Nah, itu sebenarnya merupakan bagian dari pelanggaran data, perlindungan data pribadi. Karena ini sama hal dengan platform digital ya, bagaimana kita bisa menikmati platform yang tidak ada ads dengan membayar misalnya gitu," jelas dia.

Dihubungi terpisah, Pakar Keamanan Siber dari Vaksincom, Alfons Tanujaya menjelaskan foto selfie dan KTP bukan alat identifikasi yang diakui menurut Dukcapil.

Terkait keamanannya, Alfons mengatakan bergantung pada pengelolaan datanya. Yakni cara mereka menyimpan data, apakah sudah aman atau tidak.

"Lalu apakah itu aman atau tidak ya tergantung lah pengelola datanya, bagaimana dia menyimpan data itu. Kalau dia tidak menyimpan dengan aman ya kalau data bocor ya selesai juga," kata Alfons.

"Yang tidak selesai juga akan bocor datanya gitu loh. Beserta fotonya, mukanya, selfienya, yang tinggal dikerjain pakai AI kan, dipermak lagi," dia menambahkan.

Jakarta, CNBC Indonesia-Menteri Keuangan Purbaya Yudhi Sadewa melakukan berbagai perbaikan pada sistem inti administrasi perpajakan atau coretax. Terutama pada sisi keamanan.

"Kemarin kan ada data Coretax, ternyata dijual di luar ya, ada yang bolong gitu," ungkapnya dikutip Senin (26/10/2025).

Perbaikan, lanjut Purbaya dilakukan dengan sangat rinci. Sistem yang dirancang dengan anggaran triliunan tersebut kini sudah memiliki tingkat keamanan data yang nyaris mencapai 100%

"Sekarang securitynya Coretax udah bagus sekali, kan dulu saya bilang cybersecuritynya 30 dari 100, sekarang udah 95 plus, jadi kalau udah nilainya udah A plus itu securitynya," terang Purbaya.

Purbaya mengaku telah memilih orang-orang terbaik dari dalam negeri untuk penanganan coretax sehingga bisa diperbaiki dalam waktu lebih cepat. "Ini cepat sekali membaiknya dalam waktu yang singkat, dari D sampai E, jadi A plus. Jadi cybersecuritynya sudah bagus sekali," ujarnya

Purbaya meyakinkan masyarakat, khususnya wajib pajak agar tidak perlu khawatir tentang keamanan data.

"Sekarang hampir pasti udah gak bisa lagi, dan kita juga udah panggil hacker kita, yang jago-jago orang Indonesia ya, bukan orang asing yang jago-jago," kata Purbaya.

"Orang Indonesia tuh hackernya jago-jago banget, di dunia juga ditakutin rupanya. Saya panggil yang ranking-ranking dunia itu, yang jagoan, kita bayar sih, bantuin saya, jadi sudah di test, udah lumayan," paparnya.

Bisnis.com, JAKARTA — Sekitar lima juta pelanggan maskapai Qantas dilaporkan menjadi korban kebocoran data besar-besaran yang dilakukan oleh kelompok peretas internasional Scattered Lapsus$ Hunters. Data pribadi tersebut telah beredar di dark web.

Melansir laman The Guardian pada Senin (13/10/2025) kebocoran ini merupakan bagian dari serangan yang menargetkan lebih dari 40 perusahaan global, termasuk Qantas, Google, Toyota, Disney, McDonald’s, dan Air France-KLM.

Pemerintah Australia memperkirakan jumlah upaya penipuan (scam) akan meningkat tajam setelah insiden ini. Qantas mengonfirmasi data pelanggan yang bocor mencakup nama, alamat email, dan nomor keanggotaan frequent flyer milik lebih dari 5 juta pelanggan.

Beberapa catatan bahkan mencantumkan alamat rumah dan kantor, tanggal lahir, nomor telepon, jenis kelamin, hingga preferensi makanan. Sejumlah politisi federal juga termasuk di antara korban kebocoran, menurut pernyataan Koordinator Keamanan Siber Nasional Australia.

Meski begitu, Qantas menegaskan tidak ada data berupa dokumen identitas, kartu kredit, rincian keuangan, kata sandi, maupun PIN yang bocor. Para peretas juga tidak berhasil mengakses akun frequent flyer pelanggan.

Qantas telah mendapatkan perintah pengadilan dari Mahkamah Agung New South Wales untuk mencegah akses, penyebaran, atau penggunaan data yang dicuri. Menteri Keamanan Siber Tony Burke menegaskan bahwa mengakses data curian di dark web adalah tindakan ilegal.

“Tidak ada alasan untuk mencoba mencari data itu, bahkan jika Anda hanya ingin memeriksa milik Anda sendiri,” ujarnya.

Namun, pemerintah Australia memperkirakan data yang sudah terlanjur bocor akan tetap dimanfaatkan oleh pelaku kejahatan siber untuk menipu masyarakat. Qantas mengaku telah menerima laporan meningkatnya kasus penipuan yang mengatasnamakan perusahaan.

Pemerintah Australia dan Qantas meminta masyarakat waspada terhadap panggilan telepon atau email mencurigakan yang mengaku dari perusahaan resmi. “Jika Anda menerima panggilan tak terduga, tutup telepon dan hubungi kembali melalui saluran resmi,” ujar Burke.

Peneliti utama Data61 CSIRO, Dr. Marthie Grobler, memperingatkan data frequent flyer bisa dimanfaatkan untuk membuat penipuan yang tampak meyakinkan, seperti tawaran penukaran poin atau pengaturan ulang jadwal penerbangan palsu. Qantas menegaskan agar pelanggan hanya merespons email resmi yang diakhiri dengan domain @qantas.com atau @qantas.com.au, bukan alamat palsu seperti qantas.net atau qantas.biz. Otoritas privasi nasional juga menyarankan masyarakat untuk mengganti kata sandi email dan mengaktifkan autentikasi dua langkah.

Qantas sendiri telah membuka layanan bantuan 24 jam dan menyediakan panduan perlindungan identitas bagi pelanggan terdampak. Hingga saat ini, Qantas belum menawarkan kompensasi bagi pelanggan yang terdampak. Menteri Burke mengatakan fokus pemerintah masih pada penyelidikan dugaan pelanggaran kewajiban perlindungan data yang dapat berujung pada denda bagi perusahaan.

Sementara itu, firma hukum Maurice Blackburn menyatakan tengah mempertimbangkan langkah hukum berupa gugatan perwakilan (class action) atas nama pelanggan Qantas. Firma tersebut sebelumnya telah mengajukan keluhan resmi terkait kebocoran data ini pada Juli lalu. Menurut Qantas, peretas tidak mendapatkan data melalui penipuan langsung terhadap pelanggan, melainkan dengan menyusup ke sistem pusat layanan pelanggan (call centre) pada Juni lalu dan mengakses platform layanan pelanggan.

Investigasi dari Google menunjukkan kelompok peretas berpura-pura menjadi staf dukungan teknis (IT support) dan menipu pegawai perusahaan agar memberikan akses ke sistem Salesforce—platform penyimpanan data pelanggan.

Salesforce menegaskan tidak ada kerentanan perangkat lunak yang dimanfaatkan dan sistem mereka tidak diretas secara langsung.