Kasus kebocoran pengguna e-commerce Tokopedia sempat membuat heboh pada Mei lalu. Seorang anggota forum peretas Raidforums.com mengaku memiliki data 91 juta pengguna e-commerce tersebut dan menjualnya. Belakangan, pada akhir pekan ini, Lembaga Riset Siber Indonesia CISSRec (Communication and Information System Security Research Center) menemukan bahwa ada orang yang membeli data tersebut dan mengedarkan tautan unduhannya melalui Facebook.

Chairman CISSReC Pratama Persadha mengatakan link tersebut di-posting pada Sabtu (4/7/2020) kemarin, oleh salah satu anggota grup terkait keamanan siber di Facebook yang memiliki hampir 15.000 anggota. Tautan tersebut bersumber dari anggota situs Raidforums bernama @Cellibis yang sudah lebih dulu menyebarkan link di situs tersebut pada Jumat (3/7/2020), atau sehari sebelum tautan diunggah ke Facebook.

“Akun tersebut membagikan secara hampir cuma-cuma di Raidforums yang sebelumnya dia dapatkan dari cara membeli data tersebut di darkweb sebesar 5.000 US Dollar (Rp 72,6 juta),” ujar Pratama dalam keterangan tertulis yang dilayangkan ke KompasTekno.

Data 91 juta pengguna, dari nama lengkap, e-mail, hingga nomor ponsel Pratama mengungkapkan bahwa seseorang yang ingin mengunduh file bocoran data pengguna Tokopedia tersebut harus menggunakan VPN lantaran file itu disimpan oleh server yang berbasis di Amerika Serikat (AS).

Raidforums juga menerapkan sistem pembayaran berbasis credits untuk link download. Member bisa melakukan deposit uang via Paypal, minimal sebesar 8 euro (Rp 130.000), untuk mendapatkan 30 credits. Link bocoran data pengguna Tokopedia dibanderol 8 credits. Apabila pembayaran sudah dilakukan, maka link hosting dari pihak ketiga akan muncul dan siap diunduh.

hasil unduhan berbentuk format zip dengan ukuran data sebesar 9,5 GB. Setelah itu, unduhan tersebut harus diekstrak dengan hasil file akhir berbentuk .txt sebesar 28,5 GB. Namun, file teks berukuran besar itu tidak bisa langsung dibuka, melainkan harus dengan aplikasi khusus seperti Ultraedit.

“Setelah itu kita bisa melihat data sebanyak 91.174.216 (pengguna) yang berisikan nama lengkap, nama akun, e-mail, toko online, tanggal lahir, nomor ponsel, tanggal mendaftar, serta beberapa data yang terenkripsi berbentuk hash,” ujar Pratama.

Pemilik file kemudian bisa dengan mudah mencari informasi pengguna Tokopedia, entah nomor ponsel, e-mail, atau lainnya, dengan fitur search.
Menurut Pratama, data yang dibocorkan lewat link ini sama dengan bocoran pada awal Mei 2020 lalu, yaitu data yang diambil per bulan Maret 2020 dari Tokopedia. Hingga hari Minggu (5/7/2020) pukul 10.00 WIB, tautan untuk mengunduh data 91 juta akun Tokopedia masih bisa diakses dan sudah diunduh oleh setidaknya 58 orang. Pada tautan tersebut tertulis link akan kadaluarsa sampai 5 hari kedepan. Namun, ketika dikonfirmasi oleh Pratama mengatakan bahwa link terkait sudah dihapus pada Minggu sore tadi, baik di situs Raidforums maupun grup Facebook tempat tautan disebarkan. “Link yang dijanjikan akan dihapus 5 hari lagi, ternyata sudah tidak aktif, alias menghilang,” kata Pratama lewat pesan singkat. Tanggapan Tokopedia Lewat pernyataan tertulis, VP of Corporate Communications Tokopedia, Nuraini Razak, mengatakan pihaknya telah mengetahui adanya penyebaran informasi secara ilegal di media sosial dan forum internet terkait data pelanggannya yang dicuri.

“Kami telah melaporkan hal ini ke pihak kepolisian dan juga mengingatkan seluruh pihak untuk menghapus segala informasi yang memfasilitasi akses ke data yang diperoleh melalui cara yang melanggar hukum,” ujar Nuraini.
Dia menegaskan bahwa ini bukanlah upaya pencurian data baru dan informasi password pengguna Tokopedia tetap aman terlindungi di balik enkripsi. Meski demikian, Pratama mengatakan bahwa, apabila data tersebut jatuh ke tangan hacker yang ahli melakukan cracking hash, maka password bisa saja diketahui dan selanjutnya dapat terjadi pengambilalihan akun. Dalam pesan singkatnya, Pratama menyayangkan Tokopedia yang dinilainya kurang serius dalam menangani persoalan sekuriti. Selain itu, menurut dia, tanpa aturan yang tegas, setiap penyelenggara sistem elektronik baik negara maupun swasta tidak mendapat tekanan untuk membuat sistem dan maintenance terbaik.

“Adanya 91 juta data (pengguna Tokopedia) yang bocor ini membuktikan betapa lemahnya regulasi perundang-undangan kita yang menaungi wilayah siber dan data pribadi. Sekali lagi, RUU Perlindungan Data Pribadi harus segera diselesaikan,” ujar Pratama.