jpnn.com, JAKARTA - Praktisi keamanan siber Pratama Persadha mengatakan Tokopedia dilaporkan mengalami peretasan, seperti dalam cuitan akun Twitter, @underthebreach.
Bahkan, kata Pratama, jumlahnya diperkirakan 91 juta akun dan 7 juta akun merchant, tidak lagi 15 juta seperti diinfokan sebelumnya.
Padahal, lanjut dia, pada 2019 Tokopedia menginfokan bahwa ada sekitar 91 juta akun aktif di platformnya.
BACA JUGA: Tokopedia Pastikan Tak Ada Kebocoran Data Pembayaran
"Artinya hampir semua akun di Tokopedia berhasil diambil datanya oleh peretas,” kata Pratama dalam keterangannya, Minggu (3/5).
Menurut Pratama, pelaku menjual data di darkweb berupa user ID, email, nama lengkap, tanggal lahir, jenis kelamin, nomor handphone dan password yang masih ter-hash atau tersandi.
"Semua dijual dengan harga US$ 5.000 atau sekitar Rp 74 juta. Bahkan ada 14.999.896 akun Tokopedia yang datanya saat ini bisa di-download," jelasnya.
Pratama menjelaskan bahwa kejadian seperti ini harus cepat direspons oleh pihak Tokopedia dan juga para penggunanya. "Karena ancaman penipuan dan pengambilalihan akun bisa terjadi kapan saja," ujarnya.
Pratama menjelaskan peretas Whysodank pertama kali mempublikasikan hasil
peretasan di raid forum pada Sabtu (2/5). Kemudian peretas ShinyHunters mem-posting thread penjualan 91 juta akun Tokopedia di forum darkweb bernama EmpireMarket. Dari sinilah, kata dia, akun @underthebreach memublikasikan peretasan Tokopedia ke publik Twitter.
“Memang data untuk password masih dienkripsi, namun tinggal menunggu waktu sampai ada pihak yang bisa membuka. Itulah kenapa pelaku mau melakukan share gratis beberapa juta akun untuk membuat semacam sandiwara siapa yang berhasil membuka kode acak pada password,” jelas chairman Communication & Information System Security Research Center (CISSReC) ini.
Pratama menambahkan, meski password masih dalam bentuk acak, namun data lain sudah plain alias terbuka. Artinya semua peretas bisa memanfaatkan data tersebut untuk melakukan penipuan dan pengambilalihan akun-akun di internet.
BACA JUGA: YLKI Respons Keluhan Pengguna Tokopedia, Tulus: Pemerintah Harus Ikut Campur
Misalnya, kata dia, mengirimkan link phising maupun upaya social engineering lainnya. Karena itu, ujar Pratama, seharusnya Tokopedia melakukan update dan informasi kepada seluruh penggunanya segera.
“Bila nantinya password sudah berhasil dibuka oleh pelaku, pastinya salah satu yang akan dilakukan adalah takeover akun. Lalu pelaku secara random akan mencoba melakukan take over akun medsos dan marketplace lainnya, karena ada kebiasaan penggunaan password yang sama untuk semua platform,” kata dia.
Pratama menggarisbawahi yang bisa dilakukan pengguna Tokopedia adalah mengganti password dan mengaktifkan OTP (one time password) lewat SMS. Lalu mengganti semua password dari akun media sosial dan platform marketplace selain Tokopedia.
“Akibat peretasan Tokopedia ini bisa menjalar ke akun media sosial dan platform lainnya bila menggunakan email dan password yang sama. Terutama bagi admin akun medsos pemerintah dan lembaga harus cepat melakukan pengamanan akun sebagai langkah antisipasi,” jelasnya.
Pratama menambahkan saat mendapatkan sampel data dari forum, belum ada data kartu kredit maupun debet yang disebar pelaku. Harapannya data kartu tidak ikut menjadi salah satu yang berhasil diretas.
“Pihak Tokopedia harus bertanggung jawab atas kejadian ini karena data penggunanya diambil dan diperjualbelikan," ungkapnya.
Pihak Tokopedia wajib secara berulang-ulang, dengan menggunakan segala sarana media yang ada, menyosialisasikan apa saja yang harus dilakukan oleh para penggunanya, seperti ganti password akun dan mengaktifkan OTP. "Sampai semua penggunanya menyadari kebocoran ini dan mau mengganti password-nya," ungkapnya.
Dia menegaskan bahwa kejadian ini bukan yang pertama kali di tanah air. Sebelumnya, kata Pratama, Bukalapak juga mengalami hal serupa. Pratama menyatakan seharusnya ini menjadi peringatan keras pada setiap penyedia layanan di internet yang memakai banyak data masyarakat dalam kegiatannya.
Menurut dia, penetration test harus sesering mungkin dilakukan untuk mengetahui dimana saja letak celah keamanan. Situs marketplace akan selalu menjadi sasaran para peretas karena banyak menghimpun data masyarakat, terutama kartu kredit, kartu debit dan dompet digital.
“Perkuat pengamanan sistemnya, investasi lebih banyak untuk cyber security. Penggunaan enkripsi harus merata terhadap semua data yang berhubungan dengan user, jangan hanya password seperti saat ini,” jelas Pratama.(boy/jpnn)
BACA JUGA: Nasir Djamil Mengaku Heran Jika Menuduh Kapolri Jenderal Idham Azis Melangkahi Presiden
Redaktur & Reporter : Boy