Ilustrasi | Foto: freepik.com
Ilustrasi | Foto: freepik.com
Cyberthreat.id – Kebocoran data pasien menjadi isu paling mengemuka pekan ini. Namun, ada sedikit informasi yang melenceng dari apa yang seharusnya dipahami dari data yang ditawarkan oleh peretas.
Cyberthreat.id mencoba membeberkan secara sederhana konteks seputar kebocoran data pasien dalam bentuk tanya-jawab.
Di mana data itu ditawarkan atau dijual?
Penjual dengan nama akun “astarte” menawarkan data di sebuah forum jual beli online. Forum ini sebetulnya telah diblokir oleh Kementerian Komunikasi dan Informatika RI tahun lalu sejak kasus penjualan data 279 juta peserta BPJS Kesehatan. (Baca: BSSN Sebut Ada Anomali di Server BPJS Kesehatan, Penyelidikan Beralih ke Polri)
Apa sih yang ditawarkan penjual?
Data pasien Indonesia. Ia mengklaim memiliki 720 gigabita dokumen dan 6 juta basis data pasien Indonesia. Dalam dokumen tersebut terbagi tiga folder:
Apa isinya?
Peretas memberi sampel data sebesar 3,1 GB. Sampel ini mencakup data-data dari tiga folder dokumen di atas.
Apakah itu benar data pasien Covid-19?
Peretas sama sekali tidak menggarisbawahi secara khusus bahwa dokumen dan basis data yang dimilikinya tersebut tentang pasien Covid-19.
Tapi, kok beredar informasi data pasien Covid-19?
Kemungkinan mereka yang menuliskan informasi tersebut membaca frase, seperti “covid-19 test results”, “covid-19 isolation approval letter”, lalu ada di bagian basis data “diagnosa” bertuliskan frase “sesak napas terus menerus”, “batuk”, “pneumonia”, “susp covid-19”, atau “membutuhkan ventilator”.
Namun, mereka tidak melihat detail informasi lain, bahwa ada “pasien membutuhkan dokter spesialis jantung”, “tumor ginjal”, “pasien membutuhkan kemoterapi”, atau “keluhan sesak nafas terus menerus dan memberat…tangan bengkak, perut membesar, lemas..”
Jika melihat sampel informasi “diagnosis” yang dicantumkan peretas, memang ada dugaan pasien Covid-19.
Namun, masih ada data lain yang harus dilihat, yaitu tiga folder dokumen tadi. Dari folder-folder itu, sebagian besar berisi file foto, PDF, dan beberapa file video, antara lain:
Dengan begitu, tidak tepat hanya menyimpulkan bahwa data yang bocor hanya tentang pasien Covid-19. Karena, banyak pasien dengan riwayat sakit lain yang masuk dalam cakupan data yang ditawarkan itu.
Pakar keamanan siber Pratama Persadha yang telah melihat sampel data juga memiliki keyakinan yang sama, bahwa itu bukan data pasien Covid-19. Dari foto-foto yang dilihatnya, kemungkinan sebagian besar seperti korban kecelakaan atau penyakit keras. “Tapi, kemungkinan memang bukan pasien yang terkena Covid,” kata Chairman Communication & Information System Security Research Center (CISSReC), sebuah lembaga riset siber di Indonesia.
Pratama mengatakan, sebenarnya si penjual data sudah memberikan peringatan NSFW (Not Safe For Work) bahwa sampel data yang diberikan mengandung gambar medis yang ekstrem. Yang artinya bahwa isi konten mengandung pornografi dalam kacamata medis dan sangat mengganggu jika dibuka di publik.
Dari mana data itu berasal?
Klaim peretas sumber data itu diambil dari server terpusat Kementerian Kesehatan. (Baca: Peretas Klaim Data Bersumber dari Server Terpusat Kemenkes)
Namun, untuk membuktikan tersebut perlu adanya audit forensik digital yang dilakukan oleh pemerintah. Menkominfo Johnny G Plate telah memerintah jajarannya berkoordinasi dengan Kemenkes dan Badan Siber dan Sandi Negara untu meginvestigasi dugaan data pasien tersebut.
Bagaimana dengan 6 juta basis data?
Peretas menjelaskan bahwa dirinya punya 6 juta basis data pasien. Basis data ini mencakup empat hal, setidaknya menurut klaim peretas, yaitu menyangkut “diagnosa”, “pasien”, “rujukan”, dan “penunjang”.
Terkait dengan basis data “diagnosis” memiliki format kolom:
Informasi data pribadi pasien, seperti:
Data penunjang hasil laboratorium, mencakup:
Informasi data rujukan pasien, meliputi:
Bagaimana penjual mendapatkan data itu?
Ia mengklaim mendapatkan data dari komputer lokal. “Saya mengeksploitasi seorang pegawai,” katanya saat dikontak Cyberthreat.id. (Baca: Peretas: Saya Mengeksploitasi Seorang Pegawai Kemenkes)
Berapa harga seluruh data?
Dijual dengan harga tertinggi US$150.000 (sekitar Rp2 miliar).
Apakah data seperti itu berbahaya ya?
Jelas. Pakar keamanan siber Pratama Persadha mengatakan sekali lagi bahwa data-data itu sangat berbahaya dan riskan, karena pelaku kejahatan bisa menarget individu dari data-data tersebut. Contohnya berpura - pura mengaku dari rumah sakit atau dokter yang merawat.
“Jangankan orang lain atau pelaku kejahatan yang tidak dikenal, keluarga pasien saja belum tentu mengetahui dan mendapatkan data dari foto-foto yang begitu vulgar tersebut,” kata Pratama.
Peneliti keamanan siber Vaksincom, Alfons Tanujaya, juga mengatakan, data medis yang bocor bisa saja disalahgunakan oleh orang lain. Jika itu terjadi, bisa mengakibatkan kerugian bagi pemilik data tersebut.
“Jika pasien yang mengalami kebocoran data mengidap penyakit atau kondisi medis tertentu yang sifatnya rahasia, dan jika diketahui oleh publik, akan mengakibatkan dirinya dijauhi atau diberhentikan dari pekerjaannya. Tentu hal ini akan sangat merugikan,” kata Alfons.
“Atau, foto medis pasien yang tidak pantas dilihat, lalu disebarkan, akan memberikan dampak psikologis yang berat bagi pasien. Ini hanya sedikit risiko sehubungan dengan rekam medis yang bocor.”
“Dan, tidak terhitung data pribadi, seperti nomor telepon dan data kependudukan yang bocor dan jelas akan menjadi sasaran eksploitasi,” Alfons menambahkan.
Jika data pasien sudah bocor, apa yang bisa dilakukan?
Alfons mengatakan, “Kalau data sudah bocor, menghukum pengelola data tidak bisa membatalkan data yang bocor. Ibaratnya nasi sudah menjadi bubur, data yang sudah bocor tidak bisa dibatalkan dan akan selalu bocor,” Alfons menjelaskan.
Terpenting, setiap warga Indonesia harus selalu waspada dan berhati-hati terhadap ada upaya-upaya penipuan yang menyangkut isu kesehatan atau hal lain yang berpura-pura sebagai saudara atau teman.
Seharusnya pemerintah bisa menyediakan peranti lunak yang bisa diakses masyarakat Indonesia untuk mengecek apakah data diri mereka digunakan untuk mengajukan kredit di layanan perbankan atau pinjol (fintech). Setidaknya sebagai langkah pencegahan dari penyalahgunaan data pribadi.[]
Share: